Haber Sitelerindeki Çerez Afişlerinin Tasarımı

1/70

Chambre Contentieuse

Décision quant au fond 113/2024 du 6 septembre 2024

Cette décision a été annulée par l’arrêt 2024/AR/1690
de la Cour des marchés du 19 mars 2025

Numéro de dossier : DOS-2023-03279

Objet : mesures concernant les bannières de cookies sur les sites d'information de
Mediahuis (sites Internet De Standaard, Gazet van Antwerpen, Het Belang van Limburg
et Het Nieuwsblad)

La Chambre Contentieuse de l'Autorité de protection des données, composée de Monsieur
Hielke HIJMANS, président, et de Messieurs Christophe Boeraeve etJelle Stassijns, membres ;

Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après "RGPD" ;

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
"LCA" ;

Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel, ci-après "LTD" ;

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191;

Vu les pièces du dossier ;

A pris la décision suivante concernant :

Le plaignant : X, représenté par Noyb – European Center for Digital Rights, ci-après "le
plaignant" ou "la partie plaignante" ;

1
Le nouveau Règlement d'ordre intérieur ("ROI"), après les modifications apportées par la loi du 25 décembre 2023 modifiant
la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (APD), est entré en vigueur le 1er juin 2024.
Conformément à l'article 56 de la loi du 25 décembre 2023, le nouveau ROI ne s'applique qu'aux plaintes, aux dossiers de
médiation, aux inspections et aux procédures devant la Chambre Contentieuse initiés à partir de cette date :
https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-des-
donnees.pdf.
Les affaires initiées avant le 1er juin 2024, comme en l'espèce, sont soumises aux dispositions de la LCA telles que non
modifiées par la loi du 25 décembre 2023 et du ROI tel qu'il existait avant cette date :
https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur.pdf.

Décision quant au fond 1132024 — 2/70

Le défendeur : Mediahuis S. A., représenté par Me Jan CLINCK, Me Pierre ANTOINE et Me
Gerrit VANDENDRIESSCHE, ci-après "le défendeur".

Table des matières
Décision quant au fond 113/2024 du 6 septembre 2024 .................................................................. 1

I. Faits et procédure .............................................................................................................. 3

I.1. Les quatre plaintes ...................................................................................................... 3

I.2. La proposition de transaction et la procédure de transaction dans la procédure préalable au
traitement quant au fond ........................................................................................................ 4

I.3. La procédure quant au fond ......................................................................................... 5

II. Motivation .......................................................................................................................... 7

II.1. Points préliminaires ..................................................................................................... 7

II.2. La plainte déposée en vertu de l'article 80.1 du RGPD ..................................................14

II.3. Les violations .............................................................................................................26

III. Mesures et exécution par provision .................................................................................56

III.1. Injonctions ................................................................................................................56

III.2. Réprimandes .............................................................................................................58

III.3. Astreinte : considérations particulières ........................................................................58

III.4. Exécution par provision ..............................................................................................66

IV. Publication de la décision ...............................................................................................68

Décision quant au fond 1132024 — 3/70

I. Faits et procédure

I.1. Les quatre plaintes

1. Le présent dossier est basé sur quatre plaintes jointes d'un seul plaignant concernant les
pratiques en matière de cookies du défendeur sur quatre de ses sites Internet :

a. La première plainte concerne le site Internet ‘Gazet van Antwerpen’ (www.gva.be)

b. La deuxième plainte concerne le site Internet ‘De Standaard’ (www.standaard.be)

c. La troisième plainte concerne le site Internet ‘Het Nieuwsblad’
(www.nieuwsblad.be)

d. La quatrième plainte concerne le site Internet ‘Het Belang van Limburg’
(www.hbvl.be)

2. Le plaignant est représenté par Noyb – European Center for Digital Rights ("Noyb"), ayant
son siège social en Autriche. Dans chacune des quatre plaintes et par site Internet individuel,
un mandat signé et daté par le plaignant est joint, lequel autorise le représentant à
représenter le plaignant devant l'APD belge. La portée du mandat est formulée comme suit
: "concerne : la collecte de mes données par le placement de cookies sur le site Internet du
défendeur", suivie de l'identification de chacun des quatre sites Internet précités, et ensuite
"et à prendre toutes les mesures nécessaires pour faire respecter mes droits, y compris
l'initiation de procédures judiciaires ou extrajudiciaires." (NdT : traduction libre réalisée par
le Service traduction de l'Autorité de protection des données, en l’absence de traduction
officielle)

3. Les plaintes visent toujours quatre "violations" présumées et précisent comme suit les
griefs du plaignant :

• “Violation de type 1 : Absence d'option "refuser" au premier niveau d’information
de la bannière de cookies"

• "Violation de type 2 : Couleurs de boutons trompeuses"

• "Violation de type 3 : Il n'est pas aussi simple de retirer le consentement que de le
donner"

• "Violation de type 4 : Renvoi vers l'intérêt légitime"

4. Les plaintes – datées du 18 juillet 2023 – sont déposées au Service de Première Ligne de
l'Autorité de protection des données par e-mail. Les plaintes ont été reçues, officiellement,
après minuit, le 19 juillet 2023.

5. Le 3 août 2023, le Service de Première Ligne demande ce qui suit au représentant du
plaignant : "Veuillez nous informer de l'intérêt du plaignant à introduire la plainte, comme le

Décision quant au fond 1132024 — 4/70

prévoit l'article 60 de la loi du 3 décembre 2017 portant création de l'Autorité de protection
des données".

6. Le 24 août 2020, la plainte est déclarée recevable par le Service de Première Ligne sur la
base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse
en vertu de l'article 62, § 1er de la LCA.

7. Le 1er septembre 2023, la partie plaignante transmet un document au Service de Première
Ligne formulant une réponse à la question adressée par le Service de Première Ligne à Noyb
le 3 août 2023 concernant (le cadre juridique relatif à) l'intérêt du plaignant et à l'octroi d'un
mandat.

8. Dans le document précité, Noyb renvoie vers la communication qu'elle a envoyée les 17 et
25 août 2023 au Service de Première Ligne, à laquelle le Service de Première Ligne a
répondu à Noyb respectivement les 24 et 29 août 2023. Cette communication n'a pas été
jointe au présent dossier par le Service de Première Ligne car cet échange a eu lieu dans le
cadre d'un autre dossier pendant auprès de l'APD ; la Chambre Contentieuse a maintenu
cette approche et l'a confirmée auprès du défendeur. 2 Bien entendu, il n'a pas été tenu
compte du contenu de ces messages dans le cadre de l'évaluation et de la décision dans le
présent dossier.

I.2. La proposition de transaction et la procédure de transaction dans la procédure
préalable au traitement quant au fond

9. Le 21 septembre 2023, la Chambre Contentieuse transmet une lettre aux parties en
indiquant qu'elle transmettrait une proposition de transaction aux parties dans un délai de
trente jours. Entre-temps, les parties ont la possibilité de consulter le dossier, ce que les deux
parties ont également demandé ; elles y ont obtenu accès.

10. Le 20 octobre 2023, une proposition de transaction est transmise simultanément aux deux
parties, après quoi la procédure de transaction commence formellement au sens de l'article
95, § 1er, 2° de la LCA.

11. Le 30 octobre 2023, le représentant fournit à la Chambre Contentieuse la réponse de la part
du plaignant à la proposition de transaction, en proposant de procéder à un certain nombre
d'adaptations.

12. Le 6 novembre 2023, la Chambre Contentieuse communique aux parties que – suite aux
remarques de la part de la partie plaignante – elle ne procéderait pas à une adaptation des
conditions de la proposition de transaction.

2
Lors de la remise de la copie du dossier, le défendeur s'est adressé à la Chambre Contentieuse à plusieurs reprises
(le 28 septembre 2023 et encore le 2 novembre 2023) en demandant de fournir les messages précités du 17 et 14 août 2023,
ce que la Chambre Contentieuse a refusé afin de préserver l'intégrité de l'autre dossier.

Décision quant au fond 1132024 — 5/70

13. Le 7 novembre 2023, le défendeur indique par l'intermédiaire de son avocat que le délai de
réponse prévu dans la proposition de transaction n'est pas réalisable. Le défendeur
demande dès lors de prolonger le délai de réponse jusqu'au 20 décembre 2023.
Le 10 novembre 2023, la Chambre Contentieuse indique qu'à ce moment, la prolongation du
délai telle que proposée par le défendeur ne peut pas être acceptée, mais la Chambre
Contentieuse accorde toutefois un report de sept jours.

14. Le 27 novembre 2023, le défendeur transmet une lettre via son avocat, dans laquelle
il affirme ne pas être défavorable à une transaction, mais souhaite néanmoins des
éclaircissements sur plusieurs points. Le défendeur suggère également des adaptations des
conditions de la proposition de transaction.

15. Le 28 novembre 2023, la Chambre Contentieuse envoie un accusé de réception au
défendeur, après quoi la Chambre Contentieuse envoie un autre courrier le 1 er décembre
2023 indiquant qu'une réponse au courrier du défendeur du 27 novembre 2023 ne pourra
être envoyée que plus tard.

16. Le 5 décembre 2023, la Chambre Contentieuse envoie au défendeur une réponse
concernant tous les aspects pour lesquels le défendeur demandait des précisions ou des
adaptations dans la lettre du 27 novembre 2023.

17. Le 11 décembre 2023, le défendeur fait savoir par l'intermédiaire de son avocat qu'il ne peut
pas accepter la proposition de transaction dans son ensemble. Le défendeur indique
toutefois d'emblée dans le même courrier qu'il a apporté plusieurs modifications suite aux
2e et 3e griefs du plaignant, et qu'en ce qui concerne le 4e grief, d'autres modifications
interviendraient encore. En ce qui concerne ce dernier grief, le défendeur affirme qu'il "ne
s'appuiera pas sur l'intérêt légitime pour encore placer de tels cookies."

18. Le 18 décembre 2023, la Chambre Contentieuse prend ensuite une décision formelle de
retrait de la proposition de transaction, en expliquant de manière concise les motifs de
l'abandon de la procédure de transaction.

I.3. La procédure quant au fond

19. Le 5 février 2024, les parties concernées sont informées par envoi recommandé des
dispositions visées à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également
informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions.
Dans la lettre, la Chambre Contentieuse invite les parties à prendre position sur plusieurs
aspects précis, en exposant les violations potentielles qui sont portées à charge du
défendeur.

20. Le 12 février 2024, le défendeur envoie une lettre à la Chambre Contentieuse, contenant
diverses remarques et requêtes concernant la procédure et demandant l'envoi des pièces

Décision quant au fond 1132024 — 6/70

de procédure par courrier plutôt que par voie électronique. La Chambre Contentieuse
répond à cette lettre le 19 février 2024 et procède également à une prolongation des délais
prévus précédemment pour les conclusions.

21. Le 27 mars 2024, la Chambre Contentieuse reçoit les conclusions en réponse du défendeur
; ces conclusions sont transmises dans la foulée au représentant du plaignant.

22. Le 17 avril 2024, la Chambre Contentieuse reçoit les conclusions en réplique de la part du
plaignant. Le représentant du plaignant répond à plusieurs points des conclusions en
réponse du défendeur du 27 mars 2024.

23. Le (représentant du) plaignant demande également à la Chambre Contentieuse d'être
entendu ainsi que de prendre les mesures correctrices nécessaires. Par ailleurs, le plaignant
demande de ne pas suspendre l'exécution provisoire, comme demandé par le défendeur,
dès lors que cette option prévue par le législateur devrait être interprétée de manière
limitée. Enfin, le plaignant demande de publier la décision sur le site Internet de l'APD.

24. Le 8 mai 2024, la Chambre Contentieuse reçoit les conclusions en réplique du défendeur ;
ces conclusions sont transmises dans la foulée au représentant du plaignant.

25. Le 17 juin 2024, les parties sont informées du fait que l'audition aura lieu le 1er juillet 2024.

26. Le 1er juillet 2024, les parties sont entendues par la Chambre Contentieuse.

27. Le 8 juillet 2024, le procès-verbal de l’audition est soumis aux parties.

28. Le 12 juillet 2024, la Chambre Contentieuse reçoit du plaignant quelques remarques
relatives au procès-verbal qu'elle décide de reprendre dans sa délibération.

29. Le 12 juillet 2024, le défendeur transmet une première fois un certain nombre de remarques
concernant le procès-verbal, affirmant que ce procès-verbal ne reflète pas fidèlement
l'audition. La Chambre Contentieuse décide d'intégrer les remarques précitées dans sa
délibération. Le 16 juillet 2024, le défendeur apporte de nouvelles remarques concernant le
procès-verbal, que la Chambre Contentieuse décide de reprendre dans sa délibération.

30. Dans le même temps, le défendeur demande une copie de l'enregistrement de l'audition,
requête qu'il fonde sur l'article 95, § 2 de la LCA et sur l'article 15.3 du RGPD. Le 18 juillet
2024, il est communiqué au défendeur qu'il peut venir écouter l'enregistrement intégral non
édité de l'audition dans les bureaux de l'APD, que le délégué à la protection des données de
l'APD a été impliqué et que le délai pour apporter des remarques au procès-verbal est
prolongé. Le 31 juillet 2024 – le jour d'échéance du délai pour les remarques sur le
procès-verbal –, le défendeur transmet une lettre à la Chambre Contentieuse, ainsi qu'au
DPO de l'APD, concernant sa demande d'obtenir une copie de l'enregistrement de l'audition.

Décision quant au fond 1132024 — 7/70

II. Motivation

II.1. Points préliminaires

31. Un premier point préliminaire concerne les conclusions en réplique de la partie plaignante.
Le défendeur affirme dans ses conclusions de synthèse que les conclusions de la partie
plaignante doivent être exclues des débats, d'une part parce qu'elles n'ont pas été signées
(par le mandataire légal du représentant Noyb) et d'autre part parce que les conclusions
n'ont pas été rédigées conformément à l'article 744 du Code judiciaire.

32. La Chambre Contentieuse explique pourquoi l'argument du défendeur sur ce point n'est
pas recevable en droit. En substance, la procédure devant la Chambre Contentieuse est
régie par les dispositions procédurales de la LCA. La Cour des marchés a déjà affirmé à
plusieurs reprises que la Chambre Contentieuse était un organe administratif et non un
tribunal (administratif) au sens formel. 3 En ce sens, on ne peut pas se contenter d'affirmer
que les dispositions du Code judiciaire s'appliqueraient intégralement et toujours comme
lex generalis dans la procédure devant la Chambre Contentieuse alors que la lex specialis
de la LCA ne prévoit pas de règlement.

33. En outre, le législateur belge a bien défini explicitement dans la LCA que les parties
pouvaient introduire des conclusions.4 Le législateur a ensuite laissé l'APD régir la manière
dont les conclusions peuvent être introduites – et le cas échéant de la définir dans le
Règlement d'ordre intérieur.5

34. C'est dans la lettre de l'APD du 5 février 2024 que les parties ont été informées des
modalités d'introduction des conclusions. L'invitation ne mentionne nulle part le fait que les
parties devraient déposer leurs conclusions selon les modalités formelles évoquées par le
défendeur et il n'est pas non plus renvoyé au Code judiciaire.
La Chambre Contentieuse ne peut pas limiter les conclusions d'une partie 6 – cela doit
également s'appliquer mutatis mutandis aux modalités de rédaction et de dépôt de ses
conclusions par une partie lorsque rien n'est 'imposé' au préalable aux parties. La partie
plaignante a respecté les délais des conclusions en ce qui concerne le dépôt de la pièce.

3
Par exemple Arrêt de la Cour d'appel de Bruxelles (Chambre 19A, Section Cour des marchés), 20 octobre 2020, 2020/AR/582,
§ 7.4 ; Arrêt de la Cour d’appel de Bruxelles (Chambre 19A, section Cour des marchés), 7 juillet 2021, 2021/AR/320, P. 24 ; Arrêt
de la Cour d'appel de Bruxelles (Chambre 19A, section Cour des marchés, 1er mars 2023, 2022/AR/1085, P. 7.
4
Article 98, 2° de la LCA : [...] la possibilité [pour les parties] "de transmettre leurs conclusions" ;
Et encore à l'article 99 de la LCA : "La chambre contentieuse invite les parties à transmettre leurs conclusions.”
5
Voir à cet égard les articles 48 e.s. de l'ancien Règlement d'ordre intérieur (version de 2018) qui s'applique au présent dossier.
6
Cf. l'arrêt de la Cour des marchés (2021/AR/320) du 7 juillet 2021, p. 15 : "La circonstance selon laquelle le formulaire de
réponse ne permettrait qu'une réaction contenant un nombre limité de mots n'est pas pertinente à cet égard. L'ampleur de la
réaction et donc de l'exercice des droits de la défense ne peut en effet pas être valablement limitée par la Chambre
Contentieuse." (NdT : traduction libre réalisée par le Service traduction de l'Autorité de protection des données, en l’absence
de traduction officielle)

Décision quant au fond 1132024 — 8/70

35. Compte tenu de tous ces éléments, il est clair pour la Chambre Contentieuse que la pièce
visée (les conclusions en réplique du plaignant) ne devait pas être exclue des débats, qu'elle
pouvait tout simplement faire partie de la délibération de la Chambre Contentieuse et que
les arguments avancés par le défendeur afin d'exclure la pièce des débats ne sont pas
fondés.

36. Un deuxième point préliminaire concerne de nouvelles pièces déposées à l'audition par le
représentant du plaignant. Le défendeur s'oppose au dépôt de ces pièces et à leur ajout au
dossier. Vu le caractère tardif du dépôt des pièces, l'opposition de la partie défenderesse au
dépôt ainsi que l'absence d'un quelconque motif fondé quant au caractère tardif du dépôt,
les pièces sont intégralement exclues des débats et elles ne sont pas reprises dans les
débats devant la Chambre Contentieuse ni dans la délibération de cette dernière.

37. La Chambre Contentieuse souligne à l'égard de ce deuxième point préliminaire qu'en tant
qu'organe d'une autorité de contrôle, elle doit pouvoir tenir compte de tous les éléments qui
sont portés à sa connaissance, afin de pouvoir garantir un niveau élevé de protection des
données. Il n'empêche que la procédure doit respecter les exigences de contradiction et
d'égalité des parties. La procédure prévue dans la sous-section "Délibération et décision de
fond" des articles 98 e.s. de la LCA entend précisément prévoir une procédure
contradictoire. Dans le droit administratif, il faut particulièrement tenir compte dans ce cadre
de l'obligation d'audition et des droits de la défense. 7

38. Un troisième point préliminaire concerne la comparution valable en droit de la personne qui
comparaît (physiquement) à l'audition pour le représentant du plaignant. Lors de l'audition,
le défendeur indique qu'il s'interroge quant au mandat de la personne pour intervenir pour
Noyb conformément aux statuts de cette organisation.

39. Il convient avant tout de signaler à cet égard que Noyb s'est fait connaître en tant que
représentant du plaignant auprès de la Chambre Contentieuse, en produisant le mandat à
cet effet, au moyen d'un message via une adresse e-mail spécifique. Pour la présence à
l'audition de la personne en question, le représentant a signalé, préalablement à l'audition,
via l'adresse e-mail que le collaborateur de Noyb serait présent en tant que représentant.
La Chambre Contentieuse n'est pas obligée d'examiner d'office ou à la demande des parties
la manière dont la désignation de ce collaborateur a eu lieu concrètement. La notification par
l'organisation Noyb via e-mail de l'identité du collaborateur en question suffit. Cette raison
suffit à constater que la personne pouvait comparaître valablement pour Noyb.

40. En outre, il convient de faire remarquer que lors de cette audition, le plaignant était présent
en personne, et ce aux côtés du collaborateur de Noyb. Sur la base de la comparution du

7
Opdebeek I. et De Somer S., Algemeen Bestuursrecht: grondslagen en beginselen, Ed. 2, Anvers, 2019 Intersentia,
spécifiquement la partie V, Chapitre III, Section 7 concernant l'obligation d'audition.

Décision quant au fond 1132024 — 9/70

plaignant, on peut constater que le plaignant part également du principe que la personne en
question pouvait comparaître valablement pour son représentant Noyb.

41. La personne en question a donc bien comparu valablement pour Noyb à l'audition.

42. Quatrième point préliminaire : lors de l’audition, dans son plaidoyer, la partie plaignante
remet en question, pour la première fois et sans notification préalable, mais pas in limine litis,
l’ "indépendance" du président de la Chambre Contentieuse pour le traitement de cette
affaire. La partie plaignante demande en outre au président de la Chambre Contentieuse de
se retirer. La partie plaignante renvoie à cet égard à des "sources" anonymes qui auraient
entendu dans des conversations privées qu'il existait une stratégie pour rejeter les plaintes
"de Noyb", et lors d'un événement public auquel participait le président de la Chambre
Contentieuse. Aucun autre élément concret étayant le manque d' "indépendance" du
membre siégeant n'est avancé.

43. D'après les termes de la partie plaignante, la Chambre Contentieuse comprend qu'il s'agit
plutôt (ou du moins aussi) de l'impartialité que de l'indépendance de la Chambre
Contentieuse.8 Les parties demanderesses doivent faire preuve de prudence et de précision
lors de telles 'demandes en récusation'.9 Exprimer son mécontentement concernant (l'issue
ou le déroulement) d'une procédure est encore autre chose que d'émettre des demandes
en récusation à l'égard de membres d'institutions publiques, dont la légitimité repose
précisément sur leur indépendance et leur impartialité.10

44. En ce qui concerne spécifiquement la demande verbale de la partie plaignante de retrait du
président, le président décide de ne pas y accéder pour les motifs suivants.

45. Avant toute chose, la partie plaignante avait suffisamment connaissance du fait que le
président traitait (participait au traitement de) ce dossier, au moins pas plus tard que le
5 février 2024 lorsque les parties ont été invitées à introduire leurs conclusions dans ce
dossier, dans une lettre signée par ce président. La partie plaignante a eu la possibilité
d'entreprendre les démarches nécessaires pour aborder le sujet. Le caractère
(extrêmement) tardif de la demande de retrait est en soi suffisant pour ne pas accéder à
cette demande.

46. On peut en outre se référer aux faits suivants.

8
L. Van Den Eynde, "Partijdigheid en belangenconflicten bij het actief bestuur: de sluipweg van het gelijkheidsbeginsel", TBP,
2024, Ed. 4, 215-230, spécifiquement la section 2.1 "soorten (on)partijdigheid en bewijs" ; Cf. la confusion de notions dans le
cadre du pouvoir judiciaire : Ooms A., "De rechterlijke onpartijdigheid is niet steeds wat ze lijkt. Een historische en prospectieve
analyse of de grens tussen objectieve en subjectieve onpartijdigheid.”, Chroniques de droit public, 14(2010)4, p. 499-524 ;
Opdebeek I. et De Somer S., Algemeen Bestuursrecht: grondslagen en beginselen, Ed. 2, Anvers, 2019 Intersentia,
spécifiquement la partie V, Chapitre III, Section 8 au sujet du principe d'impartialité pour l'administration.
9
Cf. l'art. 835 du Code judiciaire pour les demandes en récusation à l'égard des membres de l'ordre judiciaire, une disposition
qui affirme notamment que de telles demandes en récusation doivent être introduites au greffe avec les motifs de la
récusation dans un document formel, et ce uniquement par des avocats ayant plus de dix années d'expérience au barreau.
10
À cet égard, le législateur ancre quelques éléments à l'article 44 de la LCA.

Décision quant au fond 1132024 — 10/70

47. Dans ce dossier, c'est le défendeur, et non la Chambre Contentieuse, qui a soulevé un certain
nombre de moyens et d'arguments qui ont mis en évidence l'intérêt (procédural) et le
mandat du représentant par le plaignant. Par ailleurs, dans le présent dossier, seul le Service
de Première Ligne s'est enquis, sans engagement, de l'intérêt (procédural) du plaignant,
manifestement sans conséquences défavorables pour ce dernier quant à la recevabilité de
la plainte. Dans sa lettre invitant à introduire des conclusions, la Chambre Contentieuse n'a
par contre pas demandé à la partie plaignante d'expliquer davantage son intérêt
(procédural) ou les circonstances du mandat. Dès lors, il n’est en fait pas correct de suggérer
un parti pris dans le chef d'une personne ou une stratégie de la Chambre Contentieuse ou
de son président. Il n'empêche d'ailleurs que la Chambre Contentieuse a la compétence de
poser ce type de questions aux parties.

48. La partie plaignante a ensuite eu l'occasion de réagir aux moyens et arguments précités du
défendeur dans les conclusions en réplique ainsi que lors de l'audition. Pourtant, la partie
plaignante indique dès le début de l'audition que ce sont les éléments de fond qui devraient
constituer le centre du débat plutôt que les éléments de forme, et que le plaignant serait
soumis à un "examen plus approfondi" qu'un responsable du traitement. Ce n'est
factuellement pas correct, qui plus est en plusieurs points.

49. Tout d'abord, la procédure de transaction en soi illustre le fait que la Chambre Contentieuse
– préalablement à la présente décision – a engagé une procédure justement pour remédier
rapidement aux griefs de fond formulés dans la plainte. C'était en outre à ce moment la
première fois que la Chambre Contentieuse appliquait sa compétence d'opter pour la
procédure de transaction en phase préalable à la délibération quant au fond.

50. La Chambre Contentieuse ne comprend par ailleurs pas dans quelle mesure le plaignant
serait soumis à un "examen plus approfondi". La Chambre Contentieuse n'a rien demandé
ni suggéré à cet égard à la partie plaignante avant que le défendeur ne soulève ses
arguments, et le Service d'Inspection n'est pas intervenu dans ce dossier. Le fait que le
défendeur soulève des arguments et des moyens à cet égard relève du droit d'une partie
défenderesse dans des procédures entraînant des mesures correctrices potentiellement
importantes. De tels arguments et moyens ne peuvent pas être exclus du débat.

51. Qui plus est, quant à la question du défendeur 11 de savoir s'il devait se limiter lors de l'audition
à ses arguments concernant ces éléments de procédure, la Chambre Contentieuse a
indiqué12 que les parties étaient libres de mener leurs plaidoiries comme elles le souhaitent,
mais que, conformément à la lettre du 5 février 2024, l'audition "traitera au moins des
éléments de fond".

11
Le défendeur a posé une question à ce sujet à la Chambre Contentieuse le 19 juin 2024, la partie plaignante était mise en
copie (cc).
12
La Chambre Contentieuse a répondu au défendeur à ce sujet le 21 juin 2024, la partie plaignante était mise en copie (cc).

Décision quant au fond 1132024 — 11/70

On ne peut pas indiquer plus clairement la mesure dans laquelle les aspects de fond ont
constitué (notamment) le centre du débat devant la Chambre Contentieuse.

52. La Chambre Contentieuse précise que le représentant du plaignant doit distinguer en
l'espèce différentes procédures formelles dans lesquelles il intervient pour différents
plaignants.13Dans ce dossier, que ce soit lors de la mise en état du dossier ou de l'invitation
à déposer des conclusions, la Chambre Contentieuse n'a jamais soulevé elle-même la
problématique présumée concernant l'intérêt (procédural) du plaignant, ni la problématique
présumée concernant le mandat. Dans les éléments suivants de la présente décision, la
Chambre Contentieuse rejette en outre les arguments du défendeur en la matière.

53. On ne peut pas demander à la Chambre Contentieuse de ne pas accéder aux arguments du
défendeur ou de ne pas soumettre les arguments en la matière à une évaluation. Qui plus
est, c'est précisément le rôle de la Chambre Contentieuse de se pencher sur les moyens et
arguments avancés, qui doivent être évalués au cas par cas. 14

54. La Chambre Contentieuse statue également de manière impartiale, sans crainte ni faveur
pour l'une ou l'autre partie. En ce sens, les parties défenderesses ont également droit à une
analyse loyale des faits et selon les normes légales.15 Au niveau procédural, une partie
plaignante n'a pas droit à un traitement de faveur, pas plus qu'elle aurait le privilège d'exclure
un débat juridique – potentiellement en sa défaveur.16 Lorsque certains aspects sont
abordés ou traités dans une enquête, lors de l'audition ou dans une décision, cela ne signifie
en effet pas que les aspects soient justifiés ou fondés.

55. Dans un contentieux crédible, on parvient à la vérité en se basant de manière réfléchie sur
des faits et des arguments de qualité. Dans ce cadre, des questions (juridiques) doivent bien
entendu pouvoir être posées sans que cela n'implique en soi une partialité.

56. Le fait que dans le cadre de la coopération organisée de manière loyale et confidentielle 17 au
sein de et entre autorités de contrôle dans l'Espace économique européen, des informations
susceptibles de poser des questions juridiques cruciales sur une certaine problématique

13
Dans ce cadre, il convient en outre de rappeler qu'au niveau procédural, des pièces de la partie plaignante n'ont pas pu être
reprises dans ce dossier, car elles ont été transmises en marge d'un autre dossier pour lequel le représentant intervenait. Voir à
cet égard les échanges entre le défendeur et la Chambre Contentieuse dans les pièces 20, 21, 28 et 32 du dossier administratif.
14
Cf. l'arrêt de la Cour d'appel de Bruxelles (Section Cour des marchés) du 16 septembre 2020, 2020/AR/1160, § 5.7 : "Dans un
état de droit, il n'est pas possible que la Chambre Contentieuse de l'APD puisse 'choisir' l'argument auquel elle répond ou
non."(NdT : traduction libre réalisée par le Service traduction de l'Autorité de protection des données, en l’absence de
traduction officielle)
15
Cf. l'article 6 de la Convention européenne des droits de l'homme et des libertés fondamentales, l'article 47 de la Charte des
droits fondamentaux de l'Union européenne et l'article 52 du RGPD. Bien que la Chambre Contentieuse ne soit pas un tribunal
au sens traditionnel, ce principe s'applique également aux procédures administratives (CEDH, Öztürk c. Allemagne,
21 février 1984, ECLI:CE:ECHR:1984:0221JUD000854479) ; dans le droit belge, l'impartialité des organes administratifs est
également garantie en tant que principe de bonne administration, cf. supra et l'arrêt du Conseil d'État, 22 juin 2017, n° 238.610.
16
Bien que la Chambre Contentieuse ne soit pas une juridiction, on peut renvoyer à l'article 6 du Code judiciaire, lequel dispose
que les juges doivent appliquer les règles juridiques applicables dans toutes les causes qui lui sont soumises ; en vertu de
l'article 57 du RGPD, il appartient mutatis mutandis à l'autorité de contrôle de traiter des plaintes et d'examiner leur issue, sans
indication d'un quelconque traitement préférentiel.
17
Cf. art. 54.2 du RGPD et art. 48, § 1erde la LCA.

Décision quant au fond 1132024 — 12/70

puissent être fournies est inhérent à la procédure de coopération visée au Chapitre VII du
RGPD.18

57. Le simple fait qu'une affaire antérieure19 devant la Chambre Contentieuse avec des
circonstances présumées similaires engendre une éventuelle issue défavorable pour une
même partie ou son représentant ne justifie bien entendu pas en soi la récusation d'un
membre siégeant dans une autre affaire (en l'occurrence la présente affaire).

58. Lorsqu'une partie n'est pas d'accord avec une décision d'une autorité, il lui est loisible, en
vertu de l'article 78 du RGPD, d'introduire un recours contre cette décision. Dans l'ordre
juridique belge, ce recours peut également être introduit par tout tiers intéressé auprès de
la Cour des marchés, conformément à l'article 108, § 3 de la LCA. Si Noyb estime dès lors
être un tel intéressé20, elle a le cas échéant un droit d'accès. Le fait que dans une affaire
précédente, un recours n'ait pas pu être introduit car le plaignant concerné ne le souhaitait
pas, comme cela a été évoqué lors de l'audition, ne constitue pas un argument pouvant être
reproché à la Chambre Contentieuse et n'importe pas.

59. Enfin, comme cinquième et dernier point préliminaire, le défendeur a fait savoir à la Chambre
Contentieuse le 12 juillet 2024, après avoir reçu le procès-verbal dans ce dossier, qu'il
estimait que ce procès-verbal ne reflétait "pas fidèlement" l'audition et que cela portait
(pourrait porter) atteinte aux droits de la défense. Dans ce cadre, le défendeur a demandé de
rédiger un nouveau procès-verbal.

60. Le 23 juillet 2024, la Chambre Contentieuse a fait savoir au défendeur que l'enregistrement
sonore non édité pouvait être entendu intégralement dans les bâtiments de l'APD, après que
la Chambre Contentieuse ait déjà prolongé le délai pour la transmission des remarques sur
le procès-verbal jusqu'au 31 juillet 2024 inclus. Il convient de souligner dans ce cadre que la
Chambre Contentieuse a repris le passage suivant dans l'invitation à l'audition :

Sachez également que l’intégralité de l’audition sera enregistrée dans le seul but de
rédiger un procès-verbal. L’enregistrement sera détruit dès que le délai de recours
tel que mentionné à l’article 108 de la LCA aura expiré. En cas d’utilisation de la
possibilité de recours, l’enregistrement ne sera détruit qu’au moment de la
réception de l’arrêt de la Cour des marchés.

61. La Chambre Contentieuse refuse la copie demandée pour les raisons suivantes.

18
À cet égard, le principe d'impartialité ne peut pas être appliqué contra legem en ce qui concerne les circonstances de partage
international d'informations, cf. l'arrêt du Conseil d'État du 23 juin 2020, Lossau, n° 224.038 ; commentaire dans L. Van Den
Eynde, "Partijdigheid en belangenconflicten bij het actief bestuur: de sluipweg van het gelijkheidsbeginsel", TBP, 2024, Ed. 4,
(215)219, § 11.
19
En ce sens, dans les conclusions et plaidoiries de différentes parties, il est fait référence dans la procédure à la Décision
n° 22/2024 de la Chambre Contentieuse, contre laquelle aucun recours n'a été introduit devant la Cour des marchés.
20
Dans les remarques concernant le procès-verbal, la partie plaignante soulève la remarque suivante : "[…] la non-introduction
d'un recours est en effet tout sauf dans l'intérêt de Noyb.”

Décision quant au fond 1132024 — 13/70

62. Tout d'abord, la rédaction du procès-verbal par la Chambre Contentieuse et son envoi aux
parties n'est pas un droit légal, mais uniquement une initiative de l'APD d'intégrer l'audition
au dossier administratif (formel) et de formaliser dans le dossier les éléments qui n'ont pas
été soulevés dans les conclusions respectives.

Le Règlement d'ordre intérieur dispose qu'un procès-verbal est rédigé simplement en guise
de synthèse21 ; le procès-verbal indique ensuite lui-même et expressément ce qui suit :

"Le présent procès-verbal vise uniquement à mentionner des précisions et compléments
avancés lors de l'audition, sans reprendre les éléments qui ont été exposés dans les
conclusions écrites des parties.” (la Chambre Contentieuse souligne à la lumière de la
présente décision)

63. En ce sens, la Chambre Contentieuse a pris acte de tout ce qui a été dit lors de l'audition.
Le défendeur a présenté ses arguments de manière approfondie (en comptant la table des
matières et le relevé des pièces, les conclusions de synthèse totalisent 117 pages) et
détaillée dans ses conclusions. La Chambre Contentieuse n'a pas repris dans le
procès-verbal des éléments similaires qui ont été mentionnés lors des plaidoiries, et elle
s'est contentée de rappeler que les plaidoiries portent respectivement sur des éléments
"formels" et "de fond" – des éléments que l'on retrouve dans les conclusions de synthèse et
dont les termes sont littéralement similaires. Chaque question ou nouvelle remarque de fond
formulée lors de l'audition a bien été reprise dans le PV.

64. Deuxièmement, la Chambre Contentieuse affirme que le but du procès-verbal n'est pas de
donner un relevé exhaustif de tout ce qui a été dit lors de l'audition. Un relevé exhaustif est
non seulement peu pertinent pour l'objectif du droit d'être entendu conformément à la loi,
mais il n'est pas non plus souhaitable pour le bon fonctionnement de la procédure pour la
Chambre Contentieuse et pour son bon déroulement pour les parties. Les débats ne sont en
effet pas rouverts après la clôture de l'audition, comme l'indique expressément le
procès-verbal lui-même. En vertu du principe d'effectivité, le RGPD doit pouvoir être
appliqué de manière utile : les ajouts inutiles à la procédure ne sont non seulement pas
souhaitables, mais ils sont aussi illégaux conformément à ce principe.

65. Une transcription exhaustive de tout ce qui est dit lors de l'audition représenterait pour une
audition d'1h30 comme en l'occurrence plusieurs dizaines de pages de procès-verbal, la
plus-value procédurale d'une audition est ainsi réduite à néant.

66. Enfin, dans le cadre de la demande, le défendeur souligne qu'en vertu de l'article 95, § 2 de
la LCA, il aurait droit à une copie de l'enregistrement parce que cela fait partie du dossier.
C'est inexact. Le procès-verbal est la pièce qui est reprise dans le dossier ; en outre, les
remarques des parties sur ce procès-verbal sont reprises dans le procès-verbal.

21
Art. 54 de "l'ancienne" version du ROI de l'APD.

Décision quant au fond 1132024 — 14/70

L'enregistrement audio facilite uniquement la rédaction du procès-verbal en question et ne
constitue pas une pièce du dossier administratif. Le droit d'être entendu, tel que fixé à
l'article 98, 2° de la LCA, ne s'étend pas à l'obtention de la copie de l'enregistrement de
l'audition. À la fin de l'audition, les débats sont d'ailleurs clôturés et donc un accès à la copie
de l'enregistrement audio en vertu de l'article 95, § 2 de la LCA – une disposition légale qui
traite de la copie du dossier lors de la mise en état de l'affaire – n'est en tout état de cause
pas possible.

67. Pour tous ces motifs, la demande du défendeur concernant la rédaction d'un nouveau
procès-verbal – plus exhaustif –de l'audition du 1er juillet 2024 est rejetée.

68. Pour la transparence de la procédure, il est à noter que différents avocats du défendeur ont
réclamé une copie de l'enregistrement audio de l'audition en vertu de l'article 15.3 du RGPD,
et ce au moyen de messages adressés à la Chambre Contentieuse le 18 juillet et le 31 juillet
2024. Dans le message du 31 juillet 2024, différents avocats du défendeur se sont adressés
aussi bien à la Chambre Contentieuse qu'au délégué à la protection des données ("DPO") en
personne. Dès qu'un avocat a renvoyé à l'article 15.3 du RGPD le 18 juillet 2024, le DPO de
l'APD a été informé de la demande. Cet exercice d'un droit en vertu de l'article 15.3 du RGPD
ne relève pas de la procédure administrative préalable à la présente décision.

II.2. La plainte déposée en vertu de l'article 80.1 du RGPD

II.2.1. Cadre légal

69. L’article 80 du RGPD dispose ce qui suit :

Représentation des personnes concernées

1. La personne concernée a le droit de mandater un organisme, une organisation ou une
association à but non lucratif, qui a été valablement constitué conformément au droit d'un
État membre, dont les objectifs statutaires sont d'intérêt public et est actif dans le domaine
de la protection des droits et libertés des personnes concernées dans le cadre de la
protection des données à caractère personnel les concernant, pour qu'il introduise une
réclamation en son nom, exerce en son nom les droits visés aux articles 77, 78 et 79 et
exerce en son nom le droit d'obtenir réparation visé à l'article 82 lorsque le droit d'un État
membre le prévoit.

2. Les États membres peuvent prévoir que tout organisme, organisation ou association visé
au paragraphe 1 du présent article, indépendamment de tout mandat confié par une
personne concernée, a, dans l'État membre en question, le droit d'introduire une
réclamation auprès de l'autorité de contrôle qui est compétente en vertu de l'article 77, et
d'exercer les droits visés aux articles 78 et 79 s'il considère que les droits d'une personne
concernée prévus dans le présent règlement ont été violés du fait du traitement.

Décision quant au fond 1132024 — 15/70

À la lumière de ce qui précède, le considérant 142 du RGPD est également pertinent :

Lorsqu'une personne concernée estime que les droits que lui confère le présent règlement
sont violés, elle devrait avoir le droit de mandater un organisme, une organisation ou une
association à but non lucratif, constitué conformément au droit d'un État membre, dont les
objectifs statutaires sont d'intérêt public et qui est actif dans le domaine de la protection
des données à caractère personnel, pour qu'il introduise une réclamation en son nom
auprès d'une autorité de contrôle, exerce le droit à un recours juridictionnel au nom de la
personnes concernées ou, si cela est prévu par le droit d'un État membre, exerce le droit
d'obtenir réparation au nom de personnes concernées. Un État membre peut prévoir que
cet organisme, cette organisation ou cette association a le droit d'introduire une
réclamation dans cet État membre, indépendamment de tout mandat confié par une
personne concernée, et dispose du droit à un recours juridictionnel effectif s'il a des raisons
de considérer que les droits d'une personne concernée ont été violés parce que le
traitement des données à caractère personnel a eu lieu en violation du présent règlement.
Cet organisme, cette organisation ou cette association ne peut pas être autorisé à réclamer
réparation pour le compte d'une personne concernée indépendamment du mandat confié
par la personne concernée.

II.2.2. Contexte de la plainte

70. La manière dont on peut visualiser le plaignant, en concertation avec Noyb en tant que
représentant, est la suivante.

Décision quant au fond 1132024 — 16/70

71. Premièrement, il est incontestablement établi que Noyb gère des projets qui concernent le
dépôt de plaintes relatives aux cookies et aux bannières de cookies. Noyb a communiqué au

Décision quant au fond 1132024 — 17/70

sujet des projets en ce sens qui regroupent un nombre considérable de plaintes similaires et
le statut des projets est mis en ligne publiquement sur le site Internet de Noyb. 22

72. Deuxièmement il y avait incontestablement une relation de stage entre le plaignant et son
représentant dans le présent dossier, au moment des constatations qui ont mené aux pièces
jointes à la plainte. Le plaignant était également stagiaire au moment où Noyb a été mandaté
par la personne pour déposer plainte.

73. Troisièmement, il n'y a pas de lien démontrable entre le dépôt de la plainte dans ce dossier
par le plaignant (y compris l'attribution de mandat à Noyb par le plaignant) et les autres
projets relatifs aux cookies initiés par Noyb en tant qu'organisation. Noyb a toutefois publié
un communiqué de presse le jour du dépôt des plaintes, affirmant que "quinze" plaintes
avaient été introduites contre des sites Internet de médias belges. Le plaignant n'a pas
introduit chacune des quinze plaintes.

74. Cela témoigne bien entendu d'une certaine forme de coordination, mais rien n'indique qu'il y
ait eu une quelconque coordination avant la formulation de griefs par le plaignant, et pas
davantage avant l'attribution du mandat à Noyb par le plaignant. En ce sens, on ne peut
certainement pas établir qu'il ait pu y avoir potentiellement une quelconque pression de la
part de Noyb à l'égard du plaignant.

75. Il est à noter toutefois que ce fait n'est pas incontesté, le défendeur indiquant que l'intérêt
du plaignant en tant que personne concernée n'a pas été démontré et que les constatations
ou griefs ne peuvent pas être entièrement dissociés de l'organisation Noyb. Lors de
l'audition, le défendeur renvoie notamment au fait que la constatation a été faite avec du
matériel de travail pendant les heures de travail et qu'il est question d'un projet au sein de
Noyb (et non d'une plainte du plaignant en tant qu'individu).

76. Quatrièmement, le plaignant estime qu'une violation du RGPD a été commise et que ses
droits ont été violés.

77. Cinquièmement, une plainte a été introduite au nom du plaignant par Noyb en tant que son
représentant. La plainte a été formulée en concertation avec le plaignant et introduite
auprès de l'autorité de contrôle belge, et elle a été déposée sans aucun vice de forme
présumé auprès du Service de Première Ligne de l'APD.

22
Il est fait référence notamment aux pièces 4, 5 et 6 dans les conclusions de synthèse du défendeur, dont le renvoi à la page
web intitulée "Noyb wil een einde maken aan ‘cookiebannerterreur’ en dient meer dan 500 GDPR klachten in" ("Noyb veut
mettre fin à la 'terreur des bannières de cookies' et émet plus de 500 plaintes relatives au GDPR" – pièce 4 précitée).

Décision quant au fond 1132024 — 18/70

II.2.3. Absence de preuve directe de mandat ‘fictif’ et présence d'un intérêt (pour agir
en justice) dans le chef du plaignant

Position du plaignant

78. Dans ses conclusions en réplique, la partie plaignante se penche sur la "recevabilité" de la
plainte. La Chambre Contentieuse résume le point de vue ci-dessous.

Dans une première partie, la partie plaignante donne une argumentation concernant la
"recevabilité en vertu de l'article 77(1) j° l'article 80(1) du RGPD".

a. Premièrement, la partie plaignante affirme dans la section "charge de la preuve"
qu'il ressort des plaintes et des annexes qu'il y a un lien personnel entre le plaignant
et les traitements de données, notamment du fait que le plaignant a visité les sites
Internet, laissant apparaître les indications utiles pour les violations décrites dans la
plainte. À cet égard, la partie plaignante affirme en outre que le RGPD ne pose pas
de condition quant au contenu, à la forme ou à l'ampleur de la plainte ni à la preuve
qui devrait être apportée par le plaignant. Ensuite, la partie plaignante affirme que
c'est au responsable du traitement qu'incombe la charge de prouver que le RGPD
est respecté, et non au plaignant.

b. Deuxièmement, la partie plaignante affirme dans la section "les traitements en
question violent le RGPD" que les plaintes décrivent où se trouvent les violations
du RGPD et que le RGPD ou la LCA n'imposent pas que le plaignant concerné doive
d'abord exercer ses droits à l'égard du responsable du traitement. Ensuite, la partie
plaignante souligne que le défendeur n'a pas accepté les bannières de cookies suite
à la proposition de transaction et qu'il est encore toujours question de bannières de
cookies illicites.

c. Troisièmement, la partie plaignante affirme dans la section "intérêt personnel
suffisant" que le plaignant a visité les sites Internet et que des données à caractère
personnel ont été traitées à cet égard. Le plaignant a ensuite choisi de se faire
représenter par Noyb, et ce conformément à l'article 80(1) du RGPD. La mission de
représentation peut toujours être interrompue et l'article 80(1) du RGPD ne pose
aucune limite pour octroyer une telle mission de représentation pendant ou après
une "relation de subordination directe" entre le plaignant et le représentant, selon
la partie plaignante. Par ailleurs, la partie plaignante affirme que la Cour de justice
de l'UE a accepté qu'une personne occupée (ou l'ayant été) auprès de Noyb puisse
se faire représenter par cette dernière et que l'argument de représentation non
valable par Noyb a été coup sur coup rejeté lors d'affaires pendantes concernant
Noyb. De plus, Noyb souligne que les décisions de la Chambre Contentieuse n'ont
pas d'effet de précédent.

Décision quant au fond 1132024 — 19/70

d. Quatrièmement, la partie plaignante affirme dans la section "Constitution
conformément au droit belge (art. […] 220, § 2,1° LTD)" que l'APD a déjà reconnu
précédemment que cette disposition belge est plus restrictive que l'article 80(1) du
RGPD et qu'elle ne l'applique pas en ce sens que le non-respect de celle-ci n'a ‘pas
d'impact’. La partie plaignante affirme par ailleurs que l'APD ne doit pas appliquer la
disposition nationale afin de garantir le plein effet du droit de l'UE et donc autoriser
Noyb en tant que représentant en vertu de l'article 80(1) du RGPD ; Noyb a été créée
valablement en droit selon le droit d'un État membre, en l'espèce l'Autriche.

79. Dans une deuxième partie à ce sujet, la partie plaignante argumente
quant à la "recevabilité en vertu de l'article 80(2) du RGPD" :

a. Sur ce point, partie plaignante affirme qu'il existe une représentation valable en
vertu de l'article 80(1) du RGPD de sorte que la question de la recevabilité en vertu
de l'article 80(2) du RGPD ne se pose pas. Par ailleurs, la partie plaignante fait
remarquer que conformément à l'article 17 du Code judiciaire, Noyb peut intenter
elle-même une action devant les tribunaux et qu'il n'y a aucune justification
raisonnable de ne pas permettre à Noyb d'introduire elle-même une plainte auprès
de l'APD. En outre, la partie plaignante affirme que l'historique légal de l'article 17
du Code judiciaire n'indique pas que la disposition ne s'applique pas aux procédures
devant (la Chambre Contentieuse de) l'APD. D'autre part, selon la partie plaignante,
il découle de l'historique législatif de l'article 58 de la LCA que "toute personne"
peut déposer des plaintes, y compris les personnes morales et les associations. La
partie plaignante affirme en outre que le fait de permettre à Noyb de se présenter
devant un tribunal en tant que partie indépendante au procès, mais pas devant
l'APD, constituerait une violation du principe d'égalité au sens de l'article 10 de la
Constitution belge. La partie plaignante conclut : "Le fait que Noyb aurait un intérêt
suffisant à déposer des plaintes comme celle-ci découle déjà des statuts de Noyb".

Position du défendeur

80. La position du défendeur est à cet égard précisée dans deux de ses moyens et s'énonce
comme suit (la Chambre Contentieuse résume) :

"2e moyen (à titre principal) : Absence d'un intérêt personnel suffisant dans le chef du
plaignant" :

a. Dans ce moyen, le défendeur affirme avant tout, en résumé, qu' "aucune preuve
crédible ni allégation de traitement de données à caractère personnel du plaignant
n'est avancée dans la plainte." Selon le défendeur, il n'est pas certain que le
plaignant ait lui-même visité les sites Internet en question.
Le défendeur déclare que sur la base d'une "enquête plus approfondie", il constate

Décision quant au fond 1132024 — 20/70

par exemple qu'un certain nombre "d'allégations fausses ou au moins lacunaires"
peuvent être lues dans la plainte - et se réfère, pour chacune des quatre plaintes, au
fait que des références à des pages d'actualité (pages web) ont été incluses dans
les pièces probantes qui sont postérieures à la date à laquelle le plaignant a
prétendu avoir visité les sites Internet.

En outre, le défendeur souligne d'autres incohérences dans les pièces déposées.

b. Deuxièmement, ce moyen avance en résumé que le "traitement en question" ne
viole pas le RGPD. Le défendeur prétend ainsi que le plaignant, en tant que
personne concernée, a en effet donné son consentement et qu'il a consulté les
différentes couches d'information, d'après les pièces probantes. En outre, selon le
défendeur, le plaignant n'a pas exercé ses droits à l'égard du défendeur.
Cela signifie, d'après le défendeur, que la Chambre Contentieuse ne peut pas
ordonner l'effacement de données au sens de l'article 17 du RGPD ou ne peut pas
ordonner de porter cet effacement ou une rectification à la connaissance de tiers
au sens de l'article 19 du RGPD.

c. Troisièmement, le défendeur affirme, en résumé, que la "personne concernée"
(plaignant) n'a pas un intérêt personnel suffisant et que le représentant agit en
vertu d'un mandat fictif. Le défendeur se réfère à cet égard à des communiqués de
presse de Noyb concernant ses actions contre la "'terreur des bannières de
cookies" ainsi qu'à un communiqué de presse spécifique concernant les
transactions de la Chambre Contentieuse. Le défendeur cite le passage suivant de
ce dernier communiqué de presse de Noyb : "Noyb introduit 15 plaintes contre
lesdits sites de médias afin de les contraindre à adapter leurs bannières de
cookies."
En outre, le défendeur affirme qu'au moment de la visite des sites Internet litigieux,
le plaignant était stagiaire chez Noyb, que les visites des sites Internet n'étaient pas
des visites spontanées (vu le temps passé – moins d'une minute par site Internet),
que les données géographiques concernant les visites de sites Internet
renvoyaient à l'Autriche, que le plaignant indique lui-même intervenir contre une
pratique générale et que le plaignant a introduit une plainte le jour même contre
d'autres sociétés de médias. Par ailleurs, le défendeur souligne que le courrier de
Noyb au Service de Première Ligne le 1er septembre 2023 ne démontre pas que le
plaignant présente en effet l'intérêt personnel requis et affirme que la Chambre
Contentieuse avait déjà estimé dans une décision précédente dans une affaire
similaire (Décision n° 22/2024 du 24 janvier 2024) que le mandat de Noyb était
fictif.

Décision quant au fond 1132024 — 21/70

d. Quatrièmement, le défendeur affirme que Noyb a commis un abus de droit parce
qu'elle a utilisé la procédure de plainte pour "réaliser son propre programme
annoncé publiquement via un mandat fictif d'un stagiaire subalterne". Le défendeur
précise par ailleurs : "De cette manière, Noyb a tenté de détourner la non-
transposition en droit belge de l'article 80.2." Le défendeur avance encore
plusieurs éléments pour conclure ensuite : "Noyb a donc eu recours à la procédure
de plainte de l'APD dans un autre but que celui pour lequel la procédure est en
réalité destinée. Il s'agit d'un abus de droit.”

e. Enfin, le défendeur réagit à un certain nombre de points des conclusions du
plaignant. Dans ce cadre, le défendeur fait remarquer que la partie plaignante ne
répond pas à "plusieurs arguments – plutôt de fait" du défendeur et que ces faits ne
sont donc pas contestés.

"3e moyen (à titre subsidiaire) : NOYB ne peut pas introduire une plainte de manière
indépendante"

a. Dans ce moyen, le défendeur indique premièrement et ‘à titre principal’ que le
mandat du plaignant se limite à l'article 80.1 du RGPD. Le défendeur affirme que la
Chambre Contentieuse ne peut pas évaluer les éléments de la plainte en vertu de
l'article 80.2 du RGPD : dans ce cas, la Chambre Contentieuse statuerait "ultra
petita".
b. Deuxièmement et ‘à titre subsidiaire’, le défendeur affirme que l'article 80.2 du
RGPD ne s'applique pas en Belgique. Le défendeur renvoie au choix du législateur
belge de ne pas activer cette disposition via la loi nationale.
c. Troisièmement et également ‘à titre subsidiaire’, le défendeur affirme que Noyb ne
peut pas introduire elle-même une plainte étant donné qu'elle ne dispose pas d'un
intérêt personnel suffisant.
d. Quatrièmement, le défendeur répond à l'argument avancé par la partie plaignante
dans ses conclusions, à savoir qu'un intérêt suffisant pour Noyb découle de ses
statuts. Le défendeur affirme que les statuts de Noyb témoignent simplement du
caractère général et public de l'intérêt.

Évaluation par la Chambre Contentieuse

81. De manière générale, le représentant du plaignant œuvre de manière (pro)active à la
dénonciation de certaines pratiques dans le domaine du droit de la protection des données.
Ces objectifs généraux de l'association ne sont bien entendu pas suffisants en soi pour
parler d'un mandat fictif en vertu de l'article 80.1 du RGPD. Le défendeur avance plusieurs
(sous-)moyens dans sa défense pour argumenter que différents problèmes sont à déplorer
concernant le mandat. La Chambre Contentieuse ne trouve toutefois dans aucun de ces

Décision quant au fond 1132024 — 22/70

moyens des indications directes ou des preuves permettant d'affirmer que le mandat serait
fondamentalement déficient, ou aurait été établi de manière ‘fictive’ dans ce dossier.
La Chambre Contentieuse argumente comme suit.

82. Premièrement, il est un fait que Noyb a mené plusieurs projets dans le passé dans lesquels
elle a tenté de soulever certaines pratiques par le biais de plaintes. Le fait que, dans ce
contexte, les mandats auraient été formulés de manière généralement fictive ne suffit
évidemment pas à soutenir que Noyb ne peut pas représenter des personnes concernées
concernant la même matière. Il n'y a également aucune indication formelle en l'espèce que
Noyb ait pris elle-même l'initiative d'encourager les plaignants à déposer les plaintes avec
un contenu concret spécifique.

83. Deuxièmement, le plaignant souligne lors de l'audition qu'il a visité les sites Internet de
manière indépendante et qu'il a éprouvé des problèmes avec la pratique du responsable du
traitement, spécifiquement après avoir pris connaissance de la décision de transaction de la
Chambre Contentieuse concernant les sites Internet. Le plaignant est en outre
néerlandophone ; il n'est donc pas impensable que le plaignant visite occasionnellement ou
régulièrement les sites Internet litigieux et qu'il aie un intérêt à ce que les traitements de
données à caractère personnel soient adéquats lorsqu'ils sont réalisés. Lorsque le plaignant
affirme ainsi qu'il a visité le site Internet de manière indépendante – même sur un pc portable
de son travail – et qu'il s'est senti lésé en le faisant, sans aucune indication d'instruction
préalable ou de pression de la part du représentant, l'intérêt légitime, direct et personnel est
établi. Il n'y a aucune indication d'abus de droit.

84. Il convient de souligner ici, comme le souligne à juste titre la partie plaignante, que dans le
cadre du droit d'introduire une plainte, la personne concernée doit uniquement "estimer"
que ses droits ont été violés. A fortiori, le considérant 143 - relatif au mandat confié par une
personne concernée - indique explicitement que la personne concernée a le droit de
mandater une organisation dès lors qu'elle "estime" que ses droits ont été violés. Le fait que
le représentant mette par la suite son expertise à disposition dans le cadre de la mission de
représentation, afin de recueillir des preuves supplémentaires, peut simplement être
considéré comme une bonne pratique.

85. En bref, le mandat a été octroyé de manière légitime en vertu de l'article 80.1 du RGPD.

86. Troisièmement, la prudence est en effet de mise lorsque l'on initie un mandat en vertu de
l'article 80.1 du RGPD et qu'il y a une relation professionnelle (une relation de travail, une
relation de stagiaire ou autre). Des problèmes peuvent se poser (comme des conflits
d'intérêts) dans le cadre d'une relation de stage ; la Chambre Contentieuse ne lit et ne trouve
nulle part un argument indiquant que la relation de stage est en l'espèce problématique par
rapport au mandat pour l'introduction de la plainte. Il n'est en effet pas exclu légalement et
sensu stricto que le représentant puisse également être maître de stage.

Décision quant au fond 1132024 — 23/70

87. Il appartient au représentant, dans le cadre des normes légales applicables, d'évaluer si la
relation de représentation est appropriée. La Chambre Contentieuse n'interviendra que s'il
y a des indices clairs que les exigences légales pour une représentation valable ne sont pas
respectées ou si l'intégrité de la procédure est compromise. C'est par exemple le cas
lorsqu'un mandat est établi de manière fictive ou encore lorsque les griefs sont visiblement
'dirigés' par le représentant.

88. À cet égard, il convient de faire remarquer ce qui suit. Il y a une différence entre d'une part
se faire solliciter – même sans engagement – par un employeur ou ‘maître de stage’ afin de
donner son consentement pour quelque chose et d'autre part, s'adresser soi-même au
maître de stage ou à l'employeur pour accorder une mission de représentation. En l'espèce,
rien n'indique dans les faits que le premier cas s'applique, de sorte qu'aucun manquement
juridique dans le mandat ne peut être constaté. En outre, le plaignant a déclaré à maintes
reprises lors de l'audition qu'il avait lui-même (bien qu'en consultation avec une autre
personne qui était également stagiaire à la même époque), et donc pas sur instruction,
identifié un problème avec les sites Internet en question. Aucune preuve ne permet
d'affirmer que cette déclaration du plaignant lui-même ne serait pas véridique : le plaignant
a soulevé cette question en personne lors de l'audition.

89. Le fait de proposer aux stagiaires un forum pour rédiger des plaintes concernant des
traitements supposés illicites de leurs propres données à caractère personnel ou d'autres
violations connexes n'est pas problématique en soi, pour autant que cela se fasse dans le
respect des dispositions légales23 et sans instructions préalables concernant, par exemple,
l'identité du responsable du traitement et les violations concrètes recherchées. Cette mise
à disposition d'un forum peut en principe également inclure la mise à disposition de matériel
de travail et d'un lieu de travail physique aux personnes. La coordination stratégique entre le
plaignant et son représentant en ce qui concerne la manière dont une plainte est introduite,
les violations qui sont visées et la manière dont le contenu est présenté ne peut, bien
entendu, être effectuée qu'après que de tels griefs aient été formulés.

90. À cet égard, il n'est bien entendu pas exclu que l'objectif du plaignant, qui consiste à vouloir
être représenté pour faire valoir des droits qui sont supposés avoir été violés et qu'il souhaite
lui-même voir respectés, coïncide avec les propres objectifs de l'organisation Noyb, qui
consiste à vouloir faire respecter, dans l'intérêt public, les règles relatives aux traitements
de données à caractère personnel licites dans le cadre des cookies.

23
Il convient de faire référence notamment à l'article 57.4 du RGPD qui dispose que des demandes excessives de personnes
concernées individuelles peuvent faire l'objet d'un refus de traitement.

Décision quant au fond 1132024 — 24/70

91. En résumé, rien n'indique non plus que le mandat serait fictif. Le plaignant a un intérêt direct
et personnel et a octroyé le mandat en toute indépendance, et non sur instruction du
représentant.

92. Quatrièmement, le défendeur note à juste titre qu'un certain nombre d'ambiguïtés,
d'erreurs ou de manquements ressortent des pièces probantes (par rapport au contenu de
la plainte elle-même). Toutefois, ces aspects semblent indiquer une présentation négligente
des pièces probantes par la partie plaignante ou, selon le cas, par le représentant, en
particulier en ce qui concerne la datation de ces pièces, plutôt que des problèmes
fondamentaux concernant le mandat du représentant. Par ailleurs, le plaignant affirme avoir
visité les pages Internet lui-même, ce qui est mis en doute par le défendeur. En tout état de
cause, les imprécisions ou les erreurs ne sont pas de nature à entraîner en l'espèce un
classement sans suite.

93. Lors de l'audition, la partie plaignante a reconnu que toutes les pièces figurant dans la plainte
et le dossier administratif n'étaient pas identifiées ou décrites avec précision. Toutefois, le
plaignant déclare que c'est lui qui a pris les premières captures d'écran et qu'il a ainsi soulevé
les griefs initiaux à l'origine de la plainte. En ce qui concerne les fichiers HAR joints à la plainte
(qui indiquent/enregistrent le trafic réseau à un moment donné, de sorte que le placement
et la lecture de différents cookies sur les sites Internet litigieux sont visibles), il est à nouveau
soulevé qu'ils n'ont pas été générés par le plaignant (mais bien par des collaborateurs du
représentant). À cet égard, la partie plaignante indique que les fichiers HAR ne servent pas à
démontrer le traitement des données à caractère personnel du plaignant en tant que
personne concernée, mais plutôt à contextualiser les pratiques générales du défendeur.

94. Rien de tous cela ne prouve directement l'existence d'un problème relatif au mandat (ou à
son caractère fictif). La partie plaignante est transparente quant à la méthode et tout indique
que des pièces probantes supplémentaires ont été recueillies après la survenance des griefs
dans le chef du plaignant. En outre, le défendeur ne conteste pas que les captures d'écran et
les pratiques dont témoignent ces captures d'écran étaient effectivement de réelles
captures d'écran prises sur les sites Internet litigieux.

95. Il en va de même pour les fichiers HAR des sites Internet litigieux qui ont été joints. Pour ces
fichiers, le défendeur estime que la datation ou la personne à l'origine de la pièce ne sont pas
claires mais la Chambre Contentieuse considère dans ce cadre que rien n'indique que les
pièces aient été manipulées d'une quelconque façon. En outre, les fichiers HAR ne jouent
aucun rôle dans la suite de l'évaluation par la Chambre Contentieuse, notamment parce que
ces fichiers ne sont pas pertinents pour les violations constatées ci-après.

96. En ce qui concerne les captures d'écran, il est établi que c'est le plaignant qui a pris
connaissance des bannières de cookies et de leurs différentes couches ; au moins une partie
des captures d'écran jointes à la plainte ont été générées initialement par le plaignant.

Décision quant au fond 1132024 — 25/70

97. On peut considérer comme une bonne pratique le fait que lorsque Noyb représente une
personne concernée, elle veille, en tant que représentant, à rassembler les pièces probantes
nécessaires ; il n'est pas nécessaire que le plaignant prenne l'initiative de le faire lorsque ce
dernier mandate Noyb pour présenter une affaire prédéterminée (avec des griefs pouvant
être attribués à la propre initiative du plaignant), dans la mesure où les pièces probantes
étayent davantage la plainte. En ce sens, il n'est certainement pas vrai que la Chambre
Contentieuse ne considère pas les pièces fournies par le représentant comme recevables.

98. En résumé, les pièces probantes incorrectement marquées, qualifiées ou autrement
défectueuses ne sont pas de nature à indiquer une problématique par rapport à l'intérêt du
plaignant ou à la mission de représentation et ne conduisent pas non plus à la nécessité de
classer le dossier sans suite. La décision s'appuie uniquement sur les pièces probantes dont
la véracité est établie ou sur les pièces probantes ou les éléments avancés par le défendeur
lui-même.

99. Cinquièmement, il n'est nullement exact qu'une plainte doive en tout état de cause être
classée sans suite parce qu'un plaignant (dans ce cas en tant que personne concernée) ne
s'adresse pas d'abord au responsable du traitement, ou que la Chambre Contentieuse ne
puisse pas prendre de mesures lorsqu'une personne concernée ne s'est pas d'abord
adressée au responsable du traitement. En fonction des circonstances, il peut même ne pas
être nécessaire que les données à caractère personnel d'une personne soient traitées pour
qu'une plainte soit traitée par une autorité de contrôle - malgré certaines discussions
juridiques précédentes à ce sujet.24 Il est un fait cependant que la Chambre Contentieuse et
l'APD dans son ensemble – compte tenu de leurs moyens limités – s'efforcent de traiter les
plaintes le plus efficacement possible, le non-exercice de droits pouvant certainement
entrer en ligne de compte dans l'évaluation du classement sans suite d'une plainte.
En l'espèce, une telle évaluation par la Chambre Contentieuse n'est pas d'actualité.

100. En conclusion : pour toutes ces raisons, tous les moyens du défendeur relatifs aux aspects
liés à la mission de représentation et à l'octroi d'un mandat au représentant par le plaignant
dans ce dossier ne sont pas pertinents. La Chambre Contentieuse estime que la
représentation est licite en vertu de l'article 80.1 du RGPD et que le plaignant a un intérêt
personnel, direct et établi quant aux traitements de données à caractère personnel à la
base de la présente procédure de plainte. Les arguments des parties quant au rôle de l'article
80.2 du RGPD dans ce dossier ne sont pas analysés plus avant, étant donné que cette
disposition ne joue aucun rôle dans cette affaire.

24
Cassation, V c. APD, C.20.03223.N, ECLI:BE:CASS:2021:ARR.20211007.1N.4, § 6 : "En considérant sur la base de ces motifs
qu'une violation de l'article 5, paragraphe 1, c), du règlement n'est pas établie et en annulant la décision litigieuse de la
demanderesse, alors qu'il n'est pas requis que les données à caractère personnel du plaignant aient été effectivement traitées
pour que la demanderesse puisse imposer des mesures correctrices ou une amende administrative à l’occasion d’une plainte,
après avoir constaté l'existence d'une pratique donnant lieu à une violation du principe du traitement minimal des données, les
juges d’appel n’ont pas légalement justifié leur décision." (soulignement par la Chambre Contentieuse)

Décision quant au fond 1132024 — 26/70

II.3. Les violations

II.3.1. Une option 'tout refuser' sur la première couche des bannières de cookies

Position du plaignant

101. La position du plaignant concernant ce point est énoncée comme suit :

"Aucune des bannières de cookies […] sur les sites Internet du [défendeur] incriminé
ne contient un bouton "Tout refuser" sur le premier niveau, mais uniquement un
bouton "Accepter et fermer" ainsi qu'un bouton "Plus d'informations". L'option
permettant de refuser tous les cookies simplement et en une seule étape est ainsi
volontairement cachée par le [défendeur] incriminé.

Du fait qu'aucune option "Tout refuser" n'est reprise dans le premier niveau de la
bannière de cookies et que de ce fait, il est bien plus simple d'accepter tous les
cookies que de les refuser, il y a un "effet par défaut" et une incitation à accepter
tous les cookies (cf. le considérant 32 du RGPD).

Sur cette base, le consentement obtenu par la partie défenderesse pour le
placement de cookies ne peut pas être qualifié d' ‘univoque’ (art. 4(11) du RGPD), de
sorte que le consentement obtenu du plaignant n'est pas valable (art. 6(1)(a) du
RGPD j° l'art. 5(3) de la directive ePrivacy j° l'art. 10/2 de la LTD […]). Dès lors, le
[défendeur] incriminé ne peut pas […] démontrer que le plaignant a donné son
consentement quant au traitement de ses données à caractère personnel (art. 7(1)
j° l'art. 5(2) du RGPD).

À cet égard, le plaignant souligne encore que le rapport de la Taskforce Cookie
Banner de l'EDPB adhère également à l'idée que l'absence d'un bouton de type
"Tout refuser" au même niveau que le bouton le bouton "Tout accepter" est
considérée comme une violation par une grande majorité d'autorités de protection
des données.[…]

Comme déjà indiqué dans la plainte, le fait qu'il s'agisse de la conception juridique
applicable découle également des lignes directrices des contrôleurs nationaux de
France, d'Allemagne, du Danemark et de Finlande. On peut également y ajouter
(entre autres) les lignes directrices des autorités néerlandaises [...], autrichiennes
[...]. L'APD prescrit aussi explicitement que : "Un bouton "gérer les paramètres" à
côté d'un bouton "Tout accepter" n'est donc pas suffisant. […]

En outre, conformément aux lignes directrices de l'EDPB sur les deceptive design
et les dark patterns, le fait de proposer uniquement une option de refus de tous les
cookies, qui nécessite manifestement plus d'étapes, de temps et d'efforts que

Décision quant au fond 1132024 — 27/70

l'acceptation de tous les cookies, implique également une violation du principe de
loyauté de l'article 5, paragraphe 1, a) du RGPD :

[citation desdites directives en anglais]

Le constat selon lequel l'absence d'une option "Tout refuser" sur la première
couche d'information des bannières de cookies du défendeur constitue une
violation ne concerne pas tant l'application de directives des contrôleurs, mais
simplement une application directe et concrète de la législation (conformément à
la conception juridique applicable).

Cependant, il n'est précisément pas possible d'attribuer à un plan d'action approuvé
ponctuellement ou à des décisions individuelles (anciennes) de la Chambre
Contentieuse dans quelques affaires spécifiques, dont l'objet n'était en outre pas
un bouton "Tout refuser", la valeur qu'il/elles devraient avoir en tant que conception
juridique applicable. [...] Comme déjà cité dans cette conclusion, il a été confirmé par
la Cour des marchés que les décisions de la Chambre Contentieuse de l'APD n'ont
pas d'effet de précédent".

Position du défendeur

102. La position du défendeur dans ses conclusions de synthèse est énoncée comme suit (la
Chambre Contentieuse résume) :

"4e moyen (à titre subsidiaire) : L'absence d'option ‘refuser’ dans la première couche
d'information de la bannière de cookies n'engendre pas un consentement invalide"

• Premièrement, le défendeur indique que la violation présumée est "sans objet car
le plaignant a donné son consentement". Le défendeur affirme dans ce cadre que
dès qu'un responsable du traitement dispose du consentement de la personne
concernée, il existe une base juridique pour traiter les données de manière licite ; le
défendeur souligne que le plaignant a donné son consentement.

• Deuxièmement, le défendeur indique que l'obligation de placer l'option ‘refuser’
dans la première couche d'information ne figure dans aucune législation. À cet
égard, le défendeur affirme qu'un consentement valable peut être obtenu, "même
lorsqu'aucune option ‘refuser’ n'existe sur le premier niveau d'information de la
bannière de cookies”.

• Troisièmement, le défendeur indique que les exigences de consentement en vertu
de l'article 7 du RGPD sont bel et bien respectées. Le défendeur indique à cet égard
qu'il ne ressort de l'article 7 du RGPD aucune obligation de disposer d'une option
‘refuser’ dans la première couche d'information de la bannière de cookies. En outre,
le défendeur souligne notamment le fait que l'article 7.3 du RGPD concerne le

Décision quant au fond 1132024 — 28/70

retrait du consentement : "Le RGPD ne pose par contre aucune exigence similaire
pour le refus du consentement à un moment où l'on n'a pas encore donné son
consentement." Par ailleurs, le défendeur souligne dans ce contexte que l'article
4.11 du RGPD n'avance pas non plus d'obligation de disposer d'une option ‘refuser’
sur la première couche de la bannière de cookies : selon le défendeur, la
manifestation de volonté peut se faire de manière libre, spécifique, éclairée et
univoque. À cet égard, le défendeur estime en tout état de cause que la
manifestation de volonté se fait activement.

• Quatrièmement, le défendeur indique que la bannière de cookies est conforme à la
"pratique décisionnelle de la Chambre Contentieuse". Le défendeur renvoie en
effet à deux décisions – la Décision 12/2019 du 17 décembre 2019 et la Décision
19/2021 du 12 février 2021 – où la Chambre Contentieuse affirme explicitement
notamment ce qui suit dans la dernière décision, telle que citée par le défendeur :
"La nouvelle bannière de cookies ne part plus du principe d’un consentement
implicite ("en poursuivant l’utilisation de ce site Internet") mais donne le choix entre
'accepter les cookies recommandés' et 'modifier les préférences de cookies'.”

• Cinquièmement, le défendeur indique que la bannière de cookies est conforme aux
lignes directrices de l'EDPB relatives au consentement. À cet égard, le défendeur
indique qu'il ne lit rien sur l'exigence d'une option ‘refuser’ dans le premier niveau
d'information de la bannière de cookies.

• Sixièmement, le défendeur indique que la bannière de cookies est conforme au plan
d'action d'IAB Europe qui a été approuvé par la Chambre Contentieuse. 25
Le défendeur déclare : "Mediahuis comprend que le plan d'action de l'Internet
Advertising Bureau ("IAB"), validé par la Chambre Contentieuse le 11 janvier 2023,
ne contient pas non plus l'exigence d'une option ‘refuser’ dans la première couche
d'information d'une bannière de cookies. Ce plan d'action n'indique rien quant aux
boutons qui doivent figurer dans la première couche d'information d'une bannière
de cookies.”

• Septièmement, le défendeur indique qu'il n'y a pas de violation, en raison du simple
fait que la pratique ne serait pas conforme aux "documents stratégiques
d'autorités". À cet égard, le défendeur indique qu'il s'agit simplement de documents
stratégiques ; ils n'ont pas de caractère contraignant étant donné qu'ils n'ont pas
force de loi. Par ailleurs, le défendeur indique qu'il comprend du rapport de la
Taskforce Cookie Banner de l'EDPB que plusieurs autorités estiment que l'absence
d'une option ‘Tout refuser’ dans la même couche que l'option ‘Tout accepter’ ne

25
Décision Chambre Contentieuse n° 21/2022 du 2 février 2022.

Décision quant au fond 1132024 — 29/70

constitue pas une violation de l'article 5(3) de la Directive ePrivacy, ce qui indique
selon le défendeur qu'il n'y a pas d'unanimité à ce sujet entre les autorités de
contrôle européennes. En outre, le défendeur indique que l'APD n'est "pas
cohérente" dans l'information qu'elle donne au public et renvoie à la différence
entre les pages Internet relatives aux cookies dans la section "citoyen" du site
Internet de l'APD, et celles de la partie "professionnel" du site Internet de l'APD.
À cet égard, le défendeur souligne que les informations sur le site Internet pour les
professionnels ne sont pas claires, et renvoient notamment à des pages Internet
non professionnelles du site Internet de l'APD. Le défendeur a également fait
constater les incohérences par un huissier le 27 novembre 2023 et joint les
constatations en tant que pièce.

• Huitièmement, le défendeur répond également aux conclusions du plaignant.

Évaluation par la Chambre Contentieuse

103. L'article 10/2 de la LTD dispose ce qui suit :

En application de l'article 125, § 1er, 1°, de la loi du 13 juin 2005 relative aux
communications électroniques et sans préjudice de l'application du règlement et
de cette loi, le stockage d'informations ou l'obtention de l'accès à des informations
déjà stockées dans les équipements terminaux d'un abonné ou d'un utilisateur est
autorisée uniquement à condition que :

1° l'abonné ou l'utilisateur concerné reçoive, conformément aux conditions fixées
dans le règlement et dans cette loi, des informations claires et précises concernant
les objectifs du traitement et ses droits sur la base du règlement et de cette loi ;
2° l'abonné ou l'utilisateur final ait donné son consentement après avoir été
informé conformément au 1°.

L'alinéa 1er n'est pas d'application pour l'enregistrement technique des
informations ou de l'accès aux informations stockées dans les équipements
terminaux d'un abonné ou d'un utilisateur final ayant pour seul but de réaliser l'envoi
d'une communication via un réseau de communications électroniques ou de fournir
un service demandé expressément par l'abonné ou l'utilisateur final lorsque c'est
strictement nécessaire à cet effet.

(soulignement et mise en gras par la Chambre Contentieuse).

Décision quant au fond 1132024 — 30/70

104. Le Comité européen de la protection des données 26a déjà affirmé, tout comme la Cour de
justice de l'Union européenne27, que les exigences qui sont posées à la notion de
"consentement" dans la Directive ePrivacy doivent respecter les exigences de
consentement en vertu du RGPD.28 C'est le cas en particulier pour les cookies qui impliquent
des traitements de données : comme l'indique le rapport de la Taskforce Cookie Banner du
17 janvier 2023, de tels traitements impliquent en effet par la suite qu'au moment de l'octroi
du consentement, celui-ci doit répondre aux conditions du RGPD.29

105. L'article 4.11) du RGPD définit le consentement comme suit :

toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle
la personne concernée accepte, par une déclaration ou par un acte positif clair, que
des données à caractère personnel la concernant fassent l'objet d'un traitement ;

106. Le point 1.a) de l'article 6.1. du RGPD dispose ce qui suit :

Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions
suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère
personnel pour une ou plusieurs finalités spécifiques ;

107. La lecture conjointe des dispositions légales précitées et l'explication de la Cour de justice
concernant l'interaction entre la Directive ePrivacy et le RGPD permettent
incontestablement de conclure que l'option "Tout refuser" doit être prévue par le défendeur
dans la première couche lorsque le défendeur place dans cette même couche un bouton

26
EDPB, Avis 5/2019 relatif aux interactions entre la directive «vie privée et communications électroniques» et le RGPD, en
particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données, 12 mars
2019, disponible via : https://www.edpb.europa.eu/sites/default/files/files/file1/201905 edpb opinion e-
Privacydir gdpr interplay fr.pdf ; Lignes directrices 5/2020 de l’EDPB sur le consentement au sens du règlement (UE)
2016/679, v 1.1, 4 mai 2020, § 6-7.
27
Arrêt de la Cour de justice de l'UE, Proximus c. APD, C-129/21, voir spécifiquement le § 51 : "S’agissant des modalités selon
lesquelles un tel consentement doit être manifesté, il résulte de l’article 2, second alinéa, sous f), de la directive 2002/58, lu en
combinaison avec l’article 94, paragraphe 2, et l’article 95 du RGPD, que ce consentement doit, en principe, satisfaire aux
exigences résultant de l’article 4, point 11, de ce règlement."
28
Cf. également A. GOBERT, "Chapitre 5. La jurisprudence de l’APD en matière de cookies" in M. Knockaert et J.-M. Van
Gyseghem (eds.), 5 années de jurisprudence de la Chambre Contentieuse de l’APD, Bruxelles, Éditions Larcier-Intersentia,
(139)145, § 13 : "Pour être valable, le consentement au dépôt de cookies non essentiels doit donc répondre aux conditions
établies par l’article 4.11. du RGPD."
29
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 janvier 2023, § 2 (Rapport du travail entrepris par
la Taskforce Bannières de cookies).

Décision quant au fond 1132024 — 31/70

"Tout accepter".30 À défaut, le consentement ne peut pas être obtenu de manière "libre" et
"univoque".31

108. Le consentement n'est d'une part pas "libre" lorsque la personne concernée qui ne souhaite
pas donner son consentement (au sens de l'article 10/2, premier alinéa, 2° de la LTD) doit
obligatoirement poser plus d'actes pour refuser le consentement. Comme l'indique le
considérant 42 du RGPD : "Le consentement ne devrait pas être considéré comme ayant été
donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix.”32
Un choix implique au moins une option équivalente pour poser un autre acte de manière
équivalente (ne pas consentir) que celui pour lequel la possibilité de choix est offerte
(consentir).33 Il convient de noter en outre que le visiteur concerné ne peut pas fermer la
bannière de cookies sans faire de choix, ce qui constitue une forme problématique de ce que
l'on appelle un "cookie wall".34

109. Le fait que le consentement ne soit pas libre suffit en soi pour établir que le consentement
n'est pas proposé en tant que choix et ne peut pas être obtenu valablement.

110. D'autre part, le consentement n'est pas "univoque" lorsque la personne concernée ne peut
pas poser un acte positif de manière similaire pour ne pas consentir, par exemple parce qu'il
n'a pas connaissance de l'option de refuser les cookies, du fait qu'une telle option n'est
mentionnée ou ne peut être sélectionnée que dans une ‘couche’ suivante de la bannière de
cookies. Dans ce sens, une personne concernée ne peut pas poser un acte positif clair au
niveau de la première couche de la bannière de cookies, précisément en raison de l'absence
d'alternative pour ne pas consentir.35 Tout cela ne peut être dissocié du contexte numérique
plus large dans lequel de nombreux gestionnaires de sites Internet utilisent des bannières

30
Voir également les exemples cités dans la "Check-list Cookies" de l'APD, disponible via :
https://www.autoriteprotectiondonnees.be/publications/checklist-cookies.pdf, note de bas de page 3 : " Un bouton
“Paramètres” à côté d’un bouton “Tout accepter” ne suffit donc pas ; voir aussi le communiqué de presse publié
précédemment par l’Autorité de protection des données, consultable via le lien suivant :
https://www.autoriteprotectiondonnees.be/citoyen/actualites/2023/02/10/bannieres-cookies-ledpb-publie-des-exemples-
de-pratiques-non-conformes.”
31
EDPB, Lignes directrices 5/2020 sur le consentement, point 39 : "Afin que le consentement soit donné librement, l’accès
aux services et aux fonctionnalités ne doit pas être conditionné au consentement d’un utilisateur au stockage d’informations,
ou à l’accès aux informations déjà stockées, sur l’équipement terminal d’un utilisateur (les 'cookie walls')", consultables via le
lien suivant : https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent fr.pdf.
32
Soulignement par la Chambre Contentieuse.
33
Lignes directrices 5/2020 de l’EDPB sur le consentement au sens du règlement (UE) 2016/679, v 1.1, 4 mai 2020, § 13.
L'élément "libre" implique un choix et un contrôle réels pour la personne concernée.
34
Ibid., § 39 : "Afin que le consentement soit donné librement, l’accès aux services et aux fonctionnalités ne doit pas être
conditionné au consentement d’un utilisateur au stockage d’informations, ou à l’accès aux informations déjà stockées, sur
l’équipement terminal d’un utilisateur (les «cookie walls»)[…]”
35
Cf. Lignes directrices 5/2020 de l’EDPB sur le consentement au sens du règlement (UE) 2016/679, v 1.1, 4 mai 2020, § 77 :
Un acte positif clair" signifie que la personne concernée doit avoir posé un acte délibéré afin de donner son consentement au
traitement spécifique […]".

Décision quant au fond 1132024 — 32/70

de cookies et, par conséquent, un grand nombre d'internautes concernés les voient
apparaître quotidiennement, ce qui peut entraîner un certain degré de "lassitude du clic". 36

111. Le fait que le consentement ne puisse pas être donné de manière univoque suffit en soi pour
établir que le consentement n'est pas proposé en tant que choix et ne peut pas être obtenu
valablement.

112. En outre, dans la couche suivante, l'option "Tout rejeter"- est en effet affichée de la même
manière que l'option "Tout accepter", mais en tout cas dans des couleurs moins vives que
l'option "accepter et fermer" dans la première couche, qui plus est avec un tout autre
nombre de boutons repris en dessous d'une même manière. 37

Exemple (valable mutatis mutandis pour les quatre sites Internet litigieux) du site Internet du
Standaard, sur une capture d'écran de la deuxième couche, dans les conclusions de synthèse
du défendeur :

38

36
Lignes directrices 5/2020 de l’EDPB sur le consentement au sens du règlement (UE) 2016/679, v 1.1, 4 mai 2020, § 87 : Dans
le contexte numérique, de nombreux services nécessitent des données à caractère personnel afin de fonctionner. Les
utilisateurs reçoivent ainsi chaque jour de nombreuses demandes de consentement auxquelles elles doivent répondre par un
clic ou en balayant leur écran. Cela peut mener à une certaine lassitude : lorsque trop souvent rencontré, l’effet d’avertissement
des mécanismes de consentement diminue. […]".
37
Cf. Mutatis mutandis les éléments concernant les termes "labyrinthe de vie privée" dans le volet des informations excessives,
Cf. Lignes directrices 3/2022 de l'EDPB on deceptive design patterns in social media platform interfaces: how to recognize
and avoid them" v. 2.0, 14 février 2023, § 173.
38
Conclusions de synthèse du défendeur, point 66.

Décision quant au fond 1132024 — 33/70

Un contraste manifeste avec le bouton ‘accepter et fermer’ dans la première couche de la
bannière de cookies :

39

113. Le droit à la protection des données doit certainement être mis en lien avec d'autres droits
fondamentaux40 – comme la liberté d'entreprise41 – mais lorsque le législateur impose un
consentement pour certains traitements (en vertu de la Directive ePrivacy telle que
transposée dans la LTD), ce consentement doit bien entendu respecter les exigences
spécifiques que pose ce même législateur (en vertu de la Directive ePrivacy et du RGPD).

114. Lorsqu'il est donc établi qu'en vertu de la législation en vigueur, le consentement doit être
obtenu pour placer des cookies non essentiels – ce qui ne donne lieu à aucune discussion
dans ce dossier –, cela implique par définition au moins un choix direct, indépendamment de
l'éventuelle granularité du consentement au placement de certaines sortes ou catégories
de cookies. Comme le fait remarquer la partie plaignante, il n'y a, dans les cas présents
concernant les quatre sites Internet litigieux, aucun motif légal pour lequel le refus de
cookies ne devrait pas se faire d'une même manière simple. 42 En juger autrement reviendrait
à ignorer l'exigence de caractère "libre" et "univoque" d'obtenir un consentement valable.

115. L'argument du défendeur selon lequel le plaignant n'a pas d'intérêt du fait qu'il a donné son
consentement n'est pas pertinent. Ce n'est pas parce qu'un consentement est donné que le

39
Capture d'écran figurant dans les conclusions de synthèse du défendeur, en tant que reprise de la capture d'écran de la
plainte originale ; conclusions de synthèse du défendeur, point 64.
40
Considérant 4 du RGPD.
41
Article 16 de la Charte des droits fondamentaux de l'Union européenne.
42
Cf. APD, Check-list Cookies, note de bas de page 3. Un bouton "Paramètres" à côté d'un bouton "Tout accepter" ne suffit
donc pas ; voir aussi le communiqué de presse publié précédemment par l'Autorité de protection des données, consultable via
le lien suivant : https://www.autoriteprotectiondonnees.be/citoyen/actualites/2023/02/10/bannieres-cookies-ledpb-publie-
des-exemples-de-pratiques-non-conformes.”

Décision quant au fond 1132024 — 34/70

consentement répond à toutes les exigences d'un consentement valable et constitue de ce
fait un consentement valable au sens de l'article 4.11 j° l'article 7.1 du RGPD.

116. L'argument du défendeur selon lequel la norme n'est pas claire et que la législation ne
mentionne nulle part la nécessité de proposer dans les cas litigieux l'option "Tout refuser"
dans la première couche d'information ne constitue pas non plus un argument pertinent. Il en
va de même pour l'argument avançant que la situation serait conforme aux directives de
l'EDPB relatives au consentement, simplement parce que ces directives ne mentionneraient
rien (en déduisant, à tort, que les directives n'exigeraient rien) concernant l'option de refus
dans la première ‘couche’ de la bannière de cookies.

117. La Chambre Contentieuse précise encore ses compétences en la matière.

118. L'article 8, troisième alinéa de la Charte des droits fondamentaux de l'Union européenne
explique que des autorités indépendantes doivent veiller au respect du droit à la protection
des données à caractère personnel. Cette disposition souligne l'importance d'un contrôle
indépendant et constitue le fondement de la création d'autorités de contrôle. En vertu de
l'article 57.1 du RGPD, les autorités de contrôle sont compétentes pour le contrôle du
respect du RGPD.43 En vertu de l'article 4 de la LCA, l'APD est compétente pour ce
contrôle.44 En vertu de l'article 32 de la LCA, la Chambre Contentieuse est l'organe
contentieux administratif de l'APD ; elle statue au cas par cas.

119. Depuis l'entrée en vigueur de la loi du 21 décembre 2021 transposant le Code européen des
communications électroniques et modifiant diverses dispositions en matière de
communications électroniques le 10 janvier 2022 (LCE), l'APD est désormais compétente en
droit belge pour contrôler les dispositions relatives au placement et à l'utilisation des
cookies (c'est-à-dire “le stockage d'informations ou l'obtention d'un accès à des
informations déjà stockées dans l'équipement terminal d'un abonné ou d'un utilisateur").
La loi susmentionnée a modifié la LCE, entre autres. Plus précisément, l'article 256 de la loi
du 21 décembre 2021 prévoit l'abrogation de l'article 129 de la LCE et le transfert de cette
disposition dans la loi du 30 juillet 2018 relative à la protection des personnes physiques à
l'égard des traitements de données à caractère personnel (LTD).45 Étant donné que l'APD
dispose de la compétence résiduaire pour veiller au respect des dispositions de la LTD, la
compétence matérielle de l'APD concernant le placement et l'utilisation de cookies est ainsi
confirmée.

43
Cf. également l'article 32 de la LCA concernant les compétences de contrôle pour la Chambre Contentieuse.
44
Article 4, § 1 de la LCA : "L'Autorité de protection des données est responsable du contrôle du respect des principes
fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel."
45
Loi du 21 décembre 2021 portant transposition du code des communications électroniques européen et modification de
diverses dispositions en matière de communications électroniques, M.B. 31 décembre 2021.

Décision quant au fond 1132024 — 35/70

120. Le législateur européen a, notamment à la lumière de la numérisation croissante de la
société, choisi expressément de confier le contrôle de l'application du RGPD à une autorité
qui est en relation avec des autorités similaires dans les autres États membres de l'Espace
économique européen.46 L'autorité de contrôle doit dès lors pouvoir faire appliquer les
règles, en vue non seulement des évolutions juridiques mais aussi technologiques.
Le législateur souhaitait dans ce cadre que l'interprétation d'une situation de fait soit
évaluée par une autorité.

121. Le fait que certaines évolutions juridiques ou technologiques ont un impact sur une pratique
décisionnelle déterminée est une conséquence logique de cette approche – et dont il est
également tenu compte en l'occurrence dans le cadre de la sanction (cf. infra, section III.1.1.).
Une norme ouverte n'empêche donc aucunement l'imposition de mesures, ni même
l'imposition d'une amende administrative, précisément parce que des évolutions
technologiques (à un rythme élevé) imposent une application forte, adéquate et
proportionnelle dans de nouvelles circonstances.

122. En bref, l'autorité ne peut pas seulement interpréter une norme de caractère "ouvert", elle
doit le faire ; tout argument qui présuppose la non-application au nom d'une "norme ouverte"
n'est pas pertinent.

123. En ce qui concerne l'argument du défendeur avançant que notamment l'article 7 du RGPD
n'impose pas explicitement l'option de refus, il est également renvoyé à l'argumentation
précédente dans le cadre de la norme ouverte. La Chambre Contentieuse examine en effet
la licéité du consentement au regard de la définition et des conditions liées à la notion de
consentement par le législateur : il s'agit donc du consentement en vertu de l'article 10/2 de
la LTD et de l'article 6.1.a du RGPD, tel que défini à l'article 4.11 du RGPD.

124. En ce qui concerne l'argument du défendeur selon lequel la bannière de cookies est
conforme à la pratique décisionnelle antérieure de la Chambre Contentieuse, il convient de
souligner que les décisions de la Chambre Contentieuse n'ont pas de valeur de précédent.47
Bien que cet argument puisse être pertinent dans le cadre des éventuelles mesures
(en particulier la sanction), l'évaluation juridique qui correspond à la vision juridique la plus
correcte - basée sur la jurisprudence la plus récente ainsi que sur le point de vue de l'EDPB -
peut difficilement être omise sur la seule base de cet argument.48

46
Considérant 7 du RGPD : "Ces évolutions requièrent un cadre de protection des données solide et plus cohérent dans l'Union,
assorti d'une application rigoureuse des règles, car il importe de susciter la confiance qui permettra à l'économie numérique
de se développer dans l'ensemble du marché intérieur."
47
Arrêt de la Cour d'appel de Bruxelles (Chambre 19A, Section Cour des marchés, 1 er décembre 2021, 2021/AR/1044, § 7.0.2. :
"Le système juridique belge n'accorde aucune valeur de précédent, ni aux décisions administratives, ni aux décisions judiciaires
(voir notamment l'art. 6 du Code judiciaire.)" (NdT : traduction libre réalisée par le Service traduction de l'Autorité de protection
des données, en l’absence de traduction officielle)
48
Au sujet de l'évolution, cf. : A. GOBERT, "Chapitre 5. La jurisprudence de l’APD en matière de cookies" in M. Knockaert et J.-
M. Van Gyseghem (eds.), 5 années de jurisprudence de la Chambre Contentieuse de l’APD, Bruxelles, Éditions Larcier-
Intersentia, (139)148-9, § 20.

Décision quant au fond 1132024 — 36/70

125. L'argument selon lequel la Chambre Contentieuse aurait approuvé un plan d'action d'une
organisation sectorielle qui serait directement lié aux situations litigieuses du cas d'espèce
n'est pas non plus un argument pertinent. Comme indiqué précédemment, les décisions de
la Chambre Contentieuse n'ont pas de valeur de précédent. De plus, l'acteur auquel se réfère
le défendeur est totalement étranger à la présente procédure.

126. En outre, il convient de remarquer qu'en vertu de l'article 5.2 et de l'article 24 du RGPD, c'est
le responsable du traitement qui est responsable du respect de l'application du RGPD et de
la prise de mesures techniques et organisationnelles appropriées en la matière. Le
défendeur ne conteste en aucune façon sa responsabilité quant au traitement pour
l'évaluation sur le fond de ses activités de traitement, de sorte que si l'argument ne peut déjà
pas être pertinent sur le fond, il est également plus qu'évident que l'argument manque son
objectif au sens formel.

127. En ce qui concerne l'argument selon lequel les directives de l'autorité de contrôle et du
Comité européen de la protection des données n'ont pas force de loi : cet argument est
évidemment correct au sens formel et dans la hiérarchie des normes juridiques. Cela ne veut
toutefois pas dire qu'elles n'ont (ne devraient avoir) aucune valeur d'autorité, au moins parce
que l'article 57.1.f) du RGPD impose à l'APD l'obligation de sensibiliser les responsables du
traitement aux obligations qui leur incombent en vertu du règlement, tout comme l'article
70.1.u) confie à l'EDPB la mission de faire coopérer les autorités de contrôle et, le cas
échéant, de formuler des lignes directrices, des bonnes pratiques et des recommandations
pour assurer l'application cohérente du RGPD (article 70.1.d) du RGPD).

128. L'APD et l'EDPB disposent de l'expertise utile pour énoncer des lignes directrices,
recommandations et exemples de bonnes pratiques équilibrées et juridiquement correctes.
Ces lignes directrices et recommandations ont un caractère de ‘soft law’, qui a un effet
normatif. Bien que les responsables du traitement conservent le droit de contester
l'interprétation juridique, leur autorité ne peut être remise en question. L'APD donne des
exemples et des pratiques clairs et formulés de manière intelligible dans sa Check-list
Cookies.49 Cette dernière souligne le fait que les responsables du traitement peuvent
toujours s'opposer à des interprétations spécifiques. Aucun recours juridictionnel n'est
retiré au défendeur à cet égard.

129. Plus particulièrement, la Chambre Contentieuse se penche encore sur l'affirmation du
défendeur selon laquelle l'APD n'est pas cohérente dans la communication d'informations,
puisque sur son site Internet destiné au citoyen, elle ne fait pas explicitement référence à
l'option de refus, contrairement à la page destinée aux professionnels. Une fois de plus, cet
argument n'est pas pertinent, car il incombe également à une autorité de mieux faire

49
APD, "Check-list cookies", disponible à l'adresse : https://www.autoriteprotectiondonnees.be/publications/checklist-
cookies.pdf.

Décision quant au fond 1132024 — 37/70

connaître leurs obligations aux responsables du traitement (art. 57.1.d du RGPD, c'est-à-dire
une tâche légale distincte et autonome).

130. Dès lors que le défendeur ne nie pas que la page professionnelle lui est ou peut lui être
adressée, la question est donc de savoir pourquoi le défendeur tente de tirer un argument
de la différence entre cette page et la page adressée au citoyen pour soutenir qu'il n'y a pas
eu de violation ou qu'aucune violation ne peut lui être reprochée. Qui plus est, cet argument
prouve précisément que les informations que l'APD fournit sur son site Internet à l'égard du
responsable du traitement sont complètes et incontestablement cohérentes par rapport à
la présente décision de la Chambre Contentieuse.

131. La Chambre Contentieuse conclut que le défendeur commet une violation de l'article 10/2
de la LTD j° l'article 6.1.a du RGPD étant donné que le consentement des personnes
concernées, à la lumière du placement de cookies 50 via son site Internet, n'est pas licite vu
qu'il n'est pas obtenu librement et de manière univoque. Le caractère libre et univoque du
consentement est fondamental pour pouvoir parler d'un consentement licite ; en l'absence
d'un tel consentement licite, les traitements de données à caractère personnel ne sont pas
licites.

II.3.2. Utilisation de couleurs de boutons trompeuses

Position du plaignant

132. L'argumentation de la partie plaignante est énoncée comme suit :

"Le bouton "Accepter et fermer" dans le premier niveau des bannières de cookies
des sites Internet ont toujours une couleur vive qui saute aux yeux (rouge, bleu ou
noir avec texte blanc) sur un fond blanc. Ceci alors que le bouton "Plus
d'informations" a une couleur qui se confond quasiment avec la couleur d'arrière-
fond des bannières de cookies (gris clair avec lettres en gris foncé sur un fond
blanc).

En mettant en évidence expressément le bouton "Accepter et fermer" par rapport
à l'option de refuser les cookies, les internautes comme le plaignant sont
explicitement incités à cliquer sur "Accepter et fermer". Des recherches ont
également démontré que si le bouton servant à donner le consentement est d'une
couleur (beaucoup) plus visible que le bouton de refus, le consentement est donné
1,7 fois plus souvent que si les deux boutons sont de la même couleur.

50
Cookies qui ne relèvent pas des exceptions de l'article 10/2 de la LTD.

Décision quant au fond 1132024 — 38/70

Ainsi, le consentement obtenu par la partie défenderesse pour le placement de
cookies ne peut être qualifié de consentement "univoque" (article 4(11) du RGPD),
de sorte que le consentement obtenu du plaignant n'est pas valable (art. 6(1)(a) du
RGPD j° l'art. 5(3) de la Directive ePrivacy, j° l'art. 10/2 de la LTD), empêchant ainsi
la partie défenderesse de prouver que le plaignant a donné son consentement au
traitement de ses données à caractère personnel (art. 7(1) j° l'art. 5(2) du RGPD).

Comme déjà souligné dans la plainte, il ressort également du rapport de la
Taskforce Cookie Banner de l'EDPB que le contraste et les couleurs utilisés dans la
bannière de cookies ne peuvent pas être "manifestement trompeurs", car cela
donne lieu à un consentement "involontaire" et donc non valable.[…] Il découle aussi
des lignes directrices de nombreux contrôleurs, comme notamment le […] grec, le
[…] autrichien et le […] Tchèque, que les responsables du traitement ne peuvent pas
utiliser de couleurs de boutons trompeuses incitant les internautes à cliquer sur
"Accepter et fermer".

Selon l'EDPB, si les utilisateurs d'un site Internet sont incités, via des éléments
visuels comme la couleur, à prendre des décisions contraires à leurs intérêts en
matière de vie privée,
cela doit être considéré comme une violation des principes de licéité, de loyauté et
de transparence visés à l'article 5(1)(a) du RGPD :

[citation en anglais des lignes directrices 03/2022 de l'EDPB concernant la
conception trompeuse dans les interfaces sur les plateformes de réseaux
sociaux]

Comme déjà expliqué ci-dessus, le fait d'établir que l'utilisation de couleurs de
boutons trompeuses dans les bannières de cookies de la partie défenderesse
constitue une violation n'est pas une application de directives de contrôleurs mais
bien une simple application directe et concrète de la législation (conformément à
l'opinion juridique en vigueur).

À la lecture d'un plan d'action unique approuvé ou (d'anciennes) décisions
individuelles de la Chambre Contentieuse dans quelques affaires spécifiques, où il
n'était pas question de couleurs de boutons trompeuses sur des bannières de
cookies, on ne peut justement pas affirmer qu'elles devraient servir de conception
juridique applicable.[…] Comme déjà indiqué dans ces conclusions, la Cour des

Décision quant au fond 1132024 — 39/70

marchés a également confirmé que les décisions de la Chambre Contentieuse de
l'APD n'avaient pas de valeur de précédent.[…]

Lorsque le plaignant a visité les sites Internet, il était par ailleurs vrai qu'au
deuxième niveau des bannières de cookies, le bouton "Tout accepter" avait la
même couleur accrocheuse qu'au premier niveau de la bannière de cookies, tandis
que le bouton "Tout refuser" avait la même couleur discrète qu'au premier niveau
de la bannière de cookies.

Les actuelles bannières de cookies sur les sites Internet de la partie défenderesse
ont cependant tous ces boutons "Tout refuser", "Tout accepter", "Pas d'accord" et
"D'accord" au deuxième niveau de la bannière de cookies affichés avec la même
couleur blanche avec des lettres gris clair.[…] Cela démontre que l'adaptation des
bannières de cookies et l'offre d'un choix neutre sans ‘motifs sombres’ est bel et
bien possible pour la partie défenderesse et que d'autres couleurs de boutons
trompeuses sont un choix délibéré pour compliquer le refus de cookies pour les
internautes. Cela démontre également que la partie défenderesse estime
apparemment aussi elle-même que l'ancienne bannière de cookies ne répondait
pas aux exigences légales applicables.[…]

La plainte doit toutefois être évaluée sur la base des faits au moment de
l'introduction de la plainte. Dans le cas contraire, le défendeur pourrait se soustraire
à toute responsabilité de traitement en vertu de la législation sur la protection des
données en supprimant les données à caractère personnel dans le cadre d'une
plainte ou d'une enquête. Cela n'enlève rien non plus
au fait que la violation a bien eu lieu (un certain temps). De plus, cela n'élimine pas
toutes les violations décrites dans ce paragraphe".

Position du défendeur

133. La défense du défendeur est énoncée comme suit (la Chambre Contentieuse résume) :

"5e moyen (à titre subsidiaire) : Différentes couleurs dans la bannière de cookies ne
constituent pas une violation des articles 5.1.a et 6.1.a du RGPD en lien avec l'article 10/2 de
la LTD et avec l'article 125, § 1er, 1° de la LCE"

a. Premièrement, le défendeur avance à titre principal que : "La plainte est sans objet
dans la mesure où Mediahuis n'utilise pas différentes couleurs dans la deuxième
couche d'information des bannières de cookies depuis le 20 novembre 2023".

Décision quant au fond 1132024 — 40/70

b. Deuxièmement, le défendeur avance à titre subsidiaire : "Absence de violation de
l'article 6.1.a du RGPD ou de l'article 10/2 de la LTD et de l'article 125, § 1 er, 1° de la
LCE". À cet égard, le défendeur affirme à nouveau que le plaignant a donné son
consentement et qu'il n'existe "aucune interdiction" d'utiliser différentes couleurs
pour obtenir le consentement dans les bannières de cookies.

c. Troisièmement, le défendeur avance un autre point à titre subsidiaire : "Absence de
violation au principe de licéité, de loyauté et de transparence (article 5.1.a du
RGPD)”. Sur ce point, le défendeur affirme qu'il n'y a pas de violation de ce principe,
car il n'y a "pas d'interdiction" d'utiliser différentes couleurs dans la bannière de
cookies utilisée dans le cadre du consentement, qu'en outre l'utilisation des
couleurs est conforme à la pratique décisionnelle de la Chambre Contentieuse, que
l'utilisation des couleurs est conforme au plan d'action d'IAB qui a été approuvé par
la Chambre Contentieuse et qu'il n'est pas question de tromperie (en ce qui
concerne le caractère prétendument trompeur des boutons).

d. Quatrièmement, le défendeur affirme "en tout cas" que : "Mediahuis ne viole pas les
articles 10/2 de la LTD, 125 de la LCE, 5.1.a et 6.1.a du RGPD parce que l'utilisation
des couleurs dans ses bannières de cookies ne serait pas entièrement conforme
aux documents stratégiques d'autorités". À cet égard, le défendeur affirme que de
tels documents n'ont pas force de loi.

e. Cinquièmement, le défendeur répond aux conclusions de la partie plaignante.

Évaluation de la Chambre Contentieuse

134. Comme l'explique l'EDPB dans les lignes directrices concernant les designs trompeurs sur
les interfaces des réseaux sociaux, en cas de potentiel design trompeur, on peut analyser le
principe de loyauté repris à l'article 5.1.a) du RGPD lorsque l'on vérifie s'il y a eu une violation
de la législation.51

135. Sur chacun des quatre sites Internet litigieux, la première ‘couche’ de la bannière de cookies
est affichée de manière quasiment identique que sur le site Internet du journal "De
Standaard" – bien qu'avec des couleurs différentes, selon le site Internet d'informations
litigieux concerné :

51
EDPB, Guidelines 3/2022 on deceptive design patterns in social media platform interfaces: how to recognize and avoid them"
v. 2.0, 14 février 2023, 4. (Lignes directrices 3/2022 sur les designs trompeurs sur les interfaces des réseaux sociaux : comment
les reconnaître et les éviter).

Décision quant au fond 1132024 — 41/70

52

136. En utilisant certaines couleurs plus vives sur les quatre sites Internet litigieux, avec
possiblement comme raison principale d'inciter la personne concernée à consentir au
placement de cookies, la Chambre Contentieuse considère expressément que l'obligation
de loyauté prévue à l'article 5.1.a) du RGPD a été violée, et qu'elle compromet également
l'obtention juridiquement valable du consentement, violant ainsi l'article 6.1.a) du RGPD. En
effet, un consentement ne peut pas être obtenu de manière univoque lorsqu'une personne
concernée est "amenée" à accomplir un certain acte.

137. Ce qui est clair, c'est que l'utilisation de couleurs accrocheuses dans la première couche des
bannières de cookies litigieuses, où le bouton affichant l'option d'acceptation totale
("accepter et fermer") affiche la couleur la plus explicite dans un contraste plus prononcé,
vise à refléter un certain choix qui conduit à des traitements de données à caractère
personnel plus intrusifs suite au placement de cookies.

138. Le rapport de la Taskforce Cookie Banner de l'EDPB indique, en ce qui concerne l'utilisation
des couleurs, qu'aucune norme générale ne peut être imposée aux responsables du
traitement, mais que l'évaluation doit se faire au cas par cas. 53

139. Dans les cas présents, le défendeur utilise différentes couleurs accrocheuses qui
engendrent une supposée facilité de choix trompeuse ("deceptive snugness" 54) pour une
personne concernée :

52
Reprise partielle de la pièce 1 du dossier administratif, plainte, p. 9.
53
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 janvier 2023, § 17.
54
EDPB, Guidelines 3/2022 on deceptive design patterns in social media platform interfaces: how to recognize and avoid them,
v. 2.0, 14 février 2023, § 177.

Décision quant au fond 1132024 — 42/70

a. Sur le site Internet du journal "De Standaard", l'option "Accepter et fermer", celle
qui entraîne le plus de traitements de données, est mise en évidence en rouge
foncé, alors que pour le renvoi vers les alternatives, il faut cliquer sur une bannière
gris clair sur un fond blanc ;

b. Sur le site Internet du journal "Het Belang van Limburg", l'option "Accepter et
fermer", celle qui entraîne le plus de traitements de données, est mise en évidence
en noir, alors que pour le renvoi vers les alternatives, il faut cliquer sur une bannière
gris clair sur un fond blanc ;

c. Sur le site Internet du journal "Het Nieuwsblad", l'option "Accepter et fermer", celle
qui entraîne le plus de traitements de données, est mise en évidence en bleu foncé,
alors que pour le renvoi vers les alternatives, il faut cliquer sur une bannière gris clair
sur un fond blanc ;

d. Sur le site Internet du journal "Gazet van Antwerpen", l'option "Accepter et fermer",
celle qui entraîne le plus de traitements de données, est mise en évidence en rouge
vif, alors que pour le renvoi vers les alternatives, il faut cliquer sur une bannière gris
clair sur un fond blanc.

140. Des interfaces conçues, comme en l'espèce, avec une facilité de choix trompeuse, incitent
indéniablement une personne concernée à choisir les options entraînant le plus de
traitements de données, notamment parce qu'elle ne sait pas combien d'étapes
supplémentaires elle doit franchir avant de pouvoir choisir de ne pas placer les cookies (lisez
: ne pas consentir à ce qu'ils soient placés). La personne concernée sait qu'avec cette option
confortable dans la première couche de la bannière de cookies, elle choisit la "voie de la
moindre résistance" - sans nécessairement refléter sa préférence réelle et éclairée en
matière de consentement.

141. L'argument du défendeur selon lequel la plainte est "sans objet" sur ce point parce que dans
la deuxième couche d'information, l'utilisation de couleurs différentes n'est plus utilisée
(certes après une adaptation pendant la procédure), n'est manifestement pas pertinent.
Il s'agit, pour l'évaluation en la matière, de l'utilisation des couleurs dans la première couche
de la bannière de cookies, l'évaluation de la Chambre Contentieuse n'étant nullement limitée
dans le dossier (y compris la lettre du 5 février 2024 avec les violations imputées) à la
deuxième couche de la bannière de cookies.

142. L'argument selon lequel le plaignant concerné a bien donné son consentement, n'est pas
plus pertinent étant donné qu'un consentement donné ou non n'empêche pas d'évaluer la
loyauté du traitement. Le fait qu'un consentement ait été donné n'est pas non plus ipso facto
suffisant pour affirmer que le consentement a été donné valablement.

Décision quant au fond 1132024 — 43/70

143. L'argument selon lequel il n'y a "pas d'interdiction" d'utiliser des couleurs différentes est
exact au sens formel. Toutefois, la Chambre Contentieuse a déjà expliqué plus haut que cela
n'empêche pas que le choix de certaines couleurs puisse violer l'obligation de loyauté à la
lumière des activités de traitement des données à caractère personnel, et que le caractère
univoque du consentement ne peut être assuré.

144. L'argument selon lequel la Chambre Contentieuse aurait approuvé un plan d'action d'une
organisation sectorielle qui serait directement lié aux situations litigieuses du cas d'espèce
n'est pas non plus un argument pertinent. Comme indiqué précédemment, les décisions de
la Chambre Contentieuse n'ont pas de valeur de précédent. De plus, il s'agit d'un acteur qui
est complètement étranger à la présente procédure. En outre, il convient de remarquer
qu'en vertu de l'article 5.2 et de l'article 24 du RGPD, c'est le responsable du traitement qui
est responsable du respect de l'application du RGPD et de la prise de mesures techniques et
organisationnelles appropriées en la matière. Le défendeur ne conteste nullement sa
responsabilité dans l'évaluation matérielle de ses activités de traitement, de sorte que si
l'argument n'est déjà pas pertinent au niveau matériel, il est également plus qu'évident qu'il
manque son objectif au sens formel.

145. La Chambre Contentieuse ne conteste pas - comme le fait valoir le défendeur - que les lignes
directrices de l'autorité de contrôle et du Comité européen de la protection des données
n'ont pas force de loi. Toutefois, cela ne signifie pas qu'elles n'ont (ne devraient avoir) aucune
valeur d'autorité, à tout le moins parce que l'article 57.1.f) du RGPD impose à l'APD de
sensibiliser les responsables du traitement à leurs obligations en vertu du règlement, tout
comme l'article 70.1.u) impose au Comité européen de faire coopérer les autorités de
contrôle et, le cas échéant, de formuler des lignes directrices, des bonnes pratiques et des
recommandations pour assurer l'application cohérente du RGPD (art. 70.1.d) du RGPD).

146. Pour toutes ces raisons, il est établi que des couleurs trompeuses sont utilisées dans la
première couche de la bannière de cookies, ce qui constitue une violation de l'obligation de
loyauté au sens de l'article 5.1.a. du RGPD. Le consentement n'étant pas univoque, on ne
peut pas non plus parler d'un consentement juridiquement valable au sens de l'article 6.1.a)
du RGPD.

II.3.3. Retrait du consentement, cf. l'article 7.3 du RGPD

Position du plaignant

147. La position du plaignant est la suivante :

"Sur aucun des sites Internet du [défendeur] incriminé, il n'est aussi facile de retirer
son consentement que d'accepter les cookies. L'acceptation de tous les cookies se
fait par un seul et simple clic (ou deux clics si l'on appuie sur le bouton "Plus

Décision quant au fond 1132024 — 44/70

d'informations"), alors que le retrait du consentement n'est pas possible d'un seul
clic. Au lieu de cela, les internautes doivent se rendre dans une section spécifique
du site Internet pour retirer les cookies. Tout en bas de la page, parmi une longue
liste d'autres liens divers, se trouve un lien intitulé "Gérer les préférences de
confidentialité". En cliquant sur ce lien, l'internaute peut "Tout refuser", "Tout
accepter" ou cliquer pour chaque finalité sur "Pas d'accord" ou "Accepter".

En vertu de la première phrase de l’article 7(3) du RGPD, la personne concernée a le
droit de retirer son consentement à tout moment. Le retrait du consentement
devrait être aussi simple que l'octroi du consentement en vertu de l'article 7(3),
troisième phrase du RGPD. Étant donné que les exigences de l'article 7 du RGPD ne
sont pas respectées, la partie défenderesse viole également l'article 12(1) du RGPD,
l'article 17(1)(b) du RGPD, l'article 5(3) de la directive ePrivacy et l'article 10/2 de la
LTD. De ce fait, le défendeur n'agit pas non plus conformément aux principes de
licéité, de transparence et de loyauté (art. 5(1)(a) du RGPD).

En outre, le fait de pouvoir retirer son consentement tout aussi facilement est en
effet une condition pour que le consentement donné puisse être absolument
qualifié de valable en vertu de l'article 7(1) j° l'article 4(11) du RGPD (et donc
également pour la question de savoir si les conditions de l'article 10/2 de la LTD et
de l'article 125, § 1er,1° de la LCE sont remplies [...]). L'EDPB l'a également confirmé
dans ses lignes directrices sur le consentement :

"Le RGPD considère l’existence d’un retrait facile comme un aspect nécessaire à
un consentement valable. Si le droit de retrait ne remplit pas les exigences du
RGPD, le mécanisme de consentement du responsable du traitement n’est pas
conforme au RGPD. [...].”(mise en évidence propre)

Le rapport Cookie Banner Taskforce de l'EDPB souligne également que le retrait
du consentement pour les cookies, doit être aussi simple que de le donner […]

Les lignes directrices de l'EDPB sur le consentement confirment également ce
point et l'expliquent comme suit :

"Toutefois, lorsque le consentement est obtenu par voie électronique uniquement
par un clic, une frappe ou en balayant l’écran, les personnes concernées doivent, en
pratique, pouvoir retirer ce consentement par le même biais".[…]

Décision quant au fond 1132024 — 45/70

Les lignes directrices de l'EDPB sur les deceptive design et les dark patterns (les
conceptions trompeuses et les modèles sombres) réitèrent explicitement cette
même exigence […].

Par conséquent, la partie défenderesse doit offrir au plaignant une possibilité de
retirer son consentement en un seul clic. Si une option clairement visible est offerte
pour donner son consentement, il doit également y avoir une option tout aussi
clairement visible pour retirer son consentement. Un lien portant le nom "Gérer les
préférences de confidentialité", en petits caractères, parmi une longue liste
d'autres liens, tout en bas des pages du site Internet de la partie défenderesse - ce
qui prend du temps à faire défiler jusqu'en bas - ne répond manifestement pas à ces
exigences. Un bouton flottant, visible en permanence (survol), permettant de retirer
le consentement, répondrait à ces exigences.

La partie défenderesse a quelque peu amélioré la possibilité de retirer le
consentement et de modifier les paramètres des cookies par rapport au moment
où le plaignant a déposé sa plainte. Il est désormais possible - une fois que le bouton
"Gérer les préférences de confidentialité" a été trouvé et que l'on a cliqué dessus -
de cliquer sur un bouton "Tout refuser", alors qu'auparavant il était seulement
possible de retirer le consentement individuellement pour chaque finalité distincte
[...]. Cela démontre que la partie défenderesse peut facilement proposer une option
équivalente pour retirer les cookies une fois que l'internaute a trouvé l'option
d'adapter les paramètres des cookies, et que la partie défenderesse avait
délibérément omis de le faire auparavant. Cela montre également que la partie
défenderesse elle-même considère apparemment que la précédente bannière de
cookies ne répondait pas aux exigences légales applicables de l'article 7(3) du
RGPD.

La plainte doit toutefois être évaluée sur la base des faits au moment de
l'introduction de la plainte. Dans le cas contraire, le défendeur pourrait se soustraire
à toute responsabilité de traitement en vertu de la législation sur la protection des
données en supprimant les données à caractère personnel dans le cadre d'une
plainte ou d'une enquête. Cela ne change rien au fait que la violation a bien eu lieu
(pendant un certain temps). En outre, suite aux modifications apportées par le
défendeur, il n'est pas encore aussi facile pour autant
de retirer le consentement que de le donner, c'est seulement devenu plus simple
que cela ne l'était au moment de l'introduction de la plainte.

Décision quant au fond 1132024 — 46/70

Position du défendeur

148. La position du défendeur est la suivante (la Chambre Contentieuse résume) :

"6e moyen (à titre subsidiaire) : Le retrait du consentement ne constitue pas une violation
de l'article 4.11 j° l'article 7.3 du RGPD, ni des articles 10/2 de la LTD et de l'article 125, § 1 er,
1° de la LCE"

a. Premièrement, le défendeur affirme "à titre principal" qu'il n'y a pas d'intérêt
procédural pour le plaignant, dès lors qu'il ressort du dossier que le plaignant n'a pas
retiré son consentement – alors qu'il l'avait bien donné. Par ailleurs, le défendeur
souligne que le 10 février 2023, aucun consentement n'avait été donné par le
plaignant, mais bien (probablement) à d'autres dates ultérieures.

b. Deuxièmement, le défendeur affirme "à titre subsidiaire" qu'un utilisateur peut
retirer son consentement aussi facilement qu'il le donne, et que la plainte est donc
sans objet sur ce point. À cet égard, le défendeur souligne qu'un bouton "gérer les
préférences en matière de vie privée" est disponible sur chaque page web des
quatre sites Internet litigieux et qu'un utilisateur peut alors retirer tous les
consentements d'un seul clic.

c. Troisièmement, le défendeur affirme "à titre subsidiaire" qu'il n'y a pas de violation
de l'article 4.11 du RGPD, étant donné que la définition qui y est reprise ne prévoit
rien en ce qui concerne le retrait d'un consentement déjà donné. Cette situation fait
l'objet de l'article 7.3 du RGPD.

d. Quatrièmement, le défendeur affirme "à titre subsidiaire" qu'il n'y a pas de violation
de l'article 7.3 du RGPD. À cet égard, le défendeur souligne que les termes "aussi
simple […] que" dans la norme sont une notion ouverte qui n'est légalement pas
interprétée concrètement, le défendeur expliquant in concreto pourquoi les sites
Internet litigieux sont bel et bien conformes à la norme. Dans la situation
précédente du site Internet, il n'y avait à cet égard aucune option "Tout refuser".
Le défendeur affirme ce qui suit à cet égard : "Un visiteur qui voulait retirer
intégralement son consentement devait dès lors cliquer un certain nombre de fois
supplémentaires par rapport à la situation où il voulait donner son consentement
intégral. Cette seule différence (un nombre de clics) ne peut constituer un défaut
d'équivalence au sens de l'article 7.3, dernière phrase du RGPD.”

e. Cinquièmement, le défendeur affirme "à titre subsidiaire" qu'il n'y a pas de violation
de l'article 10/2 de la LTD et de l'article 125, § 1er, 1° de la LCE. En ce qui concerne ce
point, le défendeur affirme que la plainte relative à la 3 e violation présumée
concerne le retrait d'un consentement déjà donné et non le placement licite des

Décision quant au fond 1132024 — 47/70

cookies placés initialement – de sorte que les dispositions soulevées "d'emblée"
par la Chambre Contentieuse ne sont pas applicables.

f. Sixièmement, le défendeur répond aux conclusions du plaignant concernant ce
point.

Évaluation par la Chambre Contentieuse

149. Avant tout, il convient d'analyser la situation pour le retrait du consentement au moment de
la plainte (l' ‘ancienne’ situation) et avant les adaptations effectuées par le défendeur
pendant la procédure. Ces adaptations des sites Internet litigieux ont rendu possible le
retrait du consentement dans la ‘nouvelle’ situation, après avoir cliqué sur le lien ‘gérer les
préférences de confidentialité’ sur les sites Internet litigieux, en un seul clic ("Tout refuser").

150. Dans l' ‘ancienne’ situation, une personne concernée devait bel et bien procéder à "plusieurs
clics" (selon les termes du défendeur lui-même) afin de retirer un consentement, alors que
le consentement initial ("accepter et fermer") ne nécessitait qu'un seul clic. Le défendeur
reconnaît lui-même expressément qu'un visiteur (ici qualifié de personne concernée) devait
cliquer "quelques fois de plus par rapport à la situation où il voulait donner son consentement
intégral."

151. Dans cette ‘ancienne’ situation, le fait de retirer le consentement n'était donc
manifestement pas aussi simple que de le donner, ce qui constitue une violation de l'article
7.3 du RGPD. Le fait que le ‘retrait’ d'un consentement soit une notion relative – en ce sens
qu'il doit pouvoir être "aussi simple" de retirer le consentement que de le donner – n'y
change rien. Une telle qualification en tant que notion relative au sens juridique peut être
correcte, mais dans les circonstances relatives, le "nombre de clics" dont parle le défendeur
lui-même sont clairement des clics relativement plus nombreux que le seul clic sur le bouton
"accepter et fermer" dans la bannière de cookies.

152. En ce qui concerne la ‘nouvelle’ situation, après les adaptations du défendeur au cours de la
procédure : dans la nouvelle situation, le retrait du consentement après avoir cliqué sur le
lien ‘préférences de confidentialité’ sur chaque page web de chaque site Internet
d'information litigieux est possible avec un seul clic ("Tout refuser"). Le choix est proposé
sur une bannière de cookies identique à la deuxième couche de la bannière de cookies
proposée pour donner son consentement : cette pratique - sur la base des pièces se trouvant
dans le dossier - ne donne pas lieu à la constatation d'une violation.

153. Le site Internet ne requiert pas de bouton obligatoire "visible en permanence" pour le retrait
correct du consentement. Si une personne concernée peut retirer son consentement en
vertu de l'article 7.3 du RGPD en deux clics à partir de n'importe quelle page web des sites
Internet litigieux, cela est conforme à l'esprit de la disposition légale. Une personne

Décision quant au fond 1132024 — 48/70

concernée peut raisonnablement supposer que les paramètres relatifs aux cookies se
trouvent au bas d'une page web. Par conséquent, la personne peut toujours prendre
connaissance des informations relatives au retrait du consentement, et ce au moyen d'un
seul bouton.

154. Comme l'a souligné l'EDPB dans le rapport de la Taskforce Cookie Banner, il est suffisant
qu'un lien soit disponible sur le site Internet et à un "endroit visible et standardisé". 55 Le fait
de placer un lien direct au bas de chaque page web menant à une bannière où le
consentement peut être retiré à l'aide d'un simple bouton répond à cette formulation.
En outre, dans le même rapport, l'EDPB a souligné que la législation indique seulement que
des solutions facilement accessibles pour retirer le consentement doivent être proposées,
mais qu' "il ne peut être imposé "qu'une "solution de retrait spécifique" soit mise en œuvre
et "en particulier la conception d'une solution de survol" ne peut donc être imposée à un
responsable du traitement dans le contexte juridique actuel.56

155. Le défendeur souligne à juste titre que le fait que le consentement en vertu de l'article 7.3
du RGPD doit pouvoir être retiré "aussi facilement" qu'il a été donné présuppose une
situation relative. En ce sens, pour le bon fonctionnement d'un site Internet – ce qui est, entre
autres, dans l'intérêt du visiteur concerné -, on ne peut s'attendre à ce que le retrait du
consentement se fasse exactement de la même manière si cela signifie qu'il doit se faire (au
sens le plus littéral) "à tout moment" de cette manière.

156. Dans ce raisonnement, un bouton "de survol" (la proposition avancée par la partie plaignante)
ne serait en effet pas suffisant non plus, car un tel bouton "de survol" n'offre pas exactement
la même représentation visuelle qu'une bannière de cookies (pour l'octroi du consentement)
pour retirer le consentement à tout moment de la visite du site Internet. En effet, cela aurait
un effet bloquant pour l'internaute, ce qui n'est bien entendu manifestement pas
raisonnable.

157. En ce qui concerne l' ‘ancienne’ situation, une violation de l'article 7.3 du RGPD doit
effectivement être constatée. Comme rien n'indique que cette violation perdure dans la
‘nouvelle’ situation après les adaptations opérées à cet égard par le défendeur, la Chambre
Contentieuse décide de réprimander le défendeur sur ce point. Aucune autre mesure
coercitive ou punitive n'est appropriée à cet égard.

55
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 janvier 2023, § 32.
56
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 janvier 2023, § 35.

Décision quant au fond 1132024 — 49/70

II.3.4. Utilisation d'un intérêt légitime pour le placement de cookies qui nécessitent un
consentement et violation présumée des obligations de transparence et
d'information

Position du plaignant

158. La position du plaignant est la suivante :

"Lorsque le plaignant a visité les sites Internet, les sites Internet du [défendeur]
incriminé contenaient un bouton pour l'intérêt légitime dans la deuxième couche de
la bannière de cookies qui était configuré par défaut sur "Accepter" pour la
réalisation d'une "Mesure étendue" afin de "pouvoir mesurer des prestations de
publicité et de contenu. Ceci permet de déduire des informations sur le public qui a
vu les publicités et le contenu. Les données peuvent être utilisées pour construire
ou améliorer l'expérience de l'utilisateur, les systèmes et les logiciels" Ce "bouton
d'intérêt légitime" permettant d'effectuer de telles mesures" était placé à côté d'un
bouton de consentement à cette même fin et n'était visible que lorsque l'internaute
cliquait sur le "+".

Le [défendeur] incriminé affirmait ainsi disposer d'un intérêt légitime (art. 6.1.f) du
RGPD) pour réaliser des "mesures étendues" si le plaignant ne donnait pas de
consentement (art. 6.1.a) du RGPD). L'intérêt légitime constituait donc le
fondement 'de secours' pour la partie défenderesse. La partie défenderesse passe
ainsi de manière illicite d'un système d' "opt-in" basé sur l'article 6.1.a) du RGPD à
un système d' "opt-out" basé sur l'article 6.1.f) du RGPD.

L'intérêt légitime n'était et n'est toujours pas une base juridique valable pour le
placement et la lecture de cookies qui ne sont pas strictement nécessaires, tels que
ceux placés dans le but d'effectuer des "mesures étendues" (cf. l'article 5(3) de la
Directive ePrivacy j° l'article 10/2 de la LTD). Cela a été de nouveau confirmé dans
le rapport de la Taskforce Cookie Banner de l'EDPB [...] et dans les directives des
contrôleurs nationaux.

Il est vrai que d'autres fondements de l'article 6 du RGPD peuvent être utilisés dans
des cas très limités pour le placement et la lecture de cookies. Mais cela ne
s'applique que dans la mesure où il s'agit de cookies strictement nécessaires et
dans le but exclusif d'envoyer des communications via un réseau de
communications électroniques (article 5(3) de la Directive ePrivacy j° l'article 10/2
de la LTD). La réalisation de "mesures étendues" par la partie défenderesse ne
relève pas de cette exception stricte.

Décision quant au fond 1132024 — 50/70

Le traitement ultérieur des données à caractère personnel obtenues par le biais de
cookies nécessitant un consentement devait également être basé sur le
fondement du consentement, comme l'ont également confirmé l'EDPB et l'EDPS.
[...] Cela s'applique donc également au traitement ultérieur de données pour
effectuer des "mesures étendues" par la partie défenderesse.

En outre, il est trompeur que la partie défenderesse fasse croire que le
consentement est le fondement du traitement, mais que lorsque ce consentement
n'est pas donné, elle passe simplement au fondement de l'intérêt légitime, sans
respecter le choix fait par le plaignant de refuser son consentement.

Le défendeur a ainsi violé les principes de licéité, de loyauté et de transparence
(art. 5.1.a) du RGPD). Ce comportement est en effet contraire à l'article 6 du RGPD
et l'article 5(3) de la Directive ePrivacy j° l'article 10/2 de la LTD et est donc illicite.

Les lignes directrices de l'EDPB sur le consentement indiquent aussi explicitement
que ce comportement de la partie défenderesse est déloyal (art. 5.1.a) du RGPD) :
“Il est important de noter que si un responsable du traitement choisit de se
fonder sur le consentement pour une partie du traitement, il doit être prêt à
respecter ce choix et à interrompre cette partie du traitement si un individu
retire son consentement. Donner l'impression que les données sont traitées sur
la base du consentement, tout en s'appuyant en réalité sur une autre base
juridique, serait intrinsèquement déloyal à l'égard des personnes concernées.
[...] En d'autres termes, le responsable du traitement ne peut pas substituer le
consentement à d'autres fondements juridiques. Par exemple, il n’est pas
autorisé d’utiliser rétrospectivement la base juridique des intérêts légitimes
afin de justifier le traitement lorsque des problèmes ont été rencontrés
concernant la validité du consentement." […] (soulignement propre)

En outre, la bannière de cookies ne contenait pas d'informations sur l'intérêt
légitime allégué, ni d'option d'opposition au premier niveau de la bannière de
cookies.

La seule possibilité de s'opposer et même de recevoir des informations sur l'intérêt
légitime invoqué était cachée dans la deuxième couche de la bannière de cookies.
Le texte "Définir les préférences" repris au premier niveau d'information de la
bannière de cookies ne contenait pas non plus ces informations ou la possibilité de
s'opposer. Qui plus est, même dans le deuxième niveau d'information, il fallait

Décision quant au fond 1132024 — 51/70

encore cliquer sur le signe plus (+) près de "Mesure étendue" pour faire passer
l' "Intérêt légitime" de la partie défenderesse sur "Ne pas accepter".

En d'autres termes, pour s'opposer à l'intérêt légitime allégué de la partie
défenderesse et en être informé, l'internaute devait cliquer plusieurs fois, ce qu'il
ne fait en pratique que dans 2 % des cas.

Ceci est contraire à l'article 21.4 du RGPD et à l'article 12.2 du RGPD, étant donné
que tant le fait que la partie défenderesse a fondé ses traitements (à titre
subsidiaire) sur son prétendu intérêt légitime que la possibilité de s'opposer à ce
prétendu intérêt légitime de la partie défenderesse n'ont pas été explicitement
portés à l'attention de la personne concernée. Dès lors, le comportement de la
partie défenderesse n'était pas non plus transparent (art. 5.1.a) du RGPD).

En outre, il est également incompréhensible que la partie défenderesse ait
apparemment supposé que si une personne concernée ne consentait pas aux
traitements de "mesure étendue" en question, elle ne s'opposerait pas non plus au
traitement en vertu de l'article 21 du RGPD. Cependant, la bannière de cookies
semblait supposer que les personnes concernées doivent exprimer deux fois le
même souhait de ne pas voir leurs données traitées : une fois comme un refus de
consentement et ensuite comme une opposition supplémentaire à la même
activité de traitement (ce qui constitue un "double opt-out").

Compte tenu de ce qui précède, la partie défenderesse a violé les principes de
licéité, de régularité et de transparence (art. 5.1.a) du RGPD).

Heureusement, la partie défenderesse a déjà supprimé les références à un "intérêt
légitime" dans ses bannières de cookies. Pour la partie défenderesse, l'intégration
d'un "intérêt légitime" dans les bannières de cookies n'est donc pas nécessaire et
est facilement modifiable, ce qui permet de conclure que la partie défenderesse
avait en fait déjà délibérément choisi d'inclure une référence à l'intérêt légitime
dans ses bannières de cookies. Cela montre également que la partie défenderesse
elle-même considère apparemment que la bannière de cookies antérieure ne
répondait pas aux exigences légales applicables et que la partie défenderesse n'a
donc jamais eu d'intérêt légitime à effectuer des "mesures étendues", puisque la
partie défenderesse parle d'une "référence inutile et non pertinente à l'intérêt
légitime".

Décision quant au fond 1132024 — 52/70

Toutefois, la plainte doit encore être évaluée sur la base des faits au moment de
l'introduction de la plainte. En effet, dans le cas contraire, le mis en cause pourrait
toujours se soustraire à toute responsabilité de traitement en vertu de la législation
sur la protection des données en remédiant aux violations du RGPD après
l'introduction d'une plainte ou au cours d'une enquête. Cela n'enlève rien au fait que
la violation a bien eu lieu (pendant un certain temps)".

Position du défendeur

159. La défense du défendeur est la suivante (la Chambre Contentieuse résume) :

"7e moyen (à titre subsidiaire) : Le renvoi à l' ‘intérêt légitime’ ne constitue pas une violation
de l'article 6.1.f) du RGPD, ni de l'article 10/2 de la LTD et de de l'article 125, § 1 er, 1° de la
LCE"

a. Premièrement, le défendeur affirme "à titre principal" qu'il y a une absence d'intérêt
personnel suffisant dans le chef du plaignant en ce qui concerne le prétendu
recours à l'intérêt légitime. À cet égard, le défendeur affirme notamment qu'aucun
cookie n'est placé ainsi dans le cas du plaignant, dès lors que le plaignant a donné
son consentement pour le placement de cookies.

b. Deuxièmement, le défendeur affirme "à titre subsidiaire" que la plainte est sans
objet parce que les écrans de cookies actuels de Mediahuis ne renvoient plus à
l'intérêt légitime. Le défendeur fait remarquer qu'au cours de la même période que
la procédure de transaction, un certain nombre d'adaptations concernant le
placement de cookies ont été préparées en vertu de l'intérêt légitime (et finalement
mises en œuvre le 22 décembre 2023).

c. Troisièmement, le défendeur affirme "à titre plus subsidiaire" qu'il n'y a pas de
violation de l'article 6.1.f) du RGPD et que la plainte est non-fondée dans la mesure
où elle présuppose que l'intérêt légitime ne peut jamais servir de base juridique
pour les cookies.

d. Quatrièmement, le défendeur affirme "à titre plus subsidiaire" qu'il n'y a pas de
violation de l'article 10/2 de la LTD et de l'article 125, § 1er, 1° de la LCE. Le défendeur
: "[…] si en vertu de l'article 10/2 de la LTD, l'exception à la règle (consentement)
s'applique, il va de soi que dans pareil cas, la règle elle-même (consentement) ne
s'applique pas."

e. Cinquièmement, le défendeur répond aux conclusions du plaignant concernant
cette partie.

Décision quant au fond 1132024 — 53/70

"8e moyen (à titre subsidiaire) : Absence de violation des articles 5.1.a, 12.2 et 21.4 du RGPD
concernant la transparence de la bannière de cookies"

a. Premièrement, le défendeur affirme "à titre principal" que la plainte est sans objet,
étant donné qu'il n'y a "plus d'intérêt légitime" depuis le 23 décembre 2023. À cet
égard, le défendeur affirme que toute référence à l'intérêt légitime a été supprimée
le 22 décembre 2023.

b. Deuxièmement, le défendeur affirme "à titre subsidiaire" qu'il n'y a pas de violation
de l'article 5.1.a) du RGPD. À cet égard, le défendeur affirme que le ‘chef
d'accusation’ en vertu de l'article 5.1.a) du RGPD n'est pas clair, que l'intention de
l'utilisation de sa bannière de cookies respecte bien les normes légales et que
l'intérêt légitime peut bel et bien coexister avec la mention du consentement.

c. Troisièmement, le défendeur affirme "à titre subsidiaire" qu'il n'y a pas de violation
de l'article 12.2 du RGPD. À ce sujet, le défendeur affirme qu'en l'espèce, il ne peut
être question d'une violation, parce que l'obligation de facilitation n'existerait que
lors de l'exercice du droit (tel que repris à l'article 21.4 du RGPD).

d. Quatrièmement, le défendeur affirme "à titre subsidiaire" qu'il n'y a pas eu de
violation de l'article 21.4 du RGPD, le défendeur se référant aux informations de la
politique de confidentialité et à l'information au moment du premier contact avec
les utilisateurs.

e. Cinquièmement, le défendeur répond aux conclusions du plaignant concernant ce
point.

Évaluation par la Chambre Contentieuse

160. Le défendeur admet que des cookies ont été placés sur la base de l'intérêt légitime, dont au
moins certains devaient être placés sur la base du consentement conformément à la
directive ePrivacy et à sa transposition dans la LTD. Les cookies installés pour effectuer des
"mesures étendues" concernant l'utilisation du site Internet, notamment à des fins
publicitaires (du moins en ce qui concerne l'analyse de la portée et de l'efficacité des cookies
en question), ne sont pas, par définition, strictement nécessaires. De tels cookies
nécessitent donc en tout état de cause un consentement en vertu de l'article 10/2 de la LTD,
mais également en vertu de l'article 6.1.a) du RGPD pour le traitement ultérieur des données
à caractère personnel.

161. En outre, comme l'a souligné l'EDPB dans le rapport de la Taskforce Cookie Banner,
l'utilisation ou la mention de l'intérêt légitime comme base juridique dans la bannière de
cookie peut être source de confusion pour les utilisateurs, qui peuvent penser qu'ils doivent

Décision quant au fond 1132024 — 54/70

refuser deux fois pour ne pas voir leurs données à caractère personnel traitées.57 En ce sens,
la base juridique pour le placement d'un cookie devrait donc être soit sur la base de l'intérêt
légitime, soit sur la base du consentement.

162. À défaut d'un consentement donné, on ne peut pas choisir de prévoir l'intérêt légitime
comme fondement juridique ‘de secours’. Non seulement cela n'est pas très transparent vis-
à-vis des personnes concernées dont le consentement est demandé, mais cela n'est pas non
plus autorisé au regard de l'intention de l'article 10/2 de la LTD (en tant que transposition de
l'article 5.3 de la directive ePrivacy) et de l'article 6 du RGPD. Ces deux dispositions exigent
en effet qu'un responsable du traitement effectue un traitement de données à caractère
personnel fondé sur un seul fondement juridique. Comme la Chambre Contentieuse l'a déjà
indiqué dans plusieurs décisions58, l'EDPB le précise également dans ses Lignes directrices
sur le consentement :

L’application de l’une de ces six bases juridiques doit être établie avant l’activité de
traitement et en lien avec une finalité spécifique.

Il est important de noter que si un responsable du traitement choisit de se fonder
sur le consentement pour une partie du traitement, il doit être prêt à respecter ce
choix et à interrompre cette partie du traitement si un individu retire son
consentement. Indiquer que les données seront traitées sur la base du
consentement, alors que le traitement se fonde sur une autre base juridique, serait
fondamentalement déloyal envers les personnes concernées. 59

163. La Chambre Contentieuse estime qu'elle n'adopte pas une interprétation (inutilement)
contraignante de ce qui constitue des cookies strictement nécessaires. 60 Le législateur ne
laisse toutefois actuellement aucune place à une autre interprétation et parle lui-même
explicitement d'une nature "strictement nécessaire" (art. 10/2 de la LTD). Juger que des
cookies tels que certains cookies analytiques - qui ne sont pas strictement nécessaires au
bon fonctionnement du site Internet - peuvent être placés sur la base de l'intérêt légitime
refléterait non seulement une attitude "indulgente" ou "flexible", mais il s'agirait en outre
d'une interprétation contra legem. Cette situation s'applique a fortiori aux cookies utilisés à
des fins de marketing. La Chambre Contentieuse applique les règles de droit applicables aux
faits.

57
Cf. EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 janvier 2023, § 22.
58
Chambre Contentieuse, Décision quant au fond 133/202 du 2 décembre 2021, point 56-9 ; Chambre Contentieuse, Décision
quant au fond 147/2022 du 17 octobre 2022, point 18 ; Chambre Contentieuse, Décision quant au fond 105/2023 du 1 er août
2023, point 98.
59
Lignes directrices 5/2020 de l’EDPB sur le consentement au sens du règlement (UE) 2016/679, v 1.1, 4 mai 2020, § 121-2.
60
Cf. A. GOBERT, "Chapitre 5. La jurisprudence de l’APD en matière de cookies" in M. Knockaert et J.-M. Van Gyseghem (eds.),
5 années de jurisprudence de la Chambre Contentieuse de l’APD, Bruxelles, Éditions Larcier-Intersentia, (139)142-142, § 8.
l'auteur parle ici d'une "interprétation stricte de l'article 5, § 3 de la directive ePrivacy".

Décision quant au fond 1132024 — 55/70

164. Il n'y a pas eu de constatation indépendante – par exemple par le Service d'inspection – des
cookies qui ont été placés, ni de leur ampleur. En tout état de cause, la reconnaissance par le
défendeur du fait concernant le placement illicite de cookies sur la base de l'intérêt légitime
contraint de le réprimander : il ne peut placer des cookies sur la base de l'intérêt légitime
que dans la mesure où le cookie répond au scénario d'exception prévu à l'article 10/2,
deuxième alinéa de la LTD ; comme il ne l'a pas fait dans le passé, cela constitue une violation
de la disposition précitée. Il en va de même, mutatis mutandis, pour les traitements ultérieurs
de données à caractère personnel qui doivent être fondés soit sur l'article 6.1.a., soit sur
l'article 6.1.f RGPD - et non sur les deux dispositions à la fois ou en tant que "solution de
secours" interchangeable.

165. Il n'est donc pas pertinent qu'un consentement licite ait été obtenu ou non de la part du
plaignant en question, le simple fait que le défendeur ne demande potentiellement pas le
consentement pour le placement de tels cookies et que cela entraîne par la suite des
traitements illicites de données à caractère personnel est suffisant pour établir la violation.

166. Le fait que la décision de placer de tels cookies soit en partie entre les mains de tierces
parties (sans tenir compte du fait que ceux-ci seraient responsables conjoins du traitement,
responsables du traitement ou sous-traitants dans ce processus de traitement) n'y change
rien. En effet, en vertu de l'article 5.2 du RGPD, il incombe au défendeur de veiller à ce que le
placement de cookies et les traitements de données à caractère personnel suite au
placement de cookies via ses sites Internet litigieux soient effectués de manière licite.

167. Les éléments de la plainte relatifs aux obligations de transparence et d'information ainsi que
les éléments concernant (la facilitation et l'exercice du) droit d'opposition suite au
placement de cookies sur la base de l'intérêt légitime ne sont pas analysés plus avant dans
la présente décision. La Chambre Contentieuse ne dispose pas d'éléments suffisants à la
lumière des preuves pour évaluer ces violations alléguées.

168. La Chambre Contentieuse estime que les griefs formulés dans la plainte – tels que cités à
juste titre par le défendeur - sont trop larges, de sorte que le défendeur n'a pas été en
mesure de se défendre correctement sur la base des pièces du dossier administratif
soumises dans la plainte ou au cours de la procédure (par exemple en ce qui concerne la
référence générale à une prétendue violation des "principes de transparence, de licéité et
de loyauté").

169. La Chambre Contentieuse constate que le défendeur a violé l'article 10/2 de la LTD j°
l'article 6.1.a) du RGPD, dès lors que le défendeur reconnaît avoir placé des cookies sur la
base de l'intérêt légitime alors que ceux-ci ne relevaient pas de la disposition d'exception de
l'article 10/2 de la LTD, avant d'adapter son site Internet à cet égard. En outre, l'intérêt
légitime (également en vertu de l'art. 6.1.f) du RGPD pour les traitements ultérieurs) a été

Décision quant au fond 1132024 — 56/70

utilisé en tant que solution ‘de secours’ lorsqu'il n'y avait aucun consentement (en vertu de
l'art. 6.1.a) du RGPD) pour le placement de cookies.

170. Le défendeur n'aurait pas dû (faire) placer ces cookies et, à tout le moins, n'a pas examiné si
les cookies pouvaient être placés sur la base de l'intérêt légitime - alors que cela relève de
sa responsabilité en tant que responsable du traitement des données à la lumière de la licéité
de ses traitements de données à caractère personnel. Pour cette raison, la Chambre
Contentieuse procédera à la réprimande du défendeur sur ce point.

171. La Chambre Contentieuse procède au classement sans suite partiel de la plainte en ce qui
concerne les griefs relatifs aux obligations de transparence et d'information (plus
précisément, les articles 12.2 et 5.1.a) du RGPD sont cités par la partie plaignante à cet
égard), ainsi que (l'exercice du) droit d'opposition (l'art. 21.4 RGPD est cité par la partie
plaignante), et ce pour les raisons mentionnées ci-dessus.

III. Mesures et exécution par provision

III.1. Injonctions

172. La Chambre Contentieuse estime approprié de procéder à l'imposition de deux injonctions
distinctes pour chacun des quatre sites Internet litigieux du défendeur en raison des deux
violations précitées.

173. Injonction 1 : la Chambre Contentieuse ordonne d'ajouter une option de refus dans chaque
couche de la bannière de cookies de chacun des quatre sites Internet litigieux, lorsque dans
cette même couche, l'option d'acceptation totale ("Accepter et fermer") est prévue, dans la
mesure où l'option d'acceptation totale sert à donner son consentement au sens de
l'article 10/2 de la LTD j° l'art. 6.1.a) du RGPD pour le placement de cookies qui impliquent
des traitements de données à caractère personnel.

174. Injonction 2 : lors du placement de boutons dans les couches de cookies dans le cadre de
l'obtention du consentement au placement de cookies sur les sites Internet litigieux du
défendeur, les boutons - et plus particulièrement les couleurs et le contraste de ces boutons
- ne doivent pas avoir une conception trompeuse. L'option "Tout refuser" doit être affichée
de manière équivalente à l'option "Tout accepter", telle qu'elle est actuellement affichée sur
chacun des quatre sites Internet litigieux. En principe, cela n'exclut pas que le défendeur, en
tant que responsable du traitement, puisse opter pour l'affichage de ces boutons à peu près
au même endroit visible, en utilisant la même couleur et la même taille de bouton et de texte
; il incombe au responsable du traitement de faire les choix à cet égard pour remplir ses
obligations, conformément aux articles 5.2 et 24 du RGPD.

Décision quant au fond 1132024 — 57/70

175. Pour chacune des deux injonctions, le défendeur peut s'inspirer des suggestions et
exemples fournis par l'APD dans sa Check-list Cookies. Toutefois, il appartient au
responsable du traitement de faire ses propres choix techniques et organisationnels à cet
égard. Une image illustrative de la Checklist pourrait éventuellement être pertinente pour
suivre les injonctions :

61

61
Capture d'écran de l'APD, Check-list Cookies, disponible via :
https://www.autoriteprotectiondonnees.be/publications/checklist-cookies.pdf, 1 ; la Check-list Cookies a été jointe en annexe
de la proposition de transaction, et est dès lors reprise dans le présent dossier administratif.

Décision quant au fond 1132024 — 58/70

176. Chacune des deux injonctions doit être exécutée pour chacun des quatre sites Internet
litigieux au plus tard le 45e jour suivant la notification de la présente décision.62 Dans le
cadre de la mise en œuvre de l'ordonnance, le défendeur transmettra dans le même délai à
la Chambre Contentieuse et au plaignant un document de synthèse ; ce document indiquera
la manière dont les adaptations ont été effectuées sur chacun des sites Internet litigieux afin
de mettre en œuvre les deux injonctions.

177. Si, à compter du 45e jour suivant la décision, la Chambre Contentieuse constate que les
injonctions n'ont pas été (ou ne semblent pas avoir été) exécutées intégralement, elle
transmettra à ce sujet une notification au défendeur. Dès réception de cette notification par
le défendeur, l'astreinte (infra) restera acquise jusqu'à nouvelle(s) notification(s) de la
Chambre Contentieuse jusqu'à ce que chaque injonction pour chacun des sites Internet
litigieux soit respectée. En cas d'exécution partielle d'une ou de deux injonctions pour un ou
plusieurs sites Internet litigieux, la Chambre Contentieuse informera le défendeur de quelle
injonction et pour quel(s) site(s) Internet litigieux elle estime l'exécution de la ou des
injonction(s) suffisante.

III.2. Réprimandes

178. La Chambre Contentieuse réprimande le défendeur en ce qui concerne la possibilité, dans
"l'ancienne" situation sur les sites Internet litigieux, de retirer le consentement au placement
de cookies (incluant donc les traitements de données à caractère personnel consécutifs au
placement de cookies), ce qui constitue une violation de l'article 7.3 du RGPD.

179. La Chambre Contentieuse réprimande le défendeur et affirme qu'il ne peut placer des
cookies sur la base de l'intérêt légitime que lorsque et dans la mesure où ceux-ci relèvent
des situations d'exception prévues à l'article 10/2 in fine de la LTD, et en ce sens, peuvent
aussi relever, pour les traitements de données à caractère personnel consécutifs, du
fondement juridique repris à l'article 6.1.f) du RGPD.

III.3. Astreinte : considérations particulières

III.3.1. Circonstances atténuantes et impact sur la nature de la mesure correctrice
(astreinte)

180. La Chambre Contentieuse tient compte de l'argumentation suivante du défendeur dans ce
cadre :

"9e moyen (à titre subsidiaire) : Aucune mesure correctrice ne peut être prise à l'égard de
Mediahuis". À cet égard, le défendeur indique que les seules mesures correctrices – si la

62
En principe, le premier de ces 45 jours commence le jour qui suit la réception par le défendeur de l'envoi recommandé de la
présente décision ou le jour qui suit l'expiration du délai de retrait de l'envoi recommandé.

Décision quant au fond 1132024 — 59/70

Chambre Contentieuse devait conclure à une violation – peuvent être la formulation d'un
avertissement ou d'une réprimande.

a. Premièrement, le défendeur indique qu'il a déjà pris différentes mesures pour
rendre ses bannières de cookies plus conformes aux recommandations de l'APD.

b. Deuxièmement, le défendeur affirme que les exigences légales applicables sont
trop générales à la lumière des pratiques soulevées par le plaignant et la Chambre
Contentieuse. À cet égard, le défendeur souligne que les règles avancées sont des
normes générales et ouvertes, le responsable du traitement pouvant également
opérer certains choix en ce qui concerne les couleurs, les boutons, le texte utilisé,
etc.

c. Troisièmement, le défendeur affirme que l'interprétation des règles relatives aux
cookies change en permanence et qu'il n'existe pas d'unanimité quant à cette
interprétation.

d. Quatrièmement, le défendeur répond aux conclusions du plaignant concernant ce
point.

181. La partie plaignante a également formulé plusieurs "requêtes et suggestions" concernant la
sanction ou l'imposition de mesures ; il appartient toutefois à l'Autorité de choisir 63
d'appliquer certaines compétences, et la partie plaignante ne se penche pas davantage sur
ces arguments.

182. La Chambre Contentieuse a soigneusement examiné la mesure dans laquelle elle peut faire
usage de ses compétences de correction, suite aux violations commises et répétées par le
défendeur jusqu'à présent. En particulier, la Chambre Contentieuse a pris en compte la
jurisprudence de la Cour de justice, qui dispose qu'il doit y avoir une intention ou une
négligence dans la commission d'une violation pour qu'une amende administrative puisse
être imposée.64

183. Bien que la Chambre Contentieuse puisse aujourd'hui clairement évaluer la situation
juridique à la lumière de la jurisprudence récente de la Cour de justice et de la position
unanime des (la majorité des) autorités de contrôle pour les aspects abordés, la Chambre
Contentieuse estime que le défendeur se réfère à juste titre à des décisions antérieures de
la Chambre Contentieuse à cet égard. En ce sens, il est loin d'être suffisamment établi qu'il
n'y aurait pas d'intention et de négligence dans le contexte de la présentation problématique

63
Arrêt de la CJUE du 7 décembre 2023, UF et AB c. Land Hessen (Schufa), affaires jointes C-26/22 et C-64/22,
ECLI:EU:C:2023:958, spécifiquement le § 68-9.
64
Arrêt CJUE du 5 décembre 2023, Deutsche Wohnen, C-807/21 ; Arrêt CJUE du 5 décembre 2023, Nacionalinis visuomenés
sveikatos centras, C-683/21.

Décision quant au fond 1132024 — 60/70

du consentement libre (cf. la discussion juridique concernant l'option "Tout refuser" en
présence d'un bouton "Tout accepter"). Par conséquent, la Chambre Contentieuse n'impose
pas d'amende administrative.

184. Néanmoins, la Chambre Contentieuse prend également acte de l'opposition du défendeur à
l'adaptation de sa bannière de cookies afin que le consentement soit donné librement et de
manière univoque et puisse donc être obtenu de manière licite à la lumière de l'évaluation
juridique la plus correcte. Cela requiert notamment l'ajout d'un bouton "Tout refuser" ou
d'une autre présentation d'un effet équivalent, lorsque sur cette bannière de cookies un
bouton "Tout accepter" est affiché dans la même couche, et ce de manière loyale au sens de
l'art. 5.1.a) du RGPD.

185. La Chambre Contentieuse estime dès lors nécessaire de prendre les mesures coercitives
nécessaires afin que le défendeur donne suite à l'évaluation et à l'injonction subséquente de
la Chambre Contentieuse afin de mettre les traitements en conformité avec la législation en
vigueur. Elle le fait en imposant une astreinte.

186. Dans le cadre de cette décision, la Chambre Contentieuse a examiné attentivement la
procédure d'imposition d'une astreinte. À cet égard, elle a tenu compte des circonstances
spécifiques de l'affaire et de la nécessité d'assurer une application effective des règles.
La Chambre Contentieuse a décidé dans le cas présent de s'écarter de la procédure
habituelle telle que définie dans la politique en matière d'astreintes, en vue d'une approche
plus directe et plus efficace.

187. Cette décision se fonde sur la considération que la nature de la violation et les mesures
correctrices requises exigent une mise en œuvre rapide. En incluant l'astreinte directement
dans la décision, sans notification préalable par le biais d'un formulaire distinct, la Chambre
Contentieuse vise à encourager le défendeur à prendre des mesures immédiates.

188. La Chambre Contentieuse souligne que cette approche ne limite pas les droits du défendeur.
Le défendeur conserve la possibilité de s'opposer à l'astreinte imposée dans le cadre d'un
éventuel recours contre cette décision.

III.3.2. L'astreinte et les compétences accordées à l'autorité de contrôle par les
législateurs européens et nationaux

189. L'astreinte est une mesure particulière en ce sens que le montant à payer n'est pas certain
et définitif au moment où la présente décision est prise. En effet, le défendeur dispose
d'abord d'un délai pour s'organiser afin de remédier à la situation ou pour introduire un
recours s'il n'est pas d'accord avec la décision de la Chambre Contentieuse.

Décision quant au fond 1132024 — 61/70

190. En ce sens, l'astreinte diffère de l'amende administrative : le premier instrument vise à
mettre la situation de fait en conformité65 avec la législation en vigueur, tandis que le second
a un caractère de sanction66. L'astreinte diffère donc de l'amende tant par sa nature que par
son objectif.

191. Dans un arrêt du 19 février 2020, la Cour des marchés a considéré ce qui suit :

"Avant qu’une sanction lui soit infligée, le contrevenant doit être informé de la
nature de la sanction qui est envisagée et de l’importance de celle-ci (si une amende
est envisagée). Le contrevenant doit être averti (dans le but d’éviter la sanction
inutile) et doit avoir la possibilité de se défendre concernant les montants de
l’amende proposés par la Chambre Contentieuse, avant que la sanction soit
effectivement infligée et exécutée." 67

192. À la lumière de sa "politique en matière d'astreintes", la Chambre Contentieuse a considéré
que dans le cadre d'une procédure contradictoire et à la lumière de la considération précitée
de la Cour des marchés, l'utilisation du formulaire d'astreinte serait requise en cas
d'imposition d'une astreinte.68

193. Cependant, la Chambre Contentieuse estime à présent que l'imposition d'une astreinte ne
doit pas être soumise au défendeur, préalablement à son imposition, pour les raisons
suivantes :

a) L'obligation pour la Chambre Contentieuse de devoir soumettre la sanction au défendeur
avant de prendre une décision est basée sur la jurisprudence de la Cour des marchés.
À cet égard, cette étape a été ajoutée, en sus du cadre juridique, à la lumière des droits
de la défense. Conformément à cette jurisprudence, la Chambre Contentieuse utilise ce
que l'on appelle un "formulaire de sanction" qui est soumis à la partie défenderesse
préalablement à la décision effective dans le cas d'une amende administrative.

Cette étape procédurale implique intrinsèquement un délai et une charge procédurale
supplémentaire ; la Chambre Contentieuse reconnaît l'intérêt de cette procédure en
raison des pouvoirs de sanction qu'elle peut exercer, mais elle note en même temps que
ces éléments purement nationaux peuvent entraver l'application uniforme d'un
règlement européen.

65
Cf. Baeck J., Criel S. et Wagner K., Beslag- en executierecht, Bruxelles, Larcier, 2019, 5, Ch. 2, section 1 "indirect
executiemiddel".
66
Ceci mérite d'être quelque peu nuancé dans la mesure où il vise un effet "dissuasif", conformément à l'article 83.1 du RGPD.
67
Arrêt de la Cour d’appel de Bruxelles (Chambre 19 A, Cour des marchés) du 19 février 2020, 2019/AR/1600.
68
Chambre Contentieuse, Politique en matière d'astreinte, 23 décembre 2020, disponible via:
https://www.autoriteprotectiondonnees.be/publications/politique-en-matiere-d-astreinte.pdf, 3.

Décision quant au fond 1132024 — 62/70

Une telle mesure, qui retarde et alourdit la procédure, doit donc en tout état de cause
être interprétée de manière restrictive, en ce sens qu'elle ne doit pas interférer avec
les objectifs du législateur en ce qui concerne les pouvoirs conférés à l'autorité.

b) Comme déjà indiqué, la nature de l'astreinte est en outre fondamentalement différente
de celle d'une amende administrative en tant que mesure de sanction dans sa forme la
plus pure. L'astreinte vise - comme le dit le terme en français - à "astreindre" une partie
à faire quelque chose afin de rendre une situation de fait conforme, sur le plan juridique,
à la décision de la Chambre Contentieuse.69

La doctrine de référence affirme clairement qu'une astreinte n'est pas une sanction
pénale70, mais plutôt un moyen d'exécution indirect 71. Elle a pour but l'exécution de
l'injonction que la Chambre Contentieuse impose à la partie. 72 En ce sens, le choix de
cette mesure coercitive relève exclusivement des compétences de la Chambre
Contentieuse, et une partie n'a pas à s'exprimer quant à sa mise en œuvre préalablement
à la décision. Le fait que l'astreinte n'ait pas de montant fixe et qu'elle soit conditionnelle,
en ce sens qu'elle ne se manifeste qu'après l'inaction d'une partie, n'y change rien.
Le législateur national a jugé opportun de conférer la compétence à la Chambre
Contentieuse pour une situation telle qu'en l'espèce, et la volonté du législateur doit
donc être reconnue et respectée.

194. Les décisions de la Chambre Contentieuse n'ont pas de valeur de précédent. 73 A maiore ad
minus, les documents stratégiques de la Chambre Contentieuse ne sont pas contraignants.
La Chambre Contentieuse reconnaît que de tels documents suscitent la confiance du public,
mais elle rappelle qu'elle souhaite communiquer de manière transparente et proactive avec
le public, tout en étant soumise aux développements juridiques dont elle est saisie.

195. Le fait que l'astreinte n'ait pas été évoquée au cours de la procédure n'a pas d'importance et
n'est pas exigé par la loi : la Cour de justice a confirmé à plusieurs reprises que l'autorité de

69
Wagner K., Astreinte, Bruxelles, Story-Scientia, 2003, § 7 : "Elle [l'astreinte], en tant qu'incitation à l'exécution, n'est jamais
destinée à être effectivement perdue". Lorsque la Chambre Contentieuse se réfère à la doctrine et à la jurisprudence en
matière d'astreintes civiles, il convient de noter que c'est à des fins d'encadrement juridique. L'instrument prévu par la LCA est
un pouvoir de droit administratif et est donc différent.
70
Wagner K., Dwangsom, Bruxelles, Story-Scientia, 2003, § 20.
71
Ibid., § 5.
72
Cf. mutatis mutandis, Wagner K., o.c., § 6: “Het doel van de dwangsom is de rechtstreekse uitvoering van de verbintenissen
te waarborgen. Le but de l'astreinte est de garantir l'exécution directe des obligations. (NdT : traduction libre réalisée par le
Service traduction de l'Autorité de protection des données, en l’absence de traduction officielle).
73
Cour d’appel de Bruxelles (Chambre 19A, section Cour des Marchés) : arrêt du 1 er décembre 2021 (2021/AR/1044), § 7.0.2. ;
arrêt du 7 juillet 2021 (2021/AR/320), p. 12.

Décision quant au fond 1132024 — 63/70

contrôle disposait d'une marge d'appréciation pour déterminer les mesures appropriées lors
du traitement d'un dossier de plainte en vertu du RGPD. 74

III.3.3. Modalités d'exécution de l'astreinte : caractère accessoire

196. Il n'est pas nécessaire que l'astreinte suive immédiatement la décision de la Chambre
Contentieuse afin de donner au défendeur le temps de prendre les mesures techniques et
organisationnelles nécessaires, compte tenu également de la situation juridique peu claire
mentionnée ci-dessus.

197. L'astreinte sert de mesure accessoire aux injonctions imposées par la Chambre
Contentieuse. En ce sens, l'astreinte a un caractère conditionnel. 75

198. Un délai de 45 jours pour prévoir la mise en œuvre de l'injonction 1 et de l'injonction 2 est
suffisant pour se mettre en conformité avec celles-ci.

199. Le 46e jour de la notification de la décision ou après celui-ci (le jour de la notification est le
jour où la partie reçoit l'envoi recommandé ou le jour qui suit l'expiration du délai de retrait
de l'envoi recommandé), la Chambre Contentieuse informera le défendeur au moyen d'une
notification que ce dernier 1) se conforme suffisamment à une injonction, 2) se conforme
partiellement à une injonction, 3) ne se conforme pas à une injonction. La Chambre
Contentieuse initiera le cas échéant l'astreinte le 46 e jour ou après celui-ci au moyen de la
notification de la non-conformité en vertu de la situation deux ou trois précitée.76

200. Une astreinte de 25.000 EUR est appropriée pour l'injonction 1 par journée entamée après
l'expiration du délai de 45 jours, compte tenu également du fait que la partie défenderesse
pourrait envisager de ne pas se conformer à l'injonction en raison de son impact commercial.
L'astreinte s'applique par site Internet litigieux du défendeur et peut donc s'élever à
100.000 euros par jour pour le défendeur.

201. Une astreinte de 25.000 EUR est appropriée pour l'injonction 2 par journée entamée après
l'expiration du délai de 45 jours, compte tenu également du fait que la partie défenderesse
pourrait envisager de ne pas se conformer à l'injonction en raison de son impact commercial.

74
Arrêt de la Cour de justice du 16 juillet 2020, Data Protection Commissioner c. Facebook Ireland Ltd et Maximilian Schrems
("Schrems II"), C-311/18, § 111.
75
Cf. Baeck J., Criel S. et Wagner K., Beslag- en executierecht, Bruxelles, Larcier, 2019, 5, Ch. 2, section 2 “Voorwaardelijkheid”.
76
Le Conseil d'État ne peut imposer une astreinte qu'après que la partie ne se soit pas conformée à un arrêt antérieur ; bien
que la Chambre Contentieuse ne soit pas soumise à une telle limitation légale, il semble raisonnable de prévoir également un
délai de conformité à cet effet, afin que le défendeur puisse se conformer.
Voir l'art. 36 des lois sur le Conseil d’État, coordonnées le 12 janvier 1973 ; Arrêté royal du 2 avril 1991 déterminant la procédure
devant la section du contentieux administratif du Conseil d’État en matière d'injonction et d'astreinte.
Voir également Van Eeckhoutte D., "L’astreinte et l’injonction dans le contentieux administratif en Belgique", Administration
Publique : revue du droit public et des sciences administratives, 2010, Éd. 33, (426)429.

Décision quant au fond 1132024 — 64/70

L'astreinte s'applique par site Internet litigieux du défendeur et peut donc s'élever à
100.000 euros par jour pour le défendeur.

202. L'astreinte s'applique par site Internet litigieux du défendeur et peut donc atteindre jusqu'à
200.000 euros par jour pour le défendeur. Ce montant est considéré comme proportionné
compte tenu de l'ampleur des activités du défendeur et de l'impact potentiel des violations
sur les droits et libertés des personnes concernées.

203. La Chambre Contentieuse souligne que ce montant n'est pas censé être une sanction, mais
un moyen efficace d'assurer le respect des injonctions. L'objectif est d'inciter le défendeur
à se conformer rapidement et intégralement aux mesures imposées, en tenant compte de
la capacité financière77 de l'entreprise et des bénéfices potentiels qui pourraient résulter du
non-respect.

204. Si le défendeur peut démontrer que le respect intégral dans le délai donné est impossible
malgré tous les efforts raisonnables, il a la possibilité de soumettre une demande motivée
de prolongation à la Chambre Contentieuse avant l'expiration du délai.

205. L'astreinte est acquise par jour, avec un montant maximum pour le total des astreintes
acquises de 10.000.000 (dix millions) d'euros.

III.3.4. Visualisation de la chronologie du suivi des injonctions et de l'astreinte acquise

206. À titre purement illustratif pour la bonne compréhension des parties et de tout autre lecteur
de la présente décision, la chronologie est indiquée ici en ce qui concerne l'exécution de la
décision. En tout état de cause, en cas d'ambiguïté entre cette représentation visuelle et le
texte de la présente décision, c'est le texte de la décision qui prévaut :

77
Cf. les comptes annuels du défendeur déposés à la Banque nationale de Belgique, disponibles via :
https://consult.cbso.nbb.be/consult-enterprise/0439849666.

65/70

66/70

III.4. Exécution par provision

207. Dans le cadre de l'exécution par provision, la Chambre Contentieuse prend connaissance en
particulier de la requête et de l'argumentation du défendeur en la matière :

"10e moyen (à titre subsidiaire) : Pas d'exécution par provision". Le défendeur invoque en la
matière des "raisons particulières" et renvoie à cet égard à la jurisprudence de la Cour des
marchés en vertu de laquelle un recours effectif n'est possible que "lorsque la partie
requérante n'est pas mise sous pression de payer immédiatement une amende et/ou de se
conformer immédiatement aux dispositions de la décision contestée". (NdT : traduction libre
réalisée par le Service traduction de l'Autorité de protection des données, en l’absence de
traduction officielle).

208. Le défendeur formule donc – en se référant à la jurisprudence de la Cour des marchés – la
demande légitime de suspendre dans ce cas l'exécution par provision, car elle met la
pression sur les parties dans le cadre (de l'issue) d'une éventuelle procédure de recours.

209. La Chambre Contentieuse rejette la requête de suspension de l'exécution par provision pour
les raisons suivantes.

210. Premièrement, l'exécution par provision est la situation standard pour le législateur
national. Le législateur européen a accordé à l'autorité de contrôle la compétence de
prendre des mesures : c'est donc l'autorité qui décide quelle mesure (correctrice) est la plus
appropriée pour – au besoin – inciter la partie défenderesse à réagir ou lui imposer cette
mesure.78

211. Le fait qu'un recours soit possible auprès d'une instance judiciaire après une quelconque
décision en la matière n'affecte pas les pouvoirs de l'autorité. À la lumière de la séparation
des pouvoirs, le pouvoir judiciaire doit évaluer a posteriori si l'autorité de contrôle a agi dans
le cadre légal et dans le cadre de ses compétences discrétionnaires. Lorsque le juge exerce
son propre pouvoir de suspendre l'exécution, il s'agit d'une décision relevant de sa
compétence d'évaluation.

212. Au regard de la crédibilité des compétences que les législateurs européen et national ont
confiées à l'autorité, la situation standard ne peut pas être la suspension de l'exécution des
décisions et mesures prises par une autorité dès qu'une partie en fait la demande. En effet,
si telle était la situation standard, elle éroderait toute l'intention du législateur d'agir de
manière énergique et efficace dans une société numérique. Cela ne correspond pas à la
conception téléologique des compétences accordées à l'autorité en vertu du RGPD.

78
Arrêt de la CJUE du 7 décembre 2023, UF et AB c. Land Hessen (Schufa), affaires jointes C-26/22 et C-64/22,
ECLI:EU:C:2023:958, spécifiquement le § 68 ; Il s'agit bien entendu du jugement initial concernant de telles mesures, et non de
la question relative à la pleine juridiction en cas de recours intenté.

Décision quant au fond 1132024 — 67/70

213. En ce sens, il est bel et bien dans l'intention tant du législateur européen que du législateur
belge qu'une partie à l'égard de laquelle la Chambre Contentieuse prend des mesures se
conforme sans délai excessif aux décisions de l'autorité. Une fois de plus, la Chambre
Contentieuse souligne que cela ne signifie pas que la suspension n'est pas possible, mais
seulement s'il existe des motifs sérieux de le faire (incluant, dans un cas extrême, les
difficultés financières irréversibles d'une entreprise lors de l'imposition d'une amende
administrative).

214. Deuxièmement, lorsque l'exécution par provision n'est pas suspendue et que la décision
s'avère par la suite déficiente, la réparation en droit est en tout état de cause possible, étant
donné que les arrêts de la Cour des marchés constituent le jugement de fond final dans les
affaires concernées. En l'espèce, absolument rien n'indique qu'une telle réparation en droit
serait difficile ou impossible, étant donné qu'aucune mesure irréversible n'est prise à
l'encontre du défendeur. Il en aurait peut-être été autrement si une amende administrative
(élevée) avait été imposée, un cas auquel le défendeur se réfère également à la lumière de
sa requête.

215. Si des mesures lourdes sont imposées à un défendeur, par exemple dans une situation où la
loi n'est manifestement pas claire79, la suspension de l'exécution pourrait bien être
envisagée, c'est pourquoi le législateur a prévu cette option facultative.

216. À la lumière de la présente affaire, la Chambre Contentieuse a estimé qu'il existait en effet
auparavant une ambiguïté juridique concernant l'interprétation de certaines exigences de
consentement relatives aux cookies - en raison notamment d'une ambiguïté concernant
l'interaction entre le RGPD et la directive ePrivacy ; cette ambiguïté a toutefois été clarifiée
entre-temps par la Cour de justice80. L'APD a pris position, en tant qu'institution, sur la mise
en œuvre correcte du consentement à la lumière des bannières de cookies.

217. En outre, le fait que cinq entreprises de médias similaires aient accepté une transaction qui
reflétait la position de l'APD telle qu'elle ressort de la Check-list Cookies81 indique clairement
que la situation juridique ne peut pas être manifestement floue. On peut souligner par ailleurs
que les tribunaux citent couramment la position des autorités de contrôle sur les cookies et
autres dispositifs de traçage et les considèrent donc comme faisant autorité, sans que cela
ne signifie quoi que ce soit en termes d'applicabilité en tant que norme.82

79
Compte tenu du fait que la Chambre Contentieuse ne peut pas soumettre de question préjudicielle aux instances judiciaires
compétentes.
80
Voir entre autres l'arrêt de la CJUE du 27 octobre 2022, Proximus c. APD, C-129/21, ECLI:EU:C:2022:833, réponse à la
première question préjudicielle de la Cour des marchés ; voir la modification législative concernant les compétences de l'APD
d'intervenir au sujet des cookies.
81
Décisions de la Chambre Contentieuse du 1er décembre 2023 (159/2023, 160/2023, 161/2023 et 162/2023) et du
5 décembre 2023 (164/2023).
82
À titre d'illustration : Tribunal d'Amsterdam, jugement en référé, 7 juin 2024, ECLI:NL:RBAMS:2024:3331, disponible via :
https://uitspraken.rechtspraak.nl/details?id=ECLI:NL:RBAMS:2024:3331, § 5.7.

Décision quant au fond 1132024 — 68/70

IV. Publication de la décision

218. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données.

219. Vu que le défendeur est une entreprise de médias d'une taille considérable et d'une portée
sociétale tout aussi considérable, et que les activités de traitement de données à caractère
personnel concernent une partie importante de la population belge et - plus largement -
néerlandophone, la Chambre Contentieuse considère qu'il est approprié de divulguer
l'identité du défendeur ainsi que les noms des sites Internet litigieux. Ceci est d'ailleurs
conforme à la pratique de transparence adoptée par la Chambre Contentieuse dans des
procédures similaires impliquant des acteurs similaires dans les secteurs des médias qui ont
conduit à des décisions de transaction, bien que ces procédures n'aient pas abouti à la
conclusion de violations effectives ou à l'imposition de mesures d'exécution.

220. L'identité du représentant du plaignant est également importante pour la bonne
compréhension de la procédure, vu les éléments de procédure formulés par le défendeur
concernant la pratique consistant à mandater ce représentant. À cet égard, on peut noter
que le représentant lui-même a divulgué les circonstances de cette procédure - y compris
l'identité du défendeur - sur son site Internet. De plus, il est important d'indiquer de manière
transparente les différences fondamentales dans l'évaluation de la procédure dans ce
dossier par rapport à d'autres dossiers - où la Chambre Contentieuse a bel et bien conclu à
un manquement dans le mandat donné au même représentant.

Décision quant au fond 1132024 — 70/70

Un tel recours peut être introduit au moyen d'une requête contradictoire qui doit comporter les
mentions énumérées à l'article 1034ter du Code judiciaire83. La requête contradictoire doit être
déposée au greffe de la Cour des marchés conformément à l'article 1034quinquies du Code
judiciaire84, ou via le système informatique e-Deposit de la Justice (article 32ter du Code judiciaire).

(sé.) Hielke HIJMANS

Président de la Chambre Contentieuse

83
"La requête contient à peine de nullité :
1° l'indication des jour, mois et an ;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d'entreprise ;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer ;
4° l'objet et l'exposé sommaire des moyens de la demande ;
5° l'indication du juge qui est saisi de la demande ;
6° la signature du requérant ou de son avocat."
84
"La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe."