Numero du repertoire Delivree a Delivree a Delivree a
2025/
Date du prononce
le
22 janvier 2025 €
CIV
Numero du role
2024/AR/1615
D Enregistrable
D Non enregistrable
r I
I
II
Section Cour des marches
19 e chambre A
Chambre des marches
Arret
Presente le
Non enregistrable
Cour d'appel Bruxelles -2024/AR/1615- p. 2
1. Y, BCE [numéro] dont le siege est etabli a [adresse],
partie requerante, ci-apres aussi « Y »,
representee par Ma1tre QUERTON Valentine et par Ma1tre BRUYNDONCKX Bastiaan avocats a
[adresse]
contre
1. AUTORITE DE PROTECTION DES DONNEES, BCE 0694.679.950, dont le siege est etabli a 1000
BRUXELLES, Rue de la Presse 35,
Partie adverse, ci-apres aussi « l'APD »,
representee par Ma1tre RYELANDT Gregoire, Ma1tre DE LOPHEM Evrard et Mal'tre VOLCANSEK Estelle
avocats a [adresse]
***
Vu les pieces de la procedure, et notamment :
- La decision nr. 107/2024 rendue le 23 aout 2024 par la Chambre Contentieuse de I' Autorite
de protection des donnees (ci-apres « l'APD »), dans le dossier DOS2022-0240 (ci-apres la
« Decision attaquee » ou la « Decision ») ;
- le recours en annulation contre ladite Decision depose au greffe par la Requerante le 20
septembre 2024;
- les conclusions additionnelles et de synthese deposees pour la Requerante le 13 novembre
2024;
- les conclusions de synthese deposees pour I' APD le 27 novembre 2024;
- les pieces deposees par les parties;
Cour d'appel Bruxelles - 2024/AR/1615- p. 3
I. Faits et antecedents proceduraux
1 . Les faits et antecedents proceduraux peuvent etre resumes comme suit.
La Requerante, la Y (ci-apres «Y»), est operateur telephonique offrant des services sur !'ensemble
du territoire beige. Dans le cadre de ses services Y propose a ses clients residentiels des services
mobiles prepayes et des abonnements ainsi que de nombreux autres services telecoms
innovants.
Monsieur X (ci-apres le« Plaignant ») etait client residentiel chez Y depuis 2019.
le 27 janvier 2021, selon Y par erreur d'un de ses employes, la facturation du service '[nom du
service]' est activee chez le Plaignant sans que ce dernier n'ait donne son accord.
Le 18 fevrier 2021, l'abonnement internet du Plaignant est resilie sans que ce dernier ne l'ait
demande, selon Y aussi par erreur: en voulant desactiver le service '[nom du service]', un
employe se serait trompe et a resilie completement l'abonnement internet du Plaignant. En mettant
tout en oeuvre pour reactiver le service internet du Plaignant, un employe a egalement erronement
active le service 'Y TV' du Plaignant le 26 fevrier 2021.
Le 26 juin 2021, le Plaignant introduit une plainte aupres du Service de mediation pour les
telecommunications. le 27 aoOt 2021, le Service de mediation pour les telecommunications cloture
le dossier.
Le 25 ianvier 2022, le Plaignant contacte Y via Facebook Messenger lui demandant l'adresse email
de son Delegue a la Protection des Donnees (DPD) afin d'exercer son droit d'acces en vertu de
!'article 15 RGPD.
Le « chat » lui repond « nous n'avons pas d'adresse mail » et qu'il « n'a pas la possibilite de faire
cela » (transmettre les coordonnees du DPD) mais qu'il peut prendre la demande en charge via le
chat.
Le Plaignant envoie alors le message suivant:
« En concordance avec le REGLEMENT (UE} 2016/679 relatif a la protection des personnes
physiques a l'egard du traitement des donnees a caractere personnel, Article 15, je voudrais
etre informe sur les acces a mes donnees personnelles (compte, donnees personnelles,
options actives sur mon compte Y, etc.) pendant l'annee 2021 (01-Janvier-2021 - 31-
Decembre 2021} par les employes/collaborateurs Y . »
11 lui est demande de clarifier sa demande, qu'il reitere en la qualifiant de tres claire et simple.
Cour d'appel Bruxelles - 2024/AR/1615- p. 4
Le 13 mars 2022, le Plaignant reprend contact avec Y via Facebook Messenger et reitere encore sa
demande, sans recevoir de reponse; ii indique qu'a defaut de recevoir une reponse fin mars, ii va
s'adresser a I' APD.
Le 3 juin 2022, le Plaignant introduit une plainte aupres de I' APD.
Le 9 iuin 2022, la plainte est declaree recevable par le Service de Premiere Ligne de I' APD et la plainte
est transmise a la Chambre contentieuse en vertu de !'article 62, § 1er LCA.
Le 27 fevrier 2023 la Chambre contentieuse decide que le dossier peut etre traite sur le fond.
Le 28 mars 2023, Y donne suite a la demande d'acces en fournissant les logs d'activite relatifs a son
contrat couvrant toute l'annee 2021, avec anonymisation des logins (piece 3 du dossier
d'Y).
Le 31 mai 2024, les parties sont entendues par la Chambre contentieuse et le proces-verbal de
!'audition leurs est soumis le 10 iuin 2024.
Les 12 et 17 iuin 2024, la Chambre contentieuse re�oit respectivement d'Y et du Plaignant, des
remarques relatives au proces-verbal.
Le 3 iuillet 2024, la Chambre contentieuse fait conna1tre a Y son intention d'imposer une
amende administrative, afin de lui donner l'occasion de se defendre avant que la sanction soit
effectivement infligee. Le 22 iuillet 2024, Y adresse sa reaction a la Chambre Contentieuse.
II. La Decision attaquee
2. Le 23 aout 2024, la Chambre contentieuse de I' APD prend la Decision attaquee. Elle y
constate une violation par Y des articles 12.2., 12.3. et 15 du RGPD (reponse a la demande
d'acces du Plaignant avec 14 mois de retard) tout en indiquant que « Toutefois, le constat relatif aux
articles 12.2. et 12.3. n'entre pas en ligne de compte dans la determination de la sanction»(§ 55 de
la Decision).
Le dispositif de la Decision se lit comme suit :
95. Vu /'importance de la transparence concernant le processus decisionnel de la Chambre
Contentieuse, la presente decision est publiee sur le site Internet de l'Autorite de protection
des donnees. Toutefois, ii n'est pas necessaire a cette fin que les donnees d'identification des
parties soient directement communiquees.
Cour d'appel Bruxelles - 2024/AR/1615 - p. 5
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorite de protection des donnees decide, apres deliberation :
- En vertu de !'article 58.2.i) du RPGD et de /'article 100, §ler, 13 ° de la LCA, lu
conjointement avec /'article 101 de la meme Joi, d'imposer une amende
administrative d'un montant de 100.000 EUR a la defenderesse pour la violation de
/'article 15 du RGPD;
- D'ordonner a la defenderesse d'informer l'APD (Chambre Contentieuse) de la suite
reservee a cette injonction.
Ill. l'objet du recours
3. le recours d'Y tend a l'annulation de la Decision attaquee. Elle demande a la Cour de :
• declarer le present appel recevable et fonde;
• d'annuler la decision 107/2024 de la Chambre Contentieuse de /'APO du 23 aoOt 2024, et
siegeant a nouveau, reformer la decision dont appel;
• a titre principal :
• declarer la plainte du Plaignant introduite aupres de l'Autorite de protection des
donnees le 3 juin 2022 non-fondee;
• a titre subsidiaire :
• si, par impossible, Votre Cour devait considerer qu'Y a viole /'article 15 du RGPD ou
tout autre article du RGPD ou toute autre legislation en matiere de protection
des donnees, de ne pas sanctionner Y et formuler uniquement un
avertissement;
• a titre infiniment subsidiaire :
• si, par impossible, Votre Cour devait estimer qu'une amende administrative devait
etre prononcee a l'encontre d'Y (quad certe non), reduire cette amende au
montant de 5.000,00 EUR;
• en tout etat de cause :
• condamner l'Autorite de protection des donnees aux entiers frais et depens de la
presente procedure, en ce compris l'indemnite de procedure liquidee a un montant de
1.800,00 EUR.
Cour d'appel Bruxelles - 2024/AR/1615 - p. 6
L' APD demande :
Declarer le recours recevable, mais non fonde,
Condamner le requerant aux entiers depens de /'instance, en ce compris l'indemnite de
procedure de 1.800,00 € (montant de base).
IV. Cadre juridique
4. Le cadre legal applicable (ou potentiellement applicable) est constitue notamment des
dispositions suivantes (sans exhaustivite).
- Le cadre legal europeen applicable
Le Reglement General relatif a la Protection des Donnees (RGPD) (mises en evidence par la Cour des
marches) :1
Article 12 - Transparence des informations et des communications et modalites de
l'exercice des droits de la personne concernee
1. Le responsable du traitement prend des mesures appropriees pour fournir toute
information visee aux articles 13 et 14 ainsi que pour proceder a toute communication au
titre des articles 15 a 22 et de /'article 34 en ce qui concerne le traitement a la personne
concernee d'une fa<;on concise, transparente, comprehensible et aisement accessible, en des
termes clairs et simples, en particulier pour toute information destinee specifiquement a un
enfant. Les informations sont fournies par ecrit ou par d'autres moyens y compris, lorsque
c'est approprie, par voie electronique. Lorsque la personne concernee en fait la demande, Jes
informations peuvent etre fournies oralement, a condition que l'identite de la personne
concernee soit demontree par d'autres moyens.
2. Le responsable du traitement facilite l'exercice des droits conferes a la personne concernee
au titre des articles 15 a 22. Dans Jes cas vises a /'article 11, paraqraphe 2, le responsable du
traitement ne refuse pas de donner suite a la demande de la personne concernee d'exercer
Jes droits que Jui conferent Jes articles 15 a 22, a mains que le responsable du traitement ne
demontre qu'il n'est pas en mesure d'identifier la personne concernee.
1 Reglement (UE) 2016/679 du Parlement Europeen et du Conseil du 27 avril 2016 relatif a la protection des
personnes physiques al'egard du traitement des donnees acaractere personnel et ala libre circulation de
ces donnees, et abrogeant la directive 95/46/CE, Pb. L 119, 4 mai 2016.
Cour d'appel Bruxelles -2024/AR/1615- p. 7
3. le responsable du traitement fournit a la personne concernee des informations sur les
mesures prises a la suite d'une demande formulee en application des articles 15 a22, dons les
mei/leurs delais et en tout etat de cause dons un delai d'un mois a compter de la reception de
la demande. Au besoin, ce delai peut etre prolonqe de deux mois, compte tenu de la
complexite et du nombre de demandes. le responsable du traitement informe la personne
concernee de cette prolongation et des motifs du report dons un delai d'un mois a compter de
la reception de la demande. lorsque la personne concernee presente so demande sous une
forme electronique, les informations sont fournies par voie electronique /orsque cela est
possible, a mains que la personne concernee ne demande qu'il en soit autrement.
4. Si le responsab/e du traitement ne donne pas suite a la demande formulee par la personne
concernee, ii informe cel/e-ci sans tarder et au plus tard dons un delai d'un mois a compter de
la reception de la demande des motifs de son inaction et de la possibilite d'introduire une
reclamation aupres d'une autorite de controle et de former un recours juridictionnel.
Article 15 - Droit d'acces de la personne concernee
1. la personne concernee a le droit d'obtenir du responsable du traitement la confirmation
que des donnees a caractere personnel la concernant sont ou ne sont pas traitees et,
lorsqu'elles le sont, /'acces auxdites donnees a caractere personnel ainsi que /es informations
suivantes:
a) les finalites du traitement;
b) les categories de donnees a caractere personnel concernees;
c) les destinataires ou categories de destinataires auxquels les donnees a caractere personnel
ont ete ou seront communiquees, en particulier les destinataires qui sont etablis dons des
pays tiers ou les organisations internationales;
d) Jorsque cela est possible, la duree de conservation des donnees a caractere personnel
envisagee ou, lorsque ce n 'est pas possible, les criteres utilises pour determiner cette duree;
e) /'existence du droit de demander au responsable du traitement la rectification ou
/'effacement de donnees a caractere personnel, ou une limitation du traitement des donnees
a caractere personnel relatives a la personne concernee, ou du droit de s'opposer a ce
traitement;
f) le droit d'introduire une reclamation aupres d'une autorite de controle;
g) /orsque les donnees a caractere personnel ne sont pas collectees aupres de la personne
concernee, toute information disponible quanta leur source;
h) /'existence d'une prise de decision automatisee, y compris un profilage, visee a /'article 22,
paragraphes 1 et 4, et, au mains en parei/s cos, des informations utiles concernant la /ogique
sous-jacente, ainsi que /'importance et les consequences prevues de ce traitement pour Ja
personne concernee.
Cour d'appel Bruxelles- 2024/AR/1615 p. 8
l. Lorsque Jes donnees a caractere personnel sont transferees vers un pays tiers ou a une
organisation internationale, fa personne concernee a le droit d'etre informee des garanties
appropriees, en vertu de /'article 46, en ce qui concerne ce transfert.
3. Le responsable du traitement fournit une copie des donnees a caractere personnel faisant
l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de frais
raisonnables bases sur les coOts administratifs pour toute copie supplementaire demandee
par la personne concernee. Lorsque la personne concernee presente so demande par voie
electronique, Jes informations sont fournies sous une forme electronique d'usage courant, a
mains que la personne concernee ne demande qu'il en soit autrement.
4. Le droit d'obtenir une copie vise au paragraphe 3 ne porte pas atteinte aux droits et
/ibertes d'autrui.
Art. 58 - Pouvoirs
( ... )
2. Chaque autorite de controle dispose du pouvoir d'adopter toutes les mesures correctrices
suivantes:
( ... )
(i) Imposer une amende administrative en application de !'article 83, en complement ou
a la place des mesures visees au present paragraphe, en fonction des
caracteristiques propres a chaque cas ».
Loi du 3 decembre 2017 portant creation de l'Autorite de protection des donnees {d-apres
« LCA ») :
Dans la version applicable au litige, prealable a sa modification par la loi du 25 decembre 2023
modifiant la loi du 3 decembre 2017 portant creation de l'Autorite de protection des donnees (MB,
ler mars 2024, entree en vigueur le 1er juin 2024), la LCA comporte notamment les dispositions qui
suivent:
Article 100 :
§ 1er. La chambre contentieuse a le pouvoir de:
1 ° classer la plainte sans suite;
2 ° ordonner le non-lieu;
3 ° prononcer la suspension du prononce;
4 ° proposer une transaction;
5 ° formuler des avertissements et des reprimandes;
6 ° ordonner de se conformer aux demandes de la personne concernee d'exercer ces droits;
Cour d'appel Bruxelles - 2024/AR/1615- p. 9
r ordonner que l'interesse soit informe du probleme de securite;
8 ° ordonner le gel, la limitation ou /'interdiction temporaire ou definitive du traitement;
9 ° ordonner une mise en conformite du traitement;
10 ° ordonner la rectification, la restriction ou /'effacement des donnees et la notification de
celles-ci aux recipiendaires des donnees;
11 ° ordonner le retrait de /'agreation des organismes de certification;
12 ° donner des astreintes;
13 ° donner des amendes administratives;
14 ° ordonner la suspension des flux transfrontieres de donnees vers un autre Etat ou un
organisme international;
15 ° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des
suites donnees au dossier;
16 ° decider au cos par cos de publier ses decisions sur le site internet de l'Autorite de
protection des donnees.
§ 2. Lorsqu'apres application du § 1er, 15 °, le ministere public renonce a engager des
poursuites penales, a proposer une resolution a /'amiable ou une mediation penale au sens de
/'article 216ter du Code d'instruction criminelle, ou /orsque le ministere public n'a pas pris de
decision pendant un delai de six mois a compter du jour de reception du dossier, l'Autorite de
protection des donnees determine si la procedure administrative doit etre reprise.
V. Discussion par la Cour des marches
V.A. CONCERNANT LA RECEVABILITE
5. La Decision attaquee a ete prononcee par la Chambre contentieuse de I' APD le 23 ao0t
2024.
II n'est pas conteste que la requete, deposee au greffe de la cour le 20 septembre 2024, l'a ete dans
le delai de 30 jours vise a l'article 108 § 1 er de la LCA.
Le recours est recevable.
V.B. CONCERNANT LE FOND
A TITRE PREALABLE ET Q UANT AU PREMIER MOVEN D'Y (La violation des principes de bonne
administration)
Discussion et decision de la Cour des marches
Cour d'appel Bruxelles - 2024/AR/1615- p. 10
6. Conformement a !'article 744 du Code judiciaire : « Les conclusions contiennent egalement,
successivement et expressement: ( ... ) 3 ° les moyens invoques a l'appui de la demande ou de la
defense, le cas echeant en numerotant les differents moyens et en indiquant leur caractere principal
ou subsidiaire ». L'article 780 du Code judiciaire dispose, lui, que :
« Le jugement contient, a peine de nullite, outre les motifs et le dispositif:
3 ° l'objet de la demande et la reponse aux moyens des parties exposes conformement a !'article
744, alinea 1er; ( ... ) ».
Le moyen peut etre defini en droit judiciaire comme l'enonce d'un « raisonnement juridique d'ou la
partie entend deduire le bien-fonde d'une demande ou d'une defense » et qui se distingue de
!'argument qui est ce qui vient a l'appui du moyen : un fait ou une piece (C. Parmentier, Comprendre
la technique de cassation, Bruxelles, Larder, 2017, p. 97, n ° 93,).
II ne s'agit done pas d'un simple « titre » dans les conclusions, mais d'un raisonnement juridique qui
justifie le bien-fonde d'une demande ou d'une defense.
Les modifications apportees aux article 744 et 780 du Code judiciaire par la loi « Pot-Pourri I» (loi du
19 octobre 2015 modifiant le droit de la procedure civile et portant des dispositions diverses en
matiere de justice, entrees en vigueur le 15 novembre 2015), ont pour ambition de faciliter la tache
du juge par !'identification des moyens auxquels ii doit repondre, ce en vue d'assurer une justice plus
rapide et efficace, conformement a l'interet general.
La Cour releve que le titre « A titre principal: la Chambre contentieuse de !'APO a meconnu Jes droits
de la defense d'Y ainsi que Jes principes de bonnes administration » des conclusions d'Y ne
constitue pas un moyen au sens defini plus haut : ii s'agit plutot d'une introduction ou d'un prelude
aux moyens qui font chacun l'objet de developpements dans les titres suivants, ce qui a ete reconnu
par le conseil d'Y devant la Cour.
Partant, cette introduction n'appelle pas de reponse. (Vay Cass. 14 septembre 2020, C.19.0607.F, sur
juportal.be)
7. En ce qui concerne les moyens suivants, ii font l'objet de titres qui identifient la violation
d'une disposition legale au d'un principe general du droit, mais sans indiquer en quoi la Decision
attaquee emporte ladite violation.
La Cour s'efforcera d'identifier les moyens veritables (a savoir: le raisonnement juridique dans son
entierete) en vue de satisfaire a !'obligation generale de motivation (article 149 de la Constitution),
mais sans qu'il ne puisse lui etre reproche de ne pas y avoir eu egard totalement, ceux-ci n'ayant pas
ete clairement identifies et presentes.
Cour d'appel Bruxelles -2024/AR/1615- p. 11
« DEUXIEME MOYEN » D' Y: La violation des droits de la defense d'Y. Premier moyen de !'APO.
Resume des positions des parties
8. Y para'il reprocher a la Chambre contentieuse d'avoir elargi la portee de la plainte alors que celle-
ci ne visa it qu'un droit d'acces au sens de !'article 15 du RGPD, et que, dans sa notification de la
plainte effectuee le 23 fevrier 2023, elle-meme ne visait aussi qu'une violation possible de !'article 15
RGPD.
Par la suite, dans une reponse du 22 mars 2023 (piece 14 du dossier APD), le Plaignant a elargi sa
plainte en invoquant la violation de nouvelles dispositions du RGPD, notamment des articles 12.2. et
12.3. du RGPD, ce qui a cree une confusion. Y a reagi en interrogeant la Chambre contentieuse sur le
point de savoir si elle devait se defendre sur ces nouveaux griefs, et celle-ci a refuse de
repondre, sans justification.
Ceci a cree une situation d'insecurite juridique pour Y.
La Decision contient de multiples references aux articles 12.2. et 3. RGPD et conclut qu'Y a viole
ces dispositions, meme si elle ajoute ensuite ne pas avoir pretendument egard a ces violations pour
fixer le montant de l'amende, ce qui n'est pas credible.
Ce faisant, la Chambre contentieuse a viole les droits de la defense d'Y.
9. L' APD allegue qu'elle a enonce clairement dans son courrier du 27 fevrier 2023 que la plainte
concernait la suite donnee a l'exercice du droit d'acces du Plaignant et en a precise le contexte. Dans
ce courrier, elle identifie clairement les manquements observes, les normes potentiellement
enfreintes, ainsi que les faits reproches. Y a eu acces a !'ensemble des pieces du dossier, ce qui lui a
permis de comprendre la nature des reproches et les elements probatoires sur lesquels la
Chambre contentieuse s'appuierait pour motiver sa decision.
Y ne precise pas quels elements nouveaux, qui n'auraient pas ete communiques avant la
conclusion des debats, auraient ete decouverts par elle dans la Decision attaquee. En ce qui
concerne les elements supplementaires communiques par le Plaignant le 22 mars 2023, la
Chambre contentieuse laisse chaque partie s'exprimer mais evalue seule la pertinence des
faits et leur qualification. Ce n'est pas au Plaignant a definir les contours de la procedure.
La Decision a ete rendue sur la base des griefs formellement communiques a Y dans le courrier du
27 fevrier 2023 et sur les faits que la Chambre contentieuse a juges pertinents apres son propre
Cour d'appel Bruxelles-2024/AR/1615 p. 12
examen. Y a eu de multiples opportunites de faire valoir sa defense tout au long de la
procedure.
Par ailleurs, le fait que le Plaignant ait declare lors de !'audition qu'il etait satisfait de la reponse asa
demande d'acces (en ce qui concerne le principe, mais pas ses modalites) n'a cree aucune insecurite
juridique pour Y. Ce n'est pas parce qu'une plainte devient sans objet que la Chambre
contentieuse perdait son pouvoir de verifier le respect du RGPD par Y en lien avec ladite
plainte, ce qui fait partie de sa mission d'autorite de controle.
L'article 12.2. du RGPD oblige le responsable du traitement a faciliter l'exercice des droits conferes a
la personne concernee, et done le droit d'acces vise a !'article 15 RGPD, et !'article 12.3. ainformer la
personne concernee sur les mesures prises a la suite d'une telle demande, dans les meilleurs delais
et en tout cas un mois. II s'agit done de dispositions intrinsequement liees. Y avait bien
connaissance de ces dispositions et s'est defendue ace sujet.
En outre, le constat relatif aux articles 12.2 et 12.3. RPD n'a pas ete pris en compte dans la Decision
pour la determination de la sanction.
Discussion et decision Cour des marches
10. La Chambre contentieuse de I' APD est une autorite administrative a laquelle s'appliquent les
principes generaux de bonne administration, en ce compris le principe relatif au respect des droits de
la defense. Ce principe impose al'autorite administrative de permettre a l'administre de se defendre
utilement lorsqu'elle envisage de prendre une mesure a caractere punitif, comme en !'occurrence
une amende administrative (Vay. par analogie Cass. 6 novembre 2023, C.23.0092.N ; Goffaux, P.,
Dictionnaire de droit administratif, 3e edition, Bruxelles, Larder, 2022, p. 327 et s.).
Comme l'indique cet auteur: « Ce principe impose a /'administration de porter, en temps utile, a la
connaissance de /'administre Jes griefs qui sont sou/eves a son encontre, de Jui donner acces a
!'ensemble du dossier fondant Jes poursuites, de Jui permettre de se faire assister d'un avocat et de
disposer d'un temps suffisant pour organiser utilement so defense et bien entendu de Jui permettre de
faire valoir ses moyens de defense sur Jes faits reproches et la sanction envisagee ainsi que de faire
entendre, le cos echeant, des temoins utiles a so defense et a la manifestation de la verite. » (ibidem,
p. 328).
II faut que la personne concernee puisse comprendre quel comportement lui est reproche. Ceci
n'emporte cependant pas necessairement que l'autorite doive preciser les qualifications possibles
des faits ou indiquer les dispositions statutaires eventuellement violees lors de leur commission (C.E.,
22 mars 2016, n ° 234.217, Sizaire, cite par P. Goffaux, note 835}.
Cour d'appel Bruxelles - 2024/AR/1615- p. 13
11. La Chambre contentieuse de I' APD doit ainsi, lorsqu'elle notifie au responsable du traitement
qu'elle va traiter une plainte le concernant, lui communiquer cette plainte et indiquer sur quels
manquements ii devra se defendre, avec en principe un enonce des dispositions legales dont la
violation est alleguee.
Dans le cas d'espece, la notification du 27 fevrier 2023 de la Chambre contentieuse ne se refere qu'a
!'article 15 du RGPD, sans reference a !'article 12. Elle indique cependant clairement que : « La
plainte introduite (... ) concerne la suite donnee a l'exercice de son droit d'acces », et done !'absence
de reponse d'Y à la demande du Plaignant du 25 janvier 2022.
Le Plaignant a lui-meme evoque d'autres dispositions dans son ecrit du 22 mars 2023, en particulier
!'article 12.2. et 12.3.
Y a des lors pu se defendre quant a une possible violation de ces dispositions, qui etaient de toute
fa<;:on intimement liees a !'article 15 RGPD: les dispositions doivent se lire ensemble, des lors que,
notamment, c'est !'article 12.3. du RGPD qui definit le delai endeans lequel le responsable du
traitement doit repondre a une demande formulee « en application des articles 15 a 22 », a savoir
« dans les meilleurs de/ais et en tout etat de cause dons un delai d'un mois a compter de la reception
de la demande ». L'article 12.2., lui, prevoit notamment !'obligation pour le responsable du
traitement de faciliter l'exercice des memes droits de la personne concernee (articles 15 a 22).
Comme le relevent de Terwangne et Rosier, c'est une « particularite organisationnelle du RGPD, les
modalites de l'exercice de ce droit d'acces ne sont pas contenues dans /'article 15 du RGPD relatif ace
droit mais dons /'article 12, qui regit de far;on commune les modalites d'exercice de /'ensemble des
droits de la personne concernee » (C de Terwangne et K. Rosier, « Le Reglement general sur la
protection des donnees (RGPD / GDPR) », Larcier, 2018, p. 446, n° 50).
Dans ses conclusions deposees devant la Chambre contentieuse de I' APD, Y s'est d'ailleurs
effectivement defendue par rapport a l'article 12 du RGPD, en particulier par rapport a la violation de
!'obligation de repondre dans le mois (cfr le point 3.2., p. 9 de ses deux jeux de conclusions devant la
Chambre contentieuse, pieces 15 et 24 APD).
Partant, elle n'etablit aucune atteinte a ses droits de la defense.
Son moyen n'est pas fonde.
Cour d'appel Bruxelles - 2024/AR/1615- p. 14
TROISIEME et QUATRIEME MOYENS D'Y: la Decision retient a tort une violation des articles 12.2,
12.3. et 15 du RGPD car le Plaignant avait deja re�u toutes les informations utiles, et le
nonrespect du delai prevu par l'artide 12.3 du RGPD ne peut donner lieu a une sanction.
Deuxieme moyen de l'APD.
Resume des positions des parties
12. Dans son troisieme moyen, Y allegue que c'est a tort que la Chambre Contentieuse lui a
reproche d'avoir repondu avec plus de 14 mois de retard a la demande d'acces du Plaignant et de ne
pas lui avoir facilite l'exercice de ses droits.
Tout d'abord, ii etait facile pour le Plaignant d'identifier l'adresse electronique du DPD d'Y sur le site
internet d'Y, dans sa politique de confidentialite : Y a done fait ce qu'il fallait pour faciliter l'exercice
des droits des plaignants.
Par ailleurs, le Plaignant disposait deja des informations sollicitees, ayant obtenu toutes les
informations demandees sur les incidents de 2021 par le biais de sa plainte au Service de mediation
pour les telecommunications
Par consequent, la Decision doit etre annulee et reformee par la Cour des marches.
Dans son quatrieme moyen, Y soutient que le non-respect des delais vises aux articles 12.3 et 12.4
RGPD n'est pas sanctionne par une regle de droit (elle se refere a deux arrets de la Cour des
marches du 9 octobre 2019 et du 23 octobre 2019) et des lors le depassement de ces delais n'est pas
susceptible de donner lieu a une sanction, comme en l'espece une amende.
Partant, la Decision doit etre annulee.
13. L' APD fait valoir qu'Y ne peut echapper au reproche de ne pas avoir facilite l'exercice des droits
du Plaignant par la circonstance que l'adresse de son DPD figure quelque part sur son site
internet. En vertu des dispositions du RGPD, le responsable du traitement doit repondre de fa<;:on
proactive aux demandes des personnes concernees : une fois saisie de la demande du Plaignant, elle
avait !'obligation de le rediriger vers son DPD ou de repondre a sa demande.
Peu importe aussi que le Plaignant ait re<;:u une reponse a sa demande via la procedure devant le
Service de mediation des communications. Un tel service n'a pas vocation a statuer sur le respect du
RGPD.
Par ailleurs, ii est inexact que le non-respect du delai prevu a l'article 12.3. du RGPD ne serait pas
sanctionne: ii figure parmi les dispositions visees a !'article 83.5.b du RGPD (« les droits dont
Cour d'appel Bruxelles- 2024/AR/1615- p. 15
beneficient les personnes concernees en vertu des articles 12 a 22 » ), qui prevoit les sanctions les
plus severes.
La violation des articles 12.3 et 15 RGPD est indeniable, vu qu'Y ne conteste pas avoir repondu a la
demande d'acces du Plaignant avec 14 mois de retard, bien au-dela du delai fixe par !'article 12.3
RGPD. L'argument d'Y selon lequel la sanction se fonde uniquement sur le non-respect du delai
d'un mois de !'article 12.3, repose sur une interpretation incorrecte de la Decision. Non
seulement la reponse a la demande du Plaignant a ete excessivement tardive, mais ii apparait
egalement qu'Y n'a pas facilite l'exercice de ce droit, notamment en omettant de mettre en place
des mecanismes clairs et accessibles pour re pondre a la demande dans les delais requis. Par
consequent, elle a viole les articles 12.2, 12.3 et 15 RGPD. Toutefois, le constat relatif aux articles
12.2 et 12.3 n'entre pas en ligne de compte dans la determination de la sanction etant entendu que
ces deux dispositions n'etaient pas incluses dans la lettre par laquelle la Chambre contentieuse a
invite les parties a conclure.
Discussion et decision Cour des marches
14. II incombe au responsable du traitement aupres de qui une demande d'acces est formee de
traiter celle-ci et de lui apporter une reponse satisfaisante.
II incombe naturellement au service clientele aupres de qui un client demande les coordonnees du
DPD de lui communiquer immediatement celles-ci. Y ne peut se defausser de ses obligations au motif
que ces coordonnees etaient accessibles sur son site internet. Elles ne devaient d'ailleurs pas etre si
faciles a trouver, puisque l'operateur de son « chat » n'a pas reussi a donner cette information au
Plaignant.
De meme ii incombait a Y de donner suite a la demande d'acces en communiquant les
informations demandees par le Plaignant. Elle ne peut justifier sa non-reponse par le fait qu'elle
estimerait que le Plaignant disposait deja de ces informations via la mediation menee par le Service
de mediation des telecommunications. Cette mediation concernait la relation commerciale et les
services d'Y. La demande d'acces formee le 25 janvier 2022 par le Plaignant avait un autre objet
puisqu'elle etait formee sous !'angle de l'acces a ses donnees personnelles. En tout etat de
cause, si Y avait voulu refuser la demande d'acces pour cette raison, elle aura it du le notifier au
Plaignant (article 12.4. du RGPD).
15. La violation des articles 12.3 et 15 RGPD est etablie, des lors qu'Y n'a repondu a la
demande d'acces du Plaignant formee le 25 janvier 2022 que le 28 mars 2023, en lui fournissant les
logs d'activite relatifs a son contrat pour toute l'annee 2021, soit apres 14 mois, bien au-dela du delai
fixe par !'article 12.3 RGPD (delai d'un mois, eventuellement prolongeable de deux mois).
Cour d'appel Bruxelles 2024/AR/1615- p. 16
la non-reponse a la demande d'acces pendant une aussi longue periode constitue une violation de
!'article 15, combine avec !'article 12.3. du RGPD. la violation a l'article 12.2. du RGPD est aussi
etablie, Y n'ayant pas facilite l'exercice des droits du Plaignant, notamment par la non-reponse de
son service clientele, incapable de meme fournir au Plaignant les coordonnees du DPD.
De telles violations sont naturellement susceptibles de sanction. En vertu de !'article 83.5. b), les
violations des droits des personnes concernees en vertu des articles 12 a 22 - ce qui inclut le cas
d'espece - peuvent (avec les autres violations visees) faire l'objet des amendes administratives des
montants les plus hauts, de sorte qu'il s'agit de violations jugees particulierement importantes par le
legislateur europeen.
Vainement, la Requerante croit-elle pouvoir invoquer l'autorite des arrets de la Cour des marches
des 9 octobre 2019 (RG 2019/AR/1006, point 5.5.3) et 23 octobre 2019 (RG 2019/AR/1234, point
6.6.). le droit beige ne connait en effet pas le systeme du precedent, qui est meme proscrit par
!'article 6 du Code judiciaire. Par ailleurs, ces arrets n'ont pas la portee qu'elle leur assigne. Dans le
premier arret, la Cour annule le constat de violation de !'article 12.3. du RGPD fait par la Chambre
contentieuse au motif que le responsable du traitement avait deja repondu a la demande juste avant
l'entree en vigueur du RGPD; dans le second, la phrase invoquee apparait surabondante, dans la
mesure ou la Cour avait deja constate un defaut de motivation et un exces de pouvoirs conduisant a
l'annulation de la decision en cause de la Chambre contentieuse.
16. Au vu de ce qui precede, les troisieme et quatrieme moyens de la Requerante ne sont pas
fondes. En effet, en ce que la Decision a constate la violation des articles 12.2., 12.3. et 15, elle est
legalement justifiee.
CINQUIEME ET SIXIEME MOYENS D'Y (A TITRE SUBSIDIAIRE) : La Decision attaque n'est pas
legalement justifiee et viole l'artide 100, §1 lCA en ne motivant pas la necessite d'imposer une
amende administrative au lieu d'autres sanctions possibles - la sanction infligee est
disproportionnee
Quatrieme et cinquieme moyens de l'APD.
Resume des positions des parties
17. Y fait valoir a titre subsidiaire que si les violations aux articles 12.2., 12.3. et 15 sont
etablies, encore la sanction imposee par la Decision n'est-elle pas motivee.
Dans son cinquieme moyen, elle fait grief a la Decision de ne pas motiver la necessite d'imposer une
amende administrative au lieu d'autres sanctions plus legeres possibles (notamment: avertissement,
reprimande).
Cour d'appel Bruxelles - 2024/AR/1615- p. 17
La Requerante a fait valoir dans sa reaction a la proposition de sanction les circonstances
particulieres du cas d'espece: une infraction ponctuelle et isolee, qui ne concerne que le Plaignant;
le prejudice subi par le Plaignant est extremement limite (simple desagrement); la violation du RGPD
concerne de simples donnees d'identification et non des donnees sensibles; la violation est due a
une simple negligence dans le chef d'un membre du personnel du service clientele d'Y; la
violation a ete corrigee depuis et le Plaignant a re�u une reponse a sa demande d'acces a ses
donnees a caractere personnel et des mesures additionnelles ont ete prises au sein d'Y afin eviter
qu'une situation similaire se reproduise.
La Chambre contentieuse n'explique ou ne motive aucunement pourquoi une amende administrative
serait la (seule) sanction possible en l'espece et pourquoi d'autres sanctions ne seraient pas
appropriees. La raisonnement de la Cour des marches dans son arret du 27 janvier 2021 (RG
2020/AR/1333, point 7.5.) s'applique, !'imposition d'une amende constitue un detournement de
pouvoirs.
La Decision n'est des lors pas legalement justifiee en ce qu'elle inflige une amende et viole !'article
100, §1, LCA.
Y soutient a titre subsidiaire, dans son sixieme moyen, que l'amende de 100.000 € constitue une
sanction disproportionnee.
Elle invoque les particularites du cas d'espece (cfr supra), la caractere ponctuel et isole de la
violation, le fait qu'elle resulte d'une simple negligence, et reproche a la Chambre contentieuse de ne
pas avoir fait application de tous les criteres prevus a !'article 83 § 2 du RPDB. En outre, les
ressources humaines et financieres dont dispose Y et le fait que le traitement des donnees a
caractere personnel constitue une activite de base d'Y vu son activite dans les services de
telecommunications ne sont pas de nature a conferer a la (pretendue) violation par negligence un
caractere 'grave'.
A titre infiniment subsidiaire, elle demande la reduction du montant de l'amende a 5.000 €.
18. L' APO soutient que l'amende administrative infligee a Y est pleinement justifiee et motivee, tant
sur le plan factuel que juridique. La Decision s'appuie bien sur les criteres enonces a !'article 83.2.
du RGPD, la Chambre contentieuse n'etant pas tenue de detailler ou de chiffrer chacun de ces
criteres dans sa motivation. La Decision attaquee repose sur une appreciation complete et nuancee
des circonstances de l'affaire.
La Requerante a viole !'article 15 du RGPD (droit d'acces) pendant une duree prolongee de 14 mois,
ce qui revele une negligence grave dans la gestion des droits des personnes concernees, d'autant
plus inacceptable qu'Y, en raison de la nature de son activite, est censee disposer de
Cour d'appel Bruxelles - 2024/AR/1615 - p. 18
procedures robustes pour traiter les demandes qui lui sont faites. La reponse tardive ne saurait
excuser la violation initiale ni attenuer la gravite de !'infraction constatee. La duree de l'infraction et
!'absence de diligence immediate dans le traitement de la demande du Plaignant justifient a elles
seules !'imposition d'une amende administrative, en tant que sanction proportionnee et dissuasive.
L' APD soutient aussi que le montant de l'amende est proportionnee a la nature, la gravite et la duree
de la violation. L'amende n'a pas pour objet de compenser le desagrement du Plaignant, mais de
sanctionner une infraction au RGPD, conformement a !'article 83 RGPD. Eu egard aux capacites
financieres et humaines de la Requerante, ainsi qu'a la circonstance que les traitements de donnees
a caractere personnel constituent l'une de ses activites de base, la negligence commise doit etre
consideree comme serieuse. Cela est d'autant plus vrai que l'incapacite a repondre a une demande
d'acces emise par le Plaignant s'est manifestee chez deux de ses employes. Le fait qu'il n'y aurait pas
d'intention malveillante de la part d'Y n'est pas pertinent. Quant aux mesures additionnelles et
politiques internes invoquees par Y, celles-ci, bien qu'elles puissent etre utiles, ne garantissent pas la
conformite totale, ni n'effacent la violation deja commise.
En outre, l'APD n'a pas l'obligation de se prononcer sur !'ensemble des criteres prevus a !'article 83
RGPD. Taus les elements ont ainsi ete dument consideres par la Chambre contentieuse,
contrairement aux affirmations d'Y. Concernant le degre de responsabilite d'Y compte tenu des
mesures techniques et organisationnelles mises en oeuvre, la Chambre contentieuse constate
qu'Y est entierement responsable de la gestion des demandes des personnes concernees
qu'elle rec;:oit, en ce compris le droit d'acces. Enfin, la comparaison avec d'autres sanctions
prononcees par la Chambre contentieuse de I'APD est sans pertinence.
Discussion et decision Cour des marches
19. Aux termes de !'article 58.2. du RGPD, l'autorite nationale de contr6Ie peut adopter
differentes mesures correctrices, parmi lesquelles notamment un avertissement, un rappel a l'ordre,
un ordre de mise en conformite ou une amende administrative « en complement ou a la place des
[autres] mesures ».
Aux termes de !'article 83.1. du RGPD - Conditions generales pour imposer des amendes
administratives « Chaque autorite de controle veille a ce que Jes amendes administratives imposees
en vertu du present article pour des violations du present reglement visees aux paragraphes 4, 5 et 6
soient, dans chaque cos, efjectives, proportionnees et dissuasives. ».
Aux termes de !'article 100 LCA, la Chambre contentieuse de I' APD a le pouvoir de prendre une serie
de mesures, parmi lesquelles « 5 °. Formuler des avertissements et des reprimandes », et « 13 °
donner des amendes administratives ». Selan !'article 101 LCA, la chambre contentieuse peut decider
Cour d'appel Bruxelles - 2024/AR/1615 - p. 19
d'infliger une amende administrative selon les principes generaux vises a !'article 83 RGPD; selon
!'article 102 lCA, la decision d'imposer une amende est motivee.
l'economie generale du RGPD indique que le legislateur a voulu offrir a l'autorite un panel de
sanctions a appliquer en fonction de chaque cas d'espece, dont !'imposition d'amendes
administratives en application de !'article 83 de ce reglement, « en complement ou a la place» des
autres mesures correctrices enumerees a cet article 58, paragraphe 2 (avertissements, rappels a
l'ordre, injonctions).
le considerant 148 du RGPD enonce aussi qu'il est permis aux autorites de controle, lorsqu'il s'agit
d'une violation mineure ou si l'amende administrative susceptible d'etre imposee constitue une
charge disproportionnee pour une personne physique, de s'abstenir d'imposer une amende
administrative et, a sa place, de prononcer un rappel a l'ordre.
le but fondamental de la legislation, tant europeenne que beige, n'est en effet pas de sanctionner en
infligeant des amendes pour le moindre manquement aux prescrits legaux. l'objectif est d'assurer
l'effectivite du droit sur la protection des donnees.
II appartient a la Chambre contentieuse de justifier sa decision d'infliger une amende administrative
au vu des dispositions qui precedent et au vu de !'appreciation concrete des circonstances de la
cause.
20. la Decision attaquee retient des violations aux dispositions suivantes du RGPD : 12.2., 12.3 et
15. Elle indique ne retenir que la violation a !'article 15 pour justifier l'amende.
En tout etat de cause, les constats de violation des articles 12.2. et 12.3. y etaient intimement lies.
la Requerante a viole !'article 15 du RGPD en ne donnant pas la suite qu'il convenait a la demande
d'acces du Plaignant formee le 25 janvier 2022, des lors qu'elle n'y a repondu que le 28 mars 2023. II
existait encore jusqu'a !'audition devant la Chambre contentieuse un debat sur le point de savoir si la
reponse du 28 mars 2023 etait adequate - des lors que le Plaignant critiquait le fait que la
Requerante avait anonymise les noms de ses employes ayant eu acces aux donnees du Plaignant -
mais la Decision attaquee a estime que cette reponse etait satisfaisante au regard de !'article 15 du
RGPD, les droits et libertes des employes de la Requerante devant prevaloir sur le droit du Plaignant
a acceder a leur identite. Ce point n'est pas conteste devant la Cour.
la Requerante n'a done repondu a la demande d'acces qu'apres 14 mois, et apres le demarrage de la
procedure devant la Chambre contentieuse.
Cour d'appel Bruxelles - 2024/AR/1615- p. 20
La Chambre contentieuse a motive comme suit sa decision de prononcer une amende
administrative :
« En l'espece, l'amende administrative se justifie par le fait que la defenderesse, dont le
chiffre d'affaire est etabli a(. .. EUR) pour l'annee 2023, a viole /'article 15 du RGPD durant une
periode de 14 mois. Cette violation a ete provoquee par l'incapacite de deux employes de la
defenderesse a traiter convenablement la demande d'acces formulee par le plaignant,
denotant ainsi d'une negligence grave - et cela malgre le fait que le traitement de donnees a
caractere personnel constitue rune de ses activites de base. Par ailleurs, la Chambre
Contentieuse tient compte du fait que bien que la defenderesse ait fini par donner a la
demande d'acces du plaignant une reponse satisfaisante, cette derniere a pris cours /ors de
l'echange de conclusions des parties. Ces elements - davantage developpes ci-dessous -
justifient d'infliger une amende administrative, p/ut6t qu'une sanction plus foible telle
l'avertissement ou la reprimande" (Decision attaquee, § 63).
La Decision de prononcer une amende est done motivee. Elle est aussi legalement justifiee. La
Requerante n'etablit pas que, alors que la Chambre contentieuse jouit d'une marge d'appreciation
dans le choix des mesures qu'elle peut prendre en cas de violation du RGPD, elle aurait commis une
erreur manifeste d'appreciation en faisant le choix d'infliger une amende, en tenant compte
notamment de la duree de !'infraction, du fait que la violation concerne le droit d'acces et qu'elle n'y
a finalement fait droit qu'en cours de procedure.
La Chambre contentieuse est restee, ce faisant, dans les marges de son pouvoir d'appreciation.
lnfliger une amende constitue une mesure efficace de sanction et de prevention.
Vainement, la Requerante invoque-t-elle l'autorite d'un arret de la Cour des marches du 27 janvier
2021 (RG 2020/AR/1333). Outre que, comme indique precedemment, les arrets n'ont pas de force de
precedent (cfr supra et article 6 du Code judiciaire), l'arret en question rejette le moyen critiquant la
decision d'infliger une amende, et n'accueille que le moyen invoquant une disproportion du montant
de l'amende.
En tout etat de cause, l'amende doit etre justifiee chaque fois par l'autorite en fonction des
circonstances particulieres de la cause, ce qui rend difficile la comparaison entre les decisions de
l'autorite ou de la Cour des marches quant au montant d'une amende. Ainsi, ii est difficile de
comparer la situation de la Requerante, entreprise de telecommunications de grande taille, avec
celle de la personne physique responsable de traitement dans l'affaire ayant donne lieu al'arret de la
Cour des marches du 27 janvier 2021 precite.
21. II reste a examiner si le montant de l'amende est justifie, tenant compte des principes et
regles applicables et rappeles ci-avant, en particulier le principe que l'amende doit etre effective,
proportionnee et dissuasive.
Cour d'appel Bruxelles - 2024/AR/1615- p. 21
Le principe de proportionnalite exige que la mesure adoptee ne depasse pas les limites de ce qui est
necessaire a la realisation des objectifs legitimes poursuivis par la reglementation.
Des lors que le respect de ces principes conditionne la legalite de l'amende, la Cour dispose d'un
plein pouvoir pour apprecier le respect de ces principes et plus largement des conditions de l'article
83 du RGPD. Ce droit de controle doit, en particulier, permettre a la Cour d'examiner si la peine n'est
pas disproportionnee par rapport a !'infraction, de sorte que la Cour peut examiner si la Chambre
contentieuse de I' APD pouvait raisonnablement imposer une sanction administrative d'une telle
ampleur.
22. En ce qui concerne la nature, la gravite et la duree de la violation, ii s'agit de la violation
prolongee {plus d'un an) du droit d'acces vise a !'article 15 du RGPD, des lors que la Decision soutient
que la sanction est fondee sur cette seule violation.
Une violation n'a ete constatee que par rapport a un plaignant unique.
En ce qui concerne le dommage subi, le Plaignant n'a pas signale de dommage specifique. II est
permis qu'il s'agit du desagrement cause par le fait qu'il n'a pas ete repondu dans les temps a sa
demande d'acces. Une fois cette demande repondue, le Plaignant n'a, au vu des elements soumis ala
Cour, pas effectue de nouvelle demande fondee sur le RGPD.
Aucun element n'etablit que les violations auraient ete deliberement commises par la Requerante.
Comme le reconna,t la Decision, ii s'agit de violations resultant de negligences commises par deux
preposes de la requerante (ses employes repondant au «chat» qu'elle organise). II peut etre
considere qu'il s'agit de simples negligences; le caractere « serieux » des negligences n'est pas etabli,
meme si les negligences ne peuvent pas etre considerees comme anodines.
La Requerante n'a pas pris de mesures specifiques pour attenuer le dommage, mais celui-ci etait
limite, comme indique ci-avant.
II n'est pas etabli que la Requerante aurait precedemment comm is d'autres violations au RGPD.
Les donnees personnelles concernees ne font pas partie d'une categorie de donnees jouissant d'une
protection particuliere.
La Requerante a adequatement coopere avec I' APD et a repondu a la demande du Plaignant dans le
cours de la procedure, avant !'audition.
Comme releve par la Decision, la Requerante a invoque comme element nouveau dans son
formulaire en reponse au projet de sanction qu'elle avait adopte des mesures additionnelles en
Cour d'appel Bruxelles - 2024/AR/1615- p. 22
internes, en particulier l'organisation de formations adequates pour son personnel, pour eviter que
des negligences similaires se reproduisent. Elle a aussi fait valoir qu'il s'agissait d'un incident
vraiment isole, alors qu'elle re�oit en moyenne 150 demandes d'acces par an.
Ces elements doivent etre pris en compte.
Au vu de !'ensemble de ces elements, le montant de 100.000 € pour l'amende inflige par la Decision
est manifestement disproportionne : le montant depasse les limites de ce qui etait necessaire aux
fins d'assurer les objectifs de prevention et de sanction, s'agissant en particulier d'une violation
isolee d'une disposition du RGPD, et resultant d'une negligence et non d'un acte intentionnel.
Partant, le moyen est fonde, et justifie l'annulation de la D ecision en ce que celle-ci inflige une
amende de 100.000 €.
23. En vertu de son pouvoir de pleine juridiction, la Cour des marches peut, apres avoir annule la
Decision du fait du caractere disproportionne de l'amende (cfr supra), proceder a un nouvel examen
pour determiner elle-meme le montant de l'amende, par application des dispositions legales
applicables, en particulier les articles 100 a 102 de la LCA et 83 du RGPD.
La Decision a, a raison, qualifie de « faible » le degre de gravite de la violation, selon la classification
proposee par les Lignes directrices 04/2022 de l'EDPB sur le calcul des amendes administratives au
titre du RGPD (version du 24 mai 2023), avec pour consequence que, selon ces Lignes directrices, le
montant de depart pour le calcul de l'amende est compris entre 0 et 10 % du montant maximal legal
applicable.
Le montant maximal de l'amende s'eleve dans le cas d'espece, selon !'article 83.5 du RGPD, au plus
eleve de 20.000.000 € ou 4 % du chiffre d'affaires annuel mondial total de l'exercice precedent, soit
[montant] € (4 % de [montant] €, selon les chiffres utilises par la Decision, non critiques a ce titre).
Pour une violation faible, le montant de la fourchette se situe partant, selon les Lignes directrices
precitees, entre 0 et 10% de ce montant maximal, soit entre 0€ et [montant] €.
Des lors qu'il s'agit d'une infraction isolee a une disposition du RGPD (article 15), commise par simple
negligence, et tenant compte des autres elements releves ci-avant, en particulier le fait que la
Requerante a mis fin a la violation durant le cours de la procedure et avant !'audition devant la
Chambre contentieuse, ii y a lieu de rester dans le bas de la fourchette esquissee ci-avant, etant
entendu que la gravite intrinseque de toute violation au RGPD est deja prise en compte dans la
decision de fixer une amende.
Cour d'appel Bruxelles - 2024/AR/1615 - p. 23
II n'appara'it pas, dans les circonstances de l'espece, que la hauteur du chiffre d'affaires de la
Requerante ou la nature de ses activites dans les telecommunications, qui suppose une activite de
traitement des donnees, justifie une autre decision.
Pour tenir compte de !'ensemble des circonstances de l'espece telles que relevees ci-avant ainsi que
du caractere effectif, proportionne et dissuasif, la Cour fixe le montant de l'amende a 5.000 €.
VI. Depens
24. Chaque partie succombant sur quelque chef de demande, les depens seront compenses.
PAR CES MOTIFS,
LACOUR DES MARCHES,
Vu les dispositions de la loi du 15 juin 1935 sur l'emploi des langues en matiere judiciaire,
Statuant contradictoirement,
Rer;oit le recours,
Le dit partiellement fonde, comme suit,
Annule la Decision attaquee nr. 107/2024 rendue le 23 aout 2024 par la Chambre Contentieuse de
l'Autorite de protection des donnees (ci-apres « l'APD » ), dans le dossier DOS- 2022-0240 en ce
qu'elle impose une amende administrative d'un montant de 100.000 € a Y pour la violation
de !'article 15 du RGPD,
Faisant usage de son pouvoir de reformation, fixe le montant de l'amende administrative a 5.000 €
pour la violation de !'articles 15 du RGPD,
Deboute Y du surplus de sa demande,
Compense entierement les depens entre les parties, chaque partie supportant ses propres depens,
Condamne Y a payer au profit du SPF Finances la moitie des droits de mise au role dus en appel,
soit 200 €, conformement a !'article 2692 § ler, du Code des droits d'enregistrement,
d'hypotheque et de greffe;
Cour d'appel Bruxelles - 2024/AR/1615 - p. 24
Dit que l'autre moitie incombe a l'APD, mais constate que celle-ci en est dispensee, par l'effet des
articles 2791, 1 °et 161, 1 °bis du Code des droits d'enregistrement, d'hypotheque et de greffe.
Ainsi juge et prononce a !'audience civile publique de la 19eme chambre A de la cour d'appel de
Bruxelles, section Cour des marches, le 22 janvier 2025.
Ou etaient presents :
C. VERBRUGGEN, Conseiller, ff. president
A.-M. WITTERS, Conseiller,
A. BOSSUYT, Conseiller,
D.GEULETTE, Greffier,
C. VERBRUGGEN