Brüksel Piyasalar Mahkemesi — gdprhub/c-a-2025-ar-2079

![img-0.jpeg](img-0.jpeg)

Copie

Délivrée à: L'AUTORITE DE PROTECTION DES DONNEES
art. 792 CJ

Exempt du droit de greffe - art. 280,2° C.Enr.

Expédition

| Numéro du répertoire |
| --- |
| 2026 / 4023 |
| Date du prononcé |
| 3 juin 2026 |
| Numéro du rôle |
| 2025/AR/2079 |

| Délivrée à | Délivrée à | Délivrée à |
| --- | --- | --- |
| le € CIV | le € CIV | le € CIV |

Enregistrable

Non enregistrable

# Cour d'appel

# Bruxelles

Section Cour des marchés
19e chambre A

# Arrêt

| Présenté le |
| --- |
| Non enregistrable |

COVER 01-00004909477-0001-0027-02-01-1

![img-1.jpeg](img-1.jpeg)

Cour d'appel Bruxelles – 2025/AR/2079 – p. 2

INFOBEL S.A., enregistrée dans la Banque-Carrefour des Entreprises sous le numéro 0453.604.761, dont le siège est établi à 1180 BRUXELLES, Chaussée de Saint-Job 506,

Partie requérante, ci-après aussi « Infobel »,

représentée par Maître CASSART Alexandre,

CONTRE :

L'AUTORITE DE PROTECTION DES DONNEES, régulateur, enregistrée dans la Banque-Carrefour des Entreprises sous le numéro 0694.679.950, dont le siège est établi à 1000 BRUXELLES, Rue de la Presse 35,

Partie adverse, ci-après aussi « l'APD »,

représentée par Maître DE LOPHEM Evrard de Lophem, Maître VOLCANSEK Estelle et Maître DESCHAMPS Ambre,

EN PRESENCE DE :

enregistrée dans la Banque-Carrefour des Entreprises sous le numéro dont le siège est établi à

Partie intervenante, ci-après « »,

représentée par Maître CRADDOCK Peter Alexander,

***

Vu les pièces de la procédure et notamment :

- la décision contenue dans le courriel du 24 avril 2025 de la Chambre contentieuse de l'Autorité de protection des données (ci-après la « Chambre contentieuse ») de scinder le

PAGE 01-00004909477-0002-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 3

dossier en deux dossiers distincts, soit DOS-2023-04302 et DOS-2025-01687 (ci-après la « Décision de scission ») ;

- la décision n° 199/2025 quant au fond rendue le 27 novembre 2025 par la Chambre contentieuse dans le dossier DOS-2025-01687 (ci-après la « Décision n° 199/2025 »);
- le recours en annulation contre ces deux décisions déposé le 26 décembre 2025 pour Infobel ;
- la requête en intervention volontaire déposée pour le 19 janvier 2026 ;
- les conclusions d'Infobel du 13 mars 2026 ;
- les conclusions déposées pour l'APD le 14 avril 2026 ;
- les conclusions de synthèse de déposé le 14 avril 2026 ;
- les pièces du dossier.

Entendu les conseils des parties à l'audience publique du 22 avril 2026.

# I. Faits et antécédents procéduraux

1. Le recours trouve son origine dans une plainte de (ci-après le « Plaignant ») déposée auprès de l'APD le 18 octobre 2023 à l'encontre d'Infobel (anciennement Kapitol) ainsi que contre les sociétés et . La plainte concernait le traitement des données à caractère personnel du Plaignant par Infobel (et ), et ce dans la finalité d'envoyer du marketing direct par au Plaignant.

En l'occurrence, a obtenu les données concernées de – agence média spécialisée dans le marketing direct – qui les a elle-même reçues d'Infobel – courtier en données commerciales – elle-même les ayant obtenues de – opérateur télécom.

2. Le 11 mars 2024, la Chambre contentieuse décide que le dossier peut être traité au fond.

Après un report, les parties, qui ont par ailleurs conclu, sont entendues lors de l'audition du 17 décembre 2024.

Le 6 janvier 2025, le Plaignant sollicite de la Chambre contentieuse de faire intervenir qui n'était pas présente à la cause. Le 31 janvier 2025, la Chambre contentieuse, constatant que est un éventuel tiers intéressé dont les intérêts pourraient potentiellement être affectés par la procédure au fond, l'informe de la possibilité d'intervenir et propose, en cas d'intervention de cette dernière, un nouveau calendrier d'échange de conclusions. Le 26 février 2025, confirme son intervention en qualité de tiers intéressé et les parties (à l'exception de ) concluent à nouveau.

PAGE 01-00004909477-0003-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 4

3. Par un courriel du 24 avril 2025, la Chambre contentieuse adopte la Décision de scission, écrivant aux conseils des parties :

« Par la présente, la Chambre contentieuse de l'Autorité de protection des données vous informe qu'elle a décidé de scinder le dossier DOS-2023-04302 en deux dossiers distincts.

Cette décision est motivée, d'une part, par la nécessité de garantir l'efficacité de la procédure étant donné l'implication de plusieurs parties défenderesses, et d'autre part, par l'existence de différences substantielles dans la nature des traitements de données reprochés aux défendeurs respectifs. Tandis que les traitements effectués par [REDACTED] et [REDACTED] s'inscrivent principalement dans le cadre du marketing direct, ceux réalisés par Infobel concernent la vente de bases de données.

La plainte du plaignant contre [REDACTED] et [REDACTED] sera poursuivie sous le numéro de dossier DOS-2023-04302. Dans ce dossier, une décision sera prise aujourd'hui. La plainte du plaignant contre Infobel sera poursuivie sous le numéro de dossier DOS-2025-01687 ».

Cette Décision de scission constitue la première décision attaquée.

4. Le même jour, la Chambre contentieuse adopte la décision n° 76/2025, dans le dossier DOS-2023-04302, qui inflige des réprimandes à et
5. Le 26 mai 2025, Infobel introduit un recours devant la Cour des marchés contre la Décision de scission continue dans le courriel du 24 avril 2025 précité et contre la décision n° 76/2025 du 24 avril 2025 en tant qu'elle reprend la Décision de scission en son paragraphe 30, en ces termes :

« Le 24 Avril 2025, la Chambre Contentieuse décide de scinder le dossier en deux dossiers distincts. Cette décision est motivée, d'une part, par la nécessité de garantir l'efficacité de la procédure étant donné l'implication de plusieurs parties défenderesses, et d'autre part, par l'existence de différences substantielles dans la nature des traitements de données reprochés aux défendeurs respectifs. Tandis que les traitements effectués par Y1 et Y2 s'inscrivent principalement dans le cadre du marketing direct, ceux réalisés par Z3 concernent la vente de bases de données. La Chambre Contentieuse a informé les parties que la plainte du plaignant contre Y1, Z4 et Y2 sera poursuivie sous le numéro de dossier DOS-2023-04302. La plainte du plaignant contre Z3 sera poursuivie sous le numéro de dossier DOS-2025-01687. La présente décision concerne le dossier DOS-2023-04302 ».

Ce recours est enrôlé sous le numéro 2025/AR/897. Par un arrêt définitif du 26 novembre 2025 la Cour des marchés le déclare irrecevable :

PAGE 01-00004909477-0004-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 5

- en tant qu'il est dirigé contre la décision n° 76/2025 dés lors qu'il repose sur la prémisse erronée que cette décision contient elle-même une décision de scission alors qu'elle « ne contient aucune décision mais fait uniquement référence à la décision de scission prise plus tôt par la Chambre contentieuse »;
- en tant qu'il est dirigée contre la Décision de scission parce qu'il est prématuré, ladite Décision de scission ne consistant qu'en un acte préparatoire qui ne modifie pas l'ordonnancement juridique.

6. Poursuivant le traitement du dossier DOS-2025-01687, la Chambre contentieuse organise une audience le 25 juin 2025. Dans la mesure où le mandat des membres extérieurs de la Chambre contentieuse avait entretemps pris fin, ce qui fut communiqué aux parties le 15 mai 2025, cette audience est poursuivie par le directeur de la Chambre contentieuse, siégeant seul.

Le 26 septembre 2025, la Chambre contentieuse adresse à Infobel le formulaire de sanction, auquel celle-ci répond le 13 octobre 2025.

Le 27 novembre 2025 la Chambre contentieuse rend, à l'égard d'Infobel, la Décision n° 199/2025. Par cette décision il est ordonné à Infobel d'effacer certaines données et d'informer certains récipiendaires, tout en lui infligeant une amende administrative de 40.000,00 euros. Le dispositif de cette décision se lit comme il suit :

« PAR CES MOTIFS,

la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :

- en vertu de l'article 100, § 1er, $10^{\circ}$ de la LCA, d'ordonner au défendeur l'effacement des données à caractère personnel pour lesquelles il ne peut pas démontré qu'il dispose d'une base juridique valable pour leur traitement sur la base des articles 5.1.a), 6.1 et 24 du RGPD$^{1}$;
- en vertu de l'article 100, § 1er, $10^{\circ}$ de la LCA, d'ordonner au défendeur d'informer tous les récipiendaires des données à caractère personnel susmentionnées de la présente décidion et de l'injonction qui précède et de souligner que la base juridique invoquée pour les traitements n'est pas conforme au RGPD;
- en vertu de l'article 58.2.i) du RGPD et de l'article 100, § 1er, $13^{\circ}$ de la LCA juncto l'article 101 de la LCA, d'infliger au défendeur une amende administrative d'un montant de 40 000 euros en raison des violations des articles 5.1.a), 6.1 et 24 du RGPD en ce qui concerne le traitement illicite de données à caractère personnel. »

Cette Décision n° 199/2025 constitue la seconde décision attaquée.

¹ Règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, JO L 119 du 4 mai 2016.

PAGE 01-00004909477-0005-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 6

Dans sa requête, Infobel sollicitait la suspension de la Décision n° 199/2025. Toutefois, l'APD ayant accepté de suspendre volontairement l'exécution de celle-ci jusqu'au prononcé de l'arrêt de la Cour des marchés statuant sur la demande d'annulation, la demande de suspension est devenue sans objet.

# II. L'objet du recours

7. Le recours d'Infobel, tendant à l'annulation de deux décisions rendues par la Chambre contentieuse de l'APD, est formulé en ces termes :

- A titre principal, sur base des moyens développés ci-dessus, la requérante sollicite l'annulation de la décision de scission rendue par la Chambre Contentieuse de l'APD dans son mail du 24 avril 2025 dans le dossier DOS-2025-01687;
- A titre principal, sur base des moyens développés ci-dessus, la requérante sollicite l'annulation de la décision quant au fond n° 199/2025 rendue le 27 novembre 2025 par la Chambre Contentieuse de l'APD dans le dossier DOS2025-01687, sauf en ce qu'elle considère que l'article 17 du RGPD n'a pas été violé;
- A titre plus subsidiaire, sur base des moyens développés ci-dessus, la requérante sollicite la réformation de la décision quant au fond n° 199/2025 rendue le 27 novembre 2025 par la Chambre Contentieuse de l'APD dans le dossier DOS2025-01687, sauf en ce qu'elle considère que l'article 17 du RGPD n'a pas été violé, sollicite l'annulation de l'amende administrative prononnée;
- A titre infiniment subsidiaire, sur base des moyens développés ci-dessus, la requérante sollicite la réduction de l'amende administrative prononcée par la Chambre Contentieuse dans la décision quant au fond n° 199/2025 rendue le 27 novembre 2025 par la Chambre Contentieuse de l'APD dans le dossier DOS2025-01687;
- A tous les titres, statuer comme de droit quant aux dépens;

8. Le dispositif des dernières conclusions de l'APD se lit comme suit :

« Dire le recours recevable, mais non fondé ;

Condamner Infobel aux dépens, en ce compris l'indemnité de procédure au montant de base (indexé) de 1.883,72 € »

intervient volontairement dans la procédure et fait valoir que son intérêt à intervenir se limite à la préservation de ses droits et à la réfutation des imputations formulées par Infobel dans le

PAGE 01-00004909477-0006-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 7

cadre du présent recours. Elle soutient la position de l'APD et demande de déclarer le recours non fondé.

### III. Discussion par la Cour des marchés

### III.1. Quant à la recevabilité du recours

9. La Décision n° 199/2025 a été prononcée par la Chambre contentieuse de l'APD le 27 novembre 2025.

Il n'est pas contesté que la requête a été déposée au greffe de la cour dans le délai de 30 jours visé à l'article 108, §1er, de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après, la « LCA »).

Le recours est donc recevable.

### III.2. Quant à la recevabilité de l'intervention de

10. La recevabilité de l'intervention de devant la Cour n'est pas contestée.

### III.3. Quant à l'irrecevabilité alléguée de la plainte initiale et à la compétence de la Chambre contentieuse pour traiter du litige contractuel global (premier moyen d'Infobel)

11. Infobel, faisant valoir que dispose des données du Plaignant dans le cadre de contrats de téléphonie, estime que c'est la loi du 13 juin 2005 relative aux communications électroniques (ci-après, « LCE ») qui régit leur usage, lequel comprend le transfert de ces données par à des tiers. Elle en déduit que l'APD n'était pas compétente pour connaître de la plainte mais bien l'Institut belge des services postaux et des télécommunications (ci-après, « l'IBPT ») en application de l'article 14, § 1, 3°, de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges qui confie à l'IBPT le soin d'assurer le respect de la LCE et notamment son article 8 en vertu duquel l'IBPT veille aux intérêts des utilisateurs « en contribuant à assurer un niveau élevé de protection des données à caractère personnel ».

PAGE 01-00004909477-0007-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 8

Comme le relève toutefois à bon droit l'APD, et le reconnaît par ailleurs Infobel, l'article 8 précité a été abrogé par l'article 40 de la loi du 21 décembre 2021 portant transposition du code des communications électroniques européen et modification de diverses dispositions en matière de communications électroniques. Dès lors, à supposer qu'une discussion ait pu exister dans le passé (quod non), le traitement à caractère personnel ressort actuellement du champ d'application large du RGPD, sans restriction quant à la nature des données ou à la qualité des personnes concernées par le traitement litigieux.

En l'occurrence, la plainte a été déposée le 18 octobre 2023, après l'abrogation de l'article 8, de sorte que l'APD est compétente, indépendamment de la question de savoir à quand remonte l'illicéité alléguée.

12. Infobel soutient également que l'interprétation du contrat de téléphonie conclu entre elle et [REDACTED] constitue un préalable « crucial » pour apprécier la licéité du traitement litigieux et que cette interprétation relève des juridictions de l'ordre judiciaire parce qu'il s'agit d'un « litige contractuel ». Elle estime dès lors que « la Chambre contentieuse aurait dû se déclarer incompétente ou réserver à statuer en attendant l'interprétation du contrat et la résolution du litige contractuel global que cette affaire pose ».

Comme le relève l'APD, le litige ne porte pas sur l'interprétation du contrat entre Infobel et [REDACTED], et dès lors sur la question de savoir si cette dernière lui garantissait ou non le caractère licite de la collecte de données, mais sur l'existence d'un consentement valable du Plaignant quant au traitement de ses données personnels par Infobel, responsable du traitement, au regard de l'article 4.11 du RGPD.

La Chambre contentieuse était dès lors compétente, la politique de cette dernière en matière de classement sans suite des plaintes déposées devant elle étant pour le surplus non pertinente.

### III.4. Quant à l'allégation de non-respect des droits de la défense d'Infobel et d'excès de pouvoir de la Chambre contentieuse (deuxième moyen d'Infobel)

13. Infobel fait valoir qu'en n'ayant choisi de ne pas saisir le service d'inspection pour réaliser une enquête, la Chambre contentieuse a violé ses droits de la défense parce que « la complexité des faits, les relations entre les différents intervenants et la nature technique des traitements de données en cause rendaient nécessaire un examen approfondi par le Service d'inspection, afin de garantir une appréciation complète et objective de la situation ».

Comme le relève à bon droit l'APD, l'article 94, § 1er, de la LCA, dans sa version applicable au litige, prévoit que :

PAGE 01-00004909477-0008-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 9

« Une fois saisie, la chambre contentieuse décide, à titre transitoire, quelle suite elle réserve au dossier.

Elle peut, à cette fin:

$1^{\circ}$ demander des informations aux parties afin de pouvoir constater l'ampleur du litige;
$2^{\circ}$ demander une enquête au service d'inspection;
$3^{\circ}$ demander au service d'inspection d'effectuer une enquête complémentaire lorsqu'elle est saisie conformément à l'article 92, $3^{\circ}$;
$4^{\circ}$ constater que le dossier peut etre traité sur le fond;
$5^{\circ}$ decide de statuer conformement à l'article 95, § 1er;
$6^{\circ}$ classer partiellement le dossier sans suite si certains éléments peuvent s'avérer non établis ou non fondés $\gg$

La saisine du service d'inspection consiste en une simple faculté, laissée à l'appréciation de la Chambre contentieuse. Par conséquent, l'absence de saisine de ce service n'implique pas en soi de violation des droits de la défense d'Infobel. Or, cette dernière reste en défaut d'exposer en quoi une telle saisine aurait été utile dans ce dossier, se contentant d'affirmer que les faits sont complexes. En l'occurrence, encore à ce stade, Infobel ne dit pas quel(s) devoir(s) d'enquête aurai(en)t du ou devrai(en)t être effectués et/ou en quoi la Chambre contentieuse n'aurait pas déterminé avec précision le caractère irrégulier et les éléments constitutifs du comportement infractionnel qui lui est reproché. Cet argument n'est partant pas fondé.

14. Infobel fait ensuite valoir que la violation de ses droits de la défense résulte du fait que la Chambre contentieuse a fait intervenir [REDACTED], en qualité de tiers intéressé, pour « combler sa propre négligence et l'absence de rapport du service d'inspection ». Elle estime que, ce faisant, elle a permis à [REDACTED] d'introduire des éléments nouveaux, exclusivement à charge d'Infobel, rompant ainsi l'équilibre de la procédure et portant atteinte au principe de l'égalité des armes.

Ce grief n'est à nouveau pas fondé dès lors que l'intervention de [REDACTED], à la demande du Plaignant et non à l'initiative de la Chambre contentieuse, se fonde sur l'article 98, alinéa 2 de la LCA (en vigueur au moment de l'intervention de [REDACTED]) qui permet aux tiers intéressés d'intervenir dans la procédure lorsque leurs intérêts sont susceptibles d'être lésés. Elle n'a pas été justifiée par le fait que les éléments du dossier auraient été incomplets ou insuffisants mais est le résultat de la décision de [REDACTED], ayant été informée de la procédure par la Chambre contentieuse, d'être entendue. Contrairement à ce que soutient Infobel, la loi n'interdit pas à la Chambre contentieuse d'informer les tiers de l'existence de la procédure et de la possibilité d'intervenir. Par ailleurs et en tout état de cause, Infobel a eu l'opportunité de répondre aux arguments développés par [REDACTED] puisque de nouveaux délais de conclusions ont été octroyés. Partant, ses droits de la défense ont été respectés.

PAGE 01-00004909477-0009-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 10

Au surplus, même à considérer que la Chambre contentieuse aurait dû décider d'impliquer [REDACTED] dès l'entame de la procédure, quod non comme le soutient Infobel, une violation éventuelle des droits de la défense ou des principes de bonne administration dans le cadre de la procédure devant la Chambre contentieuse est, par hypothèse, couverte par l'exercice du présent recours.

15. C'est également en vain qu'Infobel reproche à la Chambre contentieuse de ne pas l'avoir suffisamment informée des éléments de fait et de droit mis à sa charge parce que, dans son courrier du 11 mars 2024, elle se limite à viser des infractions potentielles au RGPD sans préciser les points de chaque disposition qui n'auraient pas été respectés. En effet, dans ce courrier, auquel sont en outre joints le formulaire de plainte et l'inventaire, la Chambre contentieuse (i) indique, en gras, que la plainte concerne le traitement illicite de données à caractère personnel à des fins de marketing direct, (ii) relate les faits reprochés de manière circonstanciée et (iii) vise ensuite les préventions mises à sa charge. Infobel est donc adéquatement informée des « faits matériels mis à sa charge et [de] la qualification qui leur en est donnée », ce qui est encore conforté par la circonstance qu'elle a été en mesure de développer, sans difficulté, ses moyens en défense dans ses conclusions déposées devant la Chambre contentieuse.

S'agissant du grief d'Infobel tenant au fait qu'elle n'a pas été invitée à se défendre sur le respect des exigences des articles 4.11 et 7 du RGPD (seuls les articles 5.1. a), 6, 24.1 et 17 du RGPD étant visés dans le courrier du 11 mars 2024), la Cour rappelle que, si la Chambre contentieuse doit, lorsqu'elle notifie au responsable du traitement qu'elle va traiter une plainte le concernant, lui communiquer cette plainte et indiquer sur quels manquements il devra se défendre (et les dispositions légales dont la violation est alléguée), il n'y a pas de violation des droits de la défense lorsque d'autres dispositions légales ont été évoquées par le plaignant lui-même ou sont intimement liées à celles reprises dans la notification précitée, dont la violation n'a pas été retenu par la Chambre contentieuse et/ou Cour des marchés (cf. notamment, Bruxelles, 19ème chambre A, 12 novembre 2025, RG n° 2025/AR/879, point 19). Plus largement, en vertu du droit commun, le juge, qui fonde sa décision sur des éléments dont les parties pouvaient s'attendre, eu égard au déroulement des débats, à ce qu'ils forment la conviction du juge, et qu'elles ont pu contredire, ne méconnaît pas le principe général du droit relatif au respect des droits de la défense (selon une jurisprudence constante de la Cour de cassation, et notamment Cass., 27 novembre 2023, RG n° C.22.0412.F).

En l'occurrence, aucune violation des articles 4.11 et 7 du RGPD n'a été retenue par la Chambre contentieuse de sorte qu'Infobel n'a en tout état de cause pas été atteinte dans ses droits du fait de l'absence de référence expresse à ces dispositions dans le courrier du 11 mars 2024. En outre, comme le relève l'APD, ces dispositions sont intimement liées aux articles 6.1.a) et 24.1 du RGPD qui ont été visés. L'article 7 précise l'article 6.1.a) tandis que l'article 24 énonce un principe général de responsabilité dont l'article 7 constitue une déclinaison. Ce lien est d'ailleurs mentionné dans la Décision n° 199/2025. Il en résulte qu'en n'invitant pas formellement Infobel à se prononcer sur les articles 4.11 et 7 du RGPD, la Chambre contentieuse n'a pas violé ses droits de la défense.

PAGE 01-00004909477-0010-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 11

16. La Chambre contentieuse n'a pas non plus violé le principe d'égalité des armes. Le principe de l'égalité des armes au sein du procès est une des facettes du principe général du droit des droits de défense et du droit au procès équitable, sans avoir de portée ou d'existence autonome (voy. Cass. 29 septembre 2025, F.10.0058.F). Le droit à un procès équitable n'implique toutefois pas que la « bataille juridique » soit totalement égale ; il faut rechercher « l'occasion équivalente pour chacune de ces parties d'invoquer ses propres arguments et de contester ceux de la partie adverse » (cf. la mercuriale de M. le procureur général près la Cour de cassation, Patrick Duinslaeger, du 2 septembre 2015). En l'occurrence, la Cour a relevé supra qu'Infobel a pu valablement faire valoir ses arguments devant la Chambre contentieuse. Se contentant d'affirmer avoir été désavantagée, sans expliciter plus avant son grief de manière concrète, elle ne démontre pas que ses droits auraient été violés.

17. Dans la troisième branche de son moyen, Infobel reproche à la Chambre contentieuse d'avoir commis un excès de pouvoir en s'étant substituée au service d'inspection et en ayant elle-même mené une enquête approfondie sur les traitements. Elle se fonde à cet égard à nouveau sur les allégations liées à l'absence d'identification précise des comportements infractionnels et sur l'intervention de [REDACTED]. La cour a déjà examiné ces griefs sous l'angle des droits de la défense et les a jugés non fondés. Pour le surplus, comme le relève l'APD, la Chambre contentieuse est bien restée dans le périmètre des faits dénoncés dans la plainte initiale. Elle n'a par conséquent pas commis d'excès de pouvoir.

18. Enfin, Infobel estime que la Chambre contentieuse a méconnu son obligation de motivation et le principe de minutie en l'absence de rapport du service d'inspection et en se limitant à citer abstraitement les dispositions du RGPD sans exposer les faits précis ; elle fait dès lors valoir que la procédure est entachée d'une irrégularité et doit être considérée nulle.

L'exigence de motivation de l'acte administratif requiert que la motivation telle qu'elle figure dans l'acte énonce les considérations juridiques et factuelles sur lesquelles la décision est fondée et ce, de manière « adéquate » (cf. articles 2 et 3 de la loi du 29 juillet 1991 sur la motivation formelle des actes administratifs).

Il y a lieu d'entendre par motivation adéquate, toute motivation qui fonde raisonnablement la décision. Une motivation est adéquate lorsqu'elle permet au destinataire de connaître les motifs de la décision le concernant. L'adéquation dépend de l'ensemble des circonstances de la cause, notamment de la connaissance effective préalable que le destinataire a des éléments du dossier. La raison principale de l'obligation de motivation, telle qu'imposée par la loi du 29 juillet 1991, est que l'intéressé doit pouvoir trouver dans la décision qui le concerne les motifs sur base desquels elle a été prise, afin qu'il puisse décider en connaissance de cause s'il y a lieu de contester la décision. Cette obligation « n'implique pas, pour les autorités administratives, l'obligation de répondre à tous les arguments développés dans les recours dont elles sont saisies » mais celles-ci « doivent néanmoins indiquer les considérations de droit et de fait adéquates qui servent de fondement à leur décision et

PAGE 01-00004909477-0011-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 12

permettent de répondre aux arguments pertinents invoqués » (CE, 255.322 du 20 décembre 2022 ; Cass., 22 mai 2008, F.06.0077.N, concl. D. Thijs).

Et le devoir de minutie « oblige l'autorité à procéder à une recherche minutieuse des faits, à récolter les renseignements nécessaires à la prise de décision et à tenir compte de tous les éléments du dossier pour prendre sa décision en pleine connaissance de cause et après avoir raisonnablement apprécié tous les éléments utiles à la résolution du cas d'espèce » (CE, 15 juin 2016, n° 235.101 ; CE, 20 mars 2025, n° 262.688). On pourrait dès lors considérer qu'il s'agit d'un « préalable indispensable au respect de l'obligation de motivation matérielle » (T. Cambier et R. Quintin, « 2. Les exigences de bonne administration et de bonne citoyenneté comme fondements de principes généraux de droit administratif », in S. Ben Messaoud et F. Viseur (dir.), Les principes généraux de droit administratif, Bruxelles, Larcier, 2017, p. 71).

En l'espèce, et comme relevé supra, Infobel a été informée des faits à l'origine de la plainte ainsi que des qualifications juridiques de ces faits dès le début de la procédure. La motivation de la Décision n° 199/2025 expose les considérations de droit et de fait sur lesquelles elle se fonde et a permis à Infobel d'apprécier l'opportunité d'un recours devant la Cour.

Dès lors, la décision n° 199/2025 a été adéquatement motivé et le devoir de minutie respecté.

# III.5. Quant à la violation alléguée de l'article 33 de la LCA, lu en combinaison avec l'article 43 du règlement d'ordre intérieur de l'APD, ainsi que des principes de bonne administration, de loyauté et de sécurité juridique (troisième moyen d'Infobel)

19. Infobel estime qu'en siégeant en chambre à trois membres pour prendre la décision n° 76/2025 puis en chambre à membre unique pour prendre la décision n° 199/2025, la Chambre contentieuse viole l'article 33 de la LCA, lu en combinaison avec l'article 43 du règlement d'ordre intérieur de l'APD, ce qui contrevient au principe de non-rétroactivité de la loi et constitue en outre une fraude à la loi.

Elle fait valoir à cet égard que la scission des dossiers « a pour conséquence directe que l'affaire dirigée contre [elle] a été examinée au fond par un juge unique, alors que, dans le cadre procédural applicable au moment de l'introduction de la plainte initiale, l'affaire aurait dû être jugée par une formation collégiale composée de trois membres », ce qui « constitue une modification substantielle des garanties procédurales offertes au justiciable » et « conduit à l'application rétroactive d'un régime moins protecteur de ses droits, sans justification objective et raisonnable ».

20. Comme l'a déjà relevé la Cour, dans son arrêt du 26 novembre 2025 (RG n° 2025/AR/897), la nouvelle structure procédurale dénoncée par Infobel résulte de la modification législative opérée par

PAGE 01-00004909477-0012-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 13

la loi du 25 décembre 2023, entrée en vigueur le 1er juin 2024, qui modifie l'article 33, § 1er de LCA (qui prévoyait que la chambre contentieuse était composée d'un président et de six membres dotés de compétences particulières et dispose dorénavant que cette chambre est « dirigée » par son « directeur ») et son article 57, § 2 qui énonce que « [l]es personnes qui au moment de l'entrée en vigueur de la présente loi sont membres [...] de la chambre contentieuse continuent à exercer leur mandat actuel avec le même statut, avec les mêmes responsabilités et compétences et avec les mêmes rémunérations qu'avant l'entrée en vigueur de la présente loi et ceci jusqu'à la fin du délai de leur premier mandat ».

En exécution de cette dernière disposition, le mandat des membres externes de la Chambre contentieuse est venu à échéance le 25 avril 2025 de sorte qu'au jour où la Chambre contentieuse a traité le dossier DOS-2025-01687, elle n'était plus composée que de son directeur. Il ne s'agit pas d'une décision de l'APD, laquelle s'est uniquement conformée à la loi.

21. A tort, Infobel soutient-elle que la Chambre contentieuse aurait violé 33 de la LCA, lu en combinaison avec l'article 43 du règlement d'ordre intérieur de l'APD, ce qui contrevient au principe de non-rétroactivité de la loi et constitue en outre une fraude à la loi.

Conformément à l'article 43 du règlement d'ordre intérieur, dans sa version antérieure au 1er juin 2024 applicable au litige, « [l]es dossiers dont est saisie la chambre contentieuse sont répartis par son président entre les membres de la chambre contentieuse. Le membre auquel est confié le dossier siège seul. La chambre contentieuse siège avec trois membres si le président le décide. Il prend cette décision en tenant compte de la nature de la plainte et de la violation des principes fondamentaux de la protection des données à caractère personnel. Eu égard aux circonstances décrites dans l'alinéa précédent, le membre auquel un dossier est attribué peut toutefois demander au président de siéger avec trois membres. Le président veille à une assistance en désignant des agents de l'administration de l'APD, qui font partie du secrétariat de la chambre contentieuse ».

Faisant application de cette disposition conférant au président de la Chambre d'organiser librement son audience, et tenant compte de la fin des mandats des membres externes de la Chambre, celui-ci a décidé que la procédure serait poursuivie par le directeur, siégeant seul. Ce faisant, il a adéquatement appliqué les dispositions de la loi et du règlement d'ordre intérieurs en vigueur.

22. Infobel affirme également à tort que la décision de la Chambre contentieuse de scinder le dossier et de soumettre le volet DOS-2025-01687 à son seul directeur viole les principes de bonne administration, tels que le droit à la sécurité juridique, la confiance légitime ainsi que l'adage patere legem quam ipse fecisti et constitue un défaut de motivation.

Ces différents griefs se fondent sur le postulat inexact qu'Infobel pouvait légitimement s'attendre à ce que le dossier soit soumis à une formation à trois membres compte tenu de ce que la Chambre

PAGE 01-00004909477-0013-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 14

contentieuse avait estimé que le premier volet du dossier requérait un traitement par trois membres de la Chambre contentieuse.

Les principes généraux de bonne administration comprennent le droit à la sécurité juridique, lequel implique que les citoyens doivent pouvoir faire confiance à ce qu'ils ne peuvent concevoir autrement que comme une règle fixe de conduite et d'administration de l'autorité. Il s'ensuit que l'autorité ne peut, en règle, décevoir les attentes légitimes ainsi suscitées chez le citoyen. Celui-ci ne peut cependant se prévaloir du principe de la sécurité juridique s'il s'avère qu'il aurait dû raisonnablement se rendre compte que les attentes suscitées ne peuvent être honorées. Le juge apprécie souverainement en fait si des attentes légitimes ont été suscitées chez le citoyen, en ayant égard aux circonstances concrètes de la cause (Cass., 10 mars 2022, C.21.0274.N).

Ces principes doivent être combinés avec le principe que l'on désigne par la loi du changement. Ce dernier implique classiquement que l'autorité doit toujours pouvoir adapter, pour l'avenir, sa politique et l'exécution de celle-ci aux exigences fluctuantes de l'intérêt général. Elle implique donc la possibilité pour les pouvoirs publics de modifier à tout moment, en prévoyant au besoin des mesures transitoires, les règles d'organisation et de fonctionnement du service public en modifiant le statut, les attributions des agents, l'organisation d'un service public, voire en supprimant celui-ci (rappelé dans l'avis du Conseil d'Etat sur l'avant-projet de loi ayant donné lieu à la loi du 25 décembre 2023, Doc. parl., La Chambre, 2021-2022, n° 55-2793/001, p. 64).

En l'occurrence, Infobel devait se rendre compte, dès le 25 décembre 2023 lorsque la loi modifiant la LCA a été adoptée, que le traitement du dossier par le directeur constituait une possibilité. Du reste, elle ne s'en est pas émue lorsqu'elle a été avisée de la composition de la chambre par le courrier de la Chambre contentieuse du 15 mai 2025.

Au surplus, la modification de la composition de la chambre n'a pas pour effet de commander la solution ou même de léser Infobel, une configuration à un membre unique de la Chambre n'impliquant pas, en soi, une situation moins favorable. D'ailleurs, un recours juridictionnel devant la Cour des marchés a précisément été instauré par le législateur afin de garantir au justiciable – Infobel - un recours devant une juridiction faisant partie de l'ordre judiciaire.

### III.6. Quant à l'irrégularité alléguée de la Décision de scission (quatrième moyen d'Infobel)

23. À titre liminaire, Infobel soutient que les dossiers DOS-2023-04302 et DOS-2025-01687 constituent un seul et même dossier, trouvant leur origine dans une plainte unique, visant un seul contexte factuel et ayant donné lieu à l'ouverture d'une seule procédure. Elle conteste dès lors l'affirmation de l'APD selon laquelle il existe deux dossiers distincts.

PAGE 01-00004909477-0014-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 15

En l'occurrence, la question de savoir si la Décision de scission a entrainé la création de deux dossiers distincts ou a uniquement provoqué la scission de la procédure en deux volets distincts, est purement rhétorique. Infobel n'en tire pas d'autres conséquences juridiques que la violation de ses droits de la défense, grief auquel la Cour a répondu dans le cadre de l'examen du troisième moyen soulevé par Infobel en le rejetant.

24. Dans la première branche de son moyen, Infobel fait valoir que la Décision de scission présente un défaut de motivation et viole les articles 2 et 3 de la loi du 29 juillet 1991 relative à la motivation formelle des actes administratifs.

Elle estime que la motivation contenue dans le courriel du 24 avril 2025 est insuffisante car fondée sur des considérations générales qui n'identifient, ni ne décrivent les « différences substantielles » dans la nature des traitements de données, et est par ailleurs incohérente car lesdites différences substantielles sont inexistantes. Elle soutient enfin qu'il n'existait pas, contrairement à ce qui était soutenu, de volonté d'efficacité procédurale parce que la procédure était déjà pratiquement terminée.

25. Comme relevé supra (point 18), l'exigence de motivation est remplie lorsque celle-ci est « adéquate » en ce sens qu'elle permet au destinataire de connaître les motifs qui sous-tendent la décision afin qu'il puisse, le cas échéant, en connaissance de cause, la contester.

En l'espèce, la Décision de scission est motivée « d'une part, par la nécessité de garantir l'efficacité de la procédure étant donné l'implication de plusieurs parties défenderesses, et d'autre part, par l'existence de différences substantielles dans la nature des traitements de données reprochés aux défendeurs respectifs. Tandis que les traitements effectués par [REDACTED] et [REDACTED] s'inscrivent principalement dans le cadre du marketing direct, ceux réalisés par Infobel concernent la vente de bases de données ».

Cette motivation permet à Infobel de comprendre les raisons pour lesquelles la Chambre contentieuse a décidé de scinder le dossier, à savoir la gestion plus efficace de la procédure qui, en raison de la présence de différents protagonistes, se fonde sur des raisonnements juridiques différents impliquant des développements distincts.

L'affirmation d'Infobel suivant laquelle cette décision « ne visait probablement qu'à prononcer une sanction plus lourde à l'égard d'Infobel » ne repose sur aucun élément probant et est par ailleurs inexacte puisque la sanction imposée n'est pas dépendante du traitement procédural de la plainte.

26. Dans la deuxième branche de son moyen, Infobel reproche à la Chambre contentieuse l'absence de base légale de la Décision de scission, emportant dès lors violation du principe de légalité et de sécurité juridique.

PAGE 01-00004909477-0015-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 16

27. Comme le relève à bon droit l'APD, la Décision de scission se fonde sur l'article 95, § 1er, de la LCA, dans sa version applicable au litige, en vertu duquel « [l]a chambre contentieuse décide du suivi qu'elle donne au dossier et a le pouvoir de: 1° décider que le dossier peut être traité sur le fond (...) ».

Elle dispose donc bien d'une base légale. Conformément à cette disposition, la Chambre contentieuse dispose d'une compétence générale pour organiser la procédure qui se déroule devant elle. Rien ne s'oppose à ce que, dans le cadre de cette compétence générale, la Chambre contentieuse décide de scinder le traitement d'un dossier de manière à optimiser la procédure. La circonstance que cette faculté soit dorénavant expressément prévue dans son règlement d'ordre intérieur n'implique pas qu'elle ne disposait pas de cette latitude auparavant. Vainement, Infobel soutient-elle que cette habilitation conférerait un pouvoir « discrétionnaire de remodeler l'objet ou la structure procédurale d'un dossier », ce qui serait contraire au principe selon lequel les compétences d'une autorité sont d'attribution stricte. Il s'agit en effet uniquement ici de régler le suivi de la procédure dans le respect des balises énoncées aux articles 94 et suivants de la LCA.

28. Aux termes de la troisième branche de son moyen, Infobel fait encore valoir que la Décision de scission viole les principes d'égalité et de non-discrimination parce que « le fait de poursuivre une procédure engagée et instruite devant un collège de trois membres par un juge unique constitue une rupture d'égalité manifeste entre les parties » ainsi qu'une « différence objective de traitement procédural ».

Comme la Cour l'a relevé supra, la composition différente de la Chambre contentieuse d'une affaire à l'autre n'est pas de nature à constituer une discrimination au détriment d'Infobel. En particulier, le postulat énoncé par Infobel selon lequel la composition de la Chambre influence l'étendue de l'examen opéré, la gravité de la sanction ou encore la décision d'ordonner la publication n'est pas justifié.

Ce moyen n'est pas fondé ; la Décision de scission ne présente pas d'irrégularité.

### III.7. Quant à la prescription et la violation alléguée de l'article 105 de la LCA (cinquième moyen d'Infobel)

29. Infobel soutient que la plainte datant du 18 octobre 2023 et les poursuites n'ayant été engagées que le 11 mars 2024, l'infraction, commise le 25 mai 2018, était déjà prescrite depuis le 25 mai 2023.

Comme le relève l'APD, cette analyse est toutefois incorrecte car partant du postulat erroné que l'infraction constatée est une infraction instantanée. Or, le traitement litigieux, à savoir le traitement

PAGE 01-00004909477-0016-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 17

de données sans base juridique valable, s'est poursuivi dans le temps. Dès lors, la prescription ne commence à courir qu'à partir de la cessation de l'infraction.

En toutes hypothèses, les actes de poursuite ont interrompu la prescription, faisant courir un nouveau délai de cinq ans et le champ d'application ratione temporis du RGPD - 25 mai 2018 - est sans incidence sur la prescription.

Enfin, la Décision n° 199/2025 est suffisamment motivée ; bien que succincte, elle est conforme au standard légal.

III.8. Quant à la violation alléguée de l'obligation de motivation formelle des actes administratifs par la Décision n° 199/2025 en ce que la Chambre contentieuse aurait fait une application erronée et anachronique des articles 24 et 7 du RGPD (sixième moyen d'Infobel)

30. Infobel fait valoir que la Chambre contentieuse:

- a appliqué l'article 24 du RGPD de manière erronée, en ce qu'il n'impose pas au responsable du traitement l'obligation de s'assurer lui-même de la licité du traitement initial et des conditions dans lesquelles les données peuvent être traitées par les tiers mais compte uniquement une « obligation générale de prendre des mesures techniques et organisationnelles appropriées compte tenu de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques (...) »;
- a appliqué l'article 7 du RGPD de manière anachronique parce que « [l]a Décision Attaquée juge visiblement la situation de 2006 sur la base d'une norme entrée en vigueur postérieurement ».

Elle en déduit que la motivation est « erronée ».

31. Ce faisant, Infobel opère une confusion entre le grief déduit d'un défaut de motivation de la décision et celui visant la commission d'une erreur manifeste d'appréciation dans le chef de l'autorité.

S'agissant de la motivation de la décision, le contrôle de la Cour s'exerce uniquement au regard du contenu et de la motivation de la décision attaquée. La Cour apprécie si les motifs invoqués par le régulateur constituent un cadre de faits pertinents en vue de pouvoir mener à la décision attaquée et si ces faits sensu lato peuvent servir de base aux conclusions qui en sont tirées.

En l'occurrence, la Décision n° 199/2025 contient les considérations suivantes :

PAGE 01-00004909477-0017-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 18

« 60. L'article 5.1.a) du RGPD établit que les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard des personnes concernées. L'article 6.1 du RGPD précise que le traitement de données à caractère personnel n'est licite que si, et dans la mesure où il repose sur une des bases juridiques définies à l'article 6.1.a) - f) du RGPD. Préalablement au traitement, le responsable du traitement doit vérifier si les conditions d'une des bases juridiques possibles sont remplies. Enfin, conformément à l'article 24 du RGPD, le responsable du traitement doit prendre des mesures techniques et organisationnelles appropriées pour garantir et être en mesure de démontrer que le traitement est effectué conformément à ce règlement.

(...)

67. L'article 7.1 du RGPD dispose que le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. Cela découle également de l'article 24.1 du RGPD, en vertu duquel le responsable du traitement doit "être en mesure de démontrer que le traitement est effectué conformément au présent règlement". Dans les points suivants, la Chambre Contentieuse examine si le défendeur démontre que la personne concernée a donné son consentement à la collecte et à la revente de ses données par le défendeur à des fins de marketing direct.

(...)

92. L'article 7.1 du RGPD dispose que le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. La charge de la preuve incombe au responsable du traitement. Cette disposition se reflète à l'article 24.1 sur la base duquel le responsable du traitement a une obligation générale de prendre des mesures techniques et organisationnelles appropriées afin de garantir et de pouvoir démontrer que le traitement est réalisé conformément à ce règlement.

93. La Chambre Contentieuse rappelle que le simple renvoi à des déclarations et à des accords contractuels avec d'autres parties (en l'occurrence, le tiers intéressé) ne suffit pas. Conformément à l'article 24 et à l'article 7.1 du RGPD, le responsable du traitement est lui-même tenu de pouvoir démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. La charge de la preuve incombe au défendeur. La Chambre Contentieuse n'a pas la compétence de se prononcer sur les litiges contractuels entre le défendeur et le tiers intéressé, notamment en ce qui concerne le droit (contractuel) du défendeur de revendre les données concernées à des fins de marketing direct. Dans la présente décision, elle examine uniquement si le défendeur a respecté ses obligations en vertu du RGPD. En tant que responsable du traitement, le défendeur est tenu, sur la base de l'article 24 du RGPD, d'être en mesure de le démontrer lui-même, comme expliqué ci-dessus.

(...)

98. La Chambre Contentieuse estime que le défendeur ne démontre pas que le plaignant lui a donné son consentement via une manifestation de volonté, libre, spécifique, éclairée et univoque pour qu'il puisse traiter ses données dans le but de les vendre à des fins de marketing. Le défendeur a donc violé l'article 5.1.a) du RGPD juncto l'article 6 du RGPD et l'article 24 du RGPD. »

PAGE 01-00004909477-0018-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 19

Par ces énonciations, la Chambre contentieuse a valablement motivé sa décision, Infobel ayant été mise en mesure d'en comprendre les soutènements en droit et en fait.

32. Autre chose est la question de savoir si l'APD n'a pas commis d'erreur manifeste d'appréciation en faisant application des deux dispositions précitées pour en déduire une violation du RGPD.

Quant au fond de la cause, la Cour limite le contrôle à la question de savoir si les faits sont reproduits de manière exacte, s'il n'y a pas une appréciation manifestement inexacte des faits et si la qualification juridique des faits est exacte, la pleine juridiction implique la possibilité de les constater, de les contrôler et de rectifier les éventuelles fautes commises lors de leur constatation. La Cour apprécie si les preuves apportées constituent un cadre de faits pertinents en vue de l'appréciation de l'infraction et peuvent servir de base aux conclusions qui en sont tirées (cfr Bruxelles, 8 mars 2023, RG n° 2022/AR/978, point 14.1.8, p. 35).

En l'occurrence, la Chambre contentieuse :

- a constaté qu'Infobel invoque le consentement (article 6.1.a du RGPD) comme fondement de la licéité du traitement de sorte qu'elle doit vérifier si celui-ci est valable en droit au regard de l'article 4.11 du RGPD qui le définit comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement » ;

- a relevé que la charge de la preuve d'un consentement valable repose sur le responsable du traitement conformément à l'article 7.1 du RGPD qui dispose que « [d]ans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant », ainsi que de son article 24 qui précise que le responsable du traitement doit « être en mesure de démontrer que le traitement est effectué conformément au présent règlement » et

- a estimé que le consentement était invalide parce que :

o il n'a pas été donné librement, au sens de l'article 7.4 du RGPD, parce que « [l]a finalité de l'exécution du contrat entre [REDACTED] et le plaignant était la fourniture de services de téléphonie » et qu'il n'y avait « pas de lien direct et objectif entre l'exécution [de ce] contrat [...] et la revente des données à caractère personnel du plaignant par [Infobel] » ;

o il n'a pas été donné pour une ou plusieurs finalités spécifiques au sens de l'article 6.1 du RGPD dès lors qu' « il n'y a pas eu d'opt-in distinct proposé pour permettre aux personnes concernées de donner leur consentement spécifique à des finalités spécifiques, et en particulier à la finalité spécifique de la revente des données à caractère personnel à des fins de marketing direct par Infobel » ;

PAGE 01-00004909477-0019-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 20

o il n'a pas ete donne de maniere eclairee car « le plaignant n'aurait pas pu savoir, sur la base des conditions generales de [ ], que [Infobel] traiterait ses donnees dans le but de les commercialiser a des fins de marketing direct »;
le consentement donne par le plaignant a en 2006 etait un opt-out, ce qui ne remplit pas la condition de I'existence d'une déclaration ou d'un acte positif clair au sens de I'article 4.11 du RGPD.

Conformément à l'arrêt de la CJUE du 27 octobre 2022, invoqué par l'APD et à l'enseignement duquel la Cour se réfère, « si la partie qui a collecté ces données auprès de l'abonné ou un tiers quelconque auquel elles ont été transmises souhaitent les exploiter à d'autres fins, ladite partie ou ledit tiers devront obtenir une nouvelle fois le consentement de l'abonné » (CJUE, 27 octobre 2022, C-129/21, c. APD, point 50).

En appliquant l'article 7 du RGPD, entré en vigueur le 25 mai 2018, pour apprécier la légalité du consentement du plaignant au traitement de ses données personnelles après cette date, la Chambre contentieuse n'a pas fait une application anachronique de cette disposition.

De même, en se référant à l'article 24 du RGPD en soutien de l'article 7.1, la Chambre contentieuse n'a pas commis d'erreur manifeste d'appréciation. Les considérations développées par Infobel qui sont fondées sur l'arrêt de la Cour du 26 novembre 2025 en cause d' ne sont pas pertinentes dès lors que, comme le relève l'APD, la base légale et le raisonnement juridique examinés dans cette décision (en l'occurrence, l'intérêt légitime) ne sont pas les mêmes que ceux qui sont discutés dans la présente cause (à savoir, le consentement).

Le sixième moyen d'Infobel n'est pas fondé.

### III.9. Quant à l'allégation d'une erreur manifeste d'appréciation et du manque de motivation de la Décision n° 199/2025 en ce qu'elle élude les relations contractuelles entre et Infobel, et leurs conséquences

33. Infobel soutient qu'en considérant uniquement qu'il lui appartenait de s'assurer de la licité de la collecte et des traitements, sans égard pour le fait que les données à caractère personnel avaient été collectées par pour alimenter son service de fourniture de données à caractère personnel à des fins marketing, la Chambre contentieuse fait une erreur manifeste d'appréciation. En outre, elle viole, selon elle, son obligation de motivation en ne répondant pas aux arguments d'Infobel relatifs aux contrats conclus avec lesquels étaient la source des données concernées.
34. L'APD rétorque à bon droit que la Chambre contentieuse n'a pas compétence pour trancher les litiges contractuels pouvant exister entre et Infobel et qu'elle avait uniquement examéner

PAGE 01-00004909477-0020-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 21

si cette dernière, en sa qualité de responsable du traitement, avait respecté ses obligations en vertu du RGPD lequel lui commande de s'assurer du consentement libre, spécifique, éclairée et univoque de la personne concernée ainsi que l'a relevé la CJUE dans son arrêt [REDACTED]. Elle n'a dès lors pas commis d'erreur manifeste d'appréciation.

La Chambre contentieuse s'est exprimée sur cette question, au point 93 de sa décision, en relevant, en réponse aux arguments d'Infobel, que :

« [l]a Chambre Contentieuse rappelle que le simple renvoi à des déclarations et à des accords contractuels avec d'autres parties (en l'occurrence, le tiers intéressé) ne suffit pas. Conformément à l'article 24 et à l'article 7.1 du RGPD, le responsable du traitement est lui-même tenu de pouvoir démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. La charge de la preuve incombe au défendeur. La Chambre Contentieuse n'a pas la compétence de se prononcer sur les litiges contractuels entre le défendeur et le tiers intéressé, notamment en ce qui concerne le droit (contractuel) du défendeur de revendre les données concernées à des fins de marketing direct. Dans la présente décision, elle examine uniquement si le défendeur a respecté ses obligations en vertu du RGPD. En tant que responsable du traitement, le défendeur est tenu, sur la base de l'article 24 du RGPD, d'être en mesure de le démontrer lui-même, comme expliqué ci-dessus ».

Le septième moyen d'Infobel est non fondé.

III.10. Quant à la violation alléguée de l'article 83.2 du RGPD en ce que les ordres de mise en conformité ne constituent pas une sanction effective, dissuasive et proportionnée (huitième moyen d'Infobel)

35. Infobel critique la Décision n° 199/2025 en ce qu'elle ordonne d'effacer les données à caractère personnel litigieuses et d'en informer tous les destinataires alors que ces deux injonctions sont dépourvues d'objet et, en tout état de cause, manifestement disproportionnées au regard de la situation factuelle.

36. Comme le relève adéquatement l'APD, l'article 83.2 du RGPD invoqué par Infobel à l'appui de son moyen concerne spécifiquement l'amende administrative, édictant que « [c]haque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ». Les injonctions d'effacer les données et d'en informer les destinataires constituent, quant à elles, des mesures correctrices visées à l'article 58.2 du RGPD.

PAGE 01-00004909477-0021-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 22

37. Néanmoins, Infobel fait à bon droit valoir que l'ordre d'effacement de la Chambre contentieuse est inopérant en l'espèce dès lors que la base de données concernée a déjà été supprimée en 2023. Cette suppression ressort des termes de l'audition d'Infobel du 25 juin 2025 devant la Chambre contentieuse, sans que cette dernière ne la remette en question (cf. les termes de la retranscription de l'audition : « La Chambre contentieuse demande si les données ont été supprimées. Infobel confirme que les données ont été supprimées, à l'exception de celles des personnes qui ont demandé à ne plus être contactées, afin que leur souhait puisse être respecté à l'avenir »). De cette audition, il ressort qu'Infobel a supprimé l'ensemble des données à caractère personnel acquises de dans les mêmes circonstances.

Vainement, l'APD soutient-elle devant la Cour que l'ordre d'effacement se justifierait encore parce qu'elle n'a pas été en mesure de vérifier que les données ont effectivement été supprimées, n'ayant pas remis en question les explications d'Infobel lors de son audition alors qu'il lui était loisible de le faire en sollicitant, le cas échéant, des informations et/ou pièces complémentaires. La Chambre contentieuse se fonde par ailleurs, elle-même, sur cette circonstance pour justifier, à titre de circonstance atténuante, la réduction du montant de l'amende infligée à Infobel.

Pour le surplus, il n'appartient pas à l'APD et/ou à la Cour de prononcer des ordres de suppression généraux de données dont il est allégué, sans examen préalable et personnalisé, que le traitement ne reposerait pas sur une base juridique valable et alors même qu'aucune plainte n'est déposée. En ce qu'il vise « toutes données pour lesquelles Infobel ne peut pas démontrer qu'elle dispose d'une base juridique valable », l'ordre est formulé en termes qui excèdent les pouvoirs de la Chambre contentieuse.

Il s'ensuit que l'injonction est dépourvue de toute portée concrète, les données litigieuses n'étant déjà plus traitées par Infobel ; elle est dès lors inopérante.

Partant, la Décision n° 199/2025 doit être annulée en ce qu'elle ordonne à Infobel, en vertu de l'article 100, § 1er, 10° de la LCA, l'effacement des données à caractère personnel pour lesquelles elle ne peut pas démontrer qu'elle dispose d'une base juridique valable pour leur traitement sur la base des articles 5.1.a), 6.1 et 24 du RGPD.

Dès lors que la deuxième injonction ordonnée par la Chambre contentieuse, visant à informer tous les récipiendaires des données à caractère personnel susmentionnées de la décision, constitue la conséquence de la première injonction, elle doit également être annulée.

Eu égard à ce qui est décidé, la Cour n'examinera pas les autres branches du moyen développées par Infobel qui n'aboutiraient pas à une autre solution.

PAGE 01-00004909477-0022-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 23

### III.11. Quant à la contestation de l'amende (neuvième, dixième, onzième et douzième moyens d'Infobel)

38. Aux termes de ses moyens 9, 10, 11 et 12, Infobel conteste l'amende qui lui a été infligée par la Chambre contentieuse pour la violation de l'article 5.1.a) du RGPD, juncto l'article 6 et l'article 24 du RGPD.

Ces moyens doivent être analysés conjointement.

39. Infobel soutient que la Chambre contentieuse a infligé une amende en raison de la violation des articles 5.1. a), 6 et 24 du RGPD, alors que seule la violation de l'article 6 du RGPD doit être prise en compte.

Comme le relève cependant l'APD en conclusions, la Chambre contentieuse n'a pas imposé trois amendes distinctes, les violations des articles 5.1, a), 6 et 24 du RGPD constituant une infraction unique liée à un même comportement, lequel est bien sanctionnable aux termes de l'article 83.5.a) d'une amende administrative de maximum 20.000.000,00 € ou de maximum 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent du contrevenant. Cette décision est conforme au prescrit de l'article 8.3. du RGPD qui prévoit que « [s]i un responsable du traitement ou un sous-traitant viole délibérément ou par négligence plusieurs dispositions du présent règlement, dans le cadre de la même opération de traitement ou d'opérations de traitement liées, le montant total de l'amende administrative ne peut pas excéder le montant fixé pour la violation la plus grave ».

L'enseignement tiré de l'arrêt de la Cour du 3 septembre 2025 (R.G. n° 2025/AR/74), dont se prévaut Infobel, n'est pas transposable en l'espèce dès lors que, dans cette affaire, la Cour a partiellement annulé une amende parce que l'autorité avait estimé que la violation de l'article 24 du RGPD constituait une violation autonome, distincte des autres violations constatées.

40. Infobel fait également valoir que la Chambre contentieuse commet des erreurs manifestes d'appréciation et ne motive pas adéquatement sa décision, en ne tenant pas correctement compte des critères énumérés à l'article 83.2 du RGPD avant de décider d'infliger une amende et d'en calculer le montant, notamment en ignorant le degré inexistant ou négligeable du dommage, en retenant une prétendue négligence d'Infobel sans en démontrer le caractère fautif, en ne tenant pas compte du caractère basique des données ni des mesures prises pour atténuer le dommage subi par les personnes concernées et en écartant certains critères pertinents (notamment le degré de responsabilité visé à l'article 83.2, d), du RGPD). Selon Infobel, la Chambre contentieuse aurait dû prendre d'autres éléments en compte au titre de circonstances atténuantes de sorte que la violation, de gravité faible, aurait dû donner lieu à une amende de 5.000,00 € à 10.000,00 € maximum.

PAGE 01-00004909477-0023-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 24

Elle estime également que l'amende administrative infligée n'est pas une sanction effective, proportionnée et dissuasive au sens de l'article 83.1 du RGPD parce que (i) elle n'atteint pas les objectifs pour lesquels elle peut être imposée mais va bien au-delà, (ii) le risque pour les droits et libertés était limité, (iii) les traitements ayant été initiés avant l'entrée en vigueur du RGPD, Infobel a agi de manière proactive et de bonne foi, (iv) la Chambre contentieuse n'a pas suffisamment tenu compte du niveau de responsabilité des acteurs, de l'absence d'antécédent et/ou de plainte, ni du fait qu'aucun bénéfice financier n'a été conservé et enfin (v) sanctionner sévèrement un opérateur ayant pris des mesures importantes pour respecter le RGPD n'a pas pour effet de dissuader les autres opérateurs de commettre des manquements.

41. La Cour apprécie l'opportunité et ampleur d'une sanction éventuelle, d'une part, en relation avec les circonstances et, d'autre part, de façon proportionnelle à l'infraction constatée et à la capacité financière de la partie en infraction. La nature et la gravité des infractions forment un des facteurs d'appréciation de la sanction à infliger et de son montant, mais ces éléments doivent être confrontés à tous les éléments du dossier (par exemple au fait de savoir s'il s'agit d'une infraction unique ou non, l'impact sur la vie juridique d'une manière générale, ou encore le caractère intentionnel ou non dans le chef de la partie en infraction). Elle exerce, dans ce cadre, un contentieux de pleine juridiction.

L'article 83 du RGPD, qui prévoit que toute sanction doit être effective, proportionnée et dissuasive, n'est effectivement respecté qu'à la condition que ces exigences de motivation adéquate, claire et transparente soient remplies.

En l'espèce, il y a lieu de constater que la Décision n° 199/2025 mentionne, expressément et de manière détaillée, en ses points 123 à 160, les critères sur base desquels elle s'est fondée pour décider de recourir à l'amende et en fixer le montant. Elle expose notamment les motifs pour lesquels une simple mise en conformité, éventuellement assortie d'une réprimande, ne serait pas effective.

La Décision n° 199/2025 détaille également les circonstances atténuante et aggravante qu'elle retient pour déterminer le montant de l'amende, dont le fait qu'Infobel a affirmé que la base de données n'était plus utilisée depuis 2023 et que les données avaient été supprimées, ce qui constitue une mesure prise par le responsable du traitement pour atténuer le dommage subi par les personnes concernées.

Cependant, la Cour estime que c'est à tort que la motivation de la Décision n° 199/2025 fait état :

- d'un traitement litigieux qualifié de « conséquent » et de « grande ampleur », alors qu'il ne ressort pas de la décision que la quantité exacte de personnes concernées a pu être vérifiée et que seule une plainte unique a été déposée ;

PAGE 01-00004909477-0024-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 25

- de données collectées en 2006 et traitées jusqu'en 2023 pour en déduire que « la violation de données dure depuis plusieurs années », alors même que le RGPD, qui fonde la compétence de la Chambre contentieuse, n'est entré en vigueur que le 25 mai 2018, de sorte que tout traitement antérieur n'est pas pertinent.

C'est également à tort, que la Décision 199/2025 ne tient pas compte, ou pas suffisamment, des circonstances atténuantes suivantes au sens de l'article 83 du RGPD pour apprécier la nécessité d'une amende administrative :

- Infobel n'a commis aucune violation du RGPD par le passé, ni fait l'objet de plaine;
- Infobel a collaboré avec l'APD dans le cadre de la procédure devant la Chambre contentieuse;
- le traitement litigieux n'a fait l'objet que d'une unique plaine.

Il découle de ces éléments que le degré de gravité de la violation doit être considéré comme faible, et non comme moyen, comme l'a retenu la Chambre contentieuse.

42. Vainement, Infobel fait-elle encore valoir qu'il existe une divergence de traitement pour des faits et une situation substantiellement comparable(s) au sein d'un même dossier ( et ), ce qui constitue une violation manifeste du principe d'égalité entre les responsables du traitement, consacré tant par le droit national que par le RGPD.

En effet, comme le relève l'APD, les décisions n° 198/2025 ( , ) et n° 199/2025 (Infobel) concernent des dossiers distincts et des situations objectivement différentes. Le grief d'Infobel ne tient compte ni des faits du dossier, ni du cadre juridique applicable. En outre, il a été jugé supra que la Décision de scission n'était pas entachée d'illégalité.

43. A la lumière de ce qui précède et faisant application des Lignes directrices de l'EDPB 04/2022 sur le calcul des amendes administratives au titre du RGPD, la Cour annule la Décision n° 199/2025 en ce qu'elle inflige à Infobel une amende administrative de 40.000,00 € et, usant de son pouvoir de pleine juridiction, condamne Infobel au paiement d'une amende réduite à 5.000,00 €.

### III.12. Quant aux dépens

44. Chacune des parties succombant partiellement, il y a lieu de compenser les dépens en manière telle que chacune des parties supporte ses propres dépens, les droits de mise au rôle de la requête d'appel de 400,00 € et la contribution visée à l'article 4, §2 de la loi du 19 mars 2017 instituant un fonds budgétaire relatif à l'aide juridique de deuxième ligne, étant mis à charge d'Infobel dès lors que la cour retient une violation du RGPD dans son chef.

PAGE 01-00004909477-0025-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 26

# PAR CES MOTIFS,
LA COUR DES MARCHES,

Vu les dispositions de la loi du 15 juin 1935 sur l'emploi des langues en matière judiciaire,

Statuant contradictoirement,

Dit le recours recevable et partiellement fondé dans la mesure suivante :

Annule partiellement la Décision Attaquée portant le numéro 199/2025 de la Chambre contentieuse de l'Autorité de protection des données du 27 novembre 2025 dans l'affaire portant le numéro DOS-2025-01687, en ce qu'elle :

- ordonne à la SA Infobel l'effacement des données à caractère personnel pour lesquelles elle ne peut pas démontré qu'elle dispose d'une base juridique valable pour leur traitement sur la base des articles 5.1.a), 6.1 et 24 du RGPD ;
- ordonne à la SA Infobel d'informer tous les récipiendaires des données à caractère personnel susmentionnées de la décision et de l'injonction qui précède et de souligner que la base juridique invoquée pour lestraitements n'est pas conforme au RGPD ;
- infligé à la SA Infobel une amende administrative d'un montant de 40.000,00 € en raison des violations des articles 5.1.a), 6.1 et 24 du RGPD en ce qui concerne le traitement illicite de données à caractère personnel ;

Statuant en pleine juridiction, condamne la SA Infobel au paiement d'une amende administrative de 5.000,00 € en raison des violations des articles 5.1.a), 6.1 et 24 du RGPD ;

Délaisse à chacune des parties ses propres dépens, les droits de mise au rôle de la requête d'appel de 400,00 € et la contribution visée à l'article 4, §2 de la loi du 19 mars 2017 instituant un fonds budgétaire relatif à l'aide juridique de deuxième ligne étant mis à charge de la SA Infobel ;

Ainsi jugé et prononcé à l'audience civile publique de la 19ème chambre A de la cour d'appel de Bruxelles, section Cour des marchés, le 3 juin 2026,

PAGE 01-00004909477-0026-0027-02-01-4

Cour d'appel Bruxelles – 2025/AR/2079 – p. 27

Où étaient présents :

A.-M. WITTERS,
Z. PLETINCKX,
A. BOSSUYT,
A. MONIN,

Conseiller ff. président,

Conseiller,

Greffier,

![img-2.jpeg](img-2.jpeg)

A.MONIN

![img-3.jpeg](img-3.jpeg)

Z. PLETINCKX

![img-4.jpeg](img-4.jpeg)

A. BOSSUYT

![img-5.jpeg](img-5.jpeg)

A.-M. WITTERS

PAGE 01-00004909477-0027-0027-02-01-4