APD/GBA (Belgium) - 37/2020

1/49

Chambre Contentieuse

Décision quant au fond 37/2020 du 14 juillet 2020

Cette décision a été annulée par l’arrêt 2020/AR/1111 de
la Cour des Marchés du 30 juin 2021

N° de dossier : DOS-2019-03780

Objet : X c/ Google (déréférencement/ droit à l’oubli)

La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Yves Poullet et Christophe Boeraeve, membres ;

Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement Général sur la
Protection des Données), ci-après RGPD ;

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après LCA ;

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;

Vu les pièces du dossier ;

a pris la décision suivante concernant :
- le plaignant « X », représenté par Me Carine DOUTRELEPONT ;
- le responsable du traitement : Google Belgium SA, Chaussée d’Etterbeek 180, 1040 Bruxelles,
représentée par Me Louis-Dorsan JOLLY et Me Gerrit VANDENDRIESSCHE.

Décision quant au fond 37/2020 - 2/49

1. Les faits et rétroactes de la procédure

1. Le plaignant, résident belge, a introduit une plainte signée le 12 août 2019, contre Google Belgium
SA, société de droit belge, concernant le déréférencement d’une série de contenus numérotés de 1 à
12 et dont les douze URLs sont listés dans la plainte. Cette plainte a été déclarée recevable le 14 août
2019 par le Service de Première Ligne.

2. En substance, le plaignant se plaint du refus de « Google » de faire droit à ses demandes de
déréférencement envoyées via les formulaires en ligne de demande de suppression d’informations
personnelles. Alors que selon lui, une recherche effectuée sur la base de ses nom et prénom entraîne
le référencement de contenus attentatoires à son honneur et à sa réputation dans la presse écrite
belge.

3. Sont plus précisément critiquées deux catégories de contenus des index de Google. Il s’agit d’une part,
de contenus présentant le plaignant « comme une personne étiquetée parti Y » (un parti politique
belge), alors qu’il s’agirait d’un traitement de catégories particulières de données personnelles dans le
sens de l’article 9 du RGPD non couvert par les exceptions prévues dans le RGPD et en outre, inexactes.

4. Et d’autre part, sont en cause des contenus renvoyant à une information laissant apparaître que le
plaignant a fait l’objet d’une plainte pour harcèlement, alors que cette plainte aurait été déclarée non
fondée en 2010 par l’organisme chargé de l’examen de cette plainte, ARISTA1, et qu’en conséquence,
les informations concernées ne sont plus à jour.

5. Quant à la première catégorie de contenus, les contenus nos 1 à 8, Google a répondu : qu’elle ne peut
accéder au contenu n° 22 (Google demande en conséquence l’envoi d’une capture d’écran du contenu
complet de la page en question afin de pouvoir examiner la demande plus en détails) ; que le contenu
n° 7 a été supprimé ou que la page ne s’affiche pas ; et qu’elle décide de ne pas bloquer les contenus
nos 1, 3, 4, 5 et 83, ainsi que le contenu n° 64.

1
SPMT-ARISTA est un service externe de prévention et de protection au travail qui depuis le 1er janvier 2020 est devenu cohezio
(voir https://www.cohezio.be/fr, dernièrement consulté le 20 février 2020).
2
Google demande en conséquence l’envoi d’une capture d’écran du contenu complet de la page en question afin de pouvoir
examiner la demande plus en détails.
3
Pour ce motif : « après examen de l’équilibre entre les intérêts et les droits associés au contenu en question, y compris des
facteurs tels que la pertinence de ce dernier dans le cadre de votre vie professionnelle, Google a décidé de ne pas les bloquer
».
4
Pour ce motif : « après examen de l’équilibre entre les intérêts et les droits associés au contenu en question, y compris des
facteurs tels que la pertinence apparente de ce dernier, Google a décidé de ne pas le bloquer ».

Décision quant au fond 37/2020 - 3/49

6. Quant à la seconde catégorie de contenus, les contenus nos 9 à 12, Google aurait également décidé
de ne pas les bloquer5.

7. Le 30 août 2019, la Chambre Contentieuse a décidé en vertu de l’article 95, paragraphe 1 er, 1° et de
l’article 98 de la LCA que la plainte pouvait être traitée sur le fond. Les parties ont été invitées à
conclure. Les conclusions de Google ont été reçues le 30 septembre 2019. Le 15 octobre 2019, le
plaignant a demandé au greffe de la Chambre Contentieuse, en l’absence de toute précision dans la
LCA, ce qu’il en était de la possibilité de faire intervenir à la cause Google Ireland Ltd et Google LLC.
Il lui a été répondu le 21 octobre 2019, que sans préjudice de la décision qui sera prise à ce sujet par
la Chambre Contentieuse, le plaignant était invité à introduire sa demande dans ses conclusions, ce
qui permettra également à la partie adverse de se positionner à son égard. Le même jour, le plaignant
a introduit ses conclusions en réponse, sans demander l’intervention d’autres parties. Le 12 novembre
2019, Google a communiqué ses conclusions de synthèse.

8. A plusieurs reprises et dernièrement dans un courrier du 21 novembre 2019, Google a demandé à être
entendue. Les parties ont été invitées par la Chambre Contentieuse, à être entendues. Conformément
à l’article 93 de la LCA, la Chambre Contentieuse peut entendre les parties concernées. Sur cette base
et vu les conclusions échangées par les parties, elle a également offert la possibilité à Google LLC de
participer à l’audience envisagée afin d’y faire valoir ses éventuels arguments. Une audience a été
organisée le 6 mai 2020 en présence de Google Belgium SA et du plaignant représenté par un
remplaçant de Me Carine DOUTRELEPONT. Google LLC n’a pas répondu à l’invitation qui lui a été
envoyée et lors de l’audience. Google Belgium SA interrogée sur ce point, a expliqué que cette
invitation était bien parvenue à Google LLC mais que plus rien n’était signé manuellement en Californie
en raison de l’épidémie provoquée par le Coronavirus Covid-19. Or la Chambre Contentieuse a écrit
par courrier papier à Google LLC et cette dernière répond de la même manière que celle par laquelle
elle est sollicitée. L’adresse e-mail de la Chambre Contentieuse était cependant connue de Google, qui
aurait pu l’utiliser pour lui répondre. En raison de l’épidémie précitée, l’audience a été réalisée à
distance, par vidéoconférence.

9. Un procès-verbal de l’audience a été transmis aux parties le 11 mai 2020. Le 13 mai, le plaignant a
informé la Chambre Contentieuse qu’il n’a pas d’observations. Le 22 mai 2020, Google Belgium SA a
communiqué ses remarques concernant le procès-verbal de l’audition du 6 mai sous forme de ‘ track
changes’.

10. Le 4 juin 2020, la Chambre Contentieuse a adressé un e-mail à Google Belgium SA, lui communiquant
le montant de l’amende envisagée à son encontre ainsi que les motifs pour lesquels les manquements

5
Pour le motif suivant : « après examen de l’équilibre entre les intérêts et les droits associés au contenu en question, y compris
des facteurs tels que votre rôle dans la vie publique, Google a décidé de ne pas le bloquer ».

Décision quant au fond 37/2020 - 4/49

constatés au RGPD justifient le dit montant. Google Belgium SA a été invitée, par ce même e-mail, à
faire valoir ses moyens de défense à l’égard du montant d’amende envisagé. La Chambre Contentieuse
a reçu de tels moyens par e-mail du 24 juin.

11. Le 9 juin 2020, la Chambre Contentieuse a introduit une notification informelle d’assistance mutuelle
volontaire sous l’article 61 du RGPD dans le système de la coopération entre les autorités de contrôle,
en demandant une réaction dans les deux semaines. Les autorités espagnole, portugaise, hongroise,
slovaque, allemande (Hambourg, ainsi que Bade-Wurtemberg), française, italienne ainsi qu’irlandaise
ont introduit des commentaires dans ce délai.

2. Structure de la décision

12. Par la présente décision, la Chambre Contentieuse se penche sur la question du déréférencement
par un moteur de recherches sur Internet, de contenus suite à des recherches relatives à une
personne physique. Cette question fait l’objet d’une jurisprudence de la Cour de Justice de l’Union
européenne (ci-après CJUE) bien connue, notamment dans les arrêts Google Spain6,
Google/CNIL7 et GC et al./CNIL8. La Cour de Cassation belge s’est également prononcée sur le
déréférencement et le droit à l’oubli.9

13. Pour la Chambre Contentieuse, c’est l’occasion d’adopter une décision de principe et de trancher
quelques aspects fondamentaux liés au déréférencement, sur la base de la jurisprudence de la
CJUE en la matière, ou à propos d’autres points relatifs à la fixation de sa compétence à agir
(notamment l’arrêt de la CJUE Wirtschaftsakademie10).

14. Premièrement, la Chambre Contentieuse analyse la compétence de l’Autorité de la Protection des
Données (APD) dans le cas soumis au regard de l’article 55, 1., et du considérant n° 122 du RGPD.
A cette fin, la Chambre Contentieuse démontre que le cas d’espèce ne doit pas être soumis au
mécanisme de « guichet unique » du RGPD (Section 3 infra).

6
CJUE, 13 mai 2014, C-131/12, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et
Mario Costeja González
7
CJUE, 24 septembre 2019, C-507/17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL).
8
CJUE, 24 septembre 2019, C-136/17, GC e.a. contre Commission nationale de l'informatique et des libertés (CNIL).
9
Voir, notamment, Cass., 29 avril 2016.
10
CJUE, 5 juin 2018, C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie
Schleswig-Holstein GmbH.

Décision quant au fond 37/2020 - 5/49

15. Deuxièmement, après avoir conclu qu’une telle compétence existe, la Chambre se penche sur la notion
de responsable du traitement dans le sens de l’article 4, (7), du RGPD, avec l’objectif de trancher si
Google Belgium SA – le défendeur dans cette affaire – peut être considéré comme responsable du
traitement et/ou ayant ses activités indissociablement liées avec celles du responsable de traitement
(Google LLC), et si l’APD peut exercer ses compétences à l’égard de Google Belgium (Section 4 infra).

16. Troisièmement, elle détermine l’application territoriale du déréférencement, en vue de l’arrêt
Google/CNIL. (Section 5 infra).

17. Quatrièmement, la Chambre Contentieuse se penche sur les demandes de déréférencement
introduites par le plaignant, qui concernent l’étiquetage politique et la plainte pour harcèlement
(Section 6, infra).

18. Cinquièmement, la Chambre Contentieuse considère que certains faits qui ont été portés à sa
connaissance dans la présente espèce constituent un manquement au RGPD (Section 7 infra) et
détaille les mesures correctrices qui y sont liées.

3. Compétence de l’APD et l’inapplicabilité du mécanisme de « guichet unique »

19. La compétence de l’APD est définie et encadrée dans le Chapitre VI du RGPD.

20. Conformément à l’article 55, 1., du RGPD une autorité de contrôle est compétente pour exercer ses
missions et pouvoirs sur le territoire de l’État membre dont elle relève. Le considérant n° 122 prévoit
que cela doit couvrir - entre autres - le traitement des données dans le cadre d’activités menées par
un établissement du responsable du traitement sur ce territoire, ainsi qu’un traitement affectant des
personnes concernées sur ce territoire.

21. La compétence territoriale est un principe majeur du RGPD, qui doit être lu en lien avec l’article 3, 1.,
du RGPD sur l’application territoriale du RGPD. La compétence territoriale de l’autorité est une règle
de compétence qui relève du principe dans le droit public international selon lequel un État a le pouvoir
d’imposer la loi sur son propre territoire. Ce principe du RGPD est à lire avec l’objectif (ratio legis) du
Règlement d’assurer une protection efficace et complète des droits fondamentaux de la personne

Décision quant au fond 37/2020 - 6/49

concernée. La compétence territoriale peut inclure les activités d’une filiale locale d’une entreprise
établie dans un État tiers11.

22. La compétence territoriale s’applique aussi dans l‘hypothèse où le traitement est effectué par un
responsable du traitement qui n’est pas établi sur le territoire de l’Union européenne, comme prévu et
conformément aux conditions de l’article 3, 2., du RGPD. Ceci est confirmé par le Comité Européen de
la Protection des Données (EDPB)12.

23. En revanche, une exception à ce principe fondateur du RGPD est prévue à l’article 56, 1., lu
conjointement avec l’article 60, sur la coopération de l’autorité de chef de file et les autorités de
contrôle concernées (le « guichet unique »). Dans une situation de traitement transfrontalier dans
l’Union européenne, l’autorité de chef de file guide la coopération. Le champ d’application de cette
exception est limité aux situations de « traitement transfrontalier », défini à l’article 4, (23), du RGPD,
c’est-à-dire, un traitement qui est effectué dans plusieurs établissements dans l’Union européenne
d’un responsable du traitement, ou un traitement qui affecte sensiblement des personnes concernées
dans plusieurs États membres (ou est susceptible de les affecter). Dans la présente affaire, la plainte
est introduite contre Google Belgium SA, filiale de Google LLC (Etats-Unis). Cet établissement belge,
une filiale en droit des sociétés, de Google est la défenderesse. Toutefois, Google Belgium SA défend
la position que seule Google LLC (États-Unis) est le responsable du traitement.

24. La Chambre Contentieuse souligne que même dans l’hypothèse où Google LLC et non Google Belgium
SA serait le responsable du traitement (hypothèse non suivie par la Chambre Contentieuse13), l’APD
serait compétente pour traiter la plainte d’un ressortissant belge. Le traitement des données à
caractère personnelle dans le cadre d’un établissement d’un responsable du traitement à l’extérieur
de l’Espace Economique Européen n’est pas couvert par les articles 56.1 et 60 du RGPD. L’entreprise
« Google » basée aux Etats-Unis dispose bien d’un établissement principal dans l’Union européenne :
en Irlande plus précisément via la société Google Ireland Ltd. Dans l’hypothèse où le traitement en
cause dans la présente affaire serait effectué dans le cadre des activités de cet établissement principal,
ce traitement entrerait dans le champ d’application de l’article 56, 1., du RGPD, et dans le système de
coopération « guichet unique », avec l’autorité irlandaise comme autorité chef de file.

25. Lors de l’audience, la répartition des responsabilités au sein du groupe de sociétés « Google » a fait
partie du débat, comme cela était prévu dans la lettre d’invitation envoyée par la Chambre
Contentieuse. Dans cette lettre, la Chambre avait clairement exprimé le souhait d’être informée des

11
THE EU GENERAL DATA PROTECTION REGULATION (GDPR), A Commentary, Edited by Kuner, Bygrave and Docksey, OUP
2020, pp. 903, 906-908. Voir aussi l’arrêt Google Spain, points 34 et 53.
12
Guidelines 3/2018 on the territorial scope of the GDPR (Article 3) - pour consultation publique, adoptées le 12 novembre
2019 disponible sur www.edpb.europa.eu.
13
Infra, n° 32-53

Décision quant au fond 37/2020 - 7/49

rôles et responsabilités des établissements du groupe « Google », y compris quant à l’existence d’un
éventuel établissement principal (au sens de l’article 4, (16), du RGPD)14.

26. Google Belgium SA a reconnu que Google Ireland Ltd était l’établissement principal de Google au sens
de l’article 4, (16), du RGPD, à savoir le lieu de l’administration centrale de Google LLC dans l’Union
européenne. Bien que le rôle de Google Ireland soit mentionné dans la présente procédure, la Chambre
Contentieuse considère que le traitement des données dans le cas d’espèce n’est pas effectué dans le
cadre des activités de Google Ireland Ltd.

27. En effet, premièrement, lors de l’audience, Google Belgium SA a soutenu que la référence à Google
Ireland Ltd était hors débat. Selon Google Belgium SA, cette référence ne figurait pas dans les
conclusions du plaignant et le débat est situé entre Google Belgium SA et Google LLC : il n’est donc
pas question que Google Ireland Ltd intervienne. Dans la présente procédure, les parties n’ont pas
échangé sur « Google Ireland ou Google BE », le débat se situe entre Google Belgium SA et Google
LLC. Dès lors, pour des raisons de procédure, la Chambre Contentieuse ne devait pas se prononcer
sur le rôle de Google Ireland Ltd. La Chambre Contentieuse répète cependant à cet égard, qu’elle a
expressément invité les parties à se prononcer sur l’existence d’un éventuel établissement principal de
Google sur le territoire de l’Espace Economique Européen15, et qu’il est bien apparu lors de l’audience
que Google Ireland Ltd était cet établissement.

28. Deuxièmement, dans le cadre de la plaidoirie, Google Belgium SA a insisté sur le fait que l’activité de
Google Ireland Ltd comme responsable du traitement concerne une hypothèse différente de celle qui
concerne les activités d’indexation du moteur de recherches. Elle concerne le traitement des données
des « utilisateurs », c.-à-d. par exemple, lorsqu’une personne utilise le moteur de recherches, son
historique de recherches peut être traité par Google pour l’adaptation des résultats de recherche. Il
s’agit alors d’un traitement pour lequel Google Ireland Ltd est le responsable du traitement. Pour le
moteur de recherches Google et les traitements correspondant aux trois étapes nécessaires au
fonctionnement du moteur de recherches (exploration, indexation, sélection des résultats de
recherches) en cause dans la procédure, Google Ireland Ltd n’est pas le responsable du traitement.
Cette répartition des rôles est expliquée par le fait que Google Ireland Ltd joue un rôle d’interface avec
les utilisateurs résidant dans l’UE mais n’intervient pas dans l’élaboration et la gestion du moteur de
recherches, compétence exclusive de Google LLC.

14
Le courrier d’invitation contenait le passage suivant : « Sans préjudice des arguments qu’elles souhaiteraient développer
devant la Chambre Contentieuse, toutes les parties sont invitées, dans le contexte du présent dossier, à s’exprimer sur les
activités, rôles et responsabilités de Google LLC, de Google Belgium SA, et sur l’existence d’un éventuel établissement principal
(au sens de l’article 4, 16) du RGPD) de Google sur le territoire de l’Espace Economique Européen ».
15
Supra, note n°14.

Décision quant au fond 37/2020 - 8/49

29. Ainsi, les éléments évoqués par Google Belgium SA lors de l’audience, selon lesquels Google Ireland
Ltd serait responsable du traitement des données des utilisateurs lorsque par exemple, leurs
historiques de recherches sont traitées afin d’adapter les résultats qui leurs sont communiqués par le
moteur de recherches sont potentiellement contradictoires avec la position défendue par Google
Belgium SA selon laquelle Google LLC serait bien l’unique responsable du traitement dans le cadre du
fonctionnement du moteur de recherches et de ses trois phases, à savoir la phase d’exploration, celle
d’indexation et celle de sélection des résultats.

30. Par conséquent, le traitement des données (c’est-à-dire le déréférencement) dans le cas d’espèce n’est
pas effectué dans le cadre des activités de Google Ireland Ltd. En conclusion dans le cas d’espèce,
l’autorité de contrôle irlandaise ne peut pas être l’autorité chef de file, au sens des articles 56 et 60
du RGPD, ce qui implique que le mécanisme du « guichet unique » n’est pas d’application et que la
compétence de la Chambre Contentieuse peut être appréciée à l’aune du principe de territorialité
consacré dans l’article 55, 1., du RGPD.

31. Cette conclusion est corroborée par la position prise par Google LLC dans une lettre à l’autorité de
contrôle irlandaise datée du 23 juin 2020, dans laquelle Google LLC explique qu’elle ne s'opposera plus
à ce qu’une autorité de contrôle locale exerce une compétence locale en matière de traitement des
données à caractère personnel qui entre dans la sphère de responsabilité de Google LLC.16 Cette prise
de position ne signifie pas pour autant que le système de coopération ne puisse s’appliquer17.

4. Quant au responsable du traitement

32. L’objectif de cette section est d’établir si Google Belgium SA – le défendeur dans cette affaire – peut
être considéré comme responsable du traitement relatif aux demandes de déréférencement du
plaignant, c’est-à-dire l’entité qui détermine les finalités et les moyens, et/ou dont les activités sont
indissociablement liées avec celles du responsable de traitement, ici Google LLC.

33. À ce stade, la Chambre Contentieuse fait valoir une observation préalable sur l’application territoriale
du RGPD. L'article 3 du RGPD couvre deux scénarios distincts en ce qui concerne son applicabilité
territoriale :
a. le premier scénario concerne l'application du RGPD au traitement de données à
caractère personnel effectué dans le cadre des activités d'un établissement d'un

16
Cette lettre est ajoutée dans le dossier par la Chambre Contentieuse.
17
Infra, n° 89.

Décision quant au fond 37/2020 - 9/49

responsable de traitement sur le territoire de l'Union, que le traitement ait lieu ou non
dans l'Union (article 3.1) ;18
b. le deuxième scénario concerne l'application du RGPD au traitement à caractère
personnel relatives à des personnes qui se trouvent sur le territoire de l'Union par un
responsable de traitement qui n'est pas établi dans l'Union (article 3.2).

34. La Chambre Contentieuse note que ces deux paragraphes doivent être alignés. A défaut, en se basant
sur une lecture purement textuelle, un certain vide juridique pourrait exister dans les circonstances ou
un traitement est effectué par un responsable du traitement qui dispose d’un établissement dans
l'Union, et que le traitement n’est pas effectué dans le cadre des activités de cet établissement mais
bien par un responsable de traitement établi dans un pays tiers.

35. Dans le cas d’espèce, il n'est pas contestable que la personne concernée (le plaignant) se trouve sur
le territoire de l'Union européenne (en l'occurrence, en Belgique). Google LLC ayant divers
établissements dans l'Union, l'article 3.2 n'est pas d'application. Dès lors, l’application territoriale est
déclenchée par l’article 3.1 RGPD. En effet, si à considérer qu’aucune de ces dispositions ne soit
applicable, la protection efficace et complète des personnes concernées que réclame la Cour de justice
de l’Union européenne19 ne serait pas garantie.

36. De plus, la Chambre contentieuse souligne que, étant donné que le RGPD et la jurisprudence de la
Cour de justice prévoient une protection efficace et complète des personnes, l’application de l’article
3.1 doit être considérée comme la règle principale, pour la seule raison que le contrôle effectif devient
complexe si le traitement des données à caractère personnel est effectué par un établissement à
l’extérieur de l’Union européenne. Il n’est par exemple pas évident pour une autorité de contrôle de
mettre en exercice les pouvoirs d’enquête ou d’adopter des mesures correctrices vis-à-vis d’un tel
établissement visées à l’article 58 du RGDP à l’égard d’un établissement à l’extérieur de l’Union.

4.1 Position du responsable du traitement et arrêt Google Spain

37. En substance, Google Belgium SA considère la plainte à son encontre non fondée dès lors que le seul
responsable du traitement des données à caractère personnel lié au service de moteur de recherches

18
Le champ d’application du RGPD est étendu aux 3 États de l’Espace Économique Européenne (EEE), à savoir l’ Islande, la
Norvège et le Liechtenstein par une décision du Comité Mixte de l’EEE du 6 juillet 2018, entrée en vigueur le 20 juillet 2018.
Cette décision n’a pas de conséquence dans le cas d’espèce. Néanmoins, la présente décision fait référence à l’EEE à plusieurs
occasions.
19
CJUE, 13 mai 2014, C-131/12, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et
Mario Costeja González. Point n°58.

Décision quant au fond 37/2020 - 10/49

Web offert par Google n’est pas Google Belgium SA mais bien la société américaine Google LLC. Elle
invoque à l’appui de son argumentation l’arrêt Google Spain 20.

38. Dans cette affaire, la Cour de justice a considéré qu’un établissement tel que Google Spain satisfaisait
au critère prévu à l’article 4, paragraphe 1, a), de la directive n° 95/46/CE21, considérant en substance
que les activités de l’exploitant du moteur de recherches (Google Inc. alors, Google LLC à présent) et
celles de son établissement situé dans l’Etat membre concerné étaient indissociablement liées dès lors
que les activités relatives aux espaces publicitaires constituaient le moyen pour rendre le moteur de
recherche en cause économiquement rentable et que ce moteur était, en même temps, le moyen
permettant l’accomplissement de ces activités 22.

39. La Cour a également jugé dans cette même affaire, comme le soutient Google Belgium SA, que l’
« exploitant d’un moteur de recherche » est responsable du traitement de données à caractère
personnel effectué dans le cadre de son activité, qui se distingue et s’ajoute à celui effectué par les
éditeurs de sites web23.

40. L’objectif de cette jurisprudence est d’« assurer, par une définition large de la notion de « responsable
», une protection efficace et complète des personnes concernées »24. Selon Google Belgium SA, cet
arrêt impliquerait que Google LLC serait le seul responsable de traitement. Cette position ne convainc
pas. La Cour de justice n’a pas clairement distingué les responsabilités de la société américaine de son
établissement européen, mais a – au contraire – souligné que les activités des deux entités étaient
indissociables. Même dans l’hypothèse où une telle distinction théorique des responsabilités de la
société mère et de la société filiale serait valable, la mise en cause de Google Belgium SA resterait
valable, précisément en raison de ces liens indissociables et de l’exigence de protection efficace et
complète des personnes concernées.

41. De plus, Google Belgium SA a soutenu lors d’audience que le traitement est couvert par l’article 3,1.,
du RGPD, qui dispose que « Le présent règlement s'applique au traitement des données à caractère
personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou
d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union », de telle
sorte que la jurisprudence précitée de la Cour de justice peut y être transposée, ce à quoi la Cour de

20
CJUE, 13 mai 2014, C-131/12, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et
Mario Costeja González.
21
Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques
à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, JO L281/31. .
22
CJUE, 13 mai 2014, C-131/12, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et
Mario Costeja González, point 56.
23
Ibid, points 32 à 38.
24
Ibid, point 34.

Décision quant au fond 37/2020 - 11/49

justice a d’ailleurs procédé dans son arrêt Google/CNIL concernant la portée des déréférencements
susceptibles d’être imposés à Google25.

42. La Chambre Contentieuse souligne que cette position implique que Google Belgium SA semble
admettre que le traitement est effectué dans le cadre des activités d’un établissement du responsable
du traitement dans l’Union européenne, c’est-à-dire Google Belgium SA. Une autre lecture de cette
position aurait – comme statué dans l’arrêt Google/CNIL - « pour conséquence que le traitement de
données à caractère personnel […] soit soustrait aux obligations et aux garanties prévues [par la
directive 95/46 et] par le RGPD ». En d’autres termes, une telle lecture mettrait en péril l’effet utile
de l’application du RGPD.

43. La Chambre Contentieuse reconnait certes que cette jurisprudence concernant l’application du principe
du « lien indissociable » a été élaborée dans le cadre de l’application de la Directive 95/46/CE dont les
dispositions de territorialité sont distinctes de celles du RGPD. Néanmoins, dans l’arrêt Google/CNIL
précité la Cour confirme sa volonté d’étendre sa jurisprudence en cette matière au RGPD. La Chambre
Contentieuse cite les paragraphes suivants :

« 50. En effet, dans de telles circonstances, les activités de l’exploitant du moteur de
recherche et celles de son établissement situé dans l’Union sont indissociablement
liées […]. 51. Dans ces conditions, la circonstance que ce moteur de recherche soit
exploité par une entreprise d’un État tiers ne saurait avoir pour conséquence que le
traitement de données à caractère personnel effectué pour les besoins du
fonctionnement dudit moteur de recherche dans le cadre de l’activité publicitaire et
commerciale d’un établissement du responsable de ce traitement sur le territoire d’un
État membre soit soustrait aux obligations et aux garanties prévues par la directive
95/46 et par le règlement 2016/679 […].»

Par ailleurs, il est clairement établi et reconnu que la volonté des auteurs du RGPD a été d’accroître
encore la protection des personnes concernées et de la rendre plus effective.

4.2 Rôle des établissements de Google.

44. Dans ses conclusions en réponse, le plaignant soutient notamment que Google Belgium SA est une
filiale de Google LLC. essentiellement active dans le marketing digital, dont le siège social se situe à

25
CJUE, 24 septembre 2019, C-507/17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL), points
48 à 52.

Décision quant au fond 37/2020 - 12/49

Bruxelles et son activité vise les habitants de la Belgique, et que les activités de Google Belgium SA et
de Google LLC sont indissociables au sens de l’arrêt Google Spain évoqué précédemment.

45. Google Belgium SA ne le conteste pas. Il n’est pas non plus contesté que Google Belgium SA exerce
réellement et effectivement des activités en Belgique.

46. Lors de l’audience, Google Belgium SA a été interrogée sur les différents rôles des établissements de
Google. Elle a confirmé ne jouer aucun rôle à l’égard des données traitées dans le cadre des trois
phases du fonctionnement du moteur de recherches Google, à savoir sa phase d’exploration, sa phase
d’indexation et sa phase de sélection des résultats en fonction de la requête introduite par l’utilisateur.
Google LLC serait seule responsable du traitement dans ce contexte. En substance lors de l’audience,
Google Belgium SA a expliqué qu’elle était une filiale de Google établie en Belgique de nature à
entraîner l’application des droits européen et belge. Google Belgium SA considère que Google LLC est
donc soumise au RGPD en application de son article 3,1., et en conséquence, ne doit pas désigner un
représentant conformément aux articles 3, 2., et 27 du RGPD.

47. Google Belgium SA a expliqué qu’elle se bornait à offrir des services de consultance liés à la
commercialisation des services d’autres entités de Google sur le marché belge. Les demandes de
déréférencements sont, elles, directement et exclusivement traitées par Google LLC à partir des
formulaires en ligne introduits par les personnes concernées sans aucune implication de Google
Belgium SA. Cette dernière explique que lorsqu’elle est sollicitée par des personnes concernées
demandant un déréférencement, elle les renvoie systématiquement vers les formulaires en ligne qui
sont envoyés (et adressés) à Google LLC. Sur la base du pays et de la langue choisis par la personne
concernée dans le formulaire, les agents du service de première ligne de Google LLC sont sélectionnés
pour répondre au cas en question. Dans les cas où les contenus concernés nécessitent une évaluation
plus approfondie, un processus d’ « escalation » (escalade) est suivi et, en l’occurrence, c’est une
personne belge établie aux Etats-Unis (qui n’est pas employée de Google Belgium SA) et travaillant
pour Google LLC qui a été consultée. Les analyses effectuées par cet employé de Google le sont sur
la base d’informations issues de sources publiques et sa bonne connaissance des particularités propres
au pays concerné dont il possède la nationalité.

48. La Chambre Contentieuse conclut que sur la base des éléments précédents, qu’en appliquant en
l’espèce l’arrêt Google Spain, le RGPD est bien applicable à Google LLC en application de l’article 3, 1.,
du RGPD et que la filiale Google Belgium SA constitue bien un établissement de nature à entraîner
l’application du RGPD au titre de l’article 3, 1., du RGPD. La Chambre Contentieuse invoque dans ce

Décision quant au fond 37/2020 - 13/49

contexte l’arrêt Google/CNIL26 dans lequel la Cour souligne qu’il importe peu que ce traitement ait
lieu ou non dans l’Union.

49. Bien qu’il est vrai que Google Belgium SA ne détermine pas les finalités ou les moyens du traitement
au sens strict – ceux-ci sont déterminés par Google LLC -, Google Belgium SA est une filiale de Google
LLC et il s’ensuit de la position de Google Belgium SA que les activités de cette filiale déclenchent
l’application de l’article 3.1 du RGPD. En d’autres termes, le traitement en cause est effectué dans le
cadre des activités de l’établissement de Google en Belgique. Une autre interprétation impliquerait
l’application de l’article 3.2 du RGDP, ainsi que l’obligation de Google de désigner un représentant
dans l’Union européenne en vertu de l’article 27 du RGPD. Ceci n’est pas prévu par Google et n’est
pas non plus nécessaire au vu du rôle de Google Belgium SA.

50. La Chambre contentieuse souligne que cette interprétation est corroborée par l’arrêt Google Spain,
bien que le cas de figure ne soit pas identique. Dans cet arrêt, la Cour a jugé – sous le régime de la
directive 95/46 – « qu’un traitement de données à caractère personnel est effectué dans le cadre des
activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au
sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre
une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires
proposés par ce moteur et dont l’activité vise les habitants de cet État membre. »27

51. De plus, ses activités étant indissociablement liées à celles de Google LLC., cette filiale en Belgique,
eu égard au rôle qu’elle joue et décrit, peut être traitée de la même manière qu’un responsable des
traitements de données réalisés dans le cadre du fonctionnement du moteur de recherches Google et
de la gestion des demandes de déréférencements en Belgique.

52. En bref, la Chambre contentieuse considère que Google Belgium SA devrait être traitée de la même
manière qu’un responsable du traitement sur la base des éléments du dossiers et de la jurisprudence
Google Spain de la Cour de justice de l’Union européenne.

53. En tout état de cause, quand bien même Google Belgium SA ne pourrait être considérée comme
responsable du traitement, la Chambre Contentieuse demeurerait compétente à l’égard de Google
Belgium SA en raison de la présence de cette entité sur le territoire belge, comme les éléments suivants
le démontrent.

26
CJUE, 24 septembre 2019, C-507/17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL), point
48.

27
CJUE, 13 mai 2014, C-131/12, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et
Mario Costeja González, point 60.

Décision quant au fond 37/2020 - 14/49

4.3 La compétence de l’APD à propos de Google Belgium

54. Il convient à présent de tenir compte de l’arrêt Wirtschaftsakademie rendu par la Cour de justice le 5
juin 201828 au sujet de la directive n° 95/46 qui reconnaît à une autorité de contrôle le pouvoir
d’exercer ses compétences à l’égard d’un établissement du responsable du traitement même si cet
établissement n’est pas un responsable conjoint du traitement . Les développements ultérieurs
démontreront qu’il y a lieu d’étendre l’application de cette jurisprudence au cas d’espèce 29.

55. Dans l’affaire Wirtschaftsakademie, la Cour a jugé que l’autorité de contrôle allemande était
compétente, aux fins d’assurer le respect sur le territoire allemand, des règles en matière de protection
des données à caractère personnel, pour mettre en œuvre, à l’égard de Facebook Germany, l’ensemble
des pouvoirs dont elle dispose en vertu des dispositions nationales transposant l’article 28, paragraphe
3 de la directive n° 95/46 (considérants nos 50 et s.). Or dans la même affaire, la Cour avait également
clairement jugé que « Facebook Inc. et, s’agissant de l’Union, Facebook Ireland doivent être regardées
comme déterminant, à titre principal, les finalités et les moyens du traitement des données à caractère
personnel des utilisateurs de Facebook ainsi que des personnes ayant visité les pages fan hébergées
sur Facebook, et relèvent ainsi de la notion de ‘responsable du traitement’, au sens de l’article 2, sous
d), de la directive 95/46 »30 (italiques ajoutés par la Chambre Contentieuse). Autrement dit, Facebook
Germany n’était pas responsable (ou responsable conjoint) du traitement de données litigieux.

56. La Cour a reconnu cette compétence à l’autorité de contrôle allemande au terme de la vérification de
la satisfaction des deux conditions posées par l’article 4, paragraphe 1er, a), de la directive 95/46 :

« afin de déterminer si une autorité de contrôle est fondée, dans des circonstances telles que
celles au principal, à exercer à l’égard d’un établissement situé sur le territoire de l’Etat membre
dont elle relève les pouvoirs qui lui sont conférés par le droit national, il y a lieu de vérifier si les
deux conditions posées par l’article 4, paragraphe 1, sous a), de la directive 9[5]/46 sont réunies,
à savoir, d’une part, s’il s’agit d’un ‘établissement du responsable du traitement’, au sens de cette
disposition, et, d’autre part, si ledit traitement est effectué ‘dans le cadre des activités’ de cet
établissement, au sens de la même disposition »31.

57. Quant à la première condition, la Cour l’a jugée rencontrée en considérant qu’il était « constant que
Facebook Inc., en tant que responsable du traitement de données à caractère personnel,

28
CJUE, 5 juin 2018, Aff C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre
Wirtschaftsakademie Schleswig-Holstein GmbH.
29
Infra, n°64 et s.
30
CJUE, 5 juin 2018, Aff C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre
Wirtschaftsakademie Schleswig-Holstein GmbH, point 30.
31
Ibid, point 53.

Décision quant au fond 37/2020 - 15/49

conjointement avec Facebook Ireland, dispose d’un établissement stable en Allemagne, à savoir
Facebook Germany, situé à Hambourg, et que cette dernière société exerce réellement et
effectivement des activités dans ledit État membre »32.

58. Mutatis mutandis, c’est également le cas de Google Belgium SA 33, qui exerce réellement et
effectivement des activités en Belgique.

59. Quant à la deuxième condition, en vue d’assurer une protection efficace et complète des personnes
concernées et en appliquant la jurisprudence Google Spain évoquée précédemment, la Cour a
considéré que les activités de l’établissement de Facebook situé en Allemagne étaient
indissociablement liées à celles des responsables conjoints du traitement que sont Facebook Inc. et
Facebook Ireland34.

60. Mutatis mutandis, c’est également encore le cas de Google Belgium SA, comme celle-ci l’a d’ailleurs
confirmé, puisqu’elle ne réfute pas l’argumentation du plaignant sur ce point35.

61. Sur ces bases, la Cour a conclu dans l’affaire Wirtschaftsakademie, que le droit allemand était
applicable en vertu de l’article 4, paragraphe 1 er, a), de la directive n° 95/46, et que l’autorité de
contrôle allemande était compétente, conformément à l’article 28, paragraphe 1 er, de cette directive
pour appliquer le droit allemand au traitement, et qu’elle disposait donc de l’ensemble des pouvoirs
dont elle dispose en vertu de son droit national transposant l’article 28, paragraphe 3 de la directive
n° 95/46 à l’égard de l’établissement allemand de Facebook 36.

62. La Cour a encore considéré que « la circonstance […] selon laquelle les stratégies décisionnelles quant
à la collecte et au traitement de données personnelles relatives à des personnes résidant sur le
territoire de l’Union sont prises par une société mère établie dans un pays tiers, telle que, en
l’occurrence, Facebook Inc., n’est pas de nature à remettre en cause la compétence de l’autorité de
contrôle relevant du droit d’un Etat membre à l’égard d’un établissement, situé sur le territoire de ce
même Etat, du responsable du traitement des dites données » 37.

63. L’entrée en application du RGPD ne change pas la pertinence de cette jurisprudence voire la renforce,
à tout le moins dans le contexte de la présente affaire. L’article 3, 1., du RGPD est considéré comme

32
Ibid, point 55.
33
Supra, n° 44-47.
34
CJUE, 5 juin 2018, Aff C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre
Wirtschaftsakademie Schleswig-Holstein GmbH, points 56 à 60.
35
Supra, n° 44-47, en particulier n°45.
36
CJUE, 5 juin 2018, Aff C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre
Wirtschaftsakademie Schleswig-Holstein GmbH, points 61 et 62.
37
Ibid, point 63.

Décision quant au fond 37/2020 - 16/49

le successeur de l’article 4, 1., a), de la directive 95/4638. Dans l’arrêt Google/CNIL ces deux
dispositions sont d’ailleurs mentionnées conjointement 39.

64. La Chambre Contentieuse considère que pour les trois raisons développées ci-après, il y a lieu, en vue
de garantir l’application effective du RGPD, de suivre les enseignements de l’arrêt Wirtschaftsakademie
au cas d’espèce, et que partant, elle est compétente pour exercer ses pouvoirs à l’encontre de Google
Belgium SA sur la base d’une plainte introduite à l’encontre de cette dernière auprès de l’Autorité.

65. Premièrement : le responsable du traitement est établi en dehors de l’Espace Economique
Européen. Mutatis mutandis, et a fortiori en vue de garantir une protection efficace et complète des
personnes concernées dans une hypothèse telle que celle en cause où la personne morale qui est
responsable du traitement ne se situe pas sur le territoire de l’Espace Économique Européen (le
responsable du traitement étant in casu, Google LLC), il y a lieu de transposer la jurisprudence
Wirtschaftsakademie sous l’empire du RGPD. Les nouvelles règles consacrées dans le RGPD ne
remettent pas en cause les principes établis par la Cour dans cette jurisprudence : le RGPD uniformise
les missions et pouvoir des autorités de contrôle (voir ses articles 57 et 58) dont la compétence reste
soumise au principe de territorialité (voir l’article 55, 1., du RGPD).

66. Bien au contraire, le RGPD entend renforcer l’effectivité des règles de protection des données et
protéger au mieux les personnes concernées. Or si la Cour a jugé que même lorsque le responsable
du traitement était établi sur le territoire d’un Etat membre, l’autorité de contrôle d’un autre Etat
Membre où se trouve un établissement qui n’est pas responsable conjoint du traitement était
compétente à l’égard d’un tel établissement, ce raisonnement vaut a fortiori lorsque le responsable du
traitement est établi en dehors de l’Union européenne.

67. Deuxièmement : le responsable du traitement ne doit pas désigner de représentant, puisqu’il est établi
sur le territoire de l’Espace Économique Européen. Eu égard aux rôles joués par Google Belgium SA40
et Google LLC, cette dernière étant un responsable du traitement soumis au RGPD en application de
son article 3, 1. Google LLC n’a donc pas dû désigner de représentant conformément à l’article 27 du
RGPD. Le considérant n° 80 du RGPD dispose que :

« Le représentant devrait être expressément désigné par un mandat écrit du responsable du
traitement ou du sous-traitant pour agir en son nom en ce qui concerne les obligations qui lui
incombent en vertu du présent règlement. La désignation de ce représentant ne porte pas

38
THE EU GENERAL DATA PROTECTION REGULATION (GDPR), A Commentary, Edited by Kuner, Bygrave and Docksey, OUP
2020, p. 77.
39
CJUE, 24 septembre 2019, C-507/17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL), point
48.
40
Supra, n° 44-47.

Décision quant au fond 37/2020 - 17/49

atteinte aux responsabilités du responsable du traitement ou du sous-traitant au titre du
présent règlement. Ce représentant devrait accomplir ses tâches conformément au mandat
reçu du responsable du traitement ou du sous-traitant, y compris coopérer avec les autorités
de contrôle compétentes en ce qui concerne toute action entreprise pour assurer le respect
du présent règlement. Le représentant désigné devrait faire l'objet de procédures coercitives
en cas de non-respect du présent règlement par le responsable du traitement ou le sous-
traitant ».

68. L’article 27, 4., du RGPD dispose que le « Le représentant est mandaté par le responsable du
traitement ou le sous-traitant pour être la personne à qui, notamment, les autorités de contrôle et les
personnes concernées doivent s'adresser, en plus ou à la place du responsable du traitement ou du
sous-traitant, pour toutes les questions relatives au traitement, aux fins d'assurer le respect du présent
règlement ».

69. Si le législateur européen n’a pas jugé utile, en adoptant l’article 3, 1., du RGPD, d’obliger un
responsable du traitement dans une situation telle que celle de Google LLC en cause dans l’arrêt
Google Spain à désigner un représentant41, c’est qu’il a considéré que la présence d’un établissement
du responsable du traitement sur le territoire de l’Union au sens de l’article 3, 1., du RGPD devait
présenter un lien territorial suffisant avec le territoire de l’Union européenne afin d’assurer une bonne
application du RGPD : il est implicite mais certain qu’un établissement au sens de cette disposition ne
pourrait être moins responsable de l’applicabilité du RGPD qu’un représentant au sens de l’article 27
du RGPD.

70. Au contraire, c’est dans cette logique que peut être inscrite la jurisprudence Wirtschaftsakademie : en
vue d’une application effective du RGPD à l’égard de la personne concernée, il convient d’appliquer
cette jurisprudence aussi à l’établissement d’un responsable du traitement situé sur le territoire de
l’Union tel que Google Belgium SA, lorsque le responsable, soumis au RGPD en application de l’article
3, 1., du RGPD, n’a pas dû désigner de représentant au sens de l’article 27 du RGPD. Ne pas permettre
aux autorités de contrôle de faire fi du découpage juridique, social et fonctionnel opéré par un
responsable du traitement établi en dehors de l’Espace Economique Européen, lorsque son
établissement sur ce territoire exerce pourtant une activité indissociablement liée à la sienne,
restreindrait indûment la compétence territoriale de ces autorités en les obligeant systématiquement
à devoir exercer leur compétence de manière extraterritoriale, malgré l’existence d’un tel lien qui
constitue par la même occasion, un rattachement territorial fort. Dans une telle situation, le recours
nécessaire à l’exercice d’une compétence extraterritoriale, compte-tenu par ailleurs de ses limites
juridico-procédurales et pratiques, serait de nature à directement porter atteinte à l’effet utile du

41
Arrêt qu’il ne pouvait ignorer dans le processus d’adoption du RGPD : l’arrêt date du 13 mai 2014 et le RGPD a été adopté
presque 2 ans plus tard, soit le 27 avril 2016.

Décision quant au fond 37/2020 - 18/49

RPGD. On pourrait, en effet, se poser la question de savoir comment l’autorité de contrôle serait en
mesure d’exercer les pouvoirs qui lui sont confiés sur base des articles 58 et 83 RGPD, d’une manière
efficace et effective.

71. Troisièmement : Google en tant qu’entité multinationale ne permet pas d’identifier
clairement le responsable du traitement. Les deux arguments précédents sont renforcés par le
fait que les communications de Google LLC et Google Belgium SA, vis-à-vis des personnes concernées,
manquent de clarté en ce qui concerne l’identification du responsable du traitement. Il est dès lors
d’autant plus nécessaire de transposer la jurisprudence Wirtschaftsakademie au cas d’espèce, en vue
d’assurer l’effet utile du RGPD.

72. Google Belgium SA relève, dans ses conclusions de synthèse notamment, que le plaignant « a adressé
sa demande de déréférencement initiale à Google LLC (pièce B.1 et B.2), par le biais du formulaire
standard mis à disposition par cette dernière (pièce A.3) ». Il ne s’est pas adressé à Google Belgium
SA. Le formulaire de demande de suppression de données en langue française, fait en effet référence,
dans une certaine mesure, à la société Google LLC : il est fait référence à Google LLC concernant
l’utilisation des informations communiquées en vue d’identifier la personne concernée, également
concernant l’utilisation des informations fournies via le formulaire, et le « copyright » fait aussi
référence à Google LLC.

73. Cependant, l’introduction du formulaire fait simplement référence à « Google » tout comme la dernière
phrase à cocher stipule « Je comprends que Google ne sera pas en mesure de traiter ma demande
[…] ». Sur cette première référence (dans l’introduction du formulaire), Google Belgium SA a expliqué
lors de l’audience que l’objectif était d’être le moins « pompeux » à l’égard des utilisateurs et que les
références à Google LLC étaient explicitées dans les passages juridiques importants du formulaire.

74. Les réponses en langue française de Google quant à elles font également référence à « Google » et à
« L’équipe Google ».

75. Concernant les possibilités de contester la décision de Google quant aux demandes de
déréférencement, le formulaire de réponse se limite à préciser ce qui suit : « Si vous n’êtes pas
d’accord avec notre décision, vous êtes en droit de soumettre votre problème à l’autorité chargée de
la protection des données dans votre pays. Dans ce cas, nous vous conseillons d’inclure le numéro de
référence de votre demande […] et une copie de la confirmation que vous avez reçue après nous avoir
envoyé le formulaire de demande. Si Google est le webmaster du site, vous pouvez essayer de
contacter le propriétaire ou l’auteur de la page et lui envoyer directement votre demande de
suppression ».

Décision quant au fond 37/2020 - 19/49

76. Ni le formulaire, ni les réponses de Google (LLC) n’identifient explicitement un responsable du
traitement. La Chambre Contentieuse considère sur la base de ces éléments que le processus de
déréférencement entretient ainsi une certaine ambiguïté, pour les personnes concernées, quant à
l’identité du responsable du traitement.

77. A ce sujet, lors de l’audience, Google Belgium SA fait part de sa surprise concernant le fait que les
personnes concernées puissent encore douter de l’identification du responsable du traitement en cas
de déréférencement et ce au regard de l’arrêt Google Spain déjà évoqué qui identifie Google Int.
comme seul responsable. Elle comprend dès lors mal que cette jurisprudence établie laisse encore
quelques doutes sur l’identité du responsable dans le chef des personnes concernées et de leurs
conseils.

78. La Chambre Contentieuse considère sur ce point que cela ne dispenserait en rien le responsable du
traitement de son obligation d’informer la personne concernée, conformément à l’article 12, 1. et 2.
du RGPD, de manière transparente, compréhensible et aisément accessible, en des termes clairs et
simples, et en facilitant l’exercice de ses droits par la personne concernée (sur ce point, voir infra point
nos 168). Ainsi, le responsable du traitement est obligé de fournir des informations précises, comme
prévu aux article 13 et 14 du RGPD.

79. En conclusion, cette ambiguïté concernant les rôles et responsabilités de Google LLC et Google Belgium
SA qui peut légitimement créer des doutes dans le chef des personnes concernées quant à
l’interlocuteur responsable du traitement (ou pas) auquel elles s’adressent, constitue une troisième
raison justifiant la transposition de la jurisprudence Wirtschaftsakademie dans le cas d’espèce, de
manière telle que la Chambre Contentieuse soit compétente pour agir sur la base d’une plainte déposée
par une personne concernée à l’encontre de Google Belgium SA seule.

80. Conclusion. Sur la base de ces éléments, la Chambre Contentieuse décide que le plaignant pouvait
diriger sa plainte, concernant le déréférencement de contenus des index du moteur de recherches
Google, à l’encontre de la seule Google Belgium SA. Pour la Chambre Contentieuse, il importe peu
que le traitement de ses données soit dans les faits exercé en dehors de l’Union Européenne par des
employés de Google LLC.

Décision quant au fond 37/2020 - 20/49

5. Application territoriale en matière de déréférencement

81. Dans le cas d’espèce, le plaignant demande un déréférencement mondial au motif qu’il est dirigeant
d’une grande entreprise.

82. Dans le cas d’une demande de déréférencement adressée par une personne concernée à l’autorité de
contrôle de l’État du centre de ses intérêts, ce qui est le cas du plaignant en l’espèce, la Chambre
Contentieuse considère en outre que cette autorité est la mieux placée pour se prononcer.

Dans un autre domaine, celui de la compétence internationale des cours et tribunaux en matière civile
ou commerciale, la Cour de justice avait décidé ce qui suit dans son arrêt du 25 octobre 2011 eDate
Advertising42 :

« 48. Il y a donc lieu d’adapter les critères de rattachement rappelés au point 42 du présent
arrêt en ce sens que la victime d’une atteinte à un droit de la personnalité au moyen d’Internet
peut saisir, en fonction du lieu de la matérialisation du dommage causé dans l’Union
européenne par ladite atteinte, un for au titre de l’intégralité de ce dommage. Étant donné
que l’impact d’un contenu mis en ligne sur les droits de la personnalité d’une personne peut
être le mieux apprécié par la juridiction du lieu où la prétendue victime a le centre de ses
intérêts, l’attribution de compétence à cette juridiction correspond à l’objectif d’une bonne
administration de la justice, rappelé au point 40 du présent arrêt.

« 49. L’endroit où une personne a le centre de ses intérêts correspond en général à sa
résidence habituelle. Toutefois, une personne peut avoir le centre de ses intérêts également
dans un État membre où elle ne réside pas de manière habituelle, dans la mesure où d’autres
indices tels que l’exercice d’une activité professionnelle peuvent établir l’existence d’un lien
particulièrement étroit avec cet État » (soulignement ajouté par la Chambre Contentieuse).

83. Mutatis mutandis, ces considérations sont également pertinentes en l’espèce. En effet, en l’occurrence,
non seulement le plaignant a sa résidence habituelle en Belgique mais en outre, c’est également en
Belgique que se déroule sa carrière professionnelle 43. C’est donc l’Autorité de protection des données
qui est la mieux placée pour apprécier l’impact sur ses droits, suite aux contenus mis en ligne.

42
CJUE, 25 octobre 2011, C-509/09 et C-161/10, eDate Advertising GmbH e.a. contre X et Société MGN LIMITED. L’arrêt a été
rendu sous l’empire du Règlement (CE) n° 44/2001 du Conseil du 22 décembre 2000 concernant la compétence judiciaire, la
reconnaissance et l'exécution des décisions en matière civile et commerciale, désormais remplacé par le Règlement (UE) n
° 1215/2012 du Parlement européen et du Conseil du 12 décembre 2012 concernant la compétence judiciaire, la reconnaissance
et l’exécution des décisions en matière civile et commerciale (sans que cela n’ait un impact sur le présent raisonnement).
43
Infra, n°100-108.

Décision quant au fond 37/2020 - 21/49

84. En ce qui concerne la demande du plaignant d’un déréférencement mondial au motif qu’il est dirigeant
d’une grande entreprise, la Chambre contentieuse considère d’abord qu’il ne démontre pas à l’aide
d’éléments concrets qu’il est également affecté dans ses intérêts dans (sur le territoire) d’autres États
membres ou de pays tiers (ce qui n’exclut pas que ses intérêts en Belgique puissent être affectés
depuis ces territoires).

85. De plus, dans l’arrêt Google/CNIL, la Cour juge que l’article 17 du RGPD (sur lequel elle fonde le droit
au déréférencement) ne peut avoir pour portée d’imposer à Google un déréférencement mondial pour
l’ensemble des versions de son moteur de recherches. À ceci s’ajoute le fait que dans le droit national
belge, ni la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (voir son
article 4 en particulier), ni la loi du 30 juillet 2018 relative à la protection des personnes physiques à
l'égard des traitements de données à caractère personnel, qui définissent la portée de la compétence
matérielle de la Chambre Contentieuse, ne donnent à celle-ci le pouvoir d’ordonner un
déréférencement mondial. La Chambre Contentieuse ne peut donc donner droit à la demande du
plaignant d’un déréférencement mondial.

86. Ensuite, la Chambre contentieuse vérifie les arguments en faveur d’une portée européenne du
déréférencement. La Cour a - dans l’arrêt Google/CNIL précité – établit les éléments suivants :

« 67. Il importe toutefois de constater que l’intérêt du public à accéder à une information
peut, même au sein de l’Union, varier d’un État membre à l’autre, de sorte que le résultat de
la mise en balance à effectuer entre celui-ci, d’une part, et les droits au respect de la vie privée
et à la protection des données à caractère personnel de la personne concernée, d’autre part,
n’est pas forcément le même pour tous les États membres, d’autant plus que, en vertu de
l’article 9 de la directive 95/46 et de l’article 85 du règlement 2016/679, il appartient aux États
membres de prévoir, notamment pour les traitements aux seules fins de journalisme ou
d’expression artistique ou littéraire, des exemptions et des dérogations nécessaires pour
concilier ces droits avec, notamment, la liberté d’information.

68. Il résulte notamment des articles 56 et 60 du règlement 2016/679 que, pour les
traitements transfrontaliers, au sens de l’article 4, point 23, de celui-ci, et sous réserve de cet
article 56, paragraphe 2, les différentes autorités de contrôle nationales concernées doivent
coopérer, selon la procédure prévue par ces dispositions, afin de parvenir à un consensus et
à une décision unique qui lie l’ensemble de ces autorités et dont le responsable du traitement
doit assurer le respect en ce qui concerne les activités de traitement menées dans le cadre de
tous ses établissements dans l’Union. Par ailleurs, l’article 61, paragraphe 1, du règlement
2016/679 oblige les autorités de contrôle notamment à se communiquer les informations utiles
et à se prêter mutuellement assistance en vue de mettre en œuvre et d’appliquer ce règlement

Décision quant au fond 37/2020 - 22/49

de façon cohérente dans l’ensemble de l’Union et l’article 63 dudit règlement précise que c’est
dans ce but qu’est prévu le mécanisme de contrôle de la cohérence, établi aux articles 64 et
65 du même règlement. Enfin, la procédure d’urgence prévue à l’article 66 du règlement
2016/679 permet, dans des circonstances exceptionnelles, lorsqu’une autorité de contrôle
concernée considère qu’il est urgent d’intervenir pour protéger les droits et les libertés des
personnes concernées, d’adopter immédiatement des mesures provisoires visant à produire
des effets juridiques sur son propre territoire et ayant une durée de validité déterminée qui
n’excède pas trois mois.

69. Ce cadre réglementaire fournit ainsi aux autorités de contrôle nationales les instruments
et les mécanismes nécessaires pour concilier les droits au respect de la vie privée et à la
protection des données à caractère personnel de la personne concernée avec l’intérêt de
l’ensemble du public des États membres à accéder à l’information en question et, ainsi, pour
pouvoir adopter, le cas échéant, une décision de déréférencement qui couvre l’ensemble des
recherches effectuées sur la base du nom de cette personne à partir du territoire de l’Union »
(soulignement ajouté par la Chambre Contentieuse).

87. Cet extrait de la jurisprudence de la Cour de justice souligne que la consultation des autres autorités
de contrôle a pour objectif également de pouvoir prendre en compte l’intérêt du public dans d’autres
États membres à accéder à l’information, s’il est envisagé de se prononcer sur un déréférencement
pour l’ensemble des noms de domaines européens du site Google (google.be ; google.fr ; google.de ;
etc.) et des résidents européens. En effet dans le cas contraire d’un déréférencement plus limité, par
exemple au nom de domaine de premier niveau belge (.be) de Google et à un géoblocage des
utilisateurs résidents belges, le public des autres États Membres ne subirait pas d’atteinte à ses
possibilités d’accéder à l’information44.

88. A cette fin, deux possibilités de coopération internationale sont ouvertes par le RGPD : soit la
coopération obligatoire en application des articles 56, 1., et 60 (compétence d’une autorité chef de file
et guichet unique) du RGPD, soit la coopération volontaire sur la base de l’article 61 du RGPD ce qui
permet de se limiter à une communication des informations utiles.

89. Dès lors que la Chambre Contentieuse a considéré que le mécanisme du guichet unique n’était pas
d’application au cas d’espèce,45 il incombe donc à la Chambre Contentieuse, si elle envisage de
prononcer un déréférencement pour l’ensemble (ou plusieurs) des noms de domaines du site Google

44
Il existe bien entendu des hypothèses intermédiaires dans lesquelles par exemple, la coopération avec uniquement deux
autorités pourrait être suffisante, par exemple s’il s’agissait d’ordonner un déréférencement pour deux autres extensions
nationales de Google, .fr et .lu, cumulé à un géoblocage des résidents de ces deux pays, auquel cas ne devrait être consultée
que les autorités de ces derniers.
45
Supra, n° 19-31.

Décision quant au fond 37/2020 - 23/49

reflétant les codes de pays de l’Espace Economique Européen, combiné à un géoblocage de l’ensemble
des utilisateurs résidents européens (ou partie de ceux-ci), de consulter (tout ou partie de, selon) ses
homologues sur la base de l’article 61 du RGPD. Enfin, pour donner suite à l’arrêt Google/CNIL et en
particulier à son point 69, la Chambre Contentieuse a procédé à une consultation informelle des autres
autorités de contrôle européennes en application de l’article 61 du RGPD, afin de s’assurer que les
déréférencements ne portent pas atteinte d’une manière disproportionnée à la liberté d’information
des internautes dans d’autres États membres. Au terme de cette consultation, il s’est dégagé ce qui
suit : à l’exception d’une autorité de contrôle d’Allemagne (Hambourg), les autorités de contrôle qui
ont réagi ont soutenu les intentions de la Chambre contentieuse, y compris sur le déréférencement
pour l’ensemble de l’Espace Economique Européen.

90. La Chambre contentieuse considère qu’un déréférencement ne peut être efficace que s’il s’applique
aux recherches effectuées de l’extérieur de la Belgique. Dans l’espace européen sans frontières
internes, il ne serait pas utile d’ordonner un déréférencement limité aux recherches effectuées à partir
du territoire belge.

91. Concernant la portée géographique du déréférencement, la Chambre Contentieuse considère –
conformément à l’arrêt Google/CNIL – qu’il convient de déréférencer avec effet dans toute l’Union
européenne (et les pays de l’Espace Économique Européen). D’une part, la Chambre considère que
des recherches depuis l’extérieur de la Belgique (sur place ou par le recours à un serveur proxy en
vue d’accéder aux autres versions du moteur de recherches) risquent d’avoir un impact sérieux sur le
droit à la protection des données du plaignant. En effet, il est parfaitement concevable que dans le
cadre de sa vie privée ou professionnelle, le plaignant ait des contacts avec d’autres pays européens
(des pays voisins de la Belgique par exemple) et que suite à cela, des personnes cherchent à s’informer
au sujet du plaignant via d’autres versions du moteur de recherches Google que la version belge (.be).
Dans ce contexte, un déréférencement limité à la Belgique ne serait pas assez effectif.

Décision quant au fond 37/2020 - 24/49

6. Sur les demandes de déréférencement

92. Il convient d’apprécier les demandes de déréférencement adressées à Google par le plaignant au
regard des critères et règles dégagés par la Cour de justice dans son arrêt Google Spain déjà évoqué,
des lignes directrices du Groupe de travail ‘Article 29’ relatives à cet arrêt46, ci-après « les lignes
directrices du Groupe 29 », ainsi que dans l’arrêt GC et al. c/ CNIL rendu le 24 septembre 201947 et
les « Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases»48 du
Comité Européen de la Protection des Données (ci-après les « guidelines du CEPD »), afin d’assurer
un juste équilibre entre les droits de la personne concernées et la liberté d’expression des internautes
ainsi que leur droit à l’information.

93. Il convient de relever à titre préliminaire que si une atteinte à la vie privée causée par un
référencement peut être décuplée en raison du rôle incontournable des moteurs de recherches dans
l’accès à l’information via internet, de la même manière et pour la même raison, un déréférencement
peut avoir un impact sur la liberté d’information des utilisateurs d’internet.

94. Dans son arrêt GC et al. c/ CNIL, la Cour de justice précise ce qui suit :

« 66 En tout état de cause, l’exploitant d’un moteur de recherche, lorsqu’il est saisi d’une
demande de déréférencement, doit vérifier, au titre des motifs d’intérêt public important visés
à l’article 8, paragraphe 4, de la directive 95/46 ou à l’article 9, paragraphe 2, sous g), du
règlement 2016/679 et dans le respect des conditions prévues à ces dispositions, si l’inclusion
du lien vers la page web en question dans la liste affichée à la suite d’une recherche effectuée
à partir du nom de la personne concernée est nécessaire à l’exercice du droit à la liberté
d’information des internautes potentiellement intéressés à avoir accès à cette page web au
moyen d’une telle recherche, protégée par l’article 11 de la Charte. Si les droits de la personne
concernée protégés par les articles 7 et 8 de la Charte prévalent, en règle générale, sur la
liberté d’information des internautes, cet équilibre peut toutefois dépendre, dans des cas
particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de
la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel
peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique [..].

46
Lignes directrices relatives à l’exécution de l’arrêt de la Cour de justice de l’Union européenne dans l’affaire ‘Google Spain et
Inc. / Agencia Espanola de proteccion de datos (aepd) et Mario Costeja Gonzalez’, C-131/12 , adoptées le 26 novembre 2014
par le Groupe de travail « article 29 ».
47
CJUE, 24 septembre 2019, C-507/17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL).
48
Version 2.0, après consultation, adoptée le 7 juillet 2020 , disponible sur www.edpb.europa.eu.

Décision quant au fond 37/2020 - 25/49

67 S’ajoute le fait que, dans l’hypothèse où le traitement porte sur les catégories
particulières de données visées à l’article 8, paragraphes 1 et 5, de la directive 95/46 ou à
l’article 9, paragraphe 1, et à l’article 10 du règlement 2016/679, l’ingérence dans les droits
fondamentaux au respect de la vie privée et à la protection des données à caractère personnel
de la personne concernée est, ainsi qu’il a été relevé au point 44 du présent arrêt, susceptible
d’être particulièrement grave en raison de la sensibilité de ces données »49.

95. Dans le même arrêt, concernant les informations relatives à une procédure judiciaire en matière
pénale, la Cour juge ce qui suit :

« Il appartient ainsi à l’exploitant d’un moteur de recherche d’apprécier, dans le cadre d’une
demande de déréférencement portant sur des liens vers des pages web sur lesquelles sont
publiées des informations relatives à une procédure judiciaire en matière pénale menée contre
la personne concernée, qui se rapportent à une étape antérieure de cette procédure et ne
correspondent plus à la situation actuelle, si, eu égard à l’ensemble des circonstances de
l’espèce, telles que notamment la nature et la gravité de l’infraction en question, le
déroulement et l’issue de ladite procédure , le temps écoulé, le rôle joué par cette personne
dans la vie publique et son comportement dans le passé, l’intérêt du public au moment de la
demande, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour
ladite personne, cette dernière a droit à ce que les informations en question ne soient plus,
au stade actuel, liées à son nom par une liste de résultats, affichée à la suite d’une recherche
effectuée à partir de ce nom ». 50

96. Le Groupe 29 explique également que :

« Ces critères ont pour objectif général d’évaluer si les informations contenues dans un résultat
de recherche sont pertinentes à l’aune de l’intérêt du grand public à avoir accès à ces
informations. La pertinence est aussi étroitement liée à l’âge des données. En fonction des
faits de l’affaire, une information publiée il y a longtemps, par exemple il y a 15 ans, pourrait
s’avérer moins pertinente qu’une information publiée il y a un an. Les autorités chargées de
la protection des données en apprécieront la pertinence à la lumière des paramètres précisés
ci-dessous.

A. Les données concernent-elles la vie professionnelle de la personne concernée ? Au moment
d’examiner la demande de déréférencement, les autorités chargées de la protection des

49
CJUE, 24 septembre 2019, C-507/17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL).
50 CJUE, 24 septembre 2019, C-507/17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL), point
77.

Décision quant au fond 37/2020 - 26/49

données doivent tout d’abord opérer une distinction entre vie privée et vie professionnelle. La
protection des données – et, plus largement, la législation en matière de respect de la vie
privée – vise avant tout à garantir le droit fondamental des personnes au respect de leur vie
privée (et à la protection de leurs données) »51.

97. Dans sa plainte, au titre des référencements liés à un « étiquetage parti Y » du plaignant, ce dernier
renseigne huit référencements et URLs numérotés de 1 à 8. Ceux-ci sont repris dans la pièce n° 1 de
ses conclusions. Les autres contenus, numérotés de 9 à 12, le sont au titre des référencements liés à
une « plainte pour harcèlement ». Ceux-ci sont également repris dans la pièce n° 1 de ses conclusions.
En substance, à l’appui de sa demande, le plaignant soutient que des contenus référencés sont
inexacts et/ou obsolètes et/ou contiennent des données sensibles illicitement communiquées au
public. Il ne conteste pas la licéité de la communication au public des contenus eux-mêmes auxquels
renvoient les référencements.

98. Avant d’analyser les référencements litigieux l’un après l’autre 52, la Chambre Contentieuse évalue si le
plaignant joue un rôle dans la vie publique53 et si les référencements contiennent au sujet de celui-
ci, des catégories particulières de données visées à l’article 9 du RPGD 54.

6.1. Le rôle joué dans la vie publique par le plaignant

99. Parmi les critères à prendre en compte dans l’analyse à effectuer55, le rôle joué par la personne
concernée dans la vie publique apparaît décisif. Dans les guidelines du CEPD, ce dernier, répétant la
Cour de justice, rappelle la chose suivante :

« La Cour a également considéré que les droits des personnes concernées prévaudront, en
général, sur l'intérêt des internautes à accéder à l'information par le biais du fournisseur du
moteur de recherche. Toutefois, elle a identifié plusieurs facteurs qui peuvent influencer cette
détermination. Parmi ceux-ci figurent : la nature de l'information ou sa sensibilité, et surtout
l'intérêt des internautes à accéder à l'information, intérêt qui peut varier en fonction du rôle
joué par l'intéressé dans la vie publique […]»56.

51
Lignes directrices relatives à l’exécution de l’arrêt de la Cour de justice de l’Union européenne dans l’affaire ‘Google Spain et
Inc. / Agencia Espanola de proteccion de datos (aepd) et Mario Costeja Gonzalez’, C-131/12 , adoptées le 26 novembre 2014
par le Groupe de travail « article 29 », p. 18.
52
Infra, n° 123 et s.
53
Infra, n° 99-107.
54
Infra, n° 109 et s.
55
Supra, n°93.
56
Traduction libre du point 48 du texte anglais des « guidelines ».

Décision quant au fond 37/2020 - 27/49

100. Selon les lignes directrices du Groupe 29 (pp. 15-16) :

« Qu’est-ce qu’un « rôle » dans la vie publique ?

Il n’est pas possible d’établir avec certitude le type de rôle dans la vie publique qu’une
personne physique doit jouer pour justifier l’accès du public à des informations sur ladite
personne au moyen d’une recherche sur l’internet.

Cependant, à titre d’exemple, les hommes et les femmes politiques, les hauts fonctionnaires,
les hommes et les femmes d’affaires et les membres des professions libérales (réglementées)
peuvent généralement être considérés comme jouant un rôle dans la vie publique. Il y a des
raisons de permettre au public de rechercher des informations concernant le rôle et les
activités de ces personnes dans la vie publique.

De manière générale, il est opportun de se demander si le fait que le public ait accès aux
informations particulières d’une personne au moyen d’une recherche sur la base de son nom
empêcherait celle-ci d’adopter un comportement public ou professionnel inapproprié.

Il est tout aussi difficile de définir le sous-groupe des « personnes publiques ». En règle
générale, on peut dire que les personnes publiques sont des personnes qui, en raison des
fonctions qu’elles occupent ou des engagements qu’elles ont pris, sont peu ou prou exposées
aux médias.

La résolution 1165 (1998) de l’Assemblée parlementaire du Conseil de l’Europe sur le droit au
respect de la vie privée donne une définition possible des « personnes publiques ». Elle déclare
que « les personnes publiques sont celles qui exercent des fonctions publiques et/ou utilisent
des ressources publiques et, d’une manière plus générale, toutes celles qui jouent un rôle
dans la vie publique, qu’il soit politique, économique, artistique, social, sportif ou autre ».

Certaines informations concernant les personnes publiques sont d’ordre purement privé et ne
devraient normalement pas figurer dans des résultats de recherche, par exemple des
informations sur leur santé ou les membres de leur famille. Mais en règle générale, si les
personnes introduisant une demande sont des personnes publiques et que les informations
en question ne constituent pas des informations d’ordre purement privé, il y aura de plus
solides raisons de refuser le déréférencement de résultats de recherche les concernant. La
jurisprudence de la Cour européenne des droits de l’homme (ci-après la «CEDH») est
particulièrement pertinente pour apprécier la balance des intérêts » (italiques ajoutés par la
Chambre Contentieuse). »

Décision quant au fond 37/2020 - 28/49

101. Dans ce contexte, tant le plaignant que Google soulèvent des éléments de nature à démontrer que le
plaignant a joué et joue un rôle dans la vie publique en Belgique.

102. Il convient avant tout de souligner que ni les lignes directrices du Groupe 29, ni les guidelines du
CEPD n’exigent que la personne concernée soit une personnalité politique pour qu’elle puisse jouer un
rôle dans la vie publique.

103. Dans sa plainte, le plaignant relève qu’il est cadre dirigeant de la Société Z et qu’ « en tant que [cadre
dirigeant] de [la Société Z], [il] dispose indéniablement d’un important degré d’exposition
médiatique ». Certes, le plaignant souligne toutefois directement à la suite de cette affirmation, que
les faits concernés ne sont pas susceptibles de contribuer à un débat de société démocratique et que
le public n’a pas ou plus d’intérêt légitime à avoir accès à ces informations. Il relève aussi qu’il n’était
pas une personnalité politique ce qui toutefois, comme cela vient d’être évoqué, n’est pas déterminant
dans l’analyse de son rôle dans la vie publique.

104. La Société Z opère en Belgique, et le plaignant est cadre dirigeant de la Société W depuis quelques
années, à savoir une société qui est étroitement liée à la Société Z.

105. Dans ses conclusions, Google énumère par ailleurs une série de fonctions qu’a exercées le plaignant
dans le passé et qui illustrent, de l’avis également de la Chambre Contentieuse, qu’il a également, par
le passé, joué un rôle dans la vie publique.

106. Ainsi outre les responsabilités actuelles du plaignant déjà évoquées, parmi les fonctions se
trouvent notamment sur une vingtaine d’années: une fonction de membre d’un cabinet politique d’un
ministre du parti Y; commissaire du gouvernement dans l’entité A; membre de l’entité B; mandataire
au sein du service public; commissaire du gouvernement dans l’entité D; une fonction à très hautes
responsabilités dans l’organisation E; et une fonction à hautes responsabilités dans l’entité publique F.

107. Autrement dit, le plaignant assume et a assumé des fonctions publiques et/ou dans le cadre desquelles
il a utilisé et utilise des ressources publiques, a été et est exposé médiatiquement, a agi et agit dans
un contexte public comme personne publique et plus précisément, comme haut fonctionnaire ou
mandataire d’une fonction publique.

Décision quant au fond 37/2020 - 29/49

108. En conclusion, sur la base des éléments juste exposés 57, la Chambre Contentieuse considère que le
plaignant a joué et joue un rôle dans la vie publique.

6.2. Sur l’étiquetage « parti Y »

109. Dans sa plainte et ses conclusions, le plaignant reproche à Google de référencer des données sensibles
la concernant. De ses termes :

« En l’espèce, les index de Google présentent [le plaignant] comme une personne étiquetée
[parti Y]. Les opinions politiques [du plaignant ] constituent des données sensibles au sens de
l’article 9 du RGPD. Ces données bénéficient d’un régime juridique de protection renforcée.
Ainsi, le traitement de celles-ci par Google est interdit, dès lors qu’il ne peut reposer sur
aucune des exceptions applicables (à savoir l’article 9 §2 du RGPD et l’art 8 §1 er de la loi du
30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de
données à caractère personnel) ».

110. Le plaignant insiste en outre sur le fait que le présenter comme une personne « étiquetée parti Y »
est une information inexacte justifiant son déréférencement, et que notamment les déductions de
Google concernant les liens entre le plaignant et le parti Y sont hâtives et fondées sur des éléments
erronés (ce point est abordé ci-dessous58).

111. Dans ses conclusions de synthèse, Google note que dans le présent contexte, à savoir celui du
plaignant et de son rôle dans la vie publique en Belgique, il « est clair pour le public que l’étiquetage
politique ne désigne nullement les opinions politiques réelles ou supposées [du demandeur], mais
uniquement le parti politique duquel il est proche professionnellement et qui a soutenu sa candidature
à l’obtention de mandats publics »59. Dans ses conclusions, Google entend démontrer dans les faits
les liens professionnels entre le demandeur et le parti Y. Notamment, en vue de justifier que le
traitement de l’étiquetage politique est important pour assurer un débat d’intérêt général pertinent en
raison de la manière dont fonctionne la nomination des (hauts) fonctionnaires et l’attributions des
mandats publics en Belgique, Google cite le Professeur David Renders selon lequel le recrutement des
hauts fonctionnaires est politisé. Dans le même sens, le deuxième paragraphe de l’article de presse
d’il y a moins de dix ans de www.lecho.be faisait le portrait du plaignant et relatait sa nomination à
une fonction à hautes responsabilités dans l’entité publique F (pièce n° B.14 du dossier de Google).

57
Supra, n° 99-106.
58
Infra, n° 116-122.
59
Conclusions de synthèse, p. 22, point n° 29.

Décision quant au fond 37/2020 - 30/49

112. « L’étiquetage politique » d’un mandataire d’une fonction publique/d’un haut
fonctionnaire et l’article 9 du RGPD. Dans le contexte précis du présent cas, la Chambre
Contentieuse considère que la référence à un « étiquetage » politique d’un mandataire d’une fonction
publique ou d’un haut fonctionnaire ne révèle pas à lui seul et automatiquement une « opinion »
politique : il se borne en effet dans son principe, à mettre en évidence que la personne concernée est
soutenue professionnellement60 dans sa vie publique61 et plus précisément, dans le cadre de sa
carrière comme mandataire à une fonction publique et haut fonctionnaire. Rien n’exclut qu’un parti
politique soutienne professionnellement la candidature d’une personne à une haute fonction pour ses
qualités personnelles, sans tenir compte de ses opinions politiques. Le plaignant souligne d’ailleurs ne
pas être membre du parti Y.

113. Autrement dit, c’est au cas par cas selon le référencement litigieux, qu’il conviendra d’évaluer si
chaque référencement en cause implique également ou pas, outre la mention de l’étiquetage politique,
la révélation d’une opinion politique du plaignant.

114. C’est d’ailleurs en ce sens qu’est rédigé l’article 9, 1., du RGPD qui stipule que « Le traitement des
données à caractère personnel qui révèle […] les opinions politiques, […] » est interdit (italiques
ajoutés par la Chambre Contentieuse). Ainsi, à supposer même que les traitements initiaux des source
référencées (les journaux cités par ailleurs couverts par la liberté journalistique 62) révèlent une opinion
politique, quod non, il est difficile de soutenir que le traitement opéré par Google révèle lui une opinion
politique : le référencement ne poursuit pas une telle finalité, il pointe en l’occurrence sur des noms
de personnes.

115. Dans le même esprit enfin, mais plus explicitement, l’article 6 de la Convention n°108 du Conseil de
l’Europe modernisée pour la protection des personnes à l’égard du traitement automatisé des données
à caractère personnel63 selon lequel :

« Article 6 – Catégories particulières de données
1. Le traitement :
[…]
- de données à caractère personnel pour les informations qu’elles révèlent sur l’origine raciale
ou ethnique, les opinions politiques, l’appartenance syndicale, les convictions religieuses ou
autres convictions, la santé ou la vie sexuelle ;

60
Supra, n° 106.
61
Supra, n° 101 - 108.
62
Infra, n° 123 et s.
63
Protocole d’amendement (STCE n° 223) à la Convention pour la protection des personnes à l'égard du traitement automatisé
des données personnelles (STE n° 108) adopté le 18 mai 2018 par le Comité des Ministres du Conseil de l’Europe lors de sa
128e session ministérielle.

Décision quant au fond 37/2020 - 31/49

n’est autorisé qu’à la condition que des garanties appropriées, venant compléter celles de la
présente Convention, soient prévues par la loi.
2. Ces garanties doivent être de nature à prévenir les risques que le traitement de
données sensibles peut présenter pour les intérêts, droits et libertés fondamentales de la
personne concernée, notamment un risque de discrimination »64.

116. Sur l’inexactitude de l’ « étiquetage parti Y ». Etablir en fait si un mandataire d’une fonction
publique est soutenu par l’un ou/et l’autre parti politique dans un contexte où les nominations sont
politisées65 est une question complexe susceptible de nécessiter un travail d’investigation
(journalistique ou autre) et une certaine appréciation, s’agissant in fine, également de l’expression
d’une opinion à l’égard de la personne concernée. Il n’est pas indifférent en l’espèce que les
référencements litigieux nos 2, 3, 4 et 5 soient relatifs à des articles émanant de la presse belge, que
le référencement litigieux n° 6 soit lié à un site d’information du public (msn.com) et qu’enfin, le
référencement litigieux n° 1 vise un site internet belge spécialisé dans la question du cumul des
mandats et de la transparence en la matière en Belgique (www.cumuleo.be).

117. Il n’appartient pas à la Chambre Contentieuse d’épuiser le débat sur l’exactitude d’une telle
information qui oppose la personne concernée au prestataire du moteur de recherches, et non
d’ailleurs aux auteurs mêmes de cette information, au cœur d’un sujet indiscutablement d’intérêt
général et suscitant le débat public. Il s’agit en substance quant à ce dernier, de la transparence dans
la désignation aux et l’exercice des mandats dans une fonction publique, en Belgique, sujet au cœur
de la démocratie et qui a vocation à être étudié au cours du temps. L’article 17, 3., a), du RGPD,
n’impose d’ailleurs pas d’épuiser un tel débat.

118. En l’espèce, pour justifier de l’existence d’un étiquetage politique Google évoque les cinq éléments
suivants : premièrement, le plaignant a été membre d’un cabinet politique d’un ministre du parti Y il
y a une vingtaine d’années. Deuxièmement, dans un article dont le déréférencement est demandé,
est alléguée une violation des règles des cumuls prévues dans les statuts du parti Y et est reproduit
un extrait d’un courrier dans lequel un mandataire politique P, a adressé un courrier au plaignant il y
a une quinzaine d’années pour expliciter les règles de cumuls au sein du parti. Troisièmement, le
demandeur a participé en tant qu’orateur, il y a moins de 5 ans à un congrès du parti Y.
Quatrièmement, il a encore donné une conférence au parti Y, selon une publication Twitter d’une
députée du parti Y au Parlement bruxellois postée il y a quelques années. Cinquièmement enfin, il
apparaît avoir travaillé au centre d’études du parti Y selon le propos d’un haut mandataire d’un service

64
Souligné par la Chambre Contentieuse.
65
Supra, n° 111.

Décision quant au fond 37/2020 - 32/49

public (en fonction à l’époque) rapporté dans un article 66 faisant le portrait du plaignant. Ce dernier
article renseigne par ailleurs également le plaignant comme étant « étiqueté parti Y ».

119. Le plaignant réfute la position de Google en considérant que la présenter comme une personne
étiquetée parti Y est une information inexacte justifiant son déréférencement en soutenant : qu’il n’a
jamais été membre du parti Y, qu’estimer que la proximité entre le demandeur et le parti Y est
démontrée dans le référencement n° 3 (la référence à la lettre de d’un mandataire politique P) est
une déduction hâtive basée sur des éléments erronés, que le demandeur ne s’est rendu coupable
d’aucun cumul susceptible d’enfreindre les règles s’appliquant à lui, et que le courrier du mandataire
politique P (constituant par ailleurs une correspondance privée révélée en violation de l’article 22 de
la Constitution, de l’article 8, § 2 de la CEDH et de l’article 314 du Code pénal) ne préjuge pas de la
question de savoir si le plaignant est (ce qui n’est pas le cas) ou pas membre du parti Y (le courrier,
s’adressant au plaignant, stipulant en effet : « […] si tu es membre du parti Y, […]).

120. Lors de l’audience, le plaignant relève notamment que la fonction de membre d’un cabinet politique
d’un ministre du parti Y exercée il y a une vingtaine d’années est ancienne et qu’entre-temps, les
relations peuvent aussi changer. Il relève que même si dans sa vie privée il a des contacts réguliers
avec notamment des membres de cette famille politique (et d’autres), cela ne fait pas de lui un membre
du parti Y. Il s’agit d’un raccourci dangereux portant atteinte à la manière dont il est perçu par le
public et son administration.

121. Cela étant précisé d’une part, Google ne se fonde pas sur ces seuls éléments, comme l’illustrent les
référencements litigieux et éléments avancés par elle précités67. D’autre part plus fondamentalement
encore, le plaignant ne conteste pas avoir été soutenu professionnellement par le parti Y dans sa vie
publique et plus précisément, dans le cadre de sa carrière comme mandataire à une fonction publique
et haut fonctionnaire68.

122. Au regard de ces éléments69, la Chambre Contentieuse considère que les critiques du plaignant quant
à l’inexactitude de l’étiquetage parti Y qui lui est attribué dans les référencements litigieux ne peuvent
exclure l’application de l’article 17, 3., a) du RGPD.

66
Article de l’Echo sur www.lecho.be.
67
Infra, n° 123 et s. et supra, n° 105 et 118.
68
Supra, n°106.
69
Supra, n° 116-122.

Décision quant au fond 37/2020 - 33/49

6.3 Les référencements litigieux

123. Il convient de se référer, à propos des référencements litigieux, à la pièce n° 1 des conclusions du
plaignant desquels les éléments factuels repris ci-après sont tirés, sauf spécification contraire. Les
référencements litigieux sont également expliqués plus en détails dans les conclusions de synthèse de
Google et les pièces y liées.

124. Référencement n° 1. Ce référencement renvoie au site cumuleo.be, et se réfère aux mandats,
fonctions et professions exercés par le plaignant qui est cité comme « Etiqueté parti Y ».

125. Eu égard au rôle joué par le plaignant dans la vie publique70, au fait que l’étiquetage politique constitue
une information liée à la transparence dans la désignation aux et l’exercice des mandats dans une
fonction publique (sujet au cœur du débat démocratique et qui a vocation à être étudié au cours du
temps), à la loi du 2 mai 1995 relative à l'obligation de déposer une liste de mandats, fonctions et
professions et une déclaration de patrimoine (et son article 2, paragraphe 2 en particulier), dès lors
que dans le présent contexte, la mention de son étiquetage parti Y ne révèle aucune de ses opinions
politiques71, s’agissant du référencement d’un contenu dont l’exactitude n’est pas contestée (outre
cependant, la critique de l’étiquetage parti Y avancée par le plaignant72) la Chambre Contentieuse
considère que le référencement n° 1 est nécessaire à l’exercice du droit à la liberté d’expression et
d’information, et que par conséquent, en application de l’article 17, 3., a) du RGPD, c’est à bon droit
que Google l’a maintenu.

126. Référencement n° 2. Ce référencement renvoie à un article du journal Le Soir (www.lesoir.be ).

127. S’agissant du référencement d’un article d’un organe de presse belge, dont l’exactitude du contenu
lié à la vie professionnelle du plaignant n’est pas contestée (outre cependant, la critique de l’étiquetage
parti Y avancée par le plaignant73), eu égard au rôle joué par le plaignant dans la vie publique74, et au
fait que l’étiquetage politique constitue une information liée à la transparence dans la désignation aux
et l’exercice des mandats dans une fonction publique (sujet au cœur du débat démocratique et qui a
vocation à être étudié au cours du temps), et dès lors que dans le présent contexte, la mention de
son étiquetage parti Y ne révèle aucune de ses opinions politiques75, la Chambre Contentieuse
considère que le référencement n° 2 est nécessaire à l’exercice du droit à la liberté d’expression et

70
Supra, n° 99-108.
71
Supra, n° 112-115.
72
Supra, n° 116-122.
73
Supra, n° 116-122.
74
Supra, n° 99-108.
75
Supra, n°109-115.

Décision quant au fond 37/2020 - 34/49

d’information, et que par conséquent, en application de l’article 17, 3., a) du RGPD, c’est à bon droit
que Google l’a maintenu.

128. Référencement n° 3. Ce référencement renvoie à un article du site internet d’information RTL Info
(www.rtl.be).

129. S’agissant du référencement d’un article d’un organe de presse belge, dont l’exactitude du contenu
lié à la vie professionnelle du plaignant n’est pas contestée (outre cependant, la critique de l’étiquetage
parti Y avancée par le plaignant76), eu égard au rôle joué par le plaignant dans la vie publique77, et au
fait que l’étiquetage politique constitue une information liée à la transparence dans la désignation aux
et l’exercice des mandats dans une fonction publique (sujet au cœur du débat démocratique et qui a
vocation à être étudié au cours du temps), et dès lors que dans le présent contexte, la mention de
son étiquetage parti Y ne révèle aucune de ses opinions politiques 78, la Chambre Contentieuse
considère que le référencement n° 2 est nécessaire à l’exercice du droit à la liberté d’expression et
d’information, et que par conséquent, en application de l’article 17, 3., a) du RGPD, c’est à bon droit
que Google l’a maintenu.

130. S’il est vrai que le référencement n° 3 se rapporte à une information vieille de plus de 10 ans et donc
d’une certaine ancienneté, cette information demeure néanmoins pertinente dès lors qu’à cette époque
et aujourd’hui encore, le plaignant jouait et joue un rôle professionnel dans la vie publique.

131. Référencement n° 4. Ce référencement renvoie à un article du site internet du journal La Libre
Belgique (www.lalibre.be).

132. S’agissant du référencement d’un article d’un organe de presse belge, dont l’exactitude du contenu
lié à la vie professionnelle du plaignant n’est pas contestée (outre cependant, la critique de l’étiquetage
parti Y avancée par le plaignant79), eu égard au rôle joué par le plaignant dans la vie publique80, et au
fait que l’étiquetage politique constitue une information liée à la transparence dans la désignation aux
et l’exercice des mandats dans une fonction publique (sujet au cœur du débat démocratique et qui a
vocation à être étudié au cours du temps), et dès lors que dans le présent contexte, la mention de
son étiquetage parti Y ne révèle aucune de ses opinions politiques 81, la Chambre Contentieuse
considère que le référencement n° 2 est nécessaire à l’exercice du droit à la liberté d’expression et

76
Supra, n° 116-122.
77
Supra, n° 99-108.
78
Supra, n°109-115.
79
Supra, n° 116-122.
80
Supra, n° 99-108.
81
Supra, n°109-115.

Décision quant au fond 37/2020 - 35/49

d’information, et que par conséquent, en application de l’article 17, 3., a) du RGPD, c’est à bon droit
que Google l’a maintenu.

133. Référencement n° 5. Ce référencement renvoie à un article du site internet du journal La Libre
Belgique (www.lalibre.be).

134. S’agissant du référencement d’un article d’un organe de presse belge, dont l’exactitude du contenu
lié à la vie professionnelle du plaignant n’est pas contestée (outre cependant, la critique de l’étiquetage
parti Y avancée par le plaignant82), eu égard au rôle joué par le plaignant dans la vie publique83, et au
fait que l’étiquetage politique constitue une information liée à la transparence dans la désignation aux
et l’exercice des mandats dans une fonction publique (sujet au cœur du débat démocratique et qui a
vocation à être étudié au cours du temps), et dès lors que dans le présent contexte, la mention de
son étiquetage parti Y ne révèle aucune de ses opinions politiques 84, la Chambre Contentieuse
considère que le référencement n° 2 est nécessaire à l’exercice du droit à la liberté d’expression et
d’information, et que par conséquent, en application de l’article 17, 3., a) du RGPD, c’est à bon droit
que Google l’a maintenu.

135. De la même manière que pour le référencement n° 3, s’il est vrai que le référencement n° 5, se
rapportant à une information datant d’une dizaine d’années, à savoir une information vieille de plus
de 10 ans, est également ancien, cette information demeure néanmoins pertinente dès lors qu’à cette
époque et aujourd’hui encore, le plaignant jouait et joue un rôle professionnel dans la vie publique.

136. Référencement n° 6. Ce référencement renvoie à un article du site internet d’information
www.msn.com.

137. Google soutient que l’url du référencement n° 6 mène à une page qui n’existe plus. Mais c’est à juste
titre que le plaignant considère que c’est le référencement en tant que tel par Google, qui est litigieux.

138. Google répond dans ses conclusions de synthèse que l’url 6 n’est plus référencé du tout dans le moteur
de recherches, ni dans les dix premières pages de résultats, ni plus loin. Elle a confirmé lors de
l’audience que l’url 6 n’était plus référencée et le plaignant ne l’a pas contesté. La demande de
déréférencement du plaignant n’a par conséquent plus d’objet quant au référencement n° 6.

139. Référencement n° 7. Ce référencement renvoie à un communiqué du GERFA du site internet
www.gerfa.be. Le GERFA est le Groupe d’étude et de réforme de la fonction administrative. Google

82
Supra, n° 116-122.
83
Supra, n° 99-108.
84
Supra, n° 109-115.

Décision quant au fond 37/2020 - 36/49

explique dans ses conclusions de synthèse que le GERFA est un groupe fondé en réaction à la
politisation massive des services publics en Belgique et pour amener une prise de conscience et une
réflexion sur l’amélioration de leur gestion, qu’il est devenu une organisation syndicale agréée en 1990
et compte aujourd’hui environ 1500 membres.

140. Google soutient ici également que l’url du référencement n° 7 mène à une page qui n’existe plus. Mais
c’est à juste titre que le plaignant considère que c’est le référencement en tant que tel par Google, qui
est litigieux.

141. Google répond dans ses conclusions de synthèse que l’url 7 n’est plus référencé du tout dans le moteur
de recherches, ni dans les dix premières pages de résultats, ni plus loin. Elle a confirmé à l’audience
que l’url 7 n’était plus référencée et le plaignant ne l’a pas contesté. La demande du plaignant n’a par
conséquent plus d’objet quant au référencement n° 7.

142. Référencement n° 8. Ce référencement renvoie à un article du site internet www.7sur7.be.

143. S’agissant du référencement d’un article d’un organe de presse belge, dont l’exactitude du contenu
lié à la vie professionnelle du plaignant n’est pas contestée (outre cependant, la critique de l’étiquetage
parti Y avancée par le plaignant au sujet de laquelle il est renvoyé plus haut 85), eu égard au rôle joué
par le plaignant dans la vie publique86, et au fait que l’étiquetage politique constitue une information
liée à la transparence dans la désignation aux et l’exercice des mandats dans une fonction publique
(sujet au cœur du débat démocratique et qui a vocation à être étudié au cours du temps), et dès lors
que dans le présent contexte, la mention de son étiquetage parti Y ne révèle aucune de ses opinions
politiques87, la Chambre Contentieuse considère que le référencement n° 2 est nécessaire à l’exercice
du droit à la liberté d’expression et d’information, et que par conséquent, en application de l’article
17, 3., a) du RGPD, c’est à bon droit que Google l’a maintenu.

144. De la même manière que pour les référencements nos 3 et 5, s’il est vrai que le référencement n° 5
se rapporte à une information datant d’une dizaine d’années, à savoir une information vieille de plus
de 10 ans, cette information demeure néanmoins pertinente dès lors qu’à cette époque et aujourd’hui
encore, le plaignant jouait et joue un rôle professionnel dans la vie publique.

145. En vue des considérations précédentes, la Chambre Contentieuse conclut que c’est à juste titre que
Google a décidé de ne pas donner suite à la demande de déréférencement du plaignant, dans la
mesure où cette demande sollicite le déréférencement d‘informations liées à l’étiquetage politique. La

85
Supra, n° 116-122.
86
Supra, n° 99-108.
87
Supra, n°109-115.

Décision quant au fond 37/2020 - 37/49

Chambre Contentieuse classe sans suite la plainte concernant les demandes de déréférencement nos
1 à 8.

6.4 Sur le harcèlement présumé

146. Les Référencements nos 9 à 12 se réfèrent tous à des articles des sites de presse belge
(respectivement www.lalibre.be, www.dhnet.be, www.7sur7.be, www.sudinfo.be) tous datés d’une
dizaine d’années qui évoquent une plainte pour harcèlement introduite à l’encontre du plaignant au
sein du service public.

147. L’existence de cette plainte n’est pas contestée.

148. Toutefois, dans le formulaire de demande de déréférencement introduit par le plaignant auprès de
Google le 31 mai 2019, celui-ci écrit notamment ce qui suit : « Ces index renvoient à une information
laissant apparaître que [le plaignant] a fait l’objet d’une plainte pour harcèlement. Cette plainte a été
déclarée non fondée en 2010. Le caractère non mis à jour de cette information, justifie la demande
de déréférencement, formulée sur la base de l’article 17 du RGPD ».

149. En pièce n° 7 de son dossier, le plaignant joint ce qui apparaît être la première page (sur 22) d’un
« Avis dans le cadre d’une plainte motivée, Loi du 11 juin 2002, modifiée par la loi du 10 janvier 2007,
Confidentiel », rendu par « ARISTA, Service externe de prévention et de protection », et la 20e page
dont des éléments sont omis, et subsistent les extraits textuels suivants :

« […] Sur base de cette définition, des éléments dont nous disposons et des points abordés
précédemment, nous ne pouvons pas reconnaître cette situation comme relevant du
harcèlement moral. 9. CONCLUSIONS […] Nous n’avons pas d’élément pour conclure à des
comportements abusifs ni du harcèlement de la part de la personne mise en cause ».

150. Dans ce contexte, premièrement le plaignant signale que le document (dont Google ne conteste ni
l’authenticité, ni l’intégrité) est daté du 2 décembre 2010 et que la plainte contre le plaignant a été
déclarée non fondée. Il n’apparaît pas des pièces du dossier que la plainte en question ait fait l’objet
d’autres éventuelles procédures, ou même que d’autres plaintes de même nature aient été introduites
ultérieurement à l’encontre du plaignant. Autrement dit, l’information référencée n’est plus à jour et
n’est plus pertinente.

Décision quant au fond 37/2020 - 38/49

151. Deuxièmement, il faut souligner que les articles auxquels il est fait référence datent d’une dizaine
d’années et évoquent des faits vieux de plus ou moins dix ans. Ainsi, outre le fait que le fondement
de ces faits n’ait pas été établi, ceux-ci sont anciens.

152. Troisièmement, dans ce contexte, le référencement du fait qu’une plainte a été introduite pour
harcèlement à l’encontre du plaignant est de nature à avoir des répercussions préjudiciables, tant dans
sa vie professionnelle que dans sa vie privée.

153. Si les référencements litigieux ont pu à une époque, participer à un débat public à propos d’une
question d’intérêt général, la Chambre Contentieuse considère qu’à la date d’aujourd’hui, pour les
raisons précitées, ces référencements ne sont plus à jour et obsolètes, et ne peuvent partant être
considérés comme nécessaires à l’exercice du droit à la liberté d’information conformément à l’article
17, 3., a) du RGPD.

154. En l’occurrence, Google ne peut maintenir un tel référencement sur la base de l’article 6, 1., f), du
RGPD, les droits et intérêts du plaignant prévalant pour les raisons juste évoquées. Il incombe par
conséquent à Google de procéder à leur déréférencement.

155. En vue de ces considérations, la Chambre Contentieuse constate un manquement aux articles 17, 1.,
a), et 6, 1., f), du RGPD et ordonne à Google Belgium SA de mettre en conformité le traitement et à
cet effet, de faire mettre en œuvre toutes mesures techniques efficaces afin de cesser les
référencements nos 9 à 12.

156. Par conséquent, il n’est pas nécessaire d’évaluer les éléments additionnels avancés par le plaignant
concernant les autres contenus litigieux se trouvant dans le référencement n°10, relatifs à un budget
annuel qui aurait été alloué par une administration du service public.

7. Manquements au RGPD

157. Dès l’introduction de son formulaire de demande de déréférencement auprès de Google, le 31 mai
2019, au titre du « Motif de la suppression », le plaignant, par l’intermédiaire de son avocate, a signalé
que la plainte pour harcèlement avait été déclarée non fondée en 2010 et que l’information référencée
n’était donc plus à jour 88. Ce fait, indépendamment de sa démonstration sur la base de pièces (telles

88
Supra, n° 148.

Décision quant au fond 37/2020 - 39/49

que l’avis évoqué précédemment89), à ce stade du processus, a donc été porté à l’attention de Google
dès l’introduction du formulaire de déréférencement et ce en outre, par un avocat.

158. A ce même moment également, Google a dû prendre connaissance du fait que le contenu référencé
datait d’une dizaine d’années et concernait des faits vieux depuis plus de dix ans.

159. La Chambre contentieuse considère par conséquent que dès réception du formulaire de demande de
déréférencement introduit par le plaignant, Google a eu une connaissance effective du caractère
ancien de la plainte pour harcèlement, du fait que cette information n’était pas mise à jour et enfin,
s’agissant d’une plainte pour harcèlement, qu’elle était susceptible de porter préjudice au plaignant.
Autrement dit, Google avait dès ce moment une connaissance effective de motifs sérieux de nature à
exiger un déréférencement sur base de l’article 17, 1., a) du RGPD, motifs qui ont d’ailleurs conduit la
Chambre Contentieuse à considérer que les référencements nos 9 à 12 devaient être déréférencés 90.

160. Pourtant le 18 juin 2019, « L’équipe Google » s’est limitée à répondre ce qui suit au plaignant :

« […] Après examen de l’équilibre entre les intérêts et les droits associés au contenu en
question, y compris des facteurs tels que votre rôle dans la vie publique, Google a décidé de
ne pas le bloquer.

Pour le moment, nous avons décidé de ne pas intervenir en ce qui concerne ces URL.

Nous vous encourageons à envoyer votre demande de suppression directement au webmaster
qui contrôle le site en question. Cette personne est en mesure de supprimer le contenu
concerné sur le Web ou de l’empêcher d’apparaître dans les moteurs de recherche. Pour savoir
comment contacter le webmaster […] .

Si le contenu obsolète d’u site continue d’apparaître dans les résultats de Google, vous pouvez
nous demander de mettre à jour ou de supprimer la page en question. Pour cela, utilisez l’outil
[…].

Si vous n’êtes pas d’accord avec notre décision, vous êtes en droit de soumettre votre
problème à l’autorité chargée de la protection des données dans votre pays […] ».

161. Manquement aux articles 17, 1., a), et 6, 1., f), du RGPD. En décidant de refuser de
déréférencer les référencements nos 9 à 12 le 19 juin 2019, alors que Google LLC aurait dû

89
Supra, n° 149.
90
Supra, n°150-153.

Décision quant au fond 37/2020 - 40/49

promptement procéder à leur déréférencement car elle avait une connaissance effective de motifs
sérieux de nature à justifier que celui-ci ne pouvait pas être maintenu en application de l’article 17, 3.,
a), du RGPD91, étant entendu que Google LLC aurait également pu procéder au déréférencement de
manière temporaire en vue de vérifier en fait et plus en détails auprès du plaignant et de son conseil
les motifs sérieux allégués, Google LLC a manqué aux obligations consacrées dans l’article 17, 1., a),
du RGPD.

162. Ces mêmes faits constituent également un manquement à l’article 6, 1., f), du RGPD dès lors que
dans les circonstances de l’espèce et pour les motifs déjà invoqués 92, les intérêts du plaignant qui
exigent une protection des données à caractère personnel prévalaient sur l’intérêt légitime de Google
à référencer les contenus disponibles via l’internet.

163. La Chambre Contentieuse considère que ces manquements présentent un caractère grave de la part
de Google. Bien que les dispositions violées comportent de normes ouvertes à interprétation et que le
droit à la protection des données ne soit pas un droit absolu, le déréférencement est une obligation
claire d’un moteur de recherches suite à l’arrêt Google Spain. Comme évoqué par la Cour de Justice,
le gravité potentielle de l’ingérence est sérieuse et les droits d’une personne concernée prévalent, en
principe, sur l’intérêt de ce public à trouver ladite information lors d’une recherche portant sur le nom
de cette personne.93

164. Dans le cas d’espèce, Google étant parfaitement au courant de tous les éléments factuels, suite à la
demande du plaignant, n’a pas agi de façon diligente de par son refus de déréférencer les contenus
en question, alors que le plaignant lui avait fourni preuve de leur caractère dépassé. La Chambre
Contentieuse considère dans ce contexte que ces éléments sont comparables aux éléments soulignés
dans le cas Google Spain, notamment ceux relatifs au caractère inadéquat et au temps écoulé. Dès
lors, donner suite à la demande du plaignant ne demande pas une évaluation juridique compliquée.
La Chambre Contentieuse ajoute que dans ces circonstances, il n’y a aucune atteinte disproportionnée
à la liberté d’expression et d’information, contrairement à ce que soutien Google Belgium SA.

165. Manquement à l’article 12, 1. et 4. du RGPD. Enfin, quant à l’analyse de l’équilibre des droits et
intérêts en présence à réaliser en application de l’article 17, 3., a), du RGPD et de la jurisprudence de
la Cour de justice y afférente94, en se bornant à répondre au plaignant qu’ « [a]près examen de
l’équilibre entre les intérêts et les droits associés au contenu en question, y compris des facteurs tels

91
Supra, n° 157-159.
92
Supra, n° 150-153.
93
CJUE, 13 mai 2014, C-131/12, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et
Mario Costeja González, points 81 et 97.
94
Supra, n° 92-96.

Décision quant au fond 37/2020 - 41/49

que votre rôle dans la vie publique, Google a décidé de ne pas le bloquer », Google a manqué aux
obligations consacrées dans l’article 12, 1. et 4. du RGPD. En effet, le plaignant s’est trouvé confronté
à un motif de refus de sa demande lacunaire ne lui permettant ni de connaître ni de comprendre
complètement la motivation de Google. Google a d’ailleurs fermé la porte de la discussion au plaignant,
en l’invitant en conclusion, si il n’était pas d’accord avec la décision prise par Google, à soumettre
directement son problème à l’autorité chargée de la protection des données dans son pays. En
conclusion, la réponse de Google quant au motif du refus de déréférencer a manqué de transparence
et n’a pas été suffisamment compréhensible, en violation des articles 12, 1. et 4. du RGPD.

8. Mesures correctrices et dissuasives.

166. D’abord, la Chambre Contentieuse ordonne à Google Belgium, en vertu de l’article 100, paragraphe
1er, 8° et 9° de la LCA, de mettre en conformité le traitement et à cet effet, de faire mettre en œuvre
toutes mesures techniques efficaces afin de cesser les référencements nos 9 à 12 d’une part, pour
l’ensemble des autres sites internet du moteur de recherches dans toutes leurs versions linguistiques
mais uniquement pour les utilisateurs les consultant depuis l’Espace Economique Européen, et ce au
plus tard sept jours après la notification de la présente décision et d'informer par e-mail la Chambre
Contentieuse à l’adresse [email protected] que l'ordre susmentionné a été exécuté, dans
le même délai.

167. Outre l’injonction de faire déréférencer les référencements nos 9 à 12, la Chambre Contentieuse
considère que les deux manquements évoqués ci-dessus nécessitent en complément, à des fins
dissuasives, l’imposition d’amendes administratives.

168. La Chambre Contentieuse souligne que le but d'infliger une amende administrative n’est pas
seulement de mettre fin à une infraction commise mais surtout de veiller à une application efficace
des règles du RGPD. Comme cela ressort du considérant 148, le RGPD souhaite que des sanctions, y
compris des amendes administratives, soient infligées en cas de violations sérieuses, en complément
ou à la place des mesures appropriées qui sont imposées. La Chambre Contentieuse agit ainsi en
application de l'article 58.2.i) du RGPD. L'instrument de l'amende administrative n'a donc pas pour
objectif principal de mettre fin aux violations. Ce but peut être atteint par plusieurs mesures
correctrices, dont les injonctions, citées à l'article 100, § 1er, 8° et 9° de la LCA et qui sont prévues
par le RGPD. Pour ce qui concerne une sanction sous la forme d’une amende administrative, la nature
et la gravité de la violation sont prises en considération par la Chambre Contentieuse afin d’examiner
l'imposition de cette sanction et l'ampleur de celle-ci.

Décision quant au fond 37/2020 - 42/49

169. Il convient de souligner que cette décision ne constitue pas la première sanction par voie d’amende
administrative vis-à-vis de Google pour un manquement dans le contexte d’un déréférencement.
L’autorité de contrôle suédoise, par exemple, a imposé à Google le 11 mars 2020 une amende de 75
millions de couronnes suédoises (à peu près 7 millions d’euros) pour plusieurs manquements par elle
à ses obligations de déréférencement.95

170. Un formulaire en vue de l’imposition d’une amende administrative a été envoyé à Google Belgium SA
le 4 juin 2020 en vue de faire part de ces arguments quant à l’imposition d’amendes administratives. 96

171. En réponse à ce formulaire Google Belgium SA avance plusieurs arguments. A titre principal Google
Belgium avance qu'aucune sanction ne devrait lui être imposée, puisque cela serait « totalement
inapproprié, dangereusement contreproductif et même illégal »97. A titre subsidiaire, Google Belgium
SA précise que « les sanctions envisagées violeraient le principe de proportionnalité des normes
répressives. En outre, la publication nominative d'une sanction à l’encontre de Google Belgium SA
serait contreproductive »98. A titre encore plus subsidiaire, Google Belgium SA considère que la
détermination du montant n'est pas correctement justifiée car « la Chambre Contentieuse a retenu
certains critères erronés […] et n'a, en revanche, pas pris en compte les circonstances atténuantes »99.
Le montant de l'amende est également considéré comme problématique par Google Belgium SA car
elle n’est pas en mesure de contrôler l'échelle, la formule et le mode de calcul utilisé pour sa
détermination.

172. En réponse à ces arguments, la Chambre Contentieuse spécifie qu’elle se base sur l’article 83 du
RGPD pour arriver à la conclusion qu’une amende administrative est justifiée et pour en calculer le
montant. La Chambre Contentieuse motive sa décision sur base des constatations reprises ci-dessous.

173. Conformément à ce qui avait été indiqué dans le formulaire d’amende, concernant la détermination
du chiffre d’affaire de Google Belgium SA, qui est un critère qui intervient dans le calcul de l’amende,
la Chambre Contentieuse se base sur l’opinion du Comité Européen de la Protection des données qui
est la suivante :
« Pour infliger des amendes effectives, proportionnées et dissuasives, les autorités de contrôle
s’en remettront à la définition de la notion d’entreprise fournie par la CJUE aux fins de
l’application des articles 101 et 102 du traité FUE, à savoir que la notion d’entreprise doit
s’entendre comme une unité économique pouvant être formée par la société mère et toutes

95
EDPB « The Swedish Data Protection Authority imposes administrative fine on Google”, 11 mars 2020, disponible sur
www.edpb.europa.eu.
96
Supra, n°10.
97
Réponse de Google Belgium SA au formulaire d’amende, 24 juin 2020, p. 2.
98
Ibidem
99
Ibidem

Décision quant au fond 37/2020 - 43/49

les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu
d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou
économiques, quelle que soit la personne morale impliquée (considérant 150). »100

174. La Chambre Contentieuse se base par conséquent sur le chiffre d’affaires du conglomérat Alphabet,
maison mère présumée de Google Belgium SA dont le montant pour les trois dernières années se
trouve ci-dessous :
.
- Alphabet chiffre d’affaire 2019: $161,857 mds.
- Alphabet chiffre d’affaire 2018: $136,819B mds.
- Alphabet chiffre d’affaire 2017: $110,855 mds. 101

175. Concernant le manquement aux articles 17, 1., a), et 6, 1., f) du RGPD, la Chambre Contentieuse,
ayant égard à l’article 83, 2., du RGPD, décide d’imposer une amende administrative d’un montant de
500.000 EUR, compte-tenu des éléments suivants :

(i) à tout le moins du 19 juin 2019 au 6 mai 2020, soit la date de l’audience organisée dans le
cadre de la présente affaire, à savoir pendant une période de 10 mois, et ce d’ailleurs, malgré
la communication en cours de procédure par le plaignant dans le cadre de l’échange de
conclusions d’un avis de non-lieu rendu par ARISTA concernant la plainte pour harcèlement 102,
Google a maintenu les référencements nos 9 à 12, alors qu’elle disposait d’éléments sérieux
de nature à justifier le déréférencement depuis le 19 juin 2019. Le maintien des
référencements 9 à 12 a causé (et pourrait encore causer) un dommage important à la
réputation du plaignant, puisque ce dernier a vu une information particulièrement négative à
son sujet maintenue dans le référencement du moteur de recherche pendant plus de dix mois,
alors qu’il en avait demandé le retrait et apporté la preuve de l’inexactitude de l’information.
La Chambre Contentieuse considère que la décision concerne de manière directe, le plaignant
et de manière indirecte, tous les internautes ayant pu chercher des informations à son sujet
sur le moteur de recherche. Pendant cette période, les référencements litigieux ont été
maintenus par Google sans fondement juridique au titre de l’article 6, 1., du RGPD, ce qui
constitue un manquement grave au RGPD. La violation de l’article 17, 1., a) constitue
également une violation d’un principe essentiel du RGPD et constitue à tout le moins une
négligence grave (article 83, 2., a) du RGPD) ;

100
« Lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement (UE) 2016/679 », WP
253, adoptées le 3 octobre 2017, p. 6, disponible sur www.edpb.europa.eu.
101
Disponible sur : https://www.macrotrends.net/stocks/charts/GOOG/alphabet/revenue.
102
Supra, n°149.

Décision quant au fond 37/2020 - 44/49

(ii) les éléments exposés ci-dessus constituent une manquement grave au RGPD et une
négligence dans le chef de Google Belgium SA (article 83, 2., b) du RGPD). Google Belgium
ne peut à ce sujet se prévaloir du fait qu’elle a mis un formulaire en ligne dédié et ce à
disposition des personnes concernées, qu’elle a formé des équipes et mis sur pied un comité
législatif, ou qu’elle répond favorablement à un grand nombre de demandes de
déréférencement. Ceci fait partie des responsabilités de Google en rapport avec le RGPD, qui
sont proportionnelles à l’importance et aux risques du traitement (article 24, 1. du
RGPD). Google Belgium SA ne peut pas non plus se prévaloir de l’absence de médiation
organisée par le Service de première ligne de l’APD pour atténuer ses manquements. En effet,
en vertu de l’article 62.§ 2 de la LCA, seules les requêtes peuvent faire l’objet d’une médiation
du Service de première ligne. Les plaintes considérées comme recevables doivent être
directement transmises à la Chambre Contentieuse (62.§ 1er de la LCA). Dans le cas qui nous
concerne, le plaignant avait introduit une plainte et non une requête 103. Par ailleurs, la
Chambre Contentieuse rappelle que l’amende administrative n’est pas une mesure corrective,
mais une mesure dissuasive104, dont l’effet ne peut pas être répliqué par une médiation ;

(iii) à ce jour, le défendeur n’a pris aucune mesure, ne serait-ce que temporaire, pour atténuer le
dommage subit par le plaignant, et ce alors qu’elle sait depuis l’envoi du formulaire d’amende
le 4 juin 2020 que la Chambre Contentieuse s’interrogeait sur une violation du RGPD et que
la Chambre Contentieuse considérait l’imposition d’une sanction (Article 83. 2, c). A ce sujet,
la Chambre Contentieuse précise que rien ne l’oblige à suggérer ou imposer à la partie
défenderesse de prendre des mesures qui lui permettrait de diminuer le montant de l’amende
considérée voire de ne subir aucune amende.

(iv) comme il a été souligné à plusieurs reprises 105, Google LLC fait l’objet d’un contentieux
important en ce qui concerne la mise en œuvre du droit à l’oubli et des dispositions qui y sont
liées, que ce soit en France, en Espagne ou encore en Suède. Force est de constater que
malgré ces précédents, le modus operandi du groupe ne permet toujours pas à celui-ci de
remplir totalement et adéquatement ses obligations nées du droit à l’oubli. Même si elle
nécessite de faire une analyse au cas par cas, le droit à l’oubli constitue une obligation claire
106
. La Chambre Contentieuse note cependant qu’il n’y a pas à proprement parler de récidive
dès lors que les entités juridiques concernées sont différentes (Article 83. 2, e) ;

103
Texte provenant de la plainte originelle du plaignant :« [Le plaignant] m’a donné instruction d’introduire une plainte auprès
de votre Autorité suite au refus de GOOGLE de faire droit à ses demandes de déréférencement, envoyées via les formulaires de
de demande de suppression d’informations personnelles ».
104
Supra, n° 168.
105
Supra, notes n° 6-9.
106
Supra, n° 163.

Décision quant au fond 37/2020 - 45/49

(v) les données concernées sont des données de caractère sensible, puisqu’il s’agit de faits de
nature pénale, même si en l’occurrence, la plainte pour harcèlement à l’encontre du plaignant
et reprise dans les référencements litigieux n’a pas été portée devant une juridiction pénale
(article 83.2, g).

(vi) pour ce qui concerne l’article 83.2, i), la Chambre renvoie au point (iv) ci-dessus,

(vii) ces éléments sont enfin aggravés par le fait que d’une part, le moteur de recherches de Google
est largement utilisé par les internautes, et que Google est une entreprise disposant de
moyens importants (son chiffre d’affaires annuel mondial en 2019 était de $161,857 mds).
Ses obligations en matière de déréférencement sont proportionnelles à son importance et au
chiffre d’affaire du groupe. Au vu de l’important contentieux qu’elle a dû gérer devant la Cour
de justice de l’Union européenne 107, la Chambre Contentieuse considère que Google aurait dû
développer depuis lors une grande expertise en la matière qui devait éviter des manquements
tels que ceux constatés par la Chambre. Ceci justifie également qu’une plus grande diligence
est attendue de sa part (article 83, 2., k) du RGPD).

176. La Chambre Contentieuse rappelle par ailleurs qu’en vertu de l’article 83, 5, b. du RGPD, elle dispose
du pouvoir d’infliger des amendes allant jusqu’à 20.000.000 EUR ou jusqu’à 4% du chiffre d’affaire de
l’entreprise. Le montant de l’amende prévu par cette décision se trouve très largement en dessous de
ces plafonds et représente une somme raisonnable par rapport au chiffre d’affaire ($161,857 mds en
2019) du groupe Google. Il ne peut par conséquent être considéré comme disproportionné.

177. Concernant le manquement à l’article 12, 1. et 4. du RGPD, la Chambre Contentieuse, ayant égard à
l’article 83, 2., du RGPD, décide d’imposer une amende administrative d’un montant de 100.000 EUR,
compte-tenu des éléments suivants :

(i) eu égard au rôle clé joué par le moteur de recherches de Google dans la diffusion de
l’information via internet, et à sa large utilisation par les internautes, l’absence de motivation
compréhensible et transparente d’un refus de déréférencement d’un contenu de nature à
porter préjudice à une personne concernée, constitue un manquement grave au RGPD,
manquement qui est en outre de nature à préjudicier la personne concernée, irritée de
recevoir une réponse d’apparence type et négligée, de ressentir l’injustice de ne pouvoir être
entendue comme elle pourrait l’être d’une entité telle que Google (voir le tiret suivant, sur ce
point), et d’être contrainte dans ce contexte, en cas d’insatisfaction, de se tourner vers une
autre entité (l’éditeur du contenu référencé ou l’autorité de protection des données de son
pays) (article 83, 2., a) et b) du RGPD) ;

107
Voir notamment, notes 6, 7 et 8 ci-dessus.

Décision quant au fond 37/2020 - 46/49

(ii) Les points 177, (iv), (vi), (vii), et 178 ci-dessus.

Concernant les formulaires de demande et de réponse en vue du déréférencement

178. Précédemment, aux points nos 71 à 79 de la présente décision, la Chambre Contentieuse a relevé
que dans le cadre du processus de gestion des demandes de déréférencement mis en place par Google
LLC, une certaine ambiguïté était entretenue quant à l’identification du responsable du traitement qui
n’est pas clairement identifié et de manière univoque. Les faits épinglés à cet endroit de la présente
décision constituent un manquement aux articles 12, 1. et 2., et 14, 1., a), du RGPD. Google LLC se
trouve en effet en défaut d’identifier clairement quelle est l’entité juridique précise, responsable des
traitements de données réalisés dans le cadre des activités de référencement (et déréférencement)
du moteur de recherches de Google, ce qui complique l’exercice de ses droits par le personne
concernée ne sachant précisément in fine, qui est son interlocuteur.

179. La Chambre Contentieuse décide d’enjoindre Google Belgium SA de faire adapter les formulaires
électroniques qu’elle met à disposition et communique aux utilisateurs qui utilisent ses services de
moteur de recherches sur internet depuis le territoire belge, aux fins de déréférencement, en
identifiant clairement et précisément quelle(s) entité(s) juridique(s) est(sont) responsable(s) du
traitement et de quels traitements.

9. Transparence administrative

180. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et les
décisions de la Chambre Contentieuse, compte-tenu également de la portée de la présente décision
qui concerne de très nombreuses personnes concernées, à savoir tous les résidents belges – et par
analogie tous les résidents de l’EEE- qui sont susceptibles d’être référencés via le moteur de recherches
de Google sur la base d’une recherche comprenant comme mots-clés leurs noms et prénoms, cette
décision sera publiée sur le site internet de l'Autorité de protection des données.

181. Dans le cas d’espèce, la Chambre Contentieuse décide de ne pas supprimer les données
d’identification de Google. Par contre, elle décide de supprimer les données personnelles du plaignant
et les autres personnes citées. La Chambre considère qu’une telle suppression est nécessaire en vue
de l’objectif poursuivi par le plaignant, à savoir le déréférencement par Google.

Décision quant au fond 37/2020 - 47/49

182. Dans la réaction sur le formulaire d’amendes, Google Belgium SA stipule notamment qu’une
publication serait contreproductive et stigmatiserait Google. Cette argumentation ne convainc pas.
Tout d’abord, Google Belgium SA considère en effet qu’une telle publication serait contreproductive
puisqu’elle inciterait les personnes sollicitant un déréférencement à se tourner inutilement vers Google
Belgium SA plutôt que Google LLC. Cet argument ne peut être retenu. En effet, la demande de
déréférencement ne se fait pas par courrier postal, mais bien par un formulaire en ligne mis à
disposition par Google LLC. Il n’est pas possible de se tourner vers la mauvaise entité lors d’une
demande de déréférencement puisque c’est Google LLC qui met la page web à disposition et qui dirige
le processus de traitement de sa plainte. Hors cas extrêmement marginaux, la Chambre Contentieuse
ne voit pas comment une personne pourrait diriger sa demande de déréférencement vers Google
Belgium SA.

183. Ensuite, en ce qui concerne l’argument de la stigmatisation, la Chambre Contentieuse précise que la
publication avec identification de la partie défenderesse poursuit deux objectifs. Elle vise tout d’abord
un objectif d’intérêt général, parce qu’elle explique les responsabilités (des filiales dans l’Union) de
Google sous le RGPD. En effet, au vu de l’importance du moteur de recherche « Google » pour de très
nombreux internautes et le fait qu’une partie importante des personnes résidant en Belgique se
trouvent référencées d’une manière ou d’une autre sur le moteur de recherche « Google », la Chambre
Contentieuse estime pertinent de donner à cette décision une publicité qui puisse sensibiliser les
internautes aux droits qui sont les leurs en vertu du RGPD. A ce titre, même si la décision ne concerne
de manière directe que le plaignant, elle est d’intérêt pour une large partie du grand public. La
publication de la décision est à cet égard tout à fait pertinente.

La publication de la décision vise également un effet dissuasif. La Chambre Contentieuse conteste le
fait que la décision soit discriminatoire comme l’argumente la partie défenderesse. L’article 100, §1er,
16 de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données donne le
pouvoir à la Chambre du contentieux de décider de la publication de la décision « au cas par cas ».
La Chambre a par le passé déjà décidé de publier des décisions avec identification de la partie
défenderesse, lorsqu’elle estimait que cette publication participerait à la mise en conformité rapide de
la situation litigieuse et à la diminution du risque de répétition108 et qu’en outre, toute
pseudonymisation du nom de la défenderesse serait illusoire.

108
Voir notamment, Chambre Contentieuse, 9 juillet 2019, Décision quant au fond 05/2019 ; Chambre Contentieuse, 23 juin
2020, Décision quant au fond 34/2020.

Décision quant au fond 37/2020 - 48/49

10. Dispositif

PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :

(1) en vertu de l’article 100, paragraphe 1er, 2°, de la LCA, classe sans suite la plainte
concernant les demandes de déréférencement des référencements nos 1 à 8.

(2) en vertu de l’article 100, paragraphe 1er, 8° et 9° de la LCA, ordonne à Google Belgium
SA de mettre en conformité le traitement et à cet effet, de faire mettre en œuvre toutes
mesures techniques efficaces afin de cesser les référencements nos 9 à 12 d’une part,
pour l’ensemble des autres sites internet du moteur de recherches dans toutes leurs versions
linguistiques mais uniquement pour les utilisateurs les consultant depuis l’Espace Economique
Européen, et ce au plus tard sept jours après la notification de la présente décision et
d'informer par e-mail l'Autorité de protection des données (Chambre Contentieuse) que
l'ordre susmentionné a été exécuté, dans le même délai (via l'adresse e-mail
[email protected]);

(3) en vertu des articles 100, 13° et 101 de la LCA ainsi que 83 du RGPD, impose à Google
Belgium SA une amende de 500.000 EUR pour le manquement aux articles 17, 1., a), et 6,
1., f), du RGPD.

(4) en vertu des articles 100, 13° et 101 de la LCA ainsi que 83 du RGPD, impose à Google
Belgium SA une amende de 100.000 EUR pour le manquement à l’article 12, 1. et 4. du
RGPD. ;

(5) en vertu de l’article 100, paragraphe 1 er, 9° de la LCA, ordonne à Google Belgium SA de
faire adapter les formulaires électroniques qu’elle met à disposition et communique aux
utilisateurs qui utilisent ses services de moteur de recherches sur internet depuis le territoire
belge, aux fins de déréférencement, en identifiant clairement et précisément quelle(s)
entité(s) juridique(s) est(sont) responsable(s) du traitement et de quels traitements, et ce au
plus tard deux mois après la notification de la présente décision et d'informer par e-mail
l'Autorité de protection des données (Chambre Contentieuse) que l'ordre susmentionné a
été exécuté, dans le même délai (via l'adresse e-mail [email protected]).

Décision quant au fond 37/2020 - 49/49

En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours dans un délai
de trente jours, à compter de la notification, à la Cour des marchés, avec l’Autorité de protection des
données comme défendeur.

(sé.) Hielke Hijmans
Président de la Chambre Contentieuse