APD/GBA (Belgium) - 12/2019

1/44

Chambre contentieuse

Décision quant au fond 12/2019
du 17 décembre 2019

Numéro de dossier : DOS-2019-01356

Objet : Amende pour atteintes commises par un site web à ses obligations de transparence
et de consentement en matière de cookies

La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Dirk Van Der Kelen et Frank De Smet, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données, ci-après "RGPD");

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après la
"LCA");

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;

Vu les pièces du dossier ;

.
.
.

Décision quant au fond 12/2019 - 2/44

a pris la décision suivante concernant :

- le responsable du traitement : X, agissant sous le nom " Y" ; ayant pour conseil M. Z, avocat
du bureau W ;

1. Faits et procédure

Enquête du Service d'Inspection

Le 27 février 2019, le Comité de direction de l'Autorité de protection des données (ci-après "APD") a
décidé de saisir le Service d'Inspection de l'APD de l'affaire sur la base de l'article 63, 1° de la LCA.
Cette saisie du Service d'Inspection était motivée par la politique de confidentialité (entre autres la
déclaration de confidentialité et les bannières d'information y afférentes) et la gestion des cookies du
site Internet géré par le défendeur ("Y", ci-après le "site Internet"). Ce site Internet est spécialisé dans
les actualités juridiques de, pour et au sujet des professionnels du droit, avec une portée mensuelle
autoproclamée de 35.000 lecteurs.

Le Service d'Inspection de l'APD a informé le défendeur de cette décision du Comité de direction de
l'APD par courrier du 26 mars 2019.

Le Service d'Inspection a ensuite mené une enquête au sujet du site Internet et a ainsi visité une
première version du site Internet le 12 mars 2019 (" première version"), une deuxième version
("deuxième version") le 29 avril 2019 et une troisième version ("troisième version") le 29 mai 2019.

Le Service d'Inspection a envoyé au défendeur deux courriers, le 26 mars 2019 et le 29 avril 2019,
reprenant les constats de violations supposées du RGPD, lu conjointement avec la loi du 13 juin 2005
relative aux communications électroniques (ci-après la "LCE").

Dans le rapport final du 29 mai 2019 (ci-après le "Rapport d'inspection"), le Service d'Inspection a
constaté qu‘entre la première prise de contact le 26 mars 2019 et les constatations du 29 mai 2019,
le défendeur avait procédé à des adaptations, entraînant – sur la troisième version du site Internet –
une plus grande conformité (bien que partielle) de sa politique de confidentialité et de sa gestion des
cookies avec le RGPD.

Au cours de l'enquête du Service d'Inspection, différentes violations du RGPD ont été constatées, dont
les principales – y compris les violations entre-temps résolues – sont énoncées ci-dessous :

Décision quant au fond 12/2019 - 3/44

o Constats concernant la transparence des informations et des communications et les
modalités de l’exercice des droits de la personne concernée (article 12 du RGPD) :
 le 12 mars 2019, le Service d'Inspection a constaté que la déclaration de
confidentialité sur le site Internet n'était disponible qu'en anglais, alors que le
site Internet s'adressait à un public francophone et néerlandophone ; les
informations n'étaient pas aisément accessibles pour les personnes
concernées et on y faisait référence à la "US privacy law". En outre, la mention
selon laquelle "votre adresse IP" ne constitue pas une donnée à caractère
personnel était contraire à l'article 12 du RGPD, car cette mention est
contraire à la définition des données à caractère personnel à l'article 4.1 et
au considérant 30 du RGPD. Ces manquements ont été résolus étape par
étape par le défendeur1.
 le 12 mars 2019, le Service d'Inspection a constaté que la politique de
confidentialité et la gestion des cookies n'étaient pas aisément accessibles
pour les personnes concernées ;
 le 29 avril 2019, le Service d'Inspection a constaté que la page d'accueil du
site Internet contenait un hyperlien "Privacy Policy" et que le renvoi vers la
"US privacy law" (et au "California Online Privacy Protection Act") avait été
supprimé.

o Constats concernant les informations à fournir lorsque des données à caractère
personnel sont collectées auprès de la personne concernée (article 13 du RGPD) :
 la déclaration de confidentialité de la première version du site Internet ne
mentionnait pas l'identité ni les coordonnées du responsable du traitement.
Ce n'est que le 29 mai 2019 que le défendeur a mentionné explicitement dans
la déclaration de confidentialité que "X" était le responsable du traitement, en
y ajoutant ses coordonnées, après que le Service d'Inspection ait précisé par
courrier que la première adaptation de la déclaration de confidentialité du
29 avril 2019 n'était selon lui pas suffisamment claire (on y mentionnait " X"
ainsi que ses coordonnées, sans mentionner explicitement que cette société
était le responsable du traitement) ;
 la déclaration de confidentialité de la première version du site Internet ne
mentionnait ni les droits que les personnes concernées peuvent invoquer, ni
le fondement juridique du traitement, ni les finalités de traitement, ni le droit
des personnes concernées de porter plainte auprès de l'Autorité de protection

1
Rapport d’inspection, p. 5.

Décision quant au fond 12/2019 - 4/44

des données, ni même un délai de conservation pour les données à caractère
personnel collectées par des cookies.2

o Constats relatifs à l'obligation en matière de consentement (article 6 du RGPD,
articles 4, 11 juncto 7 du RGPD et considérant 32 du RGPD, lu conjointement avec
l'article 129 de la LCE), comprenant les éléments suivants :

 dans les deux premières versions du site Internet, la déclaration de
confidentialité ne comportait aucune demande de consentement pour
l'utilisation de cookies, et ce ni pour les cookies du responsable du traitement,
ni pour les cookies de Google ;
 dans la dernière version du site Internet analysée par le Service d'Inspection
avant son premier rapport, les préférences pour l'utilisation de cookies étaient
certes demandées à l'utilisateur du site Internet, mais le consentement était
obtenu par le biais de cases pré-cochées, ce qui ne peut constituer un
consentement valable selon le considérant 32 du RGPD.

Le 29 avril 2019, le Service d'Inspection a constaté que la politique de confidentialité et la gestion des
cookies n'étaient pas encore conformes à l'article 13 du RGPD, comme il ressort de la colonne 2 de
l'énumération reprise ci-après :
- les informations mentionnées ne précisent pas explicitement qui est le responsable du
traitement ;
- pour porter plaine, il est fait référence à l'autorité néerlandaise de protection des données
qui n'est pas compétente en Belgique.

Le 29 mai 2019, selon le Service d'Inspection, la politique de confidentialité et la gestion des cookies
étaient justifiées à la lumière l'article 13 du RGPD sur la page https://Y/privacy-policy/. Le Service
d'Inspection se réfère à cet égard à la colonne 3 du tableau ci-dessous.3

Colonne 1 Colonne 2 Colonne 3

Politique de confidentialité Politique de confidentialité Politique de confidentialité et
et gestion des cookies sur et gestion des cookies sur gestion des cookies sur la
la page Internet la page Internet page
https://Y/privacy-policy https://Y/privacy-policy Internethttps://Y/privacy-
policy/

2
Constatations du Service d'Inspection du 12 mars 2019.
3
Rapport d’inspection, p. 7.

Décision quant au fond 12/2019 - 5/44

le 12/3/2019 (pièces 4 et le 29/4/2019 (pièces 8 et le 29/5/2019 (pièces 13 et
7) 9) 14)

a. L'identité du a. On mentionne a. On mentionne
responsable du "X", sans indiquer explicitement que "X"
traitement et ses explicitement qu'il est responsable du
coordonnées ne est le responsable traitement des
sont pas du traitement ; données à caractère
mentionnées ; b. Les finalités du personnel ;
b. Les finalités de traitement et le b. Les finalités du
traitement fondement traitement et les
auxquelles les juridique sont fondements
données à mentionnés, mais juridiques sont
caractère avec peu expliqués clairement.
personnel sont d'explications. On
destinées ainsi que se réfère ainsi à
la base juridique "notre service" et
du traitement ne à une "obligation
sont pas légale", sans
mentionnées ; préciser de quels
services ni de
quelle législation il
s'agit
concrètement.
c. On mentionne des
délais de
conservation, c. Les délais de
mais avec peu conservation sont
c. La durée de d'explications. On clairement reliés aux
conservation des se réfère ainsi à activités de
données à des "obligations traitement.
caractère administratives
personnel ou les d'application",
critères utilisés sans spécifier de
pour déterminer quelles obligations
cette durée ne sont il s'agit
pas mentionnés ; concrètement.

Décision quant au fond 12/2019 - 6/44

d. On mentionne les
droits des d. On mentionne les
personnes droits des personnes
concernées dans concernées dans
d. Les droits que les différents différents
personnes paragraphes qui paragraphes qui sont
concernées sont chaque fois chaque fois pourvus
peuvent invoquer pourvus d'un titre d'un titre propre.
ne sont pas propre. e. On mentionne le
mentionnés ; e. On mentionne le droit des personnes
droit des concernées de porter
personnes plainte auprès de
concernées de l'Autorité de
porter plainte protection des
auprès de l' données ("APD"),
"Autoriteit avec un hyperlien
e. Le droit des Persoonsgege- vers la page
personnes vens". Cette concernée du site
concernées de dénomination Internet de l'APD.
porter plainte n'est pas correcte,
auprès de l'Autorité car c'est l'Autorité
de protection des de protection des
données n'est pas données qui est
mentionné. compétente en
Belgique.

Le 29 mai 2019, la politique de confidentialité et la gestion des cookies du site Internet n'était, selon
le Service d'Inspection, "pas encore en conformité avec l'article 4, 11) juncto 7 du RGPD ni avec
l'article 129 de la LCE", comme il ressort de la colonne 3 du tableau ci-dessous et des commentaires
suivants du Service d'Inspection “4:
- "on se réfère à "notre intérêt légitime" comme fondement juridique pour les
cookies utilisés "en vue de simplifier votre utilisation du site Internet et de collecter
des données statistiques relatives à l'utilisation du site Internet" (pièces 13 et 14),
alors qu'un consentement est requis à cet égard car ces cookies ne sont pas
nécessaires.

4
Rapport d’inspection, p. 9, au titre "constatation relative à l'obligation en matière de consentement (articles 4,11), 6 et 7 du
RGPD et article 129 de la LCE".”.

Décision quant au fond 12/2019 - 7/44

C'est ce qui ressort de l'explication à la page 11, au titre "4.3 Analytique
d'origine", de l'Avis 04/2012 sur l’exemption de l’obligation de consentement pour
certains cookies du Groupe de travail article 29 sur la protection des données,
disponible à l'adresse https://ec.europa.eu/justice/article-
29/documentation/opinion-recommendation/files/2012/wp194_fr.pdf et du texte
de l'article 129 de la LCE.
Dès lors, pour le traitement de
données à caractère personnel dans ce contexte spécifique, aucun
fondement juridique valable tel qu'imposé par l'article 6 du RGPD n'est
prévu ;
- en violation de l'article 4, 11) et de l'article 7 du RGPD, la fenêtre de cookies sur
le site Internet https://Y/ (de même que sur la version en français https://Y/fr/)
comporte des cases déjà cochées (ce qui, d'après le considérant 32 du RGPD, ne
vaut pas consentement) et ne comporte pas de bouton pour refuser les cookies ;
- le texte de la version française précitée est rédigé en néerlandais". ”

Colonne 1 Colonne 2 Colonne 3

Politique de confidentialité Politique de confidentialité Politique de confidentialité
et gestion des cookies sur et gestion des cookies sur et gestion des cookies sur
la page Internet la page Internet la page Internet
https://Y/privacy-policy https://Y/privacy-policy https://Y/privacy-policy
le 12/3/2019 (pièces 4 et le 29/4/2019 (pièces 8 et le 29/5/2019 (pièces 13 et
7) 9) 15)

a. Le consentement a. Le consentement a. Dans la politique
pour l'utilisation pour l'utilisation de confidentialité
de cookies par le de cookies par le et la gestion des
responsable du responsable du cookies sur la
traitement ou par traitement ou par page Internet
Google n'est pas Google n'est pas https://Y/privacy-
demandé aux demandé aux policy/, on
personnes personnes mentionne à juste
concernées ; concernées ; titre que le
consentement est
demandé pour
l'utilisation de
cookies qui ne
sont pas

Décision quant au fond 12/2019 - 8/44

strictement
nécessaires. On se
réfère toutefois à
tort à "notre
intérêt légitime"
comme
fondement
juridique pour les
cookies qui sont
utilisés " en vue
de simplifier votre
utilisation du site
Internet et de
collecter des
données
statistiques
relatives à
l'utilisation du site
Internet" (pièces
13 et 14).
Un autre
manquement
concerne la
fenêtre de cookies
qui apparaît au
bas de l'écran
lorsque l'on ouvre
pour la première
fois le site
Internet
https://Y/ ou la
version française
https://Y/fr/
(pièce 15) :
- Cases déjà
cochées pour
les
préférences

Décision quant au fond 12/2019 - 9/44

en matière de
cookies (ce
qui, d'après le
considérant
32 du RGPD,
ne vaut pas
consentement
);
- il y a un
bouton "OK"
pour accepter
les cookies,
mais il n'y a
pas de bouton
pour refuser
les cookies ;
- le texte de la
fenêtre de
cookies sur la
version
française
https://Y/fr/
est rédigé en
néerlandais.

b. On ne mentionne b. On ne mentionne b. On mentionne
pas comment les pas comment les comment les
personnes personnes personnes
concernées concernées concernées
peuvent retirer un peuvent retirer un peuvent retirer un
consentement consentement consentement
donné pour donné pour donné sous un
l'utilisation de l'utilisation de titre distinct du
cookies par le cookies par le texte.
responsable du responsable du

Décision quant au fond 12/2019 - 10/44

traitement ou par traitement ou par
Google. Google.

(Rapport d'inspection, p. 9)

Dans le Rapport d'inspection, le Service d'Inspection défend la position selon laquelle le défendeur a
une fonction d'exemple en ce qui concerne le respect du RGPD, vu l'expertise juridique qui est diffusée
par le site Internet.

Le Service d'Inspection a transmis son rapport du 3 juin 2019 à la Chambre Contentieuse, en vertu de
l'article 92, 3° de la LCA.

Procédure devant la Chambre Contentieuse

En séance du 26 juin 2019, la Chambre Contentieuse a décidé, en vertu de l’article 98 de la LCA, que
le dossier pouvait être traité sur le fond.

Le 28 juin 2019, le défendeur a été informé par courrier recommandé de cette décision ainsi que du
Rapport d'inspection et de l'inventaire des pièces du dossier qui a été transmis à la Chambre
Contentieuse par le Service d'Inspection. De même, le défendeur a été informé des dispositions de
l'article 98 de la LCA et, en vertu de l'article 99 de la LCA, il a été informé des délais pour introduire
ses conclusions. La date limite pour la réception des conclusions en réponse du défendeur a été fixée
au 29 juillet 2019.

Le 29 juillet 2019, la Chambre Contentieuse a reçu les conclusions en réponse de la part du défendeur.

Le défendeur a reconnu que certaines mentions obligatoires n'étaient pas reprises dans une ou
plusieurs des versions successives de la déclaration de confidentialité du site Internet qui ont été
analysées par le Service d'Inspection. Le défendeur a expliqué que ces mentions manquantes avaient
entre-temps été ajoutées (dans le courant de la première enquête ou après la clôture du premier
Rapport d'inspection) à la Déclaration de confidentialité (quatrième version du site Internet – juillet
2019).

Dans ses conclusions, le défendeur remettait en question les constatations du Service d'Inspection en
ce qui concerne le déroulement effectif du processus de consentement sur le site Internet. Le
défendeur affirmait en effet que les cookies pour la collecte de données statistiques n'étaient collectés
"qu'après le consentement des personnes concernées ", et ce malgré la mention contraire à cet égard

Décision quant au fond 12/2019 - 11/44

dans la version précédente de la Déclaration de confidentialité (mai 2019). Le défendeur affirme que
la Déclaration de confidentialité du site Internet avait entre-temps été adaptée à la réalité.

Par ailleurs, les conclusions du défendeur précisent ce qui suit, pour autant que cela soit pertinent
pour la décision de la Chambre Contentieuse :

(1) en ce qui concerne les constatations du Service d'Inspection selon lesquelles aucun
consentement n'était demandé préalablement au placement de certains cookies, à savoir ceux
de "Google Analytics”, "Google Tag manager" et "Google Adsense" ”:5 “Avant l'adaptation du
site Internet, les visiteurs étaient seulement informés du fait que le site Internet utilisait des
cookies. La fenêtre de cookies qui [sic] sur le site Internet pouvait uniquement être fermée.
Les cookies utilisés à ce moment étaient identiques aux cookies qui sont encore utilisés
actuellement sur le site Internet (cf. relevé dans la déclaration des cookies). Ces cookies
avaient dès lors pour seul but (1) de permettre le fonctionnement du site Internet, (2) de
permettre certains services (lecture de vidéos, partage d'articles sur Linkedin, etc.)
et (3) d'analyser l'utilisation du site Internet et de générer des statistiques)". [Tous les
passages cités dans la présente décision ont été traduits librement par le Secrétariat de
l'Autorité de protection des données, en l’absence de traduction officielle].

Le défendeur donne un relevé des cookies qui étaient présents sur le site Internet le 6 juillet
2019. Cette liste a été établie par le défendeur à l'aide de l'application " Cookiebot" qui fournit
un scan des cookies sur le site Internet6. Le défendeur affirme que cette énumération reflète
les cookies qui étaient utilisés avant l'adaptation du site Internet, c'est-à-dire avant la clôture
du premier Rapport d'inspection ("Les cookies qui étaient utilisés à ce moment étaient
identiques aux cookies qui sont encore utilisés actuellement sur le site Internet") 7.

(2) en ce qui concerne les récentes adaptations du site Internet : le défendeur demande de
déterminer l'éventuelle sanction en tenant compte du fait que des mesures complémentaires
ont chaque fois été prises pour le site Internet, suite aux constatations du Service d'Inspection.
Il souligne "l'intention de respecter strictement ses obligations découlant du RGPD (et de la
législation nationale)" et que "les adaptations que [le site Internet] a implémentées (et en
particulier les conséquences induites par ces adaptations) témoignent de cette intention" .

L'affaire a été discutée quant au fond pour la première fois par la Chambre Contentieuse lors de sa
séance du 15 octobre 2019.

5
Pièce 2 du Rapport d'inspection.
6
Voir les services Cookiebot tels que proposés sur la page web suivante : https://www.cookiebot.com/en/functions/.
7
Conclusions du défendeur, p. 8.

Décision quant au fond 12/2019 - 12/44

La Chambre Contentieuse a constaté que la liste sous 1) ne reprenait pas certains cookies, dont le
Service d'Inspection a constaté la présence sur le site Internet, à savoir les cookies de " Google
Analytics", "Google Tag Manager" et "Google Adsense".

Vu la disparité, de prime abord, entre le Rapport d'inspection et les conclusions d'une part, et vu les
nouveaux faits invoqués par le défendeur (l'adaptation du site Internet en vue de respecter le RGPD)
d'autre part, la Chambre Contentieuse a décidé en séance que pour traiter cette affaire, des
informations complémentaires étaient nécessaires concernant (a) les cookies qui ont été/sont utilisés
par le site Internet et (b) la manière dont la version la plus récente du site Internet a respecté les
obligations du RGPD en matière de consentement (y compris son retrait) ainsi que ses obligations
d'information en matière de cookies.

La Chambre Contentieuse a également décidé d'attirer l'attention du défendeur sur l'arrêt " Planet49"
de la Cour de justice de l'Union européenne du 1er octobre 20198, qui porte notamment sur la manière
dont on doit obtenir le consentement pour l'utilisation de cookies en vertu de l'article 7 du RGPD et
qui donne une interprétation claire quant à l'ampleur des obligations d'information en vertu de l'article
13 du RGPD (notamment la durée pendant laquelle les cookies restent actifs et si des tiers peuvent
ou non accéder aux données à caractère personnel collectées par les cookies). La Chambre
Contentieuse a informé le défendeur qu'elle tiendrait compte de ce nouvel arrêt dans sa décision et a
donné au défendeur la possibilité de transmettre son opinion à ce sujet.

Étant donné la possibilité pour la Chambre Contentieuse de soumettre certaines violations du RGPD
(telles que des violations aux principes de base en matière de traitement, incluant les conditions pour
le consentement conformément aux articles 5, 6, 7 et 9) à une amende administrative correspondant
à un pourcentage du chiffre d'affaires annuel de l'exercice précédent, la Chambre Contentieuse a
également décidé de reprendre les trois comptes annuels les plus récents du défendeur en tant que
pièce dans la procédure et de donner en l'espèce au défendeur la possibilité de s'informer au besoin
quant à l'exactitude des données y reprises, plus particulièrement en ce qui concerne le chiffre
d'affaires.

Enfin, la Chambre Contentieuse a décidé, en vertu des articles 98 et 99 de la LCA, d'inviter le défendeur
à une audition. Par courrier du 17 octobre 2019, la Chambre Contentieuse a informé le défendeur de
la date et de l'heure de l'audition (6 novembre 2019).

8
CJUE, 1er octobre 2019, C-673/17, Bundesverband der Verbraucherzentralen und Verbraucherverbande – Verbraucherzentrale
Bundesverband c. Planet49 GmbH, ECLI:EU:C:2019:801 ("Planet49").).

Décision quant au fond 12/2019 - 13/44

Dans ce courrier, la Chambre Contentieuse demandait au défendeur de préparer des questions en vue
de l'audition, avec la possibilité le cas échéant de déposer des pièces supplémentaires avant ou
pendant l'audition.

Ce courrier informait également le défendeur du fait que le Service d'Inspection avait encore la
possibilité, pour une ou plusieurs de ces questions, de rédiger d'initiative un rapport complémentaire
conformément à l'article 63, 6° de la LCA, et que ce rapport serait le cas échéant envoyé par e-mail
au moins cinq jours ouvrables avant la séance.

La Chambre Contentieuse a transmis une copie de ce courrier au Service d'Inspection.
Le 24 octobre 2019, le Service d'Inspection a transmis son rapport complémentaire à la Chambre
Contentieuse. Ce Rapport d'inspection a été communiqué au défendeur par e-mail le 29 octobre 2019.

Ce rapport fournit les informations suivantes concernant les questions que la Chambre Contentieuse
a posées au défendeur :

- Le Service d'Inspection a fourni une capture d'écran des informations " Cookiebot" qu'il a pu
observer sur le site Internet les 17 et 20 octobre 2019, avec l'explication suivante : "Dans les
faits, tous les cookies qui ont été utilisés le 29 juillet 2019 ne sont plus utilisés à l'heure
actuelle. En effet, pour le constater, il suffit de comparer les cookies mentionnés dans la
Consent Management Page de Cookiebot le 06/10/2019 et le 20/10/2019, observés
respectivement le 17/10/2019 et le 20/10/2019 par le Service d'Inspection sur le site Internet
et dont une copie est reprise ci-dessus. Si nous examinons le tableau mentionné dans la
réponse ci-dessous du Service d'Inspection à la question 2 de la Chambre Contentieuse, nous
constatons qu'il y a plus de cookies qu'annoncé. 50 cookies sont mentionnés dans le tableau.
Plusieurs d'entre eux ne sont pas déclarés ;

En réponse à la deuxième question de la Chambre Contentieuse de savoir "quels cookies de
première partie/de tierce partie sont utilisés par l'actuel site Internet", le Service
d'Inspection constate "qu'il y a 9 cookies de première partie et 41 cookies de tierce partie,
soit plus de 80 % répartis entre "Youtube.com, Google.com, Linkedin.com, Twitter.com,
doubleclick.net., etc.".

- En ce qui concerne la troisième question de la Chambre Contentieuse concernant les
obligations en matière de consentement sur l'actuel site Internet (articles 4.11 et 7 du RGPD
lu conjointement avec l'article 129 de la LCE) et la manière dont l'internaute reçoit des
informations sur le droit de retirer son consentement par après (article 7.3 du RGPD), le
Service d'Inspection fournit les informations suivantes :

Décision quant au fond 12/2019 - 14/44

“"Le consentement d'utilisateurs du site Internet […] pour le placement et la consultation de
cookies sur son appareil est demandé via un menu d'options pour les cookies qui apparaît dès
que ce site Internet est visité pour la première fois. […]
La page d'accueil présente une fenêtre contextuelle (CMP) qui donne à l'utilisateur le choix
soit d'accepter l'ensemble des cookies, soit de n'accepter que les cookies nécessaires qui sont
actifs par défaut. Deux problèmes se posent à cet égard :
 l'utilisateur ne peut pas s'exprimer sur un choix individuel, cookie par cookie. Dès lors, le
consentement ne répond pas aux exigences de consentement telles qu'imposées par
l'article 4, point 11 du RGPD étant donné qu'il n'est pas spécifique. Le Service d'Inspection
se réfère à cet égard aux considérants 61 et 62 de l'arrêt de la Cour de justice de l'Union
européenne du 1er octobre 2019 dans l'affaire C-673/179. Enfin, le Service d'Inspection
revoie à cet égard aux Lignes directrices sur le consentement au sens du Règlement
2016/679 du Comité européen de la protection des données 10. On y souligne, aux pages
13 et 14, que pour être valable en droit au sens du RGPD, le consentement doit être
spécifique ; les autres conditions auxquelles doit répondre un consentement valable au
sens du RGPD sont expliquées dans les Lignes directrices précitées.
 Même si l'utilisateur quitte immédiatement le site Internet parce qu'il ne veut pas que des
cookies soient placés, 4 cookies sont placés dès le premier chargement, avant que
l'utilisateur soit informé et se soit exprimé en quittant le site Internet. Des cookies sont
donc placés sans son consentement. […]

- En ce qui concerne la quatrième question de la Chambre Contentieuse au défendeur
"Comment l'internaute est-il informé par le […] site Internet de la durée pendant laquelle les
cookies restent actifs et des tiers peuvent-ils ou non avoir accès aux données à caractère
personnel collectées par les cookies", le Service d'Inspection apporte les informations
suivantes :

9 Les considérants 61 et 62 de l'arrêt Planet49 sont énoncés comme suit :

"61 En effet, ainsi que l’a constaté, en substance, M. l’avocat général au point 70 de ses conclusions, le libellé
de l’article 4, point 11, du règlement 2016/679, qui définit le « consentement de la personne concernée », aux
fins de ce règlement et, en particulier, de son article 6, paragraphe 1, sous a), visé par la première question, sous
c), apparaît encore plus strict que celui de l’article 2, sous h), de la directive 95/46, en ce qu’il requiert une
manifestation de volonté « libre, spécifique, éclairée et univoque » de la personne concernée, prenant la forme
d’une déclaration ou d’« un acte positif clair » marquant son acceptation du traitement des données à caractère
personnel la concernant.
"Un consentement actif est ainsi désormais expressément prévu par le règlement 2016/679. Il importe de relever
à cet égard que, selon le considérant 32 de ce règlement, l’expression du consentement pourrait se faire
notamment en cochant une case lors de la consultation d’un site Internet. Ledit considérant exclut en revanche
expressément qu’il y ait un consentement « en cas de silence, de cases cochées par défaut ou d’inactivité".
10
Groupe de travail sur la protection des données, Lignes directrices sur le consentement au sens du Règlement 2016/679,
WP259.

Décision quant au fond 12/2019 - 15/44

"[…] Après avoir cliqué sur le lien précité "notre politique en matière de cookies", la personne
concernée arrive sur la page Internet https://Y/cookies/.
On y donne des explications sur les cookies uniquement en anglais, on y trouve le lien
"Change your consent" et l'on mentionne dans un tableau différents cookies sous les intitulés
"Name", "Provider", "Purpose","Expiry" et "Type […] ".

Le Service d'Inspection fournit ensuite une version imprimée de la liste des cookies qui est mise à
disposition par le site Internet ("Cookie declaration last updated on 06/10/2019 by Cookiebot ").
Les cookies sont présentés par catégorie :
"necessary", "statistics", "marketing", "unclassified").

Le 31 octobre 2019, le défendeur a demandé – conformément à l'article 95 de la LCA – de consulter
le dossier de la Chambre Contentieuse et d'en prendre une copie. Le 31 octobre 2019, la Chambre
Contentieuse a envoyé une copie du dossier par e-mail au défendeur.

Par courrier du 4 novembre 2019, la Chambre Contentieuse a informé le défendeur du fait que
l'audition prévue le 6 novembre 2019 devait être reportée pour des questions d'organisation.
Le 7 novembre 2019, la Chambre Contentieuse a informé le défendeur d'une nouvelle date d'audition :
le 25 novembre 2019.

L'audition

Le 25 novembre 2019, l'affaire a été reprise et l'audition a eu lieu.

Les personnes suivantes étaient présentes à l'audition pour représenter le défendeur :
 Mme V, gérante ;
 M. Z, avocat ;
 Mme U, membre du personnel ;
 M. T, membre du personnel.

L'audition est enregistrée – avec l'accord du défendeur -, afin de rédiger un procès-verbal.
L'enregistrement est détruit dès qu'il y a accord quant au contenu du rapport.

Le responsable du traitement dépose une "note complémentaire suite aux questions de la Chambre
Contentieuse", un ensemble de pièces comprenant notamment des impressions du site Internet, ainsi
qu'un tableau des constatations d'infractions du Service d'Inspection et la date à laquelle il y a été
remédié.

Décision quant au fond 12/2019 - 16/44

Le défendeur donne des explications sur la création et le fonctionnement de son entreprise et déclare
que suite aux rapports d'inspection, il a investi pour mettre en ordre les cookies sur le site Internet. Il
a adapté le site Internet jusqu'au samedi précédent. De nombreux cookies ont été retirés du site
Internet. Les boutons avec des liens directs vers des sites de réseaux sociaux ont été supprimés du
site Internet, et ce par précaution, car il ne veut pas être un relais pour des tiers qui pourraient abuser
des données que ces derniers collectent potentiellement.

D'après le tableau, le consentement pour l'utilisation de cookies qui ne sont pas strictement
nécessaires n'a été demandé qu'à partir de mai 2019 sur le site Internet, alors que dans la version du
site Internet de mars et avril 2019, aucun consentement n'était demandé pour l'utilisation de cookies
par le responsable du traitement ou par Google.

Le responsable du traitement explique, en se référant à la documentation qu'il a remise, que le
traitement de données par des cookies de "Google Analytics" a lieu de manière "entièrement anonyme"
par l'attribution à chaque visiteur unique d'un numéro d'identification choisi aléatoirement. Suite à une
question de la Chambre Contentieuse, on reconnaît que la désignation d’ "anonyme" est une erreur
matérielle et doit être supprimée du texte. Le défendeur affirme également vouloir rester très prudent
en ce qui concerne la qualification de cookie de "première partie" ou de "tierce partie" des cookies
"Google Analytics". C'est pourquoi le défendeur se réfère, par souci d'exhaustivité, à la " privacy policy"
de Google.

Le défendeur présente les adaptations successives de sa "politique de confidentialité" et explique que
la manière de retirer le consentement se trouve dans la déclaration relative aux cookies et que cette
déclaration a bénéficié d'une place plus importante sur le site Internet. Au bas de chaque page, une
fenêtre "gestion des cookies" apparaît désormais. Le délai de conservation est toujours mentionné
ainsi que le fait que les cookies partagent ou non des informations avec des tiers et si les cookies sont
placés par le site Internet ou par des tiers.

Le défendeur explique que les problèmes concernant la mise à jour de la liste des cookies présents
sont dus à l'application "Cookiebot", et qu‘il a entre-temps changé de technologie pour y remédier. Il
déclare qu'à l'avenir, le monitoring des cookies sera toujours pris en compte.

D'après le défendeur, le site Internet précise dans une fenêtre de cookies que certains médias (par
exemple des vidéos) ne sont pas disponibles si les cookies de marketing ne sont pas acceptés. Tous
les cookies de marketing (et pas uniquement les cookies nécessaires pour chaque vidéo déterminée)
doivent être acceptés, parce que le système en est ainsi simplifié et que la lecture de vidéos serait
plus compliquée si le visiteur ne devait accepter que quelques cookies.

Décision quant au fond 12/2019 - 17/44

En ce qui concerne les cookies encore placés sans consentement préalable sur la dernière version
(octobre) du site Internet, le responsable du traitement explique qu'il s'agit de cookies essentiels.

Le responsable du traitement déclare que le chiffre d'affaires du site Internet est négligeable. La
Chambre Contentieuse demande ensuite au responsable du traitement de communiquer son chiffre
d'affaires des 3 derniers exercices.

Le 29 novembre 2019, le responsable du traitement a envoyé un document comptable qui indique le
chiffre d'affaires comme suit :
- exercice 2018 : 1.710.319,69 ;
- exercice 2017 : 1.175.066,83 ;
- exercice 2016 : 1.144.830,17.

La Chambre Contentieuse a envoyé le projet au défendeur le 29 novembre 2019.

Le 4 décembre 2019, le responsable du traitement a indiqué par e-mail qu'il n'avait pas de remarque
de fond quant au contenu du projet de procès-verbal. Le responsable du traitement a envoyé un
nouveau document en annexe de ce dernier e-mail : une copie de la déclaration de cookies adaptée.
Selon le défendeur, "l'erreur matérielle concernant l'anonymisation de certaines données a été
rectifiée".”.

2. Motivation
2.1 Compétence de l'Autorité de protection des données

Comme le reconnaît le défendeur, le site Internet collecte des données à caractère personnel par le
biais de la technologie des cookies11 et traite dès lors ces données à caractère personnel.

La Chambre Contentieuse est compétente pour statuer dans des affaires concernant le traitement de
données à caractère personnel, en vertu de l'article 4, § 1 de la LCA 12, de l'article 55 du RGPD13 et
dans le respect de l'article 8 de la Charte des droits fondamentaux de l’Union européenne 14.

11
D'après l'avis 04/2012 du Groupe de travail sur la protection des données sur l’exemption de l’obligation de consentement
pour certains cookies, WP208, la notion de "cookie" comporte un éventail de technologies, https://ec.europa.eu/justice/article-
29/documentation/opinion-recommendation/files/2013/wp208_fr.pdf. Le considérant 30 du RGPD explique que les personnes
physiques peuvent se voir associer des identifiants en ligne tels que des témoins de connexion (« cookies »).
12
Article 4, § 1 de la LCA : L'Autorité de protection des données est responsable du contrôle du respect des principes
fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel.”.
13
Article 55 du RGPD : "Chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est
investie conformément au présent règlement sur le territoire de l'État membre dont elle relève.”.
14
Article 8 de la Charte des droits fondamentaux de l’Union (la "Charte") 1. Toute personne a droit à la protection des
données à caractère personnel la concernant. Ces données doivent être traitées loyalement, à des fins
déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime

Décision quant au fond 12/2019 - 18/44

Il n'en reste pas moins qu'en vertu du droit belge, l'IBPT est le contrôleur recommandé pour la LCE,
y compris pour l'article 129 de la LCE qui exécute l'article 5.3 de la Directive 2002/58 15 (ci-après, la
"Directive Vie privée et communications électroniques"), conformément à l'article 14, § 1 de la loi du
17/01/2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges.
Dans son avis 5/2019 relatif à l'interaction entre la Directive Vie privée et communications
électroniques et le RGPD (qui a été promulgué en vertu de l'article 64.2 du RGPD), le Comité européen
de la protection des données (ci-après : "EDPB") a confirmé que les autorités de protection des
données sont compétentes pour appliquer le RGPD aux traitements de données, également dans le
contexte où d'autres autorités seraient compétentes, en vertu de la transposition nationale de la
Directive Vie privée et communications électroniques, pour surveiller certains éléments du traitement
de données à caractère personnel16. En outre, le tribunal de première instance néerlandophone de
Bruxelles a déjà estimé, dans un jugement du 16 février 2018 17, que le prédécesseur en droit de l'APD
était compétent pour soumettre une réquisition à un tribunal " dans la mesure où elle concerne des
violations présumées de la loi vie privée du 8 décembre 1992, à laquelle l'article 129 de la LCE, qui la
précise et la complète, se réfère d'ailleurs expressément "”18.

La compétence de l'IBPT de surveiller certains éléments du traitement – comme le placement de
cookies sur les équipements terminaux de l'internaute – ne porte pas préjudice à la compétence
générale de l'APD. L'APD est ainsi compétente pour vérifier si l'exigence de consentement pour le
placement de cookies (si d'application) est ou non conforme aux conditions de consentement du RGPD.
En outre, l'APD est compétente pour vérifier si l'on a respecté toutes les autres conditions rendues
obligatoires par le RGPD – comme la transparence du traitement (article 12 du RGPD) ou les
informations à communiquer (article 13 du RGPD) – lors du placement de cookies et lors du traitement
des données ainsi collectées.

prévu par la loi. Toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la
rectification. 3. Le respect de ces règles est soumis au contrôle d'une autorité indépendante".
15
Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à
caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (Directive vie privée et
communications électroniques, telle que modifiée par la Directive 2009/136/CE du Parlement européen et du Conseil du
25 novembre 2009, ci-après la "Directive Vie privée et communications électroniques”).
16
EDPB, Avis 5/2019 relatif à l'interaction entre la Directive Vie privée et communications électroniques et le RGPD, en particulier
en ce qui concerne les compétences et les tâches des autorités de protection des données : "When the processing of personal
data triggers the material scope of both the GDPR and the ePrivacy Directive, data protection authorities are competent to
scrutinize subsets of the processing which are governed by national rules transposing the ePrivacy Directive only if national law
confers this competence on them. However, the competence of data protection authorities under the GDPR in any event remains
unabridged as regards processing operations which are not subject to special rules contained in the ePrivacy Directive. This
demarcation line may not be modified by national law transposing the ePrivacy Directive (e.g. by broadening the material scope
beyond what is required by the ePrivacy Directive and granting exclusive competence for that provision to the national regulatory
authority)".”.
17
Dans l'affaire Facebook Ireland Limited, Facebook Inc. et Facebook Belgium sprl, contre la Commission de la protection de la
vie privée.
18
Tribunal Bruxelles, 24e chambre affaires civiles, 16 février 2018, n° de rôle 2016/153/A, point 26, p. 51, disponible à l'adresse :
https://www.autoriteprotectiondonnees.be/news/lautorite-de-protection-des-donnees-defend-son-argumentation-devant-la-
cour-dappel-de-bruxelles.

Décision quant au fond 12/2019 - 19/44

Le prédécesseur en droit de l'EDPB (le groupe de travail article 29 sur la protection des données, ci-
après : Groupe de travail sur la protection des données) a également précisé que les exigences du
RGPD pour l'obtention d'un consentement valable s'appliquent aux situations qui relèvent du champ
d'application de la directive vie privée et communications électroniques 19.

Dans l'arrêt Planet49, la Cour de justice de l'Union européenne a notamment confirmé que la collecte
de données par le biais de cookies pouvait être qualifiée de traitement de données à caractère
personnel20. Dès lors, la Cour a interprété l'article 5.3 de la Directive Vie privée et communications
électroniques à l'aide du RGPD21, plus particulièrement sur la base de l'article 4.11, de l'article 6.1.a
du RGPD (exigence de consentement) et de l'article 13 du RGPD (informations à fournir).

Comme expliqué ci-après, l'APD est également compétente pour vérifier si les exceptions à l'exigence
de consentement pour le placement de cookies sont appliquées en conformité ou non avec le droit de
protection des données.

La relation entre le RGPD et l'article 5.3 de la Directive Vie privée et communications électroniques a
été expliquée ci-dessus, dans les cas où l'article 5.3 requiert un consentement, lequel doit respecter
les exigences du RGPD. L'article 5.3 de la Directive Vie privée et communications électroniques (et
l'article 129 de la LCE) comporte toutefois des exceptions et permet que des cookies soient enregistrés
sur les équipements terminaux d'un utilisateur d'un réseau de communications sans consentement
préalable, lorsque ces cookies ont "pour seul but" (a) "de réaliser l'envoi d'une communication via un
réseau de communications électroniques" ou (b) "de fournir un service demandé expressément par
l'abonné ou l'utilisateur final lorsque c'est strictement nécessaire à cet effet."

Les exceptions à l'exigence de consentement reprise à l'article 5.3 de la Directive Vie privée et
communications électroniques doivent être lues à la lumière de l'article 6 du RGPD (par exemple
l'intérêt légitime du responsable du traitement et/ou de l'utilisateur final du réseau de

19 Groupe de travail sur la protection des données, Lignes directrices sur le consentement au sens du règlement 2016/679,

WP259, p. 4: " Concernant la directive «vie privée et communications électroniques» existante, le G29 note que les références
faites à la directive 95/46/CE abrogée s’entendent comme faites au RGPD. Ceci s’applique également aux références faites au
consentement dans l’actuelle directive 2002/58/CE, dès lors que le règlement «vie privée et communications électroniques» ne
sera pas (encore) entré en vigueur le 25 mai 2018. Selon l’article 95 du RGPD, aucune obligation supplémentaire concernant le
traitement de données dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les
réseaux publics de communications ne sera imposée dans la mesure où la directive « vie privée et communications
électroniques » impose des obligations spécifiques ayant le même objectif. Le G29 note que les exigences relatives au
consentement imposées par le RGPD ne sont pas considérées comme des «obligations supplémentaires», mais plutôt comme
des conditions préalables essentielles au traitement licite. Aussi les conditions d’obtention d’un consentement valable établies
par le RGPD sont-elles applicables dans les situations tombant dans le champ d’application de la directive «vie privée et
communications électroniques».”
20
Arrêt Planet49, point 45.
21
Ainsi qu'à l'aide de la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection
des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

Décision quant au fond 12/2019 - 20/44

communications22), dans le contexte dans lequel les dispositions de la Directive Vie privée et
communications électroniques constituent une précision et un complément du RGPD 23. Si en revanche
on suppose que certaines règles de la Directive Vie privée et communications électroniques s'écartent
du RGPD et ne comprennent pas le fondement légal d' "intérêt légitime"24, les exceptions de "stockage
technique" ou de "service demandé […] par l'abonné " de l'article 5.3 de la Directive Vie privée et
communications électroniques doivent alors être considérées comme un fondement légal à part
entière. La Directive Vie privée et communications électroniques constitue alors pour ces dispositions
une "lex specialis" qui déroge au RGPD.

Quoi qu'il en soit, en ce qui concerne l'exception pour la fourniture d'un " service demandé
expressément par l'abonné ou l'utilisateur final lorsque c'est strictement nécessaire à cet effet", il
convient de noter que le critère "nécessaire" est interprété conformément aux objectifs de protection
du droit européen relatif à la protection des données 25, étant donné qu'il est utilisé en tant qu'exception
à l'exigence de consentement qui doit être expliquée en conformité avec le RGPD.

La Chambre Contentieuse, en tant qu'organe de l'APD, est dès lors compétente pour interpréter les
exceptions à l'exigence de consentement de l'article 129 de la LCE 26.

22
L'exception "un service demandé expressément par l'abonné ou l'utilisateur final" à l'article 129 de la LCE (5.3 de la Directive
Vie privée et communications électroniques) n'a pas de véritable équivalent dans le RGPD. L’article 6.1.b du RGPD implique
l'exigence d'un traitement qui est "nécessaire" à l'exécution d'un contrat. L’article 129 de la LCE utilise le critère " strictement
nécessaire".”.
23
Voir l'article 1 de la Directive Vie privée et communications électroniques : "1. La présente directive harmonise les dispositions
des États membres nécessaires pour assurer un niveau équivalent de protection des droits et libertés fondamentaux, et en
particulier du droit à la vie privée, en ce qui concerne le traitement des données à caractère personnel dans le secteur des
communications électroniques, ainsi que la libre circulation de ces données et des équipements et des services de
communications électroniques dans la Communauté. 2.
Les dispositions de la présente directive précisent et complètent la directive 95/46/CE aux fins énoncées au paragraphe 1. […]"
[Soulignement par la Chambre Contentieuse].
24
Voir également une recommandation du Comité européen de la protection des données :"Certains amendements proposent
une exemption supplémentaire à la confidentialité des communications sur la base de l’intérêt légitime des prestataires de
services et d’autres parties à traiter des données des communications électroniques. Ni la directive « vie privée et
communications électroniques » actuelle ni la proposition de règlement ne contiennent une telle exemption et le projet de
rapport n’a pas proposé d’exemption de ce type, pas plus pour les métadonnées que pour le contenu." (CEPD, Recommandations
concernant des aspects particuliers de la proposition de règlement « vie privée et communications électroniques », p. 2,
https://edps.europa.eu/sites/edp/files/publication/17-10-05_recommendations_on_ep_amendments_fr.pdf).
25
Concernant la notion de "nécessaire" dans le contexte de la protection des données, voir mutatis mutandis les Lignes
directrices 2/2019 du Comité européen de la protection des données concernant l'article 6.1.b du RGPD dans le contexte des
services en ligne", points 23-25 : "Necessity of processing is a pre-requisite for both parts of Article 6(1)(b). At the outset, it is
important to note that the concept of what is ‘necessary for the performance of a contract’ is not simply an assessment of what
is permitted by or written into the terms of a contract. [...]The concept of necessity has an independent meaning in European
Union law, which must reflect the objectives of data protection law. Therefore, it also involves consideration of the fundamental
right to privacy and protection of personal data, as well as the requirements of data protection principles including, notably, the
fairness principle. The starting point is to identify the purpose for the processing, and in the context of a contractual relationship,
there may be a variety of purposes for processing. Those purposes must be clearly specified and communicated to the data
subject, in line with the controller’s purpose limitation and transparency obligations.”
https://edpb.europa.eu/sites/edpb/files/consultation/edpb_draft_guidelines-art_6-1-final_public_consultation_version_en.pdf:.
26
Voir également Groupe de travail sur la protection des données, Avis 04/2012 sur l’exemption de l’obligation de consentement
pour certains cookies, WP194, sur les cookies d'analyse, https://ec.europa.eu/justice/article-29/documentation/opinion-
recommendation/files/2012/wp194_fr.pdf.

Décision quant au fond 12/2019 - 21/44

2.2 Infractions constatées

Les explications du défendeur dans ses conclusions en réponse et lors de l'audition confirment le
constat que plusieurs infractions ont été commises.

2.2.1 Manque d'informations transparentes concernant la déclaration de
confidentialité sur le site Internet initial (article 12 du RGPD) et violation
des règles concernant les informations à fournir (article 13 du RGPD)

L'article 12.1 du RGPD dispose que le responsable du traitement doit prendre des mesures appropriées
pour fournir à la personne concernée toute information visée notamment à l'article 13 du RGPD d'une
façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
L'article 12.2 du RGPD dispose que le responsable du traitement doit faciliter les droits de la personne
concernée.

Les articles 13.1 et 13.2 du RGPD disposent ce qui suit :
1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées
auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en
question sont obtenues, toutes les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du
responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base
juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis
par le responsable du traitement ou par un tiers ;
e) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère
personnel ;
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de
données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale,
et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des
transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux
garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été
mises à disposition.

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne
concernée, au moment où les données à caractère personnel sont obtenues, les informations

Décision quant au fond 12/2019 - 22/44

complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent
:
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les
critères utilisés pour déterminer cette durée ;
b) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis
par le responsable du traitement ou par un tiers ;
c) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère
personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la
personne concernée, ainsi que du droit de s'opposer au traitement et du droit à la portabilité des
données ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe
2, point a), l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la
licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
e) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
f) des informations sur la question de savoir si l'exigence de fourniture de données à caractère
personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d'un contrat
et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les
conséquences éventuelles de la non-fourniture de ces données ;
g) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22,
paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-
jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne
concernée.

Dans l'arrêt Planet49, la Cour de justice a estimé que pour le placement de cookies, le responsable du
traitement devait fournir des informations sur la durée de fonctionnement des cookies ainsi que sur la
possibilité ou non pour des tiers d’avoir accès à ces cookies, afin de garantir des informations
équitables et transparentes (article 5.3 de la Directive Vie privée et communications électroniques
concernant le placement de cookies juncto les obligations d'information de l'article 13.2 (a) et (e) du
RGPD)27.

En vertu des articles 5.2 et 24 du RGPD, le responsable du traitement doit prendre des mesures
techniques et organisationnelles appropriées afin de garantir et de pouvoir prouver que le traitement
de données à caractère personnel à l'aide de cookies est réalisé conformément aux articles 12 et 13
du RGPD. Le défendeur reconnaît dans ses conclusions que certaines mentions obligatoires dans la
déclaration de confidentialité initiale du site Internet étaient manquantes, comme les finalités pour

27
Comme la Cour de justice l'explique dans l'arrêt Planet49, l'article 5, paragraphe 3 de la Directive 2002/58, telle que modifiée
par la Directive 2009/136 (ce qu'on appelle la "disposition cookies" de la Directive vie privée et communications électroniques),
"doit être interprété en ce sens que les informations que le fournisseur de services doit donner à l’utilisateur d’un site Internet
incluent la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies. ",
point 81.

Décision quant au fond 12/2019 - 23/44

lesquelles les données à caractère personnel sont destinées, le fondement juridique du traitement, le
délai de conservation des données traitées, les droits que les personnes concernées peuvent invoquer
ou la possibilité de porter plainte auprès de l'Autorité de protection des données.

La Chambre Contentieuse constate que certains manques d'information initiaux ont été résolus dans
des versions ultérieures du site Internet, comme spécifié ci-dessous :

 Les informations concernant les finalités du traitement et le délai de conservation des cookies
sont disponibles par cookie dans la troisième version de la déclaration relative aux cookies,
contrairement aux constatations afférentes à la version analysée du 29 avril 2019. 28
 En ce qui concerne l'accès aux cookies par des tiers : déjà dans la version de juillet 2019 du
site Internet (quatrième version) et dans la version d'octobre 2019 (cinquième version), des
informations sont fournies à cet égard : le nom du tiers qui place le cookie est mentionné,
ainsi que le nom du tiers qui utilise le cookie, lorsque ce tiers est différent de celui qui place
le cookie sur le site Internet.29

Néanmoins, la Chambre Contentieuse estime que le défendeur a fait preuve de négligence à l'égard
de plusieurs aspects de ses obligations de transparence en vertu des articles 12 et 13 du RGPD.

Premièrement, le texte de la déclaration de confidentialité du 12 mars 2019 examiné par le Service
d'Inspection ne correspondait pas à la réalité ; selon les affirmations du défendeur, des cookies
d'analyse n'étaient utilisés qu'après le consentement des personnes concernées, et ce contrairement
aux informations communiquées dans les déclarations de confidentialité en question sur le site
Internet30. Le responsable du traitement doit cependant être garant de la véracité et de la transparence
des informations mises à disposition sur son site Internet en vertu des articles 12 et 13 du RGPD.

Deuxièmement, le site Internet initial ne prévoyait aucun moyen (par exemple un lien) pour que la
déclaration de confidentialité soit mise facilement à la disposition des personnes concernées.
À présent, le défendeur a prévu au bas de chaque page une fenêtre de gestion des cookies,
permettant à l'internaute d'accéder à la déclaration relative aux cookies. 31

Troisièmement, la fourniture d'informations dans des langues différentes de celle du groupe cible. La
politique de confidentialité et la gestion des cookies du site Internet (version du 12 mars 2019)
n'étaient disponibles qu'en néerlandais, alors que le site Internet s'adresse également à des

28
Rapport d’inspection, p. 6.
29
Conclusions du défendeur et Rapport d'inspection complémentaire, pp. 15 et suivantes.
30
Conclusions du défendeur, p. 7.
31
PV d’audition.

Décision quant au fond 12/2019 - 24/44

francophones32. Toujours est-il que le défendeur a rectifié cette partie des informations relatives à la
vie privée après un deuxième courrier du Service d'Inspection. 33

Il ressort en outre également du Rapport d'inspection complémentaire du 24 octobre 2019 que les
informations relatives aux cookies ne sont désormais plus fournies qu'en anglais (ni en français, ni en
néerlandais) : "Après avoir cliqué sur le lien précité "notre politique des cookies", la personne
concernée arrive sur la page Internet https://Y/cookies/. On y donne, uniquement en anglais, des
explications sur les cookies, on y trouve le lien "Change your consent" et différents cookies sont
mentionnés dans un tableau sous les intitulés de colonne "Name", "Provider", "Purpose", "Expiry" et
"Type" ; ces intitulés ne sont visibles que sur une seule des captures d'écran ci-dessous.".”

Quatrièmement, les versions antérieures du site Internet se référaient à la " US Privacy Law" et au
"California Privacy Protection Act ". Le défendeur déclare que cela était dû à un bug informatique, à
savoir l'exécution d'un "plug-in" erroné lors de la reprise d'un back-up du site Internet34. La Chambre
Contentieuse souligne à cet égard qu'en sa qualité de responsable du traitement, le défendeur a
l'obligation de veiller à l'exactitude des informations juridiques relatives aux droits des personnes
concernées, en ce compris le cadre juridique dans lequel elles peuvent invoquer leurs droits.

Cinquièmement, il y a une confusion quant aux cookies utilisés. La liste des cookies que le défendeur
soumet ne correspond pas aux constatations du Service d'Inspection, notamment en ce qui concerne
la présence de "Google Adsense ", de "Google Tag Manager " et de "Google Analytics".35 Cela est dû
au fait que ces constatations ont été réalisées à l'aide de différentes applications et que selon les dires
du défendeur lors de l'audition, l'application "Cookiebot" n'est pas parvenue à restituer une liste
correcte des cookies placés. Le défendeur a donc eu recours à une nouvelle technologie pour y
remédier.

Sixièmement, toutes les imprécisions n'ont pas été levées. Dans le Rapport d'inspection
complémentaire, le Service d'Inspection constatait par exemple que la version du site Internet (octobre
2019) ne fournissait pas suffisamment d'informations quant au droit de la personne concernée de
retirer son consentement. Le Service d'Inspection a en effet constaté que la personne concernée était
invitée à adresser "à nous" une preuve écrite ou une demande électronique avec preuve de son

32
Le Service d'Inspection a affirmé que les informations dans la première version du site Internet du 12 mars 2019 " n'étaient
disponibles qu'en néerlandais, alors qu'il ressort de la mention "Français" en haut à gauche que celles-ci (et par extension le
site Internet https://Y) s'adressent également à des francophones " (Rapport d'inspection, p. 4).
33
Le 29 mai 2019, le Service d'Inspection constate que les informations mentionnées sont disponibles en néerlandais et en
français.
34
Conclusions du défendeur, p. 2.
35
Dans le cadre de l'enquête du Service d'Inspection du mois de mars 2019 (voir la conclusion 9 du défendeur). Voir également
la Pièce 2 du Rapport d'inspection.

Décision quant au fond 12/2019 - 25/44

identité, sans mention claire des coordonnées électroniques ou autres qui devaient être utilisées à cet
effet.36.

En outre, le site Internet comportait la mention erronée selon laquelle certains traitements de données
avaient lieu "de manière anonyme " alors qu'il était question d'attribuer à chaque visiteur un " numéro
d'identification choisi aléatoirement", ce qui constitue une forme de pseudonymisation au sens de
l'article 4.1.5 du RGPD37. Il ne peut toutefois être question d'anonymisation que s'il n'est plus possible
de relier directement ou indirectement à un individu les données en question, au besoin à l'aide
d'autres informations38. Après l'audition, le défendeur a adapté son site Internet sur ce point.

La Chambre Contentieuse constate ainsi que le défendeur a fait preuve de négligence sur plusieurs
points. Elle souligne toutefois à cet égard que le défendeur a fourni des efforts pour corriger les
informations fournies en vertu des articles 12 et 13 du RGPD, certes après avoir reçu les remarques
du Service d'Inspection et/ou de la Chambre Contentieuse.

Le défendeur part à tort du principe que le groupe cible du site Internet, à savoir des "avocats,
fiscalistes, juristes, notaires, huissiers de justice, auxiliaires juridiques, magistrats ou étudiants en
droit", peut le décharger de ses obligations de transparence des articles 12 et 13 du RGPD. À ce sujet,
le défendeur affirme en effet que les visiteurs du site Internet comprendraient une déclaration de
confidentialité très "concise", dans le contexte où se situe le groupe cible du site Internet composé d'
"avocats, fiscalistes, juristes, notaires, huissiers de justice, auxiliaires juridiques, magistrats et
étudiants en droit".39

La Chambre Contentieuse ne peut accepter cette défense. En vertu de l'article 12 du RGPD, les
informations relatives à la vie privée doivent certes êtres " compréhensibles", ce qui signifie que le
message doit notamment être adapté au groupe cible en ce qui concerne le niveau de langue
("formulées en des termes clairs et simples ")40. Le fait que les informations relatives à la vie privée

36
Rapport d’inspection complémentaire, p. 10.
37
À l'article 4.1.5 du RGPD, la "pseudonymisation" est définie comme étant "le traitement de données à caractère personnel de
telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations
supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures
techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne
physique identifiée ou identifiable".”.
38
Groupe de travail sur la protection des données, Avis 05/2014 sur les Techniques d’anonymisation, WP216,
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_fr.pdf.
39
Conclusions du défendeur, p. 5.
40
Groupe de travail sur la protection des données, Lignes directrices sur le consentement au sens du Règlement 2016/679,
WP259, p. 4 ; Lignes directrices sur la transparence au sens du Règlement (UE) 2016/679, WP260, p. 8 : " L’exigence que ces
informations soient «compréhensibles» signifie qu’elles devraient pouvoir être comprises par la majorité du public visé.
La compréhensibilité est étroitement liée à l’exigence d’utiliser des termes clairs et simples. Un responsable du traitement
connaît les personnes au sujet
desquelles il collecte des informations et peut mettre à profit ces
connaissances pour déterminer ce que ce public serait susceptible de
comprendre. Par exemple, un responsable du traitement collectant les données à caractère personnel de professionnels exerçant

Décision quant au fond 12/2019 - 26/44

doivent être "concises", conformément à l'article 12 du RGPD, ne signifie en revanche pas que l'on
puisse se passer de mentionner les informations obligatoires en vertu de l'article 13 du RGPD, comme
une désignation claire du responsable du traitement, même si le groupe cible concerné est de niveau
universitaire. Afin de respecter l'exigence de fournir des informations préalables quant à l'identité et
aux coordonnées du responsable du traitement conformément à l'article 13, alinéa 1, a) du RGPD, il
ne suffit par exemple pas de mentionner que le site Internet est une "initiative de X". Comme le précise
le Groupe de travail sur la protection des données, ces informations doivent " permettre d’identifier
facilement le responsable du traitement (…) (par exemple, numéro de téléphone, e-mail, adresse
postale, etc.)"41.

La Chambre Contentieuse déduit des constatations d'infractions précitées que le défendeur n'a
initialement pas respecté ses obligations de transparence découlant de l'article 12 du RGPD ni son
obligation d'information découlant de l'article 13 du RGPD, et que cette omission est due à une
négligence répréhensible, contraire au principe de responsabilité. À cet égard, la Chambre
Contentieuse souligne qu'il relève de la responsabilité du responsable du traitement de veiller lui-
même à ce que les informations fournies sur le site Internet correspondent à la réalité, conformément
aux articles 12 et 13 du RGPD. La Chambre Contentieuse se réfère en l'occurrence expressément au
principe de responsabilité établi aux articles 5.2 et 24 du RGPD.

2.2.2 Obligations en matière de consentement ("opt-in") (article 5, article 6.1.a
et article 4.11 juncto article 7 du RGPD, lus conjointement avec l'article 129
de la LCE) et obligations en matière de retrait du consentement (article 5,
article 6.1.a et article 4.11 juncto article 7.3 et 13.2.c du RGPD, lus
conjointement avec l'article 129 de la LCE)

(a) Rappel des règles applicables du RGPD

a.1 Le droit relatif au consentement

L'article 5.3 de la Directive Vie privée et communications électroniques, tel que transposé par l'article
129 de la LCE, pose la condition que l'utilisateur "ait donné son consentement" pour le placement et
la consultation de cookies sur ses équipements terminaux, à l'exception de l'enregistrement technique
des informations ou de la fourniture d'un service demandé expressément par l'abonné ou l'utilisateur
final lorsque le placement d'un cookie est strictement nécessaire à cet effet.

une activité peut partir du principe que son public a un niveau de compréhension plus élevé que si ce même responsable du
traitement collectait des données à caractère personnel concernant des enfants.
[…]".”.
41
Groupe de travail sur la protection des données, WP260, Lignes directrices sur la transparence au sens du Règlement (UE)
2016/679, p. 41.

Décision quant au fond 12/2019 - 27/44

Le considérant 17 de cette Directive précise que pour son application, la notion de " consentement"
doit revêtir la même signification que le " consentement de la personne concernée", comme défini et
précisé dans la directive de protection des données 95/46 42, remplacée à présent par le RGPD.

Dans l'arrêt Planet49, la Cour de justice de l'Union européenne a précisé l'exigence de consentement
pour le placement de cookies suite à l'entrée en vigueur du RGPD et a expliqué qu'un consentement
actif explicite était désormais prescrit :

"Un consentement actif est ainsi désormais expressément prévu par le règlement 2016/679. Il importe
de relever à cet égard que, selon le considérant 32 de ce règlement, l’expression du consentement
pourrait se faire notamment en cochant une case lors de la consultation d’un site Internet. Ledit
considérant exclut en revanche expressément qu’il y ait un consentement « en cas de silence, de cases
cochées par défaut ou d’inactivité ».Il s’ensuit que le consentement visé à l’article 2, sous f), et à
l’article 5, paragraphe 3, de la directive 2002/58, lus conjointement avec l’article 4, point 11, et l’article
6, paragraphe 1, sous a), du règlement 2016/679, n’est pas valablement donné lorsque le stockage
d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur
d’un site Internet est autorisé par une case cochée par défaut que l’utilisateur doit décocher pour
refuser de donner son consentement." (Soulignement de la Chambre Contentieuse)43.

Le consentement doit en outre être "spécifique". La Chambre Contentieuse se réfère aux Lignes
directrices sur le consentement au sens du Règlement 2016/679 44 qui ont été ratifiées par l'EDPB :

"L’article 6, paragraphe 1, point a), confirme que le consentement de la personne concernée doit être
donné en lien avec « une ou plusieurs finalités spécifiques » et que la personne concernée a un choix
concernant chacune de ces finalités". ”45 Cela signifie "qu’un responsable du traitement qui sollicite le
consentement pour diverses finalités spécifiques devrait prévoir un consentement distinct pour chaque
finalité afin que les utilisateurs puissent donner un consentement spécifique à des finalités
spécifiques.".”.46

Plus particulièrement, il convient que l'utilisateur du site Internet reçoive des informations entre autres
sur les modalités d'expression de sa volonté à propos des cookies, et comment il peut " tous les

42
Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques
à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
43
Arrêt Planet49, points 61 et 62.
44
Groupe de travail sur la protection des données, Lignes directrices sur le consentement au sens du Règlement 2016/679,
WP259, p. 4.
45
Ibid, p. 14.
46
Ibid, p. 14.

Décision quant au fond 12/2019 - 28/44

accepter, n'en accepter que certains ou aucun47". La Chambre Contentieuse se réfère à cet égard aux
Lignes directrices du Groupe de travail sur la protection des données sur la manière de recueillir le
consentement. D'après le Groupe de travail sur la protection des données, le consentement doit être
obtenu par cookie ou par catégorie de cookies48.

a.2 Le droit en matière de retrait du consentement

L'article 7.3 du RGPD pose des conditions strictes quant au retrait d'un consentement valable (article
7.3 du RGPD) : (a) la personne concernée a le droit de retirer son consentement à tout moment, (b)
elle doit en être informée au préalable, et (c) il doit être aussi simple de retirer que de donner son
consentement. En vertu de l'article 129, dernier alinéa de la LCE, le responsable du traitement est
obligé de donner "gratuitement" la possibilité aux utilisateurs finaux de l'équipement terminal concerné
"de retirer le consentement de manière simple".

Ce droit de retrait du consentement doit donc faire l'objet d'une information préalable (article 7.3.b),
et doit également être lu conjointement avec l'exigence d'un traitement équitable et transparent au
sens de l'article 5 et de l'article 13.2.c du RGPD. Une information inexistante ou lacunaire concernant
le droit de retirer le consentement impliquerait que le consentement serait de facto donné pour une
durée infinie et que la personne concernée serait privée de son droit de retirer son consentement.

Ces règles s’appliquent aussi bien en ce qui concerne ce qu'on appelle les cookies de " première partie"
que ceux de "tierce partie ", comme expliqué ci-avant.

(b) Constatations

Comme expliqué en détail ci-après, la Chambre Contentieuse constate ce qui suit à l'aide du premier
Rapport d'inspection du 29 mai 2019 :

- le site Internet ne prévoyait pas de processus de consentement préalablement au placement
de cookies d'analyse de "première partie" sur les équipements terminaux des utilisateurs du
site Internet, et ce selon la déclaration de confidentialité du 12 mars 2019 et du 29 avril 2019
; à cet égard, le défendeur invoque à tort la base légale de l' "intérêt légitime" (violation des
articles 5, 6.1.a et 4.11 juncto article 7 du RGPD) ;

- le site Internet utilisait des cases pré-cochées pour obtenir le consentement pour les cookies ;

47
Groupe de travail sur la protection des données, Document de travail 02/2013, énonçant des lignes directrices sur le recueil
du consentement pour le dépôt de cookies, p. 3, https://cnpd.public.lu/dam-assets/fr/publications/groupe-art29/wp208_fr.pdf.
48
Ibid.

Décision quant au fond 12/2019 - 29/44

- les deux premières versions analysées du site Internet du 12 mars 2019 et du 29 avril 2019
ne mentionnaient pas comment la personne concernée pouvait retirer le consentement donné
pour l'utilisation de cookies par le responsable du traitement ou par des tiers (violation de
l'article 7.3 du RGPD).

(c) Défense concernant le processus de consentement

Dans son premier Rapport d'inspection, le Service d'Inspection a constaté que sur le site Internet, on
ne demandait pas de consentement préalablement au placement de cookies d'analyse (sans distinction
entre des cookies d'analyse de "première partie" et de "deuxième partie") sur les équipements
terminaux, et que le défendeur se référait à " notre intérêt légitime" comme fondement juridique pour
les cookies utilisés "en vue de simplifier votre utilisation du site Internet et de collecter des données
statistiques relatives à l'utilisation du site Internet". 49 Dans sa lettre du 29 mai 2019 au Service
d'Inspection, le défendeur affirmait que le site Internet avait été adapté suite aux constatations du
12 mars 2019, en ce qui concerne le consentement pour l'utilisation de cookies et le retrait du
consentement.

Dans ses conclusions du 29 juillet 2019, le défendeur affirmait que le site Internet (version de mai
2019) demandait bel et bien un consentement préalablement au placement de cookies d'analyse, et
ce contrairement aux informations de vie privée diffusées antérieurement. Le défendeur ne conteste
pas non plus que sur les deux premières versions du site Internet, aucun consentement n'était
demandé.

Cela est confirmé dans le tableau synoptique qui a été soumis par le défendeur lors de l'audition. La
Chambre Contentieuse constate que le consentement pour l'utilisation de cookies non nécessaires
n'était pas demandé en mars et en avril 2019.

En ce qui concerne la version du site Internet de mai 2019, le défendeur a affirmé dans ses conclusions
que le consentement était bien demandé, contrairement à ce que mentionnait la déclaration de
confidentialité du site Internet :

“"Malgré la mention du traitement de cookies pour la simplification de l'utilisation du site Internet et
la collecte de données statistiques, ces données n'étaient collectées qu'après le consentement de la
personne concernée. […] Il ressort de la pièce 10 que les cookies d'analyse n'étaient pas chargés sans
le consentement (cf. fenêtre de cookies en arrière-fond)."

49
Rapport d’inspection, p. 9.

Décision quant au fond 12/2019 - 30/44

La Chambre Contentieuse ne peut toutefois pas déduire des pièces produites par le défendeur si le
consentement des personnes concernées était bien demandé in concreto, préalablement au placement
de cookies d'analyse de "première partie" dans la version du site Internet du 29 mai 2019. Les pièces
produites ne comportent pas de date attestant que le consentement était bel et bien demandé au
cours de la période en question. Plus fondamentalement, on ne trouve pas de description du processus
de consentement que le défendeur prétend avoir mis en place.

La Chambre Contentieuse estime dès lors que le défendeur ne parvient pas à réfuter les constatations
suivantes du Service d'Inspection :
- “"le consentement pour l'utilisation de cookies par le responsable du traitement ou par Google
n'est pas demandé aux personnes concernées" (constatations du 12 mars 2019 et du 29 avril
2019) ;
- dans la politique de confidentialité du site Internet, on se réfère à "notre intérêt légitime" en
tant que "fondement juridique pour les cookies qui sont utilisés en vue de simplifier votre
utilisation du site Internet et pour collecter des données statistiques relatives à l'utilisation du
site Internet" (constatation du 29 mai 2019)50

(d) En ce qui concerne les cookies d'analyse de "première partie" :

Le défendeur affirme que les cookies pour l'analyse et l'utilisation du site Internet et l'établissement
de statistiques sont des cookies "essentiels pour la plate-forme et pour attirer des auteurs (en
particulier des auteurs fixes)". La Chambre Contentieuse comprend que le défendeur veut dire par là
que ces cookies sont "essentiels" pour fournir le service par le site Internet, étant entendu qu'aucun
consentement n'est requis pour placer de tels cookies " strictement nécessaires" en vertu de l'article
129, 2° de la LCE51.

Le défendeur affirme dans ses conclusions que les " cookies statistiques et d'analyse" sont
indispensables pour fournir aux auteurs du site Internet des "résultats essentiels concernant les articles
qu'ils rédigent" car "les auteurs sont et restent en effet disposés à fournir des articles [au site Internet]
s'il apparaît qu'ils atteignent un grand nombre de lecteurs".

50
Rapport d’inspection, p. 11.
51
Pour information, l'article 129 de la LCE est énoncé comme suit : "Le stockage d'informations ou l'obtention de l'accès à des
informations déjà stockées dans les équipements terminaux d'un abonné ou d'un utilisateur est autorisée uniquement à
condition que :
[…] 2° l'abonné ou l'utilisateur final ait donné son consentement après avoir été informé conformément aux dispositions
visées au point 1°. L'alinéa 1er n'est pas d'application pour l'enregistrement technique des informations ou de l'accès aux
informations stockées dans les équipements terminaux d'un abonné ou d'un utilisateur final ayant pour seul but de réaliser
l'envoi d'une communication via un réseau de communications électroniques ou de fournir un service demandé expressément
par l'abonné ou l'utilisateur final lorsque c'est strictement nécessaire à cet effet." [Soulignement par la Chambre Contentieuse].

Décision quant au fond 12/2019 - 31/44

(d.1) Définitions de cookies de "première partie" par rapport aux cookies de "tierce partie"

Le fait qu'un cookie soit de "première partie" ou de "tierce partie" dépend du site Internet ou du
domaine qui place le cookie et le traite. Les cookies de première partie sont placés directement par le
site Internet qui est visité par le visiteur. […]. Les cookies de "tierce partie" sont placés par un domaine
différent du domaine qui est visité par l'utilisateur. Cela arrive typiquement lorsque le site Internet
incorpore des éléments d'autres sites Internet comme des images, des " plugins" de médias sociaux
ou des publicités. Lorsque ces éléments sont extraits par le navigateur ou par un autre logiciel au
départ d'autres sites Internet, ceux-ci peuvent également placer des cookies. 52

“Les cookies de "tierce partie" permettent "que des données à caractère personnel soient envoyées à
des tiers, soit directement (par exemple par un élément actif lié à une bannière ou un pixel espion),
soit indirectement en plaçant des cookies accessibles pour d'autres sites Internet que celui de
l'annonceur"53. Ces transferts de données sont implicites durant le chargement de la page " et se font
donc à l'insu de l'internaute". 54.

“Les cookies de "première partie" ne supposent aucun transfert de données à caractère personnel à
des tierces parties, mais peuvent recourir à un sous-traitant tiers, par exemple pour l'établissement
de statistiques. À condition que le sous-traitant tiers n'utilise pas ces données à des fins propres, de
tels cookies sont en principe moins intrusifs au niveau de la vie privée. Il n'empêche qu'ils supposent
un traitement de données à caractère personnel (pseudonymisées ou non) et que ce traitement est
soumis aux règles du RGPD en matière de consentement (et à l'article 129 de la LCE).

(d.2) Cookies d’analyse

Les cookies d’analyse "collectent des informations sur des données techniques de l'échange ou sur
l’utilisation du site web (pages visitées, durées moyennes des consultations, …) afin de pouvoir
améliorer son fonctionnement [c’est-à-dire pour apprendre à connaître l’utilisation du site web]. Les
données collectées ainsi par le site Internet sont en principe agrégées et sont traitées anonymement
mais peuvent aussi être traitées pour d'autres finalités." .” 55 Le fait que les données soient souvent
traitées anonymement par des cookies d'analyse ne signifie pas que le processus de traitement soit
entièrement anonyme dès le début.

52
Basé sur ICO, Guidance on the use of cookies and similar technologies, sous le titre " What are ‘first party’ and ‘third party’
cookies", https://ico.org.uk/for-organisations/guide-to-pecr/guidance-on-the-use-of-cookies-and-similar-technologies/what-
are-cookies-and-similar-technologies/#cookies.
53
CPVP, Recommandation n° 01/2015 du 4 février 2015 concernant l’utilisation des cookies, p. 21,
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/recommandation_01_2015.pdf.
54
Ibid.
55
Ibid., p. 23. Voir également : Groupe de protection des données, Avis 4/2012 sur l’exemption de l’obligation de consentement
pour certains cookies, http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-
recommendation/files/2012/wp194_fr.pdf, p. 10.

Décision quant au fond 12/2019 - 32/44

(d.3). Cookies d'analyse de "Première partie"

Le défendeur se réfère à l'avis du Groupe de travail sur la protection des données sur l’exemption de
l’obligation de consentement pour certains cookies (WP 194) pour étayer son point de vue selon lequel
la législation applicable ne requiert aucun consentement pour de tels cookies. Le groupe de travail sur
la protection des données a affirmé que, sous certaines conditions, les cookies d'analyse de " première
partie" ne généraient pas de risque pour la vie privée : "D’après le Groupe, il est peu probable que les
cookies d’analyse d’origine présentent un risque pour la vie privée lorsqu’ils sont strictement limités à
l'établissement de statistiques agrégées concernant l’origine et lorsqu’ils sont utilisés par des sites web
qui fournissent déjà des informations claires sur ces cookies dans leurs dispositions relatives à la
protection de la vie privée, ainsi que des garanties adéquates en la matière ”56.

La Chambre Contentieuse ne conteste pas cette constatation du Groupe de travail sur la protection
des données, mais constate qu'elle n'a pas de conséquences sur l'exigence de consentement. Dans
l'état actuel de la législation, il n'y a pas d'exception au consentement pour les " cookies d'analyse de
première partie", de sorte qu'un consentement préalable pour le placement de tels cookies est bel et
bien requis. La Chambre Contentieuse se réfère à cet égard à un avis du prédécesseur en droit de
l'APD (Commission de la protection de la vie privée) qui affirmait "qu’il revient au législateur d’apporter
une clarification à la problématique posée par la non-exemption du consentement des utilisateurs en
relation avec les cookies d’analyse d’origine."” 57.

À cet égard, la Chambre Contentieuse ne peut pas anticiper l'issue des débats sur une éventuelle
future modification et un éventuel assouplissement au niveau européen des règles reprises dans la
Directive Vie privée et communications électroniques 2002/58/EC 58 et elle constate que le
consentement est encore toujours requis pour le placement de cookies d'analyse, de sorte que le
défaut de consentement constitue une violation de l'article 6 et de l'article 7 juncto article 4.11 du
RGPD, lus conjointement avec l'article 129 de la LCE.

La Chambre Contentieuse estime que les cookies statistiques de "première partie" ne relèvent pas de
l'exception des "cookies strictement nécessaires" de l'article 5.3, alinéa 2 de la Directive Vie privée et
communications électroniques, exception qui, comme expliqué ci-avant, pourrait reposer sur le

56
Groupe de travail sur la protection des données, Avis 04/2012 sur l’exemption de l’obligation de consentement pour certains
cookies, WP208, p. 10.
57
CPVP, Recommandation d'initiative n° 01/2015 concernant l’utilisation des cookies, Ibid, point 311, p. 64.
58
Proposition de Règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des
données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement “vie
privée et communications électroniques”), COM/2017/010 final.

Décision quant au fond 12/2019 - 33/44

fondement juridique de l‘ "intérêt légitime" du RGPD dans la mesure où la Directive Vie privée et
communications électroniques précise et complète le RGPD sur ce point 59.

La Chambre Contentieuse estime que les cookies statistiques ne peuvent pas être considérés comme
des cookies strictement nécessaires pour fournir un service demandé par un abonné, au sens de
l'article 129, alinéa 2 de la LCE. La notion "nécessaire" doit être interprétée conformément aux objectifs
de protection du droit européen relatif à la protection des données 60, en ce sens que cette exception
ne peut être invoquée que dans l'intérêt des personnes concernées (visiteurs du site Internet) et non
dans l'intérêt exclusif des fournisseurs du service d'information. Même si les opérateurs du site Internet
estiment que ces cookies sont indispensables pour fournir leur service, ils ne sont en soi pas
absolument nécessaires pour fournir le service d'information demandé par le visiteur du site Internet. 61

La Chambre Contentieuse n'exclut pas que dans certaines conditions, certains cookies statistiques
soient bel et bien nécessaires pour fournir un service (par exemple informatif) demandé par la
personne concernée, pour détecter par exemple des problèmes de navigation. Il n'en n'est toutefois
pas question en l'espèce.

En ce qui concerne tous les cookies qui ne sont pas strictement nécessaires pour fournir le service
concerné de la société de l'information, la Chambre Contentieuse estime que le consentement au sens
de l'article 7 et de l'article 6.11 du RGPD est bien requis, préalablement au placement du cookie sur
les équipements terminaux de la personne concernée.

(d.4) décision concernant les cookies d'analyse de "première partie" sur le site Internet

Même si la Chambre Contentieuse est disposée à tenir compte du faible impact potentiel des cookies
d'analyse de "première partie" du site Internet au niveau des sanctions éventuelles 62, et ce sous

59
Voir l'explication au titre 2.1 "compétence de la Chambre Contentieuse". La Chambre Contentieuse ne peut plus adhérer aux
déclarations (contradictoires) de la CPVP dans la recommandation n° 1/2015 désormais obsolète, selon lesquelles
"Conformément à différentes prises de position, on peut considérer que ce traitement [cookies (d'analyse) statistiques de
première partie] répond à un intérêt légitime du responsable du traitement à condition que les cookies soient propres au site
visité et que les statistiques soient strictement anonymes" (p. 308).
60
Sur la notion de "nécessaire" dans un contexte de protection des données, EDPB Lignes directrices 2/2019, citées dans la
note de bas de page 25.
61
Dans le même sens, Groupe de travail sur la protection des données, Avis 04/2012 sur l’exemption de l’obligation de
consentement pour certains cookies, WP208 : "Si ces outils sont souvent considérés comme «strictement nécessaires» aux
opérateurs de site web, ils ne sont pas pour autant strictement nécessaires à la fourniture
d’une fonctionnalité expressément demandée par l’utilisateur (ou l’abonné). En fait, l’utilisateur peut accéder à toutes les
fonctionnalités fournies par le site web lorsque ces cookies sont désactivés. Ces cookies ne sont donc pas concernés par
l’exemption définie [à l'article 5.3, alinéa 3]", p.11. Voir également ICO, "How do the exemptions apply to different types of
cookies": "You are likely to view analytics as ‘strictly necessary’ because of the information they provide about how visitors
engage with your service. However, you cannot use the strictly necessary exemption for these. Consent is required because
analytics cookies are not strictly necessary to provide the service that the user requests. For example, the user can access your
online service whether analytics cookies are enabled or nothttps://ico.org.uk/for-organisations/guide-to-pecr/guidance-on-the-
use-of-cookies-and-similar-technologies/how-do-we-comply-with-the-cookie-rules/COlytics,
62
Voir ICO :"Although the ICO cannot rule out the possibility of formal action in any area, this may not always be the case
where the setting of a first-party analytics cookie results in a low level of intrusiveness and low risk of harm to individuals.",
Ibid.

Décision quant au fond 12/2019 - 34/44

réserve d'une enquête sur la finalité du traitement par d'éventuels sous-traitants qui traiteraient les
données à la demande du responsable du traitement, elle ne peut cependant pas accepter les
arguments du défendeur concernant le caractère "essentiel" des cookies de "première partie" en
question. En effet, il ressort des conclusions du défendeur que ces cookies ne sont pas " strictement
nécessaires" pour fournir le service d'information aux personnes concernées, mais seraient par contre
utilisés pour fournir des informations agrégées à des tiers. La Chambre Contentieuse constate dès lors
une violation du RGPD.

La Chambre Contentieuse rappelle de surcroît au défendeur que l'exception de consentement de
l'article 129 de la LCE ne s'applique qu'à la fourniture de services aux abonnés ou utilisateurs finaux
d'un service d'information – comme celui fourni par le site Internet aux internautes – et que cette
dispense ne vaut que pour les abonnés ou utilisateurs finaux sur les équipements terminaux desquels
le cookie est placé. Cette dispense ne s'applique donc pas au placement de cookies qui – selon les
déclarations du défendeur lui-même – visent la fourniture de services d'analyse aux
auteurs/contributeurs du site Internet, étant donné que ces auteurs ne sont pas des abonnés ni des
utilisateurs finaux du service d'information en question, qui porte, d'après la description du site
Internet proprement dit, sur la fourniture d'informations juridiques. 63

Le Service d'Inspection a constaté que le 12 mars 2019 et le 29 avril 2019, le site Internet utilisait des
cookies de "Google Analytics", sans demander de consentement à cet effet. En outre, la Chambre
Contentieuse souligne encore que dans la dernière déclaration disponible relative aux cookies (version
du site Internet telle que présentée après l'audition), ce cookie est décrit par le défendeur comme un
cookie de "première partie".

Étant donné que le Service d'Inspection n'a pas analysé la nature des cookies en question ni les flux
de données sous-jacents sur le site Internet, la Chambre Contentieuse s'abstiendra de toute
qualification in concreto de ces cookies "Google Analytics" en tant que cookies de "première partie"
(avec ou sans analyse par un sous-traitant tiers) ou de "tierce partie". Cela exigerait en effet une
analyse précise du site Internet en question ainsi que de l'environnement IT et juridique sous-jacent.
La Chambre Contentieuse ne peut que constater que les versions concernées du site Internet du 12
mars 2019 et du 29 avril 2019 ne prévoyaient pas de processus de consentement pour l'utilisation de
cookies non essentiels par le responsable du traitement . Selon le Rapport d'inspection et les
déclarations du défendeur lors de l'audition, dans la troisième version du site Internet (29 mai 2019),
un processus de consentement est toutefois prévu pour l'utilisation de cookies qui ne sont pas
strictement nécessaires64.

63
Conclusions du défendeur, p. 6.
64
Rapport d’inspection, p. 10.

Décision quant au fond 12/2019 - 35/44

Le Service d'Inspection a constaté que le 13 mars 2019 et le 29 avril 2019, le site Internet utilisait des
cookies d’analyse tels que "Google Analytics", sans demander de consentement à cet égard. Dans la
liste des cookies soumise par le défendeur, on ne reprend pas de cookie de " Google Analytics". Le
défendeur a toutefois affirmé dans ses conclusions relatives à ces deux versions du site Internet que
"les cookies qui étaient utilisés à ce moment [étaient] identiques aux cookies encore utilisés
actuellement sur le site Internet". 65

Le responsable du traitement a expliqué lors de l'audition que les problèmes relatifs à la mise à jour
de la liste de cookies présents étaient dus à la technologie " Cookiebot", et qu'il avait entre-temps
changé de technologie pour y remédier.

La Chambre Contentieuse prend acte de la déclaration adaptée relative aux cookies que le défendeur
a déposée après la séance. Le défendeur y déclare qu'un processus de consentement préalable est
bel et bien prévu en ce qui concerne les cookies d'analyse de " première partie", que le défendeur a
limités à deux types de cookies : les cookies de " Google Analytics" et "Pikwik". La Chambre
Contentieuse n'a toutefois pas pu examiner concrètement ce processus de consentement dont on ne
tient dès lors pas compte dans la présente décision.

(e) En ce qui concerne les cookies de "tierce partie"

Le défendeur a déposé une liste de cookies qui étaient utilisés dans la version de juillet du site Internet,
dont des cookies placés par le domaine de tiers tels que " doubleclick.net" ou "youtube.com" (tous
deux liés à Google).

Vu le manque de précision des listes mises à jour par la technologie " Cookiebot", selon les dernières
déclarations du défendeur, la Chambre Contentieuse ne peut pas procéder à une constatation
définitive ni en ce qui concerne les cookies de tierce partie qui étaient présents sur les deux premières
versions du site Internet, ni en ce qui concerne le défaut de consentement pour le placement de
cookies de "tierce partie" sur ces versions du site Internet.

(f) Décision relative à l'exigence de consentement ("opt-in") en matière de cookies

La Chambre Contentieuse doit donc constater que dans les versions du site Internet du 12 mars 2019
et du 29 avril 2019 qui ont été analysées, le défendeur ne demandait pas le consentement, alors qu'il
était requis, pour la collecte et le traitement de données à caractère personnel à l'aide de cookies de
"première partie".

65
Dans ses conclusions (pp. 7 et 8), le défendeur se réfère à la version du site Internet qui est antérieure à l'adaptation, de
sorte que le consentement pour les cookies était demandé.

Décision quant au fond 12/2019 - 36/44

En outre, le Service d'Inspection a constaté sur le site Internet au 29 mai 2019 qu'il y avait des cases
pré-cochées pour les préférences en matière de cookies, ce qui ne vaut pas consentement selon le
considérant 32 du RGPD. À cet égard, il faut également se référer à l'arrêt Planet 49, dans lequel la
Cour de justice de l'Union européenne affirme "que, selon le considérant 32 de ce règlement,
l’expression du consentement pourrait se faire notamment en cochant une case lors de la consultation
d’un site Internet. Ledit considérant exclut en revanche expressément qu’il y ait un consentement « en
cas de silence, de cases cochées par défaut ou d’inactivité »". 66

Le défendeur explique dans ses conclusions qu'il a volontairement choisi de passer d'un système d'
"opt-in" à un système d' "opt-out" avec des cases cochées par défaut (avec toutes les cases cochées
par défaut en vue d'accepter l'utilisation de cookies).

La violation des articles 6 et 7 juncto 4.11 du RGPD est ainsi établie.

(g) Défense relative au droit de retirer le consentement

La Chambre Contentieuse ne commente pas la constatation du premier Rapport d'inspection selon
laquelle la troisième version du site Internet analysée contient un bouton "OK" pour accepter les
cookies, mais pas de bouton pour refuser les cookies. Dans ses conclusions, le défendeur remarque à
juste titre qu'un tel bouton d' "opt-out" n'est pas exigé et que le site Internet de l'APD – qui a en
principe une fonction d'exemple – ne comporte d'ailleurs pas non plus de fonction explicite d' "opt-
out" en plus d'une fonction d' "opt-in".

Dans ses conclusions, le défendeur dépose une pièce, qui devrait attester que le visiteur du site
Internet "[peut] refuser (implicitement) de manière simple l'utilisation de cookies (non nécessaires)".
Il s'agit d'une bannière cookie sur laquelle on peut lire ce qui suit : "Certains cookies sont nécessaires
au bon fonctionnement du site Internet et ne peuvent être refusés si vous souhaitez visiter ce site.
D'autres cookies sont utilisés à des fins d'analyse. Ceux-ci peuvent être refusés si vous le souhaitez.
Plus d’informations.” Le défendeur ne démontre toutefois pas la simplicité pour refuser ensuite le
consentement pour les cookies, après avoir cliqué sur "plus d'informations".

Dans la dernière version du site Internet analysée par le Service d'Inspection, il apparaît que les
informations destinées à la personne concernée au sujet de son droit de retirer son consentement ne
sont pas suffisantes pour permettre un exercice effectif de ce droit. Le Service d'Inspection a en effet
constaté le 17 octobre 2019 que la personne concernée qui veut retirer son consentement doit

66
Arrêt Planet49, point 62. Voir également les points 63-64.

Décision quant au fond 12/2019 - 37/44

adresser "à nous" une demande écrite ou électronique avec preuve de son identité, sans se référer ni
indiquer les coordonnées que la personne concernée doit utiliser à cet effet.

La Chambre Contentieuse rappelle au défendeur qu'en vertu de l'article 7.3, la personne concernée a
le droit de retirer son consentement à tout moment et que le retrait du consentement doit être tout
aussi facile que son octroi. À cet égard, en vertu de la même disposition du RGPD, la personne
concernée doit être informée de ce droit, et ce avant de donner son consentement (article 7.3 du
RGPD).

Dans sa note complémentaire, le responsable du traitement explique que la déclaration relative aux
cookies et la déclaration de confidentialité ont été adaptées suite au rapport complémentaire du
Service d'Inspection "pour rendre plus claire la possibilité de retrait du consentement relatif aux
cookies"”.67

La Chambre Contentieuse estime que dans la dernière version analysée du site Internet (d'octobre
2019), le défendeur viole l'article 7.3 du RGPD, du fait que le retrait du consentement n'est pas aussi
facile que son octroi, et parce que la personne concernée ne reçoit pas suffisamment d'informations
sur la manière dont elle peut retirer son consentement (imprécisions quant aux coordonnées à utiliser).

(h) Autres constatations du dernier Rapport d'inspection d'octobre 2019 au sujet du placement
de 4 cookies sans consentement et de la condition d'un consentement "spécifique"

Dans le Rapport d'inspection complémentaire, le Service d'Inspection constate que le site Internet
place 4 cookies avant que l'utilisateur soit informé et se soit exprimé sur l'acceptation ou non des
cookies68. Il s'agit de 3 cookies placés par le site Internet proprement dit et d'un cookie placé depuis
le domaine Cloudflare.com. Le Service d'Inspection n'explique pas dans quelle mesure cela
constituerait une infraction au RGPD, notamment parce que l'on ne démontre pas que de tels cookies
exigent bel et bien un consentement préalable ni que ceux-ci ne relèvent pas d'une des exceptions de
l'article 5.3 de la Directive Vie privée et communications électroniques (et de l'article 129 de la LCE)
(comme par exemple un stockage technique ou des cookies qui seraient essentiels pour le service
demandé par l'abonné). La Chambre Contentieuse ne tient dès lors pas compte de ces constatations.

Le Rapport d'inspection complémentaire décrit le processus de consentement concret sur le site
Internet du 17 octobre 201969 et constate que l'utilisateur ne peut se prononcer sur un choix individuel,
"cookie par cookie". Le Service d'Inspection estime que la manière d'obtenir le consentement, avec

67
Note complémentaire du responsable du traitement, pp. 5 et 6.
68
Rapport d’inspection complémentaire, p. 9.
69
Rapport d’inspection complémentaire, p. 8.

Décision quant au fond 12/2019 - 38/44

pour seule possibilité soit d'accepter l'ensemble des cookies, soit de n'accepter que les cookies
nécessaires, n'est pas conforme à l'exigence de consentement telle qu'imposée par l'article 4, point 11
[juncto article 7] du RGPD "étant donné qu'elle n'est pas spécifique" (Ibid., p. 8). La Chambre
Contentieuse constate que dans ses lignes directrices précédentes en matière de cookies, le Groupe 29
ne requiert pas explicitement une telle granularité dans le consentement et qu'il suffit de proposer un
choix par "type de cookie ou par catégorie de finalités de ces cookies ".”.70 Ces lignes directrices datent
toutefois de la période antérieure au RGPD.

Dans ses Lignes directrices sur le consentement au sens du Règlement 2016/679 du 10 avril 2018, le
Groupe de travail sur la protection des données a expliqué que la condition d'un consentement
"spécifique" n'a pas été changée par le RGPD :

“"L’exigence selon laquelle le consentement doit être « spécifique » vise à garantir un certain
degré de contrôle utilisateur et de transparence pour la personne concernée. Cette exigence
n’a pas été modifiée par le RGPD et reste étroitement liée à l’exigence selon laquelle le
consentement doit être «éclairé». Parallèlement, elle doit être interprétée conformément à
l’exigence selon laquelle le consentement doit être « détaillé » pour être considéré comme
étant « libre ». Pour résumer, afin de se conformer au caractère « spécifique » du
consentement, le responsable du traitement doit garantir :
(i) la spécification des finalités en tant que garantie contre tout détournement d’usage,

(ii) le caractère détaillé des demandes de consentement, et

(iii) la séparation claire des informations liées à l’obtention du consentement au traitement
des données et des informations concernant d’autres sujets.".” 71

Compte tenu de l'interprétation et des informations disponibles jusqu'à présent au sujet de l'exigence
d'un consentement "spécifique" en vertu de l'article 4, point 11 [juncto article 7] du RGPD, la Chambre
Contentieuse estime que sur ce point spécifique, il n'y a pas de violation à l'exigence de consentement
du RGPD.

En l'espèce, le site Internet a par exemple utilisé 47 cookies en juillet 2019 72. Le but du RGPD ne peut
pas consister à exiger absolument un consentement pour chacun de ces 47 cookies. Le RGPD requiert
toutefois un choix plus détaillé qu'un simple "tout ou rien". La Chambre Contentieuse estime donc que

70
Lignes directrices lignes directrices sur le recueil du consentement pour le dépôt de cookie,
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp208_fr.pdf, p. 3.

71
Groupe de travail sur la protection des données, Lignes directrices sur le consentement au sens du Règlement 2016/679,
WP260, p. 13.
72
Conclusions du défendeur.

Décision quant au fond 12/2019 - 39/44

le consentement doit être obtenu en premier lieu non par cookie mais par type de cookie, vu
l'importance de concilier l'exigence de consentement spécifique avec l'exigence d'information.

Le site Internet (version d'octobre 2019) donne un choix entre différents types de cookies, avec la
possibilité pour les personnes concernées d'obtenir des informations sur les cookies individuels qui ont
été groupés pour chaque catégorie de cookie (par exemple les "cookies de marketing"). On ne propose
pas de possibilité d'accepter ou non certains cookies de la même catégorie (par exemple les "cookies
de marketing" ou les "cookies statistiques"), ce qui est justifié selon la Chambre Contentieuse.

La Chambre Contentieuse n'exclut cependant pas qu'un choix par cookie puisse quand même être
pertinent, mais alors en deuxième instance, dans le contexte d'une deuxième strate d'information.
Une fois que la personne concernée a pu exprimer son consentement par catégorie de cookie, elle
devrait aussi idéalement pouvoir exprimer à l'avenir son consentement au besoin par type de cookie,
dans chaque catégorie. Certes, l'interprétation du RGPD et de l'exigence de consentement doit aussi
tenir compte de l'évolution de la société ainsi que des attentes des internautes moyens, idéalement
de plus en plus avertis en matière de technologies de l'information et soucieux de leur vie privée, qui
voudraient exprimer leurs préférences entre différents cookies selon par exemple le caractère intrusif
ou non de certains cookies et/ou selon la réputation de la tierce partie qui place le cookie sur le site
Internet.

2.2.3 Autres conclusions du responsable du traitement

Dans son exposé des faits, le défendeur affirme que certaines constatations du Service d'Inspection
"dépassent le champ d'application initial des indices " (conclusions, p.2). La Chambre Contentieuse
souhaite souligner à cet égard que le Service d'Inspection n'est pas tenu, en vertu de la LCA, de se
limiter à la portée de ses premières constatations et peut ad nutum procéder ou non à des
constatations supplémentaires sur la base de son droit d'initiative.

"Le service d'inspection peut être saisi : (...) de sa propre initiative, lorsqu'il constate qu'il existe des
indices sérieux de l'existence d'une pratique susceptible de donner lieu à une infraction aux principes
fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et
des lois contenant des dispositions relatives à la protection du traitement des données à caractère
personnel" (article 63, 6° de la LCA). En vertu de l'article 92, 3° de la LCA, la Chambre Contentieuse
peut ensuite être saisie par le Service d'Inspection suite à ses nouvelles constatations. Elle veille à ce
que tous les griefs soulevés par le Service d'Inspection quant aux indices d'une infraction du RGPD
soient soumis à un débat contradictoire, dans le respect des droits de la défense. Pour être clair, la
compétence de la Chambre Contentieuse ne se limite pas aux faits dont elle est informée par le Service

Décision quant au fond 12/2019 - 40/44

d'Inspection en application de l'article 92, 3° de la LCA. La Chambre Contentieuse est donc libre,
moyennant respect des droits de la défense, de confronter aux principes fondamentaux applicables
de la protection des données à caractère personnel les faits soumis à son appréciation par le biais de
questions adressées au défendeur, et ce en vertu de l'article 4, § 1 de la LCA.

Le défendeur se range derrière l'argument que des pratiques similaires sont utilisées sur d'autres sites
Internet qui fournissent des informations juridiques 73. Cette défense ne tient pas la route. Un
responsable du traitement ne peut pas invoquer le principe d'égalité dans des affaires dans lesquelles
une violation du RGPD est constatée.

Le défendeur affirme par ailleurs que le site Internet est certes spécialisé dans la publication
d'informations juridiques mais ne dispose pas lui-même d'une expertise juridique particulière. Cette
expertise juridique serait plutôt le fait des auteurs des publications, ce qui implique que le site Internet
n'aurait pas de fonction d'exemple à assurer en matière de déclaration de confidentialité,
contrairement aux constatations du Service d'Inspection à cet égard. La Chambre Contentieuse en
prend note. Dans un contexte où l'essence des activités du site Internet consiste à diffuser des
informations juridiques, la Chambre Contentieuse part du principe que le défendeur est au courant de
l'importance de l'exactitude des informations juridiques qui sont placées sur son site Internet, ainsi
que de l'obligation de respecter les exigences légales. Comme tout responsable du traitement, le
défendeur est soumis à l'article 24 du RGPD, ce qui implique l'obligation de prendre des mesures
techniques et organisationnelles appropriées pour garantir et pouvoir démontrer que le traitement est
réalisé conformément au RGPD. Par ailleurs, la Chambre Contentieuse estime que le fait que le
responsable du traitement fournisse des services juridiques généraux ne justifierait pas une sanction
plus sévère.

Selon le défendeur, la violation de l'obligation d'information (des articles 12 et 13 du RGPD) n'a " aucun
impact" sur les droits des personnes concernées "étant donné que le traitement visait principalement
l'obtention d'informations statistiques" (Conclusions du défendeur, p 10). Cet argument ne convainc
pas. Le droit à la protection des données est un droit fondamental de tout un chacun et est repris en
tant que tel à l'article 8 de la Charte des droits fondamentaux de l’Union européenne. Le responsable
du traitement n'a aucune compétence d'appréciation quant à l'ampleur de ce droit en fonction du
prétendu faible impact de la violation, alors que le RGPD impose une obligation positive, comme par
exemple la mention du responsable du traitement (article 13 du RGPD) ou la communication
d'informations transparentes (article 12 du RGPD). La Cour d'appel de Bruxelles a précisé ce principe
comme suit dans son arrêt récent du 9 octobre 2019, dans le cadre d'un litige dans lequel la personne
concernée avait vainement demandé la rectification de ses données à caractère personnel :

73
Conclusions du défendeur, p. 4.

Décision quant au fond 12/2019 - 41/44

"Affirmer à présent (en 2019 !) que l'adaptation d'un programme informatique nécessiterait
plusieurs mois et/ou un surcoût financier pour l'établissement bancaire, ne permet pas au […]
d'ignorer les droits de la personne concernée. Les droits qui sont attribués à la personne sont
assimilables à des engagements de résultat dans le chef de celui qui traite les données à
caractère personnel. On peut attendre d'un établissement bancaire qui fonctionne bien que –
lorsqu'il utilise un programme informatique, il en utilise un qui répond aux normes actuelles,
incluant le droit précité à une orthographe correcte du nom. Le droit de rectification est un
droit fondamental. […] La question de savoir si […] des dommages découleraient de la
mention erronée de son nom de famille n'est pas pertinente. Une telle condition n'est imposée
ni par le RGPD, ni par la loi-cadre vie privée, ni par la LCA, et serait contraire à l'article 8,
alinéa 3 de la Charte des droits fondamentaux de l’Union européenne, qui cite le droit de
rectification
comme un élément de l'essence même du droit fondamental de tout un chacun à la protection
de ses données à caractère personnel"”74.

Le fait que "toutes les données à caractère personnel qui ont été collectée par le biais de cookies " ont,
selon le défendeur, "toujours été anonymisées" (Conclusions du défendeur, p. 10) ne constitue pas
une défense convaincante : le RGPD – incluant la transparence et les obligations d'information – reste
d'application tant que les données n'ont pas été réellement rendues " anonymes", c'est-à-dire s'il est
encore possible de relier directement ou indirectement les données en question – au besoin à l'aide
d'autres informations – à un individu75. Tant que les données ne sont pas anonymes, il existe encore
un risque de dommages physiques, matériels ou de préjudice moral pour les personnes physiques,
comme la perte de contrôle de leurs données à caractère personnel, la limitation de leurs droits, la
perte de confidentialité de données à caractère personnel protégées par secret professionnel ou tout
autre dommage économique ou social important pour les personnes en question 76.

Dès lors, l'internaute doit pouvoir décider souverainement, sur la base d'informations transparentes,
s'il poursuit la navigation sur le site Internet concerné, ou s'il donne son consentement pour certains
traitements lorsqu'un tel consentement est requis. L'anonymisation constitue également un traitement
ultérieur de données à caractère personnel 77 et, en tant que tel, le traitement initial doit respecter
toutes les exigences du RGPD, y compris en ce qui concerne la disponibilité d'une base légale.

74
Cour d'appel de Bruxelles, 9 octobre 2019, 2019/AR/1006, pp. 15 et 16, disponible sur le site Internet de l'APD.
75
Groupe de travail sur la protection des données, WP216, Avis 05/2014 sur les techniques d'anonymisation, WP216.
76
Voir le considérant 85 du RGPD : "Une violation de données à caractère personnel risque, si l'on n'intervient pas à temps et
de manière appropriée, de causer aux personnes physiques concernées des dommages physiques, matériels ou un préjudice
moral tels qu'une perte de contrôle sur leurs données à caractère personnel ou la limitation de leurs droits, une discrimination,
un vol ou une usurpation d'identité, une perte financière, un renversement non autorisé de la procédure de pseudonymisation,
une atteinte à la réputation, une perte de confidentialité de données à caractère personnel protégées par le secret professionnel
ou tout autre dommage économique ou social important”.
77
Groupe de travail sur la protection des données, Avis 05/2014 sur les techniques d'anonymisation, WP216, p. 3.

Décision quant au fond 12/2019 - 42/44

De surcroît, le défendeur ne produit aucune preuve de son affirmation que les données en question
ont en fin de compte été "anonymisées" (et pas simplement pseudonymisées), de sorte que la
Chambre Contentieuse ne peut pas non plus en tenir compte.

2.2.4 Décision relative aux sanctions

La Chambre Contentieuse estime que la violation des articles 6, 7 juncto 4.11°, 12 et 13 du RGPD est
établie et procède à l'imposition de sanctions.

En vertu de l'article 100 de la LCA, la Chambre Contentieuse est compétente pour infliger des amendes
administratives (article 100.13°, 101 et 102 de la LCA) et pour publier la décision sur le site Internet
de l'Autorité de protection des données (article 100.16° de la LCA).

En ce qui concerne les cookies d'analyse de "première partie", la Chambre Contentieuse tient compte
du fait que le défendeur ne maintient plus que l'utilisation de cookies d'analyse de " première partie"
peut se faire sur la base du fondement juridique de l' " intérêt légitime".

En sa qualité de responsable du traitement, le défendeur a la responsabilité de pouvoir garantir et
démontrer que les cookies d'analyse de "première partie" relèvent bel et bien de l'exception des
cookies "strictement nécessaires" de l'article 128 de la LCE, étant entendu que la notion de
"nécessaire" doit être expliquée conformément au RGPD, c'est-à-dire dans l'intérêt des personnes
concernées dont les données à caractère personnel sont traitées et non exclusivement dans l'intérêt
du site Internet. Conformément à l'article 24.1 du RGPD, le responsable du traitement a également
l'obligation de prendre toutes les mesures nécessaires afin de garantir et de pouvoir démontrer que le
traitement est réalisé en conformité avec ce règlement, compte tenu de la nature, de la portée, du
contexte et des finalités du traitement ainsi que des risques potentiels pour les droits et libertés des
personnes concernées.

En ce qui concerne le processus de consentement pour l'acceptation de cookies, la Chambre
Contentieuse constate que le défendeur a cessé de cocher par défaut les cookies choisis. La Chambre
Contentieuse estime toutefois que l'imposition d'une amende est appropriée au vu de la nature
négligente de l'infraction et de la présence de lignes directrices claires à cet égard dans les
considérants du RGPD lui-même (voir le considérant 32 du RGPD précité).

Pour déterminer le niveau de l'amende, la Chambre Contentieuse doit tenir compte des critères définis
à l'article 83 du RGPD, en fonction des circonstances. En l'espèce, la Chambre Contentieuse tient

Décision quant au fond 12/2019 - 43/44

compte des circonstances suivantes qu'elle estime suffisantes pour étayer la décision relative à la
sanction :

a) la durée de l’infraction : plusieurs infractions n'ont été résolues qu'après un deuxième
avertissement du Service d'Inspection, ce qui n'est pas acceptable dans le contexte de
l'article 24 du RGPD (voir ci-avant, au titre 2.2.1) ;
b) le nombre de personnes concernées touchées : portée mensuelle autoproclamée de
35.000 lecteurs ;
c) le fait que la violation a été commise délibérément ou par négligence : la Chambre
Contentieuse constate la négligence répétée du défendeur en ce qui concerne les obligations
de transparence des articles 12 et 13 du RGPD (voir ci-dessus, au titre 2.2.1) ; la Chambre
Contentieuse fait également remarquer que le défendeur a pris l'initiative de passer d'une
méthode "conforme au RGPD " à une méthode volontairement "non-conforme" en ce qui
concerne les cases pré-cochées pour les cookies présentés (voir ci-dessus, au titre 2.2.2.f) ;
en ce qui concerne la base légale de l‘ "intérêt légitime" qui est invoquée à tort par le
responsable du traitement au sujet des cookies statistiques, la Chambre Contentieuse se limite
à une répétition et à une précision des principes usuels (voir ci-dessus, au titre 2.2.d) ; en ce
qui concerne l'obligation de proposer une manière aisée de retirer le consentement, le
défendeur reste en défaut après répétition des règles applicables par le Service d'Inspection
dans son premier rapport (voir ci-dessus, au titre 2.2.2.g) ;
d) les mesures prises par le responsable du traitement : les rectifications ultérieures apportées à
la déclaration de confidentialité par le défendeur ne portent pas préjudice aux constatations
initiales de violation des articles 12 et 13 du RGPD,
faites le 12 mars 2019 et le 29 avril 2019.

Dans ce contexte, la négligence du défendeur à l'égard de la transparence et de l'exactitude de la
déclaration de confidentialité ainsi que le placement de cookies sans consentement sont
répréhensibles, de sorte qu'une amende de 15.000 euros est justifiée pour les violations des articles
12 et 13 du RGPD, ainsi que des articles 6, 7 juncto 4.11 du RGPD.

La Chambre Contentieuse estime que ce montant n'est pas disproportionné au regard du chiffre
d'affaires annoncé de 1.710.319,69 EUR pour l'exercice 2018.

Le fait que le défendeur ait toujours tenu compte des remarques du Service d'Inspection n'empêche
pas que le site Internet devait diffuser d'emblée des informations correctes.

Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse,
la présente décision est publiée sur le site Internet de l’Autorité de protection des données. À cet

Décision quant au fond 12/2019 - 44/44

égard, il n'est toutefois pas utile que la dénomination sociale du responsable du traitement soit publiée
directement.

PAR CES MOTIFS,

la Chambre Contentieuse de l'Autorité de protection des données décide à l’égard du défendeur, après
délibération :
- en vertu de l’article 101 de la LCA, d’infliger une amende administrative de 15.000 euros
pour cette infraction ;
- de publier la présente décision sur le site Internet de l'Autorité de protection des données, en
vertu de l'article 100, § 1, 16° de la loi du 3 décembre 2017, certes sans publier la
dénomination sociale du responsable du traitement.

En vertu de l'article 108, § 1er de la loi du 3 décembre 2017, cette décision peut faire l'objet d'un
recours dans un délai de trente jours, à compter de la notification, à la Cour des marchés, avec
l’Autorité de protection des données comme défendeur.

(ség.) Hielke Hijmans
Président de la Chambre Contentieuse