GRAND-DUCHE DE LUXEMBOURG
COUR ADMINISTRATIVE
Numéro du rôle : 52757C
ECLI:LU:CADM:2026:52757
Inscrit le 25 avril 2025
Audience publique du 12 mars 2026
Appel formé par
la société à responsabilité limitée (AA), …,
contre un jugement du tribunal administratif
du 18 mars 2025 (n° 46578 du rôle)
ayant statué sur son recours dirigé contre une
décision du 15 juillet 2021 de la formation restreinte de la Commission nationale
pour la protection des données (CNPD),
en matière de protection des données
Vu la requête d’appel inscrite sous le numéro 52757C du rôle et déposée au greffe de la
Cour administrative le 25 avril 2025 par la société en commandite simple ALLEN OVERY
SHEARMAN STERLING SCS, inscrite sur la liste V du Tableau de l’Ordre des avocats à
Luxembourg, établie et ayant son siège social à L-1855 Luxembourg, 5, avenue J.F. Kennedy,
immatriculée au registre de commerce et des sociétés de Luxembourg sous le numéro B178291,
représentée aux fins des présentes par Maître Thomas BERGER, avocat à la Cour, inscrit au
tableau de l’Ordre des avocats à Luxembourg, au nom de la société à responsabilité limitée (AA),
établie et ayant son siège social à L-..., immatriculée au registre de commerce et des sociétés de
Luxembourg sous le numéro ..., représentée par son conseil de gérance en fonctions, dirigée contre
un jugement du tribunal administratif du Grand-Duché de Luxembourg du 18 mars 2025 (n° 46578
du rôle) par lequel ledit tribunal a rejeté comme étant non fondé son recours en réformation, sinon
en annulation dirigé contre la décision du 15 juillet 2021, référencée sous le n° ..., de la formation
restreinte de la Commission nationale pour la protection des données (CNPD), établissement
public, lui ayant infligé une amende administrative de 746.000.000 euros, tout en lui imposant de
procéder à des mesures correctrices dans un délai de six mois à compter de sa notification sous
peine d'une astreinte journalière de 746.000 euros ;
Vu l’exploit de l’huissier de justice Tessy SIEDLER, demeurant à Luxembourg et
immatriculée près le tribunal d’arrondissement de et à Luxembourg, du 25 avril 2025 portant
signification de cette requête d’appel à la CNPD, établissement public, inscrite au registre de
1
commerce et des sociétés de Luxembourg sous le numéro J52, établie au L-4370 Belvaux, 15,
boulevard du Jazz, représentée par son collège des commissaires en fonctions ;
Vu l’avis de la Cour administrative du 23 mai 2025 ayant prorogé le délai pour déposer les
mémoires en réponse, réplique et duplique, émis à la demande et de l’accord des parties à
l’instance ;
Vu le mémoire en réponse déposé au greffe de la Cour administrative le 10 juillet 2025 par
la société à responsabilité limitée NAUTADUTILH Avocats Luxembourg SARL, inscrite sur la
liste V du Tableau de l'Ordre des avocats à Luxembourg, établie et ayant son siège social à L-1233
Luxembourg, 2, rue Jean Bertholet, immatriculée au registre de commerce et des sociétés de
Luxembourg sous le numéro B189905, représentée aux fins des présentes par Maître Vincent
WELLENS, avocat à la Cour, inscrit au tableau de l'Ordre des Avocats à Luxembourg, au nom de
la CNPD, préqualifiée ;
Vu le mémoire en réplique déposé au greffe de la Cour administrative le 10 octobre 2025
par la société en commandite simple ALLEN OVERY SHEARMAN STERLING SCS au nom
de la société (AA), préqualifiée ;
Vu le mémoire en duplique déposé au greffe de la Cour administrative le 12 décembre 2025
par la société NAUTADUTILH Avocats Luxembourg SARL au nom de la CNPD, préqualifiée ;
Vu les pièces versées en cause et notamment le jugement dont appel ;
Le magistrat rapporteur entendu en son rapport ainsi que Maître Thomas BERGER, assisté
de Maître Catherine DI LORENZO, et Maitre Vincent WELLENS, assisté de Maître Ottavio
COROLO, en leurs plaidoiries respectives à l’audience publique du 8 janvier 2026.
En date du 28 mai 2018, l’association de droit français (HH), ci-après « la (HH) », saisit,
en France, la Commission nationale de l’Informatique et des Libertés, ci-après « la CNIL », d’une
plainte par rapport à diverses pratiques imputées aux sociétés de droit luxembourgeois (AA), (BB),
(CC) et (DD), ainsi qu’à la société de droit britannique (EE), en leurs qualités de responsables du
traitement des données personnelles traitées à travers les services du groupe (FF), en application
de l’article 80 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard des traitements des données à caractère
personnel et à la libre circulation des données, ci-après « le RGPD ».
Dans le cadre de la coopération européenne régie par les articles 60 à 62 du RGPD,
l’établissement public luxembourgeois Commission nationale pour la protection des données,
ci-après « la CNPD », fut identifié à travers le système européen d’échange d’informations comme
étant l’autorité de contrôle chef de file compétente conformément aux dispositions de l’article 56
du RGPD pour traiter cette réclamation.
Le 5 avril 2019, la CNPD décida d’ouvrir une enquête et désigna à cette fin Monsieur (A),
commissaire de la CNPD, en qualité de chef d’enquête, ci-après « le chef d’enquête ».
2
Ladite décision d’ouvrir une enquête, avec un questionnaire préliminaire, fut notifiée à la
société (AA), ci-après « la société (AA) », par courrier de la CNPD du 23 avril 2019, qui indiqua
que l’enquête avait pour « objectif de vérifier la conformité aux obligations du RGPD en ce qui
concerne les activités de traitement à des fins de publicité comportementale (base de licéité et
utilisation de cookies) ». La société (AA) retourna ledit questionnaire dûment rempli par courrier
du 23 mai 2019.
Suite à deux entrevues entre la CNPD et la société (AA) respectivement le 17 juillet et le
10 septembre 2019, le chef d’enquête transmit à cette dernière son rapport d’audit final le
17 février 2020.
En date du 25 juin 2020, à la suite d’une demande d’informations complémentaires du
4 mars 2020, le chef d’enquête notifia à la société (AA) la communication des griefs, document
par rapport auquel la société (AA) prit position en date du 20 août 2020.
En date du 10 novembre 2020, la formation restreinte de la CNPD, composée de la
présidente de la CNPD, Madame (B), et des commissaires, Messieurs (C) et (D), ci-après « la
Formation restreinte », procéda, en présence du chef d’enquête, à une audition de la société (AA).
Par courriers électroniques des 5 et 10 juillet 2021, la société (AA) sollicita, d’une part,
l’accès à l’ensemble du dossier d’enquête, en ce compris les documents, la communication et les
avis motivés des autres autorités de contrôle nationales, ainsi que la réponse de la Formation
restreinte à ces éventuelles observations, et, d’autre part, la réouverture de l’enquête pour lui
permettre de présenter ses observations par rapport à ces documents.
Le 16 juillet 2021, la Formation restreinte accorda à la société (AA) l’accès à certains
documents de son dossier, tout en lui refusant l’accès aux documents produits au cours de la
procédure de coopération avec les autres autorités de contrôle nationales, et en rejetant la demande
de réouverture de l’enquête.
Par décision du 15 juillet 2021, référencée sous le n° ..., la Formation restreinte infligea
une amende administrative de 746.000.000 euros à la société (AA) pour ne pas avoir respecté les
articles 6, paragraphe (1), 12 à 17 et 21 du RGPD et prononça à son encontre une injonction,
assortie d’une astreinte de 746.000 euros par jour de retard, de mettre en conformité les traitements
de données avec lesdites dispositions du RGPD dans un délai de six mois à partir de la notification
de la décision en question.
La décision du 15 juillet 2021 précisa finalement qu’elle fera l’objet d’une publication sur
le site internet de la CNPD dès l’épuisement des voies de recours.
Par requête déposée au greffe du tribunal administratif le 15 octobre 2021, inscrite sous le
numéro 46578 du rôle, la société (AA) introduisit un recours tendant à la réformation, sinon à
l’annulation de la décision précitée de la Formation restreinte de la CNPD du 15 juillet 2021, tout
en sollicitant le bénéfice de l’effet suspensif du recours pendant le délai et l’instance d’appel
conformément aux dispositions de l’article 35 de la loi modifiée du 21 juin 1999 portant règlement
de procédure devant les juridictions administratives, ci-après « la loi du 21 juin 1999 ».
3
Sur base d’une requête séparée, déposée le 29 octobre 2021 et inscrite sous le numéro
46630 du rôle, le Président du tribunal administratif ordonna, par ordonnance du 17 décembre
2021 et sur base de l’article 11 de la loi du 21 juin 1999, qu’il soit sursis à l’exécution de la décision
litigieuse de la Formation de la CNPD du 15 juillet 2021 quant aux mesures correctrices y imposées
en attendant que le tribunal se soit prononcé au fond sur le mérite du recours inscrit sous le numéro
46578 du rôle.
Par jugement du 18 mars 2025, le tribunal administratif, après avoir écarté des débats les
pièces n° 39 de la société (AA) et 29 et 30 de la CNPD, reçut le recours principal en réformation
en la forme, au fond le déclara non justifié et en débouta la société (AA), dit qu’il n’y avait pas
lieu de statuer sur le recours subsidiaire en annulation, rejeta encore les demandes en allocation
d’une indemnité de procédure formulées de part et d’autre, ordonna l’effet suspensif du recours
pendant le délai et l’instance d’appel sur base de l’article 35 de la loi du 21 juin 1999, tout en
condamnant la société (AA) aux frais et dépens de l’instance.
Pour ce faire, le tribunal rejeta les moyens basés sur l’existence de vices de procédure, ainsi
qualifiés par la société (AA), à savoir (i) un moyen basé sur une composition irrégulière de la
Formation restreinte au motif d’un dépassement de la durée maximale du mandat du commissaire
(C) ((C)), (ii) un moyen basé sur une violation du principe d’impartialité dans le chef de la CNPD,
(iii) un moyen basé sur un dépassement du périmètre de l’enquête par rapport au cadre tracé par la
lettre de mission du 23 avril 2019 et (iv) un moyen basé sur un refus d’accès à l’intégralité du
dossier.
Il rejeta ensuite le reproche tenant à un défaut de motivation suffisante de la décision de la
CNPD, en l’occurrence au niveau de la preuve de la négligence dans le chef de la demanderesse,
du choix des mesures correctrices retenues, du montant de l’amende, de l’astreinte et de la
publication de la décision.
Au fond, le tribunal retint que la CNPD avait valablement pu arriver à la conclusion que la
société (AA) ne pouvait pas se fonder sur la notion de l’intérêt légitime, au sens de l’article 6,
paragraphe (1), alinéa 1er, point f), du RGPD, en tant que base légale justifiant son traitement de
données à caractère personnel à des fins de publicité basée sur les intérêts, ci-après « PBI », dans
la mesure où le respect d’une des conditions cumulatives dégagées par la jurisprudence
communautaire à partir de cette disposition n’était pas établi, à savoir celle tenant à la nécessité du
traitement pour atteindre les intérêts légitimes invoqués par le responsable du traitement, le
tribunal ayant retenu comme intérêt légitime, à l’instar de la CNPD, trois intérêts parmi les quatre
invoqués, à savoir (i) l’intérêt propre de la société (AA) à fournir des publicités utiles et adaptées
à ses clients, (ii) l’intérêt des marques, fabricants, vendeurs et autres entreprises et (iii) l’intérêt
des éditeurs de sites internet, tout en rejetant, à l’instar de la CNPD, l’intérêt de la collectivité
européenne au sens large mis en avant par la société (AA). Le tribunal fonda sa conclusion d’un
non-respect de l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD à défaut de remplir la
condition de nécessité du traitement sur le constat qu’au regard de la nature, du volume et de la
durée de conservation des données à caractère personnel collectées et traitées par la société (AA),
celle-ci était restée en défaut d’établir la nécessité du traitement desdites données à des fins de
PBI, en lui reprochant de s’être limitée à mettre en avant les avantages de sa méthode de collecte
4
et de traitement des données, à savoir un ciblage a priori de plus en plus précis des personnes dont
les données à caractère personnel sont traitées avec de la PBI davantage susceptible de les
intéresser et de les inciter à la consommation des produits et services leur proposés, sans en établir
de manière détaillée la nécessité. Le tribunal reprocha à la société (AA) d’avoir eu une approche
purement descriptive des données collectées, ainsi que des traitements opérés, en énonçant, sans
fournir le moindre élément de preuve à cet égard, - tel que des explications techniques et factuelles
précises et détaillées, ainsi qu’une analyse de la nécessité, notamment (i) quant aux différentes
données personnelles collectées, (ii) quant à la composition des profils et (iii) quant aux différentes
durées de conservation - que son approche quant à la collecte et quant au traitement des données
litigieuses serait le minimum nécessaire et qu’il ne lui serait pas possible d’atteindre aussi
efficacement les intérêts légitimes retenus ci-avant par une manière de faire moins intrusive
notamment au regard du grand nombre de données collectées dans un premier temps et qu’elle
n’utiliserait finalement pas, approche qui mettrait le tribunal dans l’impossibilité de procéder à une
pondération des intérêts opposés en cause. Le tribunal constata encore que la violation de l’article
6, paragraphe (1), alinéa 1er, point f), du RGPD persistait toujours selon le dernier état des
conclusions en première instance.
Le tribunal confirma de plus la CNPD pour avoir retenu une violation des articles 12 à 17
et 21 du RGPD.
Plus particulièrement en ce qui concerne l’obligation de transparence, le tribunal retint que
le responsable du traitement doit fournir aux personnes dont les données à caractère personnel sont
collectées et traitées un certain nombre d’informations, et ce de manière concise, transparente,
compréhensible et facilement accessible. Il critiqua la société (AA) pour disposer, non pas d’un
document unique d’information, mais de plusieurs documents d’information qui, de plus, ne
seraient pas consultables directement sur une seule page internet, pour ne pas avoir indiqué la base
légale de la collecte et du traitement des données à caractère personnel, ni des informations claires
et précises quant à l’opération de profilage des personnes dont les données sont collectées et quant
aux conséquences de ce traitement, quant aux destinataires ou aux catégories de destinataires des
données traitées dans le cadre du mécanisme des « enchères en temps réel », en anglais « real time
bidding » (RTB), quant au transfert des données à des tiers en dehors de l’espace économique
européen, quant à la durée de conservation des données personnelles collectées et aux critères
retenus à cet égard et quant à l’identification des catégories de données qui n’ont pas été collectées
auprès des personnes concernées et des sources.
En ce qui concerne les droits d’accès et de rectification au sens des articles 15 et 16 du
RGPD, le tribunal retint une violation dès lors que le responsable du traitement ne permettait pas
l’accès aux données personnelles collectées et traitées dans le cadre de la publicité
comportementale et empêchait ainsi les personnes concernées de connaître avec précision et
exactitude lesdites données et le contenu du profil publicitaire établi sur base de ces données, de
sorte à conclure que ces personnes étaient également dans l’impossibilité de solliciter une
quelconque rectification des éléments leur inconnus. Le tribunal constata encore que la violation
de l’article 16 du RGPD subsistait toujours puisque les possibilités de modifier les données
collectées et traitées dans le cadre de la PBI étaient toujours limitées. En outre, il estima que la
suppression des données à la suite de l’exercice d’un « opt-out » n’était pas effectuée dans les
5
meilleurs délais et releva que le non-respect de l’article 17 du RGPD, consacrant le droit à
l’effacement, subsistait toujours.
Enfin, s’agissant du droit d’opposition prévu à l’article 21 du RGPD, le tribunal retint que
le mécanisme du « opt-out » prévu par la société (AA) ne respectait pas les requis de cette
disposition, en substance au motif que l’exercice de ce droit n’était pas accessible de façon
suffisamment facile.
Quant à l’amende et quant aux mesures de mise en conformité ayant été prononcées, le
tribunal rejeta le moyen basé sur une violation du principe de légalité au motif que les dispositions
pertinentes du RGPD décrivent les obligations à charge des responsables du traitement des données
et érigent en infraction administrative le non-respect de celles-ci, tout en prévoyant une gradation
des mesures susceptibles d’être prononcées par la CNPD et en énumérant les circonstances et
éléments à prendre en compte par celle-ci pour déterminer tant le principe que le quantum de
l’amende, dont le montant maximal est par ailleurs prévu. En outre, le reproche de la société (AA)
tenant à un caractère imprécis des mesures correctrices fut rejeté au motif que la CNPD ne pourrait
s’immiscer dans la gestion et l’organisation technique du responsable du traitement en lui imposant
une base légale de son traitement.
Par rapport au moyen basé sur l’absence de preuve de la culpabilité, le tribunal renvoya à
l’analyse visant la question du respect des articles 6, paragraphe (1), alinéa 1er, point f), 12 à 17 et
21 du RGPD et retint que la société (AA) avait agi avec une négligence certaine, dans la mesure
où elle aurait manifestement omis d’accorder aux personnes concernées les droits élémentaires et
fondamentaux leur garantis par le RGPD.
Sur base de son analyse des moyens d’impartialité de la CNPD, du principe de légalité, du
principe de culpabilité et de la question de la motivation de la décision litigieuse, le tribunal rejeta
encore le moyen fondé sur une violation du droit à un procès équitable.
Par rapport aux critiques de la société (AA) quant au choix des mesures prises en l’espèce
par la CNPD, en l’occurrence celui d’avoir immédiatement imposé une amende, le tribunal
souligna que la CNPD dispose d’un pouvoir discrétionnaire de choisir la ou les mesures les plus
adaptées au cas lui soumis pour atteindre les objectifs du RGPD, tout en rappelant qu’il ne s’agit
toutefois pas d’un pouvoir absolu, inconditionné ou arbitraire. Il précisa que la CNPD a la faculté
de choisir, dans le cadre légal, la solution qui lui paraît préférable pour la satisfaction des intérêts
publics dont elle a la charge, tout en relevant, par référence au considérant n° 148 du RGPD, que
l’objectif des mesures prévues à l’article 58 du RGPD serait double, à savoir (i) veiller au respect
du RGPD en permettant aux autorités nationales de contrôle compétentes de faire cesser les
violations du RGPD et (ii) sanctionner les responsables du traitement pour les manquements
constatés, et que la société (AA) n’avait pas invoqué de disposition juridiquement contraignante
imposant à la CNPD de devoir, préalablement au prononcé d’une amende ou d’une mesure
correctrice, adresser en premier lieu une mise en demeure aux responsables du traitement, une telle
approche ayant, selon les premiers juges, pour effet que ceux-ci ne seraient pas enclins à respecter
ab initio le RGPD et ne se mettraient en conformité qu’après la réception d’une injonction de la
part des autorités de contrôle, ce qui serait contraire à l’objectif du RGPD, le rôle de l’amende
étant, d’après le tribunal, de sanctionner les infractions commises par le passé et d’assurer le
6
respect du RGPD pour le futur. En outre, l’amende et l’astreinte journalière seraient
complémentaires, de sorte que les premiers juges ont rejeté le reproche de la société (AA) selon
lequel l’astreinte viserait à la sanctionner, voire aurait pour effet que le montant maximal de
l’amende est dépassé.
Enfin, le tribunal rejeta les critiques de la société (AA) quant au quantum de l’amende et à
la publication de la décision de la CNPD.
Par requête d’appel déposée au greffe de la Cour administrative le 25 avril 2025, la
société (AA) a régulièrement relevé appel du jugement du 18 mars 2025, en demandant
principalement, par réformation dudit jugement, l’annulation de la décision de la Formation
restreinte de la CNPD du 15 juillet 2021 dans le cadre du recours en réformation, et ce en raison
des différents moyens invoqués par elle, sinon subsidiairement de la démettre de l’amende et des
mesures correctrices, sinon de réduire le montant de l’amende, de dire qu’il n’y avait pas lieu de
prononcer une injonction et qu’il n’y avait pas lieu de lui infliger une astreinte, sinon de modifier
l’injonction et de réduire le montant de l’astreinte, sans qu’il n’y ait lieu de publier la décision,
sinon encore plus subsidiairement de réformer la décision litigieuse en adoptant une décision de
principe enjoignant à la CNPD d’adopter, le cas échéant, des sanctions plus appropriées et moins
sévères, conformément à l’objectif du RGPD d’assurer la protection des données à caractère
personnel et la libre circulation de ces données au sein de l'Union européenne et d’une manière qui
n’excède pas ce qui est nécessaire pour atteindre cet objectif, de supprimer l’amende, sinon de
réduire son montant, et de supprimer les mesures correctrices, sinon de les modifier, et de
supprimer l’astreinte, et, dans ce cadre, d’ordonner à la Formation restreinte de lui fournir tous les
documents et observations, y compris ceux d’autres autorités de contrôle relatifs au mécanisme de
coopération prévu à l’article 60 du RGPD, sinon une description écrite du contenu essentiel de ces
documents et observations et à titre plus subsidiaire, une version résumée ou agrégée de ces
documents et observations, « afin de [lui] permettre de les examiner et de soumettre ses
observations avant que la Formation restreinte ne rende une Décision révisée ».
La Cour rappelle à titre liminaire que la présente procédure a pour objet l’examen de la
légalité et du bien-fondé de la décision de la Formation restreinte de la CNPD du 15 juillet 2021
ayant constaté que les modalités de traitement des données à caractère personnel à des fins de PBI
telles que mises en œuvre par l’appelante étaient contraires aux articles 6, paragraphe (1), 12 à 17
et 21 du RGPD, au motif que ces pratiques, appréciées à la date du début de l’enquête, à savoir le
5 avril 2019, étaient telles que l’appelante ne pouvait pas s’appuyer sur la base légale des « intérêts
légitimes » prévue à l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD et que, dans ce
contexte, elle n’avait, en outre, ni respecté les obligations de transparence ni les droits des
personnes concernées d’accéder, de rectifier ou de supprimer leurs données à caractère personnel
et de s’opposer à leur traitement, conformément aux articles 12 à 17 et 21 du RGPD, et ayant, sur
base du constat de ces violations, prononcé une amende de l’ordre de 746 millions euros à l’égard
de l’appelante et lui ayant imposé diverses mesures correctrices sous peine d’une astreinte. La
CNPD a encore analysé la conformité des pratiques de l’appelante en matière de témoins de
connexion, ci-après « les cookies », aux dispositions de la loi modifiée du 30 mai 2005 concernant
la protection de la vie privée dans le secteur des communications électroniques, ci-après « la loi
du 30 mai 2005 », a retenu que les dispositions de l’article 4, paragraphe (3), point e), de cette loi
n’étaient pas respectées, mais n’en a tiré aucune conséquence en relevant qu’elle n’avait pas le
7
pouvoir d’imposer des amendes administratives ou des mesures correctrices en cas de violation de
ladite loi1.
La Cour constate ensuite que, suivant le dernier état de ses conclusions telles qu’elles se
dégagent de son mémoire en duplique, la CNPD lui demande de confirmer le bien-fondé de sa
décision du 15 juillet 2021 au moment de son adoption, sous la réserve qu’elle demande de
constater que l’injonction prononcée est entretemps devenue sans objet « pour autant que
[l’appelante] aura apporté les modifications dans ses notices à la date de l’audience devant la
Cour administrative ». A l’audience des plaidoiries du 8 janvier 2026, le mandataire de la CNPD
a confirmé que les dernières modifications demandées avaient entretemps été opérées, de sorte à
confirmer que l’injonction prononcée, dans l’ensemble de ses volets, est devenue sans objet sans
réserve. Il a cependant demandé à la Cour de confirmer les violations du RGPD telles que retenues
par la CNPD et de confirmer que l’amende était justifiée par rapport à ces violations constatées à
l’époque.
A cet égard, la Cour relève qu’il se dégage des déclarations concordantes des parties à
l’instance qu’à l’heure actuelle, l’appelante ne procède plus au traitement des données litigieuses
sur base des dispositions de l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD fondé sur
l’intérêt légitime, base légale dont le bien-fondé avait fait l’objet de l’analyse de la CNPD et par
suite du tribunal, mais sur base du consentement des personnes concernées, sur le fondement de
l’article 6, paragraphe (1), alinéa 1er, point a), du RGPD, les modalités pratiques de mise en œuvre
de cette base légale étant, selon les déclarations de la CNPD à l’audience des plaidoiries du
8 janvier 2026, actuellement jugées par elle comme étant conformes au RGPD.
Au regard de ces explications, la Cour est amenée à donner acte aux parties à l’instance de
ce qu’elles s’accordent pour retenir que l’injonction, assortie d’une astreinte de 746.000 euros par
jour de retard, de mettre les traitements de données à caractère personnel à des fins de PBI opérés
par l’appelante en conformité avec les dispositions du RGPD dans un délai de six mois suivant la
notification de la décision du 15 juillet 2021 - dont l’exécution avait été suspendue à travers
l’ordonnance du Président du tribunal administratif du 17 décembre 2021 et, durant le délai et
l’instance d’appel, à travers le jugement a quo - est devenue sans objet. Par conséquent, la Cour
est amenée à retenir, dans le cadre du recours en réformation dont elle est saisie, emportant un
examen du bien-fondé des mesures compte tenu de la situation telle qu’elle se présente au moment
où elle statue, qu’il n’y a pas lieu de prononcer, à l’heure actuelle, une quelconque injonction,
assortie d’une astreinte, à l’encontre de l’appelante.
Par ailleurs, les parties à l’instance n’ont pas expliqué, voire justifié leur intérêt à voir
contrôler la légalité ou le bien-fondé de cette mesure spécifique au regard de la situation telle
qu’elle se présentait au moment de la prise de la décision par la CNPD. A cet égard, il est rappelé
que, de façon plus générale, il appartient aux plaideurs de justifier, face au constat que tout ou
partie d’une décision est devenue sans objet, le maintien de leur intérêt à voir contrôler encore la
légalité de celle-ci et de justifier en quoi le seul constat d’une illégalité à cet égard puisse leur
procurer la satisfaction d’un intérêt. En outre, le mandataire de la CNPD a confirmé à l’audience
des plaidoiries que la question de l’injonction ne se pose plus et a, dans cette logique, souligné que
la question préjudicielle soulevée par l’appelante ayant trait à l’astreinte journalière a également
1
Points 283 et 304 de la décision.
8
perdu son objet, cette approche n’ayant pas été remise en cause par l’appelante. Dans ces
conditions, la Cour limitera son analyse aux moyens invoqués par rapport aux volets de la décision
du 15 juillet 2021 autres que l’injonction assortie d’une astreinte.
Les moyens résiduels ainsi présentés par l’appelante peuvent être résumés comme suit :
- composition irrégulière de la Formation retreinte de la CNPD au motif que le mandat d’un
des commissaires aurait dépassé la durée limite de 12 ans fixée par la loi modifiée du
1er août 2018 portant organisation de la Commission nationale pour la protection des
données et du régime général sur la protection des données, ci-après « la loi du 1er août
2018 » ;
- impartialité tant objective que subjective de la Formation retreinte de la CNPD ;
- extension irrégulière du périmètre initial de l’enquête, qui, selon l’appelante, se serait limité
à la question (i) de la conformité de la base légale de l’intérêt légitime sur lequel elle s’est
fondée pour procéder au traitement des données litigieux et (ii) de l’utilisation des cookies ;
- refus d’accès au dossier au motif que la Formation restreinte de la CNPD aurait refusé de
communiquer l’ensemble des échanges avec les autorités de contrôle des autres Etats
membres dans le cadre de l’article 60 du RGPD et n’aurait, par conséquent, pas permis à
l’appelante de s’exprimer à cet égard, ce qui violerait en l’occurrence son droit à un procès
équitable ;
- défaut par le tribunal d’avoir exercé ses pouvoirs de pleine juridiction, au motif que les
premiers juges n’auraient pas fait leurs vérifications propres, auraient présumé qu’une
violation était toujours en cours sans procéder à une analyse véritable, n’auraient pas pris
en compte les changements opérés au niveau du traitement des données à des fins de PBI,
ni les jurisprudences récentes importantes de la Cour de Justice de l’Union européenne,
ci-après la « CJUE »2 ;
- l’amende serait de nature pénale avec comme conséquence que la CNPD aurait dû offrir
des garanties procédurales plus étendues, notamment au regard des principes de légalité et
de proportionnalité ;
- la légalité et la proportionnalité de la décision de la CNPD devraient être analysées à la
lumière des restrictions qu’elle imposerait aux droits garantis par l’article 16 de la Charte
des droits fondamentaux de l’Union européenne, ci-après « la Charte », et par l’article 1er
du Premier Protocole additionnel de la Convention européenne des droits de l’homme,
ci-après respectivement « le Premier Protocole de la CEDH » et la « CEDH », protégeant
la liberté d’entreprise et le droit de propriété ;
- une violation des conditions de l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD
aurait à tort été retenue par la CNPD et confirmée par les premiers juges, l’appelante
reprochant à ceux-ci de ne pas avoir retenu comme étant légitime l’intérêt de la collectivité
invoqué par elle, de ne pas avoir retenu qu’il n’y avait pas d’alternative moins intrusive et
raisonnablement efficace au traitement des données à caractère personnel en cause et elle
conclut que le test de mise en balance des intérêts devrait aboutir à la conclusion que les
intérêts des personnes concernées ne prévalent pas sur les intérêts légitimes poursuivis par
elle ;
2
CJUE 5 décembre 2023, affaire DEUTSCHE WOHNEN, C-807/21, et CJUE 5 décembre 2023, affaire
NACIONALINIS VISUOMENES SVEIKATOS CENTRAS PRIE SVEIKATOS APSAUGOS MINISTERIJOS,
C-683/21, ci-après les arrêts « DEUTSCHE WOHNEN » et « NACIONALINIS ».
9
- le tribunal aurait à tort retenu que les notices d’information n’étaient pas suffisamment
transparentes ;
- le tribunal aurait à tort retenu que les droits des personnes concernées avaient été violés ;
- le tribunal aurait à tort conclu que les obligations découlant du RGPD sont clairement
définies et partant rejeté le moyen basé sur une violation du principe de légalité, l’appelante
affirmant en l’occurrence que l’avis du groupe de travail « article 29 » sur la protection des
données, intitulé « Avis 06/2014 sur la notion d’intérêt légitime poursuivi par le
responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE», -
WP 217- du 9 avril 2014, ci-après « l’avis WP 217 », sur lequel la CNPD se serait fondée,
constituerait une base légale insuffisante, que le RGPD ne serait pas suffisamment clair et
que le principe de prévisibilité de la sanction serait violé ;
- violation par la CNPD de l’article 58 du RGPD, l’appelante remettant en question le choix
de la CNPD de prononcer immédiatement une amende, sans envisager d’alternative moins
contraignante, conformément aux objectifs du RGPD et au principe de proportionnalité, et
reprochant à celle-ci un dépassement de son pouvoir d’appréciation, un détournement de
pouvoirs, voire une violation du principe de proportionnalité ;
- violation par la CNPD de l’article 83 du RGPD, l’appelante affirmant que la décision
litigieuse devrait encourir l’annulation, sinon la réformation sur base du seul constat que la
CNPD n’avait pas apprécié la question d’une négligence dans son chef, contrairement aux
exigences de la jurisprudence récente de la CJUE, et au motif que le tribunal aurait déduit
à tort une négligence à partir du simple constat d’une violation du RGPD ;
- le tribunal aurait commis une erreur en concluant que la CNPD pouvait compléter son
raisonnement ex post et que sa décision était suffisamment motivée, en l’occurrence au
niveau de la question de l’examen de la condition tenant à la vérification d’au moins une
négligence commise par le responsable du traitement des données ;
- le tribunal aurait commis une erreur en concluant que la CNPD s’était conformée à l’article
83 du RGPD en infligeant une amende (i) s’agissant des critères à prendre en compte pour
la fixation de l’amende au regard de l’article 83, paragraphe (2), du RGPD, (ii) au regard
de l’obligation de préciser le montant de l’amende pour la violation la plus grave et de
limiter le montant total de l’amende à ce montant conformément à l’article 83, paragraphe
(3), du RGPD, (iii) s’agissant de l’examen de la proportionnalité, (iv) s’agissant de la prise
en compte du chiffre d’affaires annuel d’(GG) pour le calcul de l’amende et (v) s’agissant
de l’année de référence à prendre en compte pour le calcul de l’amende ;
- le tribunal aurait à tort confirmé le choix de la CNPD de publier la décision, ce en violation
de l’article 52 de la loi du 1er août 2018.
L’appelante est d’avis qu’en raison de ces moyens, soit pris individuellement soit en leur
globalité, le processus décisionnel aurait été entaché d’irrégularités ab initio, qui ne pourraient être
réparées pour avoir enfreint ses droits fondamentaux, de même que le droit européen, de sorte à
conclure principalement, dans le cadre du recours en réformation, à l’annulation de la décision
litigieuse et subsidiairement à sa réformation.
La CNPD conclut au rejet de l’appel.
Avant de procéder à l’examen des moyens présentés à l’appui de l’appel, la Cour est
amenée à préciser quelques lignes directrices guidant en l’espèce son analyse.
10
Il convient de prime abord de rappeler que la Cour est saisie d’un recours en réformation
dans le cadre duquel le juge est amené à apprécier la décision déférée quant à son bien-fondé et à
son opportunité, avec le pouvoir d’y substituer sa propre décision impliquant que cette analyse
s’opère au moment où il est appelé à statuer3.
Ce principe doit toutefois être nuancé en la présente matière, dans laquelle le constat d’un
non-respect du RGPD est susceptible d’aboutir au prononcé d’une amende. En effet, il y a lieu de
faire la distinction entre, d’une part, le constat, en tant que tel, d’une violation du RGPD et la
question de la culpabilité dans le chef du responsable du traitement des données, qui doivent a
priori être examinés au regard de la situation ayant existé au moment où la CNPD a statué, celle-ci
ayant d’ailleurs précisé avoir examiné les pratiques du traitement en vigueur au moment de
l’ouverture de l’enquête, et, d’autre part, la question du choix des mesures à prendre, analyse par
rapport à laquelle l’évolution du dossier par la suite est susceptible d’être prise en compte.
Cet examen est à opérer au regard des moyens présentés par les parties à l’instance, étant
relevé à cet égard que, contrairement à ce qui est avancé par la CNPD dans sa réponse, la Cour ne
limitera pas son analyse aux moyens présentés dans la requête introductive d’instance, la
jurisprudence constante des juridictions administratives permettant de présenter les moyens
nouveaux en cours d’instance, même pour la première fois en instance d’appel. Le respect du
contradictoire est alors garanti par la possibilité conférée à la partie à l’instance qui est confrontée
à un moyen nouveau à un moment où elle a déjà épuisé le nombre de mémoires admissibles, de
solliciter la production d’un mémoire additionnel.
Enfin, la Cour relève qu’elle n’est pas tenue de suivre l’ordre de présentation des moyens,
mais qu’elle les examinera selon la logique dans laquelle ils s’insèrent en les regroupant, par
ailleurs, le cas échéant.
Dans cette logique, elle procèdera d’abord à l’examen des quatre vices de procédure, ainsi
qualifiés par l’appelante. Elle procèdera ensuite à un examen global, d’une part, du bien-fondé du
constat d’un non-respect du RGPD par l’appelante et, d’autre part, de la méthodologie employée
par la CNPD, qui, en substance, est remise en cause par la partie appelante à travers ses moyens
tenant (i) à la question de la vérification d’un des éléments constitutifs du constat d’une violation
du RGPD, à savoir la vérification pour le moins d’une négligence dans le chef du responsable du
traitement des données par rapport aux différentes violations du RGPD ayant été constatées, et (ii)
à celle du choix de la mesure appropriée à prendre au regard des exigences du RGPD telles
qu’interprétées par la jurisprudence de la CJUE et de l’analyse qui est à réaliser à cet égard, le tout
sur la toile de fond des exigences de motivation de la décision et du principe de légalité invoqués
par l’appelante.
3
Cour adm. 19 février 1998, n° 10259 du rôle, Pas. adm. 2024, V° Recours en réformation, n° 16 et les autres
références y citées.
11
1) Quant à la composition de la Formation restreinte de la CNPD
Position des parties à l’instance
La partie appelante est d’avis que le mandat du commissaire (C), en fonction depuis 16 ans
au moment de la prise de la décision de la Formation restreinte de la CNPD, aurait été renouvelé
en 2020 de façon irrégulière, dans la mesure où (i) il aurait été renouvelé pour une troisième fois
et (ii) la durée totale des mandats dépasserait la durée maximale de 12 ans prévue à l’article 17 de
la loi du 1er août 2018.
Par rapport à la lecture faite par les premiers juges de la disposition transitoire prévue à
l’article 74 de la loi du 1er août 2018, elle leur reproche d’avoir fait abstraction des mandats
précédents en invoquant le principe de non-rétroactivité des lois, ce qui irait, par ailleurs, à
l’encontre de l’intention du législateur, qui serait celle de protéger l’indépendance de la CNPD en
limitant la durée des mandats à un maximum de 12 ans.
L’application de l'article 17 de la loi du 1er août 2018 n’invaliderait pas les mandats passés
ou les décisions prises en vertu de la loi antérieure, mais viserait plutôt à empêcher le
renouvellement du mandat des commissaires dont le mandat a déjà été renouvelé auparavant. Une
telle application prospective de la loi serait, contrairement à ce que les premiers juges ont retenu,
tout à fait conforme au principe de non-rétroactivité. A cet égard, l’appelante fait valoir que les
commissaires, n’ayant exercé qu’un seul mandat avant l’entrée en vigueur de ladite loi, pourraient
certes voir leur mandat renouvelé une fois. Cependant, l’article 74 de la loi du 1er août 2018 ne
permettrait pas de retenir que l’adoption de ladite loi ait pour conséquence de « réinitialiser » la
date de début du mandat en cours d’un commissaire. Cette disposition, loin de « remettre à zéro »
les mandats précédents, ferait en sorte que la durée totale du service devra être prise en compte.
Dès lors, le commissaire (C) n’aurait pas été légalement autorisé par la loi du 1er août 2018
à exercer ses fonctions au moment de la décision attaquée.
L’appelante ajoute que si la Cour concluait que la Formation restreinte était régulièrement
constituée, elle donnerait un effet à l’arrêté grand-ducal de nomination du 1er juillet 2020, qui
pourtant violerait une norme de droit supérieur, à savoir la loi du 1er août 2018.
Ces constats devraient amener la Cour à faire application de l’article 102 de la Constitution
par rapport à l’arrêté de nomination dudit commissaire et à annuler la décision de la Formation
retreinte de la CNPD du 15 juillet 2021. En effet, comme la Formation restreinte aurait été
illégalement composée, elle aurait été incompétente pour adopter la décision litigieuse et l’aurait
privée de ses droits procéduraux, sinon subsidiairement la décision litigieuse devrait être
considérée comme n’ayant jamais existé.
La CNPD, pour sa part, estime que ce moyen devrait être déclaré irrecevable pour être en
réalité dirigé contre l’arrêté de nomination et non pas contre sa décision du 15 juillet 2021 faisant
l’objet du recours sous analyse. Pour le surplus, le moyen devrait être rejeté pour les motifs énoncés
par les premiers juges.
12
Analyse de la Cour
Les premiers juges ont correctement cadré le litige par rapport aux articles 17 et 74 de la
loi du 1er août 2018, qui disposent ce qui suit :
Article 17 : « Les membres du collège et membres suppléants sont nommés et révoqués par
le Grand-Duc sur proposition du Conseil de gouvernement. Le président est désigné par le
Grand-Duc. Les membres du collège et membres suppléants sont nommés pour un terme de six
ans, renouvelable une fois. (…) ».
Article 74 : « La durée du mandat des membres du collège et des membres suppléants,
nommés avant l’entrée en vigueur de la présente loi, est calculée à partir de la date de nomination
de leur mandat en cours lors de l’entrée en vigueur de la présente loi. »
Il convient encore de relever qu’en application de l’article 73 de la loi du 1er août 2018, la
CNPD continue la personnalité juridique de la Commission nationale pour la protection des
données créée par la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard
du traitement des données à caractère personnel, ci-après « la loi du 2 août 2002 ».
Les premiers juges ont correctement mis les nominations successives du commissaire (C)
dans leur contexte, en ce qu’ils ont relevé que celui-ci a été nommé en tant que commissaire non
pas sous l’égide de la loi du 1er août 2018, mais sous celle de la loi du 2 août 2002, ayant été
abrogée à travers l’article 73 de la loi du 1er août 2018, et en ce qu’ils ont observé que si, en sa
version initiale, la loi du 2 août 2002 prévoyait une limitation des mandats au nombre de deux,
depuis sa modification à travers la loi du 28 juillet 2011, elle ne prévoyait plus de telle limitation,
l’intention du législateur telle qu’elle se dégage des travaux parlementaires ayant été celle de
« prévoir la possibilité d’un renouvellement répété ».
Les premiers juges ont observé à juste titre que le premier mandat de Monsieur (C), tel
qu’il ressort de l’arrêté de nomination du 7 octobre 2005, n’a eu qu’une durée de trois ans en raison
de la circonstance qu’il a terminé le mandat d’un commissaire démissionnaire.
La Cour constate ensuite, à l’instar des premiers juges, que le deuxième renouvellement du
mandat de Monsieur (C) du 23 octobre 2011 s’est situé sous l’égide de la loi du 2 août 2002 après
suppression légale de la limite du nombre des mandats.
En ce qui concerne le troisième renouvellement du mandat pour une nouvelle durée de
6 ans, opéré par le biais de l’arrêté grand-ducal du 1er juillet 2020, dont l’appelante remet en
question la conformité à la loi du 1er août 2018, qui limitait certes de nouveau le nombre des
mandats des commissaires, les premiers juges se sont à juste titre référés à la disposition transitoire
inscrite à l’article 74, précité, en application de laquelle le début du mandat en cours au moment
de l’entrée en vigueur de la loi du 1er août 2018 est pris en compte pour le calcul de la durée
admissible du mandat. A l’instar des premiers juges, la Cour retient que l’article 17 de la loi du
1er août 2018 n’a pas eu pour effet de limiter, de manière générale, le nombre des mandats des
commissaires à deux ni la durée maximale desdits mandats à 12 ans en prenant en considération
l’ensemble des mandats octroyés avant l’entrée en vigueur de ladite loi, mais qu’il a pour effet de
13
restreindre, pour le futur, le nombre desdits mandats à deux en prenant toutefois en compte,
conformément à l’article 74 de la loi du 1er août 2018, la durée du seul mandat en cours lors de
l’entrée en vigueur de ladite loi.
L’article 74 traduit le choix du législateur de prendre comme référence, pour le calcul de
la limitation de la durée des mandats et du nombre des renouvellements, le seul mandat en cours
au moment de l’entrée en vigueur de la loi du 1er août 2018, à l’exclusion des mandats antérieurs
conférés en application des législations respectives antérieures.
Cette analyse est confirmée par le commentaire de l’article 64 du projet de loi, devenu
l’article 74 de la loi du 1er août 2018, qui énonce ce qui suit : « Cet article précise que les membres
du collège, nommés avant l’entrée en vigueur de la présente loi, continuent leur mandat jusqu’à
expiration de celui-ci, ce mandat sera pris en compte pour le renouvellement. Ils tomberont ensuite
sous la procédure de l’article 20 de la présente loi4 »5.
Le 1er juillet 2020, le mandat de Monsieur (C) a dès lors valablement pu être renouvelé,
sans que l’arrêté de nomination se heurte à la limite de la durée des mandats et du nombre des
renouvellements inscrits à l’article 17 de la loi du 1er août 2018.
Dès lors, indépendamment de la question de savoir si l’exception d’illégalité de l’arrêté
de nomination du 1er juillet 2020 - que l’appelante a pu soulever sur le fondement de l’article 102
de la Constitution - aurait pu, si elle avait été accueillie, entraîner l’annulation de la décision de la
Formation restreinte de la CNPD du 15 juillet 2021, telle que sollicitée par l’appelante, en tout état
de cause le moyen basé sur la composition irrégulière de la CNPD a, à juste titre, été rejeté par le
tribunal, le mandat de Monsieur (C) ayant valablement été renouvelé le 1er juillet 2020.
2) Quant au moyen basé sur une violation du principe d’impartialité
Position des parties à l’instance
L’appelante reproche aux premiers juges de ne pas avoir accueilli son moyen basé sur une
violation du principe d’impartialité et insiste sur la considération que la CNPD aurait dû présenter
certaines garanties d’impartialité au motif qu’en tant qu’administration indépendante, elle serait
dotée de larges pouvoirs d’enquête et de pouvoirs la conduisant à prononcer des sanctions de nature
pénale, l’appelante renvoyant, à cet égard, à des jurisprudences de la Cour administrative rendues
à propos de la Commission de surveillance du secteur financier, ci-après la « CSSF ». Si dans son
acte d’appel, elle insiste sur la considération que le principe d’impartialité devrait jouer en raison
du fait que les sanctions prononcées par la CNPD seraient de nature pénale, au regard des critères
dits ENGEL découlant de la jurisprudence de la Cour européenne des Droits de l’Homme, ci-après
la « CourEDH »6, dans sa réplique, l’appelante estime dorénavant que le respect du principe
d’impartialité s’imposerait indépendamment de la qualification pénale de la sanction prononcée
4
Souligné par la Cour.
5
Le premier alinéa de l’article 20 du projet de loi auquel il est renvoyé correspond à l’alinéa 1 er de l’article 17 actuel
de la loi du 1er août 2018, limitant la durée d’un mandat à 6 ans et le nombre de renouvellements à deux.
6
CourEDH 8 juin 1976, affaire ENGEL et autres c. Pays-Bas (Requêtes n° 5100/71 ; 5101/71; 5102/71; 5354/72;
5370/72).
14
par la CNPD et de l’applicabilité de l’article 6 de la CEDH, mais sur base du principe général de
bonne administration.
Elle estime que, d’un point de vue structurel, la CNPD ne présenterait pas les garanties
minimales d’impartialité dans la mesure où l’article 3 du règlement relatif à la procédure d’enquête
de la CNPD, adopté le 22 janvier 2020, ci-après « le Règlement de procédure », ne garantirait pas
de séparation suffisante entre les organes de poursuite, d’enquête et de jugement.
En l’occurrence, lorsque les commissaires décident d’ouvrir une enquête, l’un d’entre eux
serait nommé chef d’enquête et participerait ainsi à la décision menant à sa propre nomination. Par
ailleurs, un commissaire serait désigné tantôt chef d’enquête tantôt serait membre de la Formation
restreinte, de sorte qu’un même commissaire devrait exercer parallèlement des fonctions d’enquête
et de décision dans différentes affaires, sans qu’une séparation organique entre ces différentes
fonctions n’existe ou ne soit visible au sein de la CNPD, impliquant un risque d’influence
réciproque, sans contrôle externe.
En outre, le chef d’enquête désigné en l’espèce entretiendrait nécessairement des relations
étroites avec la Formation restreinte. Comme, dans d’autres affaires, il siégerait au sein de la
Formation restreinte avec les commissaires qui, dans la présente affaire, examinent les résultats de
son enquête, les membres de la Formation restreinte se trouveraient dans une position délicate.
Cette confusion des rôles affecterait l’indépendance des commissaires. Le
« chevauchement » des fonctions au sein d’un organe collégial signifierait que les commissaires
pourraient être influencés, consciemment ou inconsciemment.
De plus, dans la présente affaire, le chef d’enquête aurait effectivement participé à la
décision par le fait d’avoir recommandé des sanctions spécifiques et des mesures correctrices, alors
même qu’il n’était pas tenu de le faire en vertu de l'article 8, paragraphe (3), du Règlement de
procédure.
L’appelante insiste ensuite sur la considération que, contrairement à la conclusion du
tribunal, la CNPD devrait bien présenter des garanties suffisantes d’impartialité.
Selon elle, le tribunal aurait dû tenir compte du fait qu’en vertu du principe général de
bonne administration, les autorités administratives qui infligent des sanctions administratives
devraient respecter des garanties minimales d’impartialité, ce qui impliquerait que la structure de
l’autorité elle-même soit telle qu’elle dissipe d’emblée tout doute raisonnable quant à une
éventuelle impartialité, tout en relevant qu’une certaine indépendance de l’autorité ne serait pas
synonyme d’impartialité. Elle critique les premiers juges pour avoir tiré des parallèles avec le
Conseil de discipline des fonctionnaires et la CSSF, alors que la CNPD serait un établissement
public « indépendant » en vertu de l’article 3 de la loi du 1er août 2018, qui, en tant que tel, serait
soumis à un devoir d’impartialité supérieur, de sorte à ne pas être comparable au Conseil de
discipline ou à la CSSF. En outre, la soumission de la CNPD au principe d’impartialité découlerait
de l’intention du législateur, tel que cela ressortirait des travaux parlementaires à la base de la loi
du 1er août 2018. Enfin, l’appelante se prévaut de la pratique d’autres autorités de contrôle.
15
La CNPD ne serait pas fondée à affirmer que la loi du 1er août 2018 offrirait des garanties
adéquates d’impartialité au motif qu’elle prévoit que le chef d’enquête ne peut pas siéger au sein
de la Formation restreinte et que les membres de celle-ci ne participent pas à l’enquête, puisqu’en
réalité, tous les commissaires participeraient à la décision d’ouvrir une enquête, ce qui impliquerait
nécessairement une évaluation des faits sous-jacents. Les dispositions de la loi du 1er août 2018
n’offriraient dès lors pas une véritable séparation institutionnelle ou fonctionnelle.
D’autre part, contrairement à ce qui a été retenu par les premiers juges, un manque
d’impartialité ne pourrait être corrigé par l’existence d’un double degré de juridiction dans la
mesure où l’existence d’un recours contentieux ne saurait justifier qu’un administré puisse être
privé de garanties d’impartialité face à une autorité administrative disposant de pouvoirs
d’investigation intrusifs et pouvant imposer de sévères sanctions. Il ne saurait être admis que les
administrés soient obligés systématiquement à faire appel aux tribunaux pour obtenir un traitement
de leur cas dans le respect de garanties minimales d’impartialité. Par rapport à l’arrêt du 4 mars
2014 de la CourEDH, invoqué par les premiers juges et rendu à propos de l’article 6,
paragraphe (1), de la CEDH7, ci-après « l’arrêt GRANDE STEVENS », l’appelante fait valoir,
d’une part, que cette jurisprudence ne serait pas transposable puisque son moyen s’appuierait sur
des principes généraux du droit indépendamment de l’applicabilité de l’article 6 de la CEDH et,
d’autre part, que face aux connaissances techniques approfondies et aux pouvoirs d’enquête
étendus de la CNPD, il serait illusoire qu’un organe judiciaire puisse effectivement exercer un
contrôle judiciaire complet et remédier à toutes les occurrences possibles de partialité, la
complexité et la technicité des enquêtes en matière de protection des données faisant, d’après
l’appelante, que la juridiction de contrôle serait souvent dépendante du dossier factuel et de
l’analyse produite par la CNPD, l’appelante affirmant, par ailleurs, que l’approche adoptée par le
tribunal en première instance et critiquée par elle dans son acte d’appel démontrerait qu’un tel
contrôle de pleine juridiction n’aurait pas eu lieu en pratique. Ce déséquilibre en matière d’enquête
ne pourrait pas être neutralisé par un examen basé sur le dossier, surtout lorsque le tribunal serait
limité par le temps et les ressources, de sorte que la seule façon de garantir les droits de la défense
de l’administré serait de garantir l’impartialité de l’autorité elle-même. Cela serait d’autant plus
problématique que les autorités de régulation comme la CNPD n’agiraient pas seulement en tant
qu’enquêteurs et juges, mais créeraient également les règles qu’elles appliquent.
La CNPD conclut au rejet du moyen et à la confirmation du jugement a quo sur ce point.
Analyse de la Cour
La Cour observe de prime abord que si en première instance, l’appelante a basé son moyen
fondé sur un manque d’impartialité sur l’article 6 de la CEDH et si, par suite, le tribunal a examiné
ledit moyen par rapport à cette disposition et s’est penché sur la question de savoir si, au regard
des critères dits ENGEL découlant de la jurisprudence de la CourEDH, l’astreinte et l’amende
susceptibles d’être prononcées par la CNPD sont des sanctions de nature pénale, selon le dernier
état de ses conclusions, l’appelante base son argumentation sur le principe général de bonne
administration.
7
CourEDH 4 mars 2024, affaire GRANDE STEVENS et autres c/ Italie, (notamment requête n° 18640/10), ci-après
« l’Affaire GRANDE STEVENS ».
16
A l’instar des premiers juges, la Cour observe que la CNPD, en droit national, constitue
non pas une juridiction, mais, conformément à l’article 3 de la loi du 1er août 2018, « un
établissement public indépendant doté de la personnalité juridique. ».
La Cour relève ensuite qu’indépendamment de la question de l’applicabilité de l’article 6,
paragraphe (1), de la CEDH et de celle de savoir si l’astreinte ou l’amende que la CNPD peut
prononcer constituent des sanctions à caractère pénal, à l’instar de ce que la jurisprudence
administrative retient par rapport au Conseil de discipline des fonctionnaires8 et à la CSSF9,
parallèle que les premiers juges ont aussi opéré à juste titre, la CNPD, lorsqu’elle est amenée à
instruire un dossier suite à une réclamation et par suite à statuer sur celle-ci à travers une décision
susceptible d’aboutir au prononcé d’une amende administrative, n’est en tout état de cause pas
dispensée de respecter durant la phase administrative un certain nombre de principes généraux du
droit. Parmi ceux-ci figure, outre le principe d’une procédure équitable, comprenant le respect du
contradictoire, qui est garanti par les dispositions de l’article 9 du règlement grand-ducal du 8 juin
1979 relatif à la procédure à suivre par les administrations relevant de l’Etat et des communes,
ci-après « le règlement grand-ducal du 8 juin 1979 », le respect de garanties minimales
d’impartialité et ce bien que la CNPD ne corresponde pas, selon le droit luxembourgeois, à une
instance juridictionnelle, cette exigence découlant en l’occurrence du principe général d’une
bonne administration qui sous-tend toute la réglementation en matière de procédure administrative
non-contentieuse telle qu’introduite à travers la loi du 1er décembre 1978 réglant la procédure
administrative non contentieuse, ci-après « la loi du 1er décembre 1978 » et le règlement
grand-ducal du 8 juin 1979.
Toutefois, et tel que les premiers juges l’ont en substance rappelé, dans la mesure où le
système instauré en la présente matière est tel qu’en toute occurrence un double degré de
juridiction se trouve ouvert devant les juridictions administratives pour faire examiner en fait et
en droit la décision ayant prononcé la sanction administrative - l’article 55 de la loi du 1er août
2018 prévoyant « [u]n recours contre les décisions de la CNPD prises en application de la
présente loi est ouvert devant le Tribunal administratif qui statue comme juge du fond. » -,
l’application du principe d’impartialité aux organes administratifs agissant au niveau
précontentieux ne peut se concevoir avec la même rigueur que pour les magistrats10.
La Cour retient ensuite que l’impartialité recouvre, d’une part, l’impartialité subjective, en
ce sens qu’aucun membre de l’entité concernée qui est en charge de l’affaire ne doit manifester de
parti pris ou de préjugé personnel et, d’autre part, l’impartialité objective, en ce sens que l’entité
doit offrir des garanties suffisantes pour exclure à cet égard tout doute légitime11.
8
Cour adm. 15 décembre 2011, n° 28984C du rôle ; Cour adm. 18 décembre 2025, n° 53171C du rôle.
9
Cour adm. 27 juin 2024, n° 49886C du rôle.
10
Cour adm. 19 juillet 2023, n° 48647C du rôle, Pas. adm. 2024 V° Procédure administrative non contentieuse, n°
152 ; par analogie en matière de discipline : Cour adm. 17 décembre 2009, n° 25839C du rôle, Pas. adm 2024, V°
Fonction publique, n° 298, rappelé dans les arrêts du 25 février 2021, n° 45262C du rôle, du 10 novembre 2022, n°
47475C du rôle, et 23 août 2023, n° 47837C du rôle.
11
Par analogie à la jurisprudence de la CJUE à propos des exigences découlant de l’article 41 de la Charte, applicable
aux seules institutions organes et organismes de l’Union, au sujet de mesures prises par la Commission européenne en
matière de concurrence : CJUE 11 juillet 2013, ZIEGLER c/ Commission, C‑439/11 P, rappelé dans l’arrêt de la CJUE
du 12 janvier 2023, affaire HSBC, point 77.
17
En l’espèce, force est de prime abord de retenir que la partie appelante reste en défaut
d’établir une quelconque partialité subjective au niveau de la CNPD, étant relevé qu’à part le
reproche que le chef d’enquête aurait pris part à la décision en ce qu’il aurait recommandé des
mesures à prendre par la Formation restreinte, l’appelante critique essentiellement le
fonctionnement de la CNPD d’un point de vue structurel et partant son impartialité objective.
Le reproche à l’adresse du chef d’enquête tenant à la recommandation de mesures à
prendre par la CNPD est à rejeter dans la mesure où les positions prises par lui à travers la
communication des griefs ne lient pas la CNPD, celle-ci ayant, en effet, fait une appréciation
propre, tel que cela se dégage à suffisance de la motivation de sa décision, et n’a plus
particulièrement pas suivi le chef d’enquête en ce qui concerne l’amende finalement prononcée
qui est supérieure à celle préconisée dans la communication des griefs, cette circonstance étant
d’ailleurs un des points de critique de l’appelante.
D’un point de vue organisationnel, la Cour relève l’existence de garanties nécessaires
prévues par la loi du 1er août 2018, sous-tendant l’impartialité de la CNPD conformément aux
requis circonscrits ci-avant par rapport à un organe agissant au niveau de la phase administrative
précontentieuse.
Ainsi, il convient de relever le statut juridique d’établissement public indépendant de la
CNPD disposant d’une autonomie administrative et financière, telle que consacrée à l’article 3 de
la loi du 1er août 2018. L’article 17 de la même loi consacre expressément l’indépendance des
membres effectifs et suppléants de la CNPD dans l’exercice de leurs missions et pouvoirs, en
précisant qu’ils « demeurent libres de toute influence extérieure, qu'elle soit directe ou indirecte,
et ne sollicitent ni n'acceptent d'instructions de quiconque », l’article 19 de la même loi prévoyant,
par ailleurs, la prestation du serment dont la formule se réfère expressément à l’obligation
d’impartialité.
La Cour observe en outre que la loi du 1er août 2018 opère une séparation entre (i) la
fonction d’enquête, dévolue au chef d’enquête, qui doit, en vertu de l’article 38, alinéa 2, de la loi
du 1er août 2018, enquêter à charge et à décharge, et qui, en vertu de l’article 41 de la même loi,
ne peut ni siéger ni délibérer lorsque le collège décide sur l’issue de l’enquête et (ii) la fonction de
prise de décision qui est dévolue à la Formation restreinte de la CNPD, à laquelle ne peut donc pas
participer le chef d’enquête.
La Cour relève encore l’article 35 de la même loi qui interdit à tout membre du collège de
« siéger, délibérer ou décider dans une affaire dans laquelle il a un intérêt direct ou indirect ».
La seule circonstance que le collège des commissaires décide de l’ouverture d’une enquête
conformément à l’article 38, alinéa 1er, de la loi du 1er août 2018 et charge ensuite un de ses
membres de l’enquête n’est pas de nature à remettre en doute l’impartialité de la CNPD lorsqu’elle
prend sa décision à la suite de l’enquête, dans la mesure où, en tout état de cause, la séparation
entre l’enquêteur et l’organe décisionnel est garantie. La même conclusion s’impose par rapport
aux risques de tension entre les commissaires que l’appelante craint en raison de la participation
successive, en fonction des affaires, d’un commissaire à l’enquête et à la formation de décision.
18
Au-delà de ces constats, la Cour observe que les contestations de l’appelante relatives au
requis d’impartialité ne peuvent en tout état de cause pas conduire à l’annulation de la décision
telle qu’elle le sollicite.
En effet, la Cour rejoint entièrement l’analyse faite par les premiers juges, fondée sur la
jurisprudence de la CourEDH dans son arrêt GRANDE STEVENS, rendu à propos de l’article 6,
paragraphe (1), de la CEDH12, et ayant suivi l’analyse que la Cour a opérée par rapport à des
reproches similaires adressés à la CSSF en sa qualité d’autorité de contrôle ayant prononcé une
sanction administrative13, et qui a abouti à la conclusion qu’un éventuel non-respect du principe
d’impartialité au cours de la procédure administrative au niveau de l’organisation d’une autorité
administrative ayant prononcé une sanction administrative, que ce soit au regard de dispositions
supranationales ou que ce soit en tant que principe général du droit, n’implique, en tout état de
cause, pas l’annulation de la décision ayant prononcé la ou les sanctions litigieuses, mais il importe
de vérifier si l’appelante a eu in fine à sa disposition un recours juridictionnel répondant aux
conditions de l’article 6, paragraphe (1), de la CEDH, voire au principe d’impartialité en tant que
principe général du droit.
Autrement dit, il convient de prendre en compte l’ensemble de la procédure ayant abouti à
la sanction administrative critiquée, les premiers juges ayant, à cet égard, relevé à juste titre que
l’arrêt GRANDE STEVENS se trouve dans la lignée de la jurisprudence de la CourEDH, de même
que de celle de la CJUE, qui contrôlent le respect de l’article 6 de la CEDH non pas de façon
isolée, mais par rapport à la procédure dans son ensemble, y compris le volet contentieux14.
Pour arriver à cette conclusion, les premiers juges ont à juste titre relevé que la CNPD ne
correspond pas, selon le droit luxembourgeois, à une instance juridictionnelle et ne doit d’ailleurs
pas l’être dans la mesure où, même à supposer que les sanctions qu’elle prononce aient un
caractère pénal, de toute façon la CourEDH a décidé, dans l’arrêt GRANDE STEVENS, que, dans
une telle hypothèse, rien ne s’oppose à ce qu’une sanction administrative soit prononcée par une
autorité administrative du moment que l’administré auquel la sanction est appliquée dispose d’un
recours contentieux devant un tribunal répondant aux conditions de l’article 6, paragraphe (1), de
la CEDH.
En effet, la CourEDH a retenu, après avoir constaté que les sanctions litigieuses, dans
l’affaire dont elle était saisie, n’avaient pas été infligées par un juge à l’issue d’une procédure
judiciaire contradictoire, mais par une autorité administrative, que le fait de confier à de telles
autorités la tâche de poursuivre et de réprimer les contraventions n’est pas incompatible avec la
CEDH, à condition que l’administré ait le droit de saisir de toute décision prise à son encontre un
tribunal offrant les garanties de l’article 6 de la CEDH15. La CourEDH en a conclu que le respect
de l’article 6, paragraphe (1), de la CEDH n’excluait donc pas que dans une procédure de nature
administrative, une « peine » soit imposée d’abord par une autorité administrative, mais qu’il
12
Affaire GRANDE STEVENS, points 138 et 139.
13
Cour adm. 19 juillet 2023, n° 48647C du rôle, Pas. Adm. 2024 V° Procédure administrative non contentieuse, n°
152 ; Cour adm. 27 juin 2024, n° 49889C du rôle.
14
CourEDH 21 février 1984, ÖZTÜRK c. Allemagne, requête n° 8544/79, point n° 56 ; CourEDH, 29 octobre 2009,
CHAUDET c. France, requête n° 49037/06, points 36-38 ; TUE, 9 septembre 2010, Marta Andreasen c. Commission
Européenne (T-17/08 P).
15
Affaire GRANDE STEVENS, point 138.
19
faudrait cependant que la décision d’une autorité administrative ne remplissant pas elle-même les
conditions de l’article 6, précité, subisse le contrôle ultérieur d’un organe judiciaire de pleine
juridiction ayant, en l’occurrence, le pouvoir de réformer en tous points, en fait et en droit, la
décision entreprise16.
En l’occurrence, dans cette même affaire, concernant une situation dans laquelle l’article 6,
paragraphe (1), de la CEDH a trouvé application, la CourEDH a observé que les constats faits par
elle quant à un manque d’impartialité objective dans le chef la Commission nationale des sociétés
et de la bourse italienne en raison de l’exercice consécutif de fonctions d’enquête et de jugement
au sein d’une même institution, étaient, à eux seuls, insuffisants pour conclure à une violation de
l’article 6, paragraphe (1), de la CEDH, mais elle a examiné l’existence d’un contrôle ultérieur par
un organe judiciaire de pleine juridiction17.
Il s’ensuit que conformément aux enseignements à tirer de l’arrêt précité de la CourEDH,
la circonstance qu’une autorité administrative ayant prononcé une sanction administrative et qui,
le cas échéant, ne répond pas elle-même à toutes les conditions de l’article 6, paragraphe (1), de
la CEDH n’est pas incompatible avec le respect de cette disposition du moment qu’un contrôle
ultérieur a pu être fait par un organe judiciaire de pleine juridiction.
Cette solution dégagée par la CourEDH par rapport aux requis de l’article 6,
paragraphe (1), de la CEDH est nécessairement transposable par rapport au principe d’impartialité
en tant que principe général du droit.
Les premiers juges ont dès lors à bon escient relevé que, dans la mesure où l’appelante
dispose, dans la présente matière, d’un double degré de juridiction devant les juridictions
administratives statuant au fond, à savoir devant le tribunal administratif et devant la Cour
administrative, qui, en tant que juridictions, répondent aux exigences d’impartialité, en ce qu’ils
sont investis tous les deux d’un pouvoir de pleine juridiction en application de l’article 55 de la
loi du 1er août 2018 et partant chargés non seulement d’un contrôle de légalité de la décision ayant
prononcé la sanction administrative, mais pouvant aussi se substituer à l’administration à travers
une nouvelle appréciation en fait et en droit, l’appelante a pu porter les reproches soulevés à son
égard et tenant au non-respect des dispositions du RGPD devant un tribunal indépendant et
impartial à la suite d’une procédure administrative.
Il s’ensuit que les critiques d’ordre structurel et fonctionnel à l’adresse de la CNPD telles
que formulées par l’appelante ne sont en tout état de cause pas de nature à emporter l’annulation
ou la réformation de la décision litigieuse, et ce indépendamment de la question du caractère
justifié de ces reproches, un vice éventuel au niveau du requis d’impartialité pouvant être purgé
par les juridictions administratives statuant dans le cadre d’un recours de pleine juridiction, en ce
qu’elles ont le pouvoir de revoir la décision en fait et en droit lorsqu’elle n’a pas été prise dans le
respect des requis d’impartialité.
Cette conclusion n’est pas énervée par la considération avancée par l’appelante, basée en
substance sur le postulat que les juridictions administratives seraient moins bien outillées que la
16
Idem, points 139 et 161.
17
Ibidem, point 139.
20
CNPD au regard des pouvoirs d’enquête de celle-ci, de sorte à devoir se baser essentiellement sur
le dossier d’enquête. Indépendamment de la question du bien-fondé de ce postulat, la Cour observe
que cette analyse non seulement se heurte à la jurisprudence précitée de la CourEDH, mais qu’en
tout état de cause, l’appelante reste en défaut de faire état d’un vice concret affectant le dossier
d’instruction tenant à un problème d’impartialité structurelle de la CNPD ayant conduit à une
mauvaise appréciation au niveau précontentieux, que les juridictions administratives ne seraient
pas en mesure de réparer, l’appelante se bornant, en effet, essentiellement à invoquer de façon
abstraite des reproches d’ordre structurel à l’égard de la CNPD tenant à des échanges potentiels
entre les différents commissaires vu les différentes missions qu’ils sont amenés à exercer en
fonction des dossiers et au fait que la CNPD a aussi le pouvoir d’émettre des lignes directrices.
Le moyen afférent est partant à rejeter et le jugement à confirmer sur ce point.
3) Quant au moyen basé sur un élargissement du périmètre de l’enquête
Position des parties à l’instance
L’appelante reproche aux premiers juges de ne pas avoir accueilli son moyen basé sur une
extension irrégulière du périmètre de l’enquête, qui, selon elle, se serait limité, d’après le
procès-verbal de la séance plénière de la CNPD du 5 avril 2019, à deux points, à savoir (i) la
question de la base légale de son traitement des données à caractère personnel à des fins de PBI et
(ii) celle du respect de ses obligations légales en matière de cookies telles qu’elles se dégagent de
l’article 5, paragraphe (3), de la Directive 2002/58/CE du Parlement européen et du Conseil du
12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie
privée dans le secteur des communications électroniques, ci-après « la Directive vie privée et
communications électroniques », transposé par l’article 4, paragraphe (3), point (e), de la loi du
30 mai 2005, alors qu’en fin de compte, la CNPD aurait, en outre, retenu une violation de
l’obligation de transparence, des droits d’accès, de rectification et d’effacement des données
personnelles au sens des articles 12 à 17 et 21 du RGPD. Cette façon de procéder constituerait une
violation des articles 2 et 7 du Règlement de procédure, qui imposeraient à la CNPD d’établir
l’objet de toute enquête dans une décision d’ouverture de celle-ci et au chef d’enquête d’établir
l’objet de l’enquête dans son ordre de mission, de même que de son droit à un procès équitable.
Elle fait valoir que bien que l’objet de l’enquête ait été cadré par rapport à deux points par
la décision de la CNPD d’ouvrir une enquête, tel que cela ressortirait du procès-verbal de la séance
plénière de la CNPD du 5 avril 2019, (i) le questionnaire initial joint à la lettre de notification de
l’ouverture de l’enquête aurait englobé des questions relatives au respect des articles 15 (droit
d’accès aux données) et 21 du RGPD (droit d’opposition), (ii) lors d’une réunion du 17 juillet
2019, des questions sur le respect du droit à l’effacement prévu à l’article 17 du RGPD auraient
été soulevées pour la première fois, (iii) le résumé des faits du 17 février 2020 décrirait de manière
ambiguë le périmètre de l’enquête en suggérant que la base légale et les cookies ne seraient pas les
seuls sujets, (iv) la Communication des griefs présenterait de manière similaire le périmètre de
l’enquête, en se référant aux obligations de transparence et aux droits d’accès, de rectification et
d’effacement dans des sections distinctes de celle relative à la base légale du traitement des
données et en recommandant des mesures correctrices non seulement par rapport à la question de
la base légale valable pour le traitement des données en vertu de l’article 6 du RGPD et des
21
exigences relatives à l’utilisation des cookies en vertu de l’article 5, paragraphe (3), de la Directive
vie privée et communications électroniques, mais également en ce qui concerne les articles 12 à
17 et 21 du RGPD. La décision de la CNPD aurait aussi, par extension du périmètre de l’enquête,
imposé des mesures correctrices en ce qui concerne les obligations découlant de ces mêmes
dispositions.
Or, comme conformément aux articles 2 et 3 du Règlement de procédure, l’objet d’une
enquête serait à définir dans la décision d’ouverture de l’enquête, en vertu du principe du
parallélisme des formes, toute modification devrait faire l’objet d’une nouvelle décision de la
CNPD et ne pourrait être décidée unilatéralement par le chef d’enquête.
Sans remettre en question le droit pour la CNPD d’étendre le champ de l’enquête,
l’appelante estime qu’elle aurait dû le faire à travers une nouvelle décision prise en séance plénière.
A défaut, l’enquête et la décision n’auraient pas pu inclure l’examen du respect des exigences du
RGPD en matière de transparence et de droits des personnes concernées, de sorte que l’enquête
spécifique de la CNPD sur le respect de ces obligations serait illégale. A titre plus subsidiaire, à
admettre que le respect des exigences en matière de transparence et des droits des personnes
concernées ait été pertinent pour l’appréciation de la base légale, l’absence d’une décision
spécifique prise conformément aux articles 2 et 7 du Règlement de procédure rendrait illégale le
volet de l’enquête portant sur le respect de ces mêmes obligations. L’évaluation du respect de ces
aspects particuliers du RGPD aurait dès lors dû se limiter à ce qui est nécessaire pour évaluer la
validité de la base légale et la conformité aux réglementations relatives aux cookies, et non mener
à une évaluation complète du respect de chacune de ces dispositions prises individuellement. Plus
subsidiairement encore, à suivre l’approche du tribunal ayant arrêté son analyse au constat que la
deuxième étape du test de mise en balance n’était pas concluante, il n’y aurait aucune justification
de procéder à l’examen du respect des articles 12 à 17 et 21 du RGPD, une telle appréciation
n’étant pertinente qu’au cours de la troisième étape du test de mise en balance.
Selon le dispositif de la requête d’appel, l’appelante demande à la Cour d’annuler la
décision litigieuse dans le cadre du recours en réformation pour « violation des droits de la défense,
du droit à un procès équitable et violation du Règlement de Procédure de la CNPD ».
Elle insiste dans sa réplique sur le non-respect du Règlement de procédure à défaut de
nouvelle décision de la formation plénière pour étendre le périmètre de l’enquête et affirme que la
jurisprudence communautaire en matière de concurrence invoquée par la CNPD ne serait pas
pertinente par rapport à cette irrégularité de forme dont elle se prévaut.
Elle insiste encore sur le libellé de l’ordre de mission et réfute l’affirmation de la CNPD
que la question du respect des articles 12 à 17 et 21 du RGPD était logiquement comprise dans le
périmètre de l’enquête dans la mesure où l’analyse du respect de ces dispositions aurait été
pertinente afin de déterminer si elle avait disposé d’une base légale valide en vertu de l’article 6,
paragraphe (1), alinéa 1er, point f), du RGPD.
Au sujet de l’avis WP 217, invoqué par la CNPD, l’appelante fait valoir que le respect des
« obligations générales » y mentionné serait pertinent pour l’évaluation des intérêts légitimes,
mais n’indiquerait pas qu’il serait requis d’examiner si un responsable du traitement satisfait à
22
chaque élément individuel des exigences distinctes et spécifiques prévues aux articles 12 à 17 et
21 du RGPD.
Par ailleurs, les nouvelles lignes directrices publiées par le Comité européen de la
protection des données, ci-après le « CEPD », ayant remplacé le G29 lors de l’entrée en vigueur
du RGPD, confirmeraient que le respect des articles 12 à 17 et 21 du RGPD ne conditionne pas la
mise en balance des intérêts légitimes. Le CEPD indiquerait, en effet, expressément dans ses lignes
directrices 8/2020 sur le ciblage des utilisateurs des médias sociaux que « le respect des obligations
d’information conformément aux articles 13 et 14 du RGPD et la pesée des intérêts à réaliser
conformément à l'article 6, paragraphe 1, point f), du RGPD sont deux ensembles d’obligations
différents ». De même, dans son récent projet de lignes directrices 1/2024 sur le traitement des
données à caractère personnel basé sur l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD, le
CEPD indiquerait que le test de mise en balance « présuppose que le responsable du traitement
respecte déjà les principes et obligations énoncés dans le RGPD », l’appelante donnant à
considérer qu’au stade de la mise en balance des intérêts légitimes, on ne pourrait que présupposer
que le responsable du traitement respectera les droits des personnes concernées parce que ces droits
relèveraient d’une obligation légale distincte.
En outre, le respect des articles 15 à 17 et 21 du RGPD serait distinct de l’évaluation des
intérêts légitimes, puisqu’ils ne créeraient des obligations pour les responsables du traitement que
lorsqu'une personne concernée fait une demande, qui nécessairement ne serait faite qu’une fois
que le traitement des données a été opéré et partant après l’évaluation des intérêts légitimes par le
responsable du traitement.
L’appelante fait ensuite valoir que les autres autorités de contrôle n’auraient pas la même
approche que la CNPD, en invoquant une décision de la CNIL française ayant examiné la question
de la validité de la base légale de l’intérêt légitime sans passer par un examen du respect des articles
15 à 17 et 21 du RGPD. La Cour fédérale allemande aurait adopté une approche identique.
Dès lors, l’évaluation large du respect des articles 15 à 17 et 21 du RGPD, telle qu’opérée
en l’espèce, serait allée au-delà de ce qui était nécessaire pour apprécier la validité de la base légale
pour son traitement des données à caractère personnel et sa conformité à la réglementation relative
aux cookies, ce qui serait illustré par la reformulation du périmètre de l’enquête par le résumé des
faits du 17 février 2020 et par la communication des griefs.
La CNPD conclut au rejet de ce moyen (i) en se prévalant de la théorie de l’estoppel, en
affirmant (ii) qu’elle était saisie des faits et non pas de leur qualification juridique, (iii) qu’elle était
saisie de manière plus générale du contrôle du traitement des données à caractère personnel à des
fins de PBI et de sa conformité au RGPD et que la base légale et l’utilisation de cookies n’en
étaient que les deux volets principaux, (iv) que le respect des articles 12 à 17 et 21 du RGPD était
logiquement compris dans le périmètre de l’enquête puisque leur contrôle entrerait en ligne de
compte au niveau de la balance des intérêts au titre de l’article 6, paragraphe (1), alinéa 1er, point f),
du RGPD et (v) qu’une extension du périmètre de l’enquête était de toute façon licite.
23
Analyse de la Cour
La Cour retient de prime abord que la CNPD invoque à juste titre, du moins en une certaine
mesure, le principe de l’estoppel, une fin de non-recevoir fondée sur l’interdiction de se contredire
au détriment d’autrui, autrement qualifiée d’exception d’indignité ou de principe de cohérence
(« non concedit venire contra factum proprium »), ce principe s’opposant à ce qu’une partie puisse
invoquer une argumentation contraire à celle qu’elle a avancée auparavant et trouvant à s’appliquer
si une contradiction apparaît dans les prétentions et actions d’une partie18.
La Cour note, en effet, une approche contradictoire de l’appelante par rapport à certaines
violations du RGPD retenues par la CNPD. Du moins la question du respect des articles 12 à 15
et 17 du RGPD a été clairement thématisée dans la communication des griefs19 et l’appelante, à
travers sa prise de position du 20 août 2020, s’était positionnée par rapport aux reproches soulevés
par le chef d’enquête à cet égard20, sans toutefois soulever le vice de procédure dont elle fait
actuellement état, à savoir le défaut de prise de décision formelle par la CNPD sur une extension
du périmètre de l’enquête, ou encore, de façon plus générale, une atteinte à ses droits de la défense.
En ayant ainsi participé à l’enquête sans formuler une quelconque réserve, tout en
n’invoquant une prétendue irrégularité à ce niveau qu’une fois la décision prise, l’appelante fait
preuve d’une attitude incohérente et contradictoire, violant l’exigence de bonne foi entre parties,
jouant tant au niveau précontentieux que contentieux, attitude qui l’empêche d’invoquer un
dépassement du périmètre de l’enquête au stade contentieux, du moins par rapport aux violations
des articles 12 à 15 et 17 du RGPD.
En revanche, cette conclusion ne saurait être retenue par rapport aux articles 16 et 21 du
RGPD.
L’appelante a, en effet, manifesté dès la phase précontentieuse son opposition à l’inclusion
de l’article 16 du RGPD dans l’analyse. Aux points 145 et 180 de sa réponse à la communication
des griefs, elle a ainsi exposé ce qui suit : « La présente enquête n’a pas porté sur les pratiques
d’(AA) en matière de rectification. La CDG allègue donc des faits sur cette question qui n’ont
aucun fondement dans l’exposé des faits ou dans l’enquête sous-jacente », « Ce droit [le droit de
rectification] n’a pas fait l’objet des questions de la CNPD à (AA) et (AA) ne l’a pas non plus
abordé dans sa réponse aux questions. Il ne fait pas non plus partie du Résumé des Faits qui
sous-tend cette enquête. En raison de cette omission, la CDG ne dispose d’aucune preuve sur
laquelle fonder une conclusion concernant le respect par (AA) de l’article 16. Si le chef d’enquête
nous avait posé des questions sur nos pratiques de rectification, nous lui aurions fourni des
informations pertinentes, comme nous l’avons fait tout au long de cette enquête sur tous les autres
sujets examinés par la CNPD. »
Le même constat s’impose par rapport à l’article 21 du RGPD. Si le rapport d’audit a
examiné la question du mécanisme d’opt-out mis en œuvre par l’appelante à l’époque, il l’a fait de
18
En ce sens Cour adm. 15 octobre 2020, n° 40632a du rôle, Pas. adm. 2024, V° Procédure contentieuse, n° 538 et les
autres références y citées.
19
Sections 2 à 5, pages 35 à 60 de la communication des griefs.
20
Sections III et IV de la réponse à la communication des griefs.
24
façon incidente dans le cadre de l’examen du caractère justifié de la base légale du traitement des
données à caractère personnel et par rapport au fait que l’appelante avait invoqué, comme mesure
protectrice additionnelle dans l’intérêt des personnes dont les données sont traitées à des fins de
PBI, la possibilité de s’opposer à ce traitement. Si encore la communication des griefs a aussi traité
la question de l’exercice du droit d’opposition, elle l’a fait exclusivement dans le contexte du test
de mise en balance des intérêts, effectué afin de vérifier le caractère justifié de la base légale de
l’intérêt légitime. Le chef d’enquête n’a toutefois tiré aucune conclusion quant à une éventuelle
violation autonome de l’article 21 du RGPD, mais s’est limité à relever les limites du mécanisme
mis en place par l’appelante, de sorte à ne pas valoir comme mesure additionnelle faisant pencher
la balance en faveur des intérêts invoqués par l’appelante pour justifier son traitement des données
à caractère personnel21. Dans cette logique et à défaut de reproche concret soulevé à son égard
tenant à une violation de l’article 21 du RGPD, l’appelante n’a pas pris position dans sa réponse à
la communication des griefs à la question du respect de l’article 21 du RGPD en tant que violation
autonome, mais ne l’a fait que par rapport aux articles 12 à 1722. Ce n’est que dans la décision de
la CNPD que la violation de l’article 21 du RGPD a été thématisée et retenue pour le première fois
en tant que violation autonome du RGPD. Dans ces conditions, il ne saurait être reproché à
l’appelante d’avoir avalisé la procédure par rapport à cette disposition et d’avoir, en invoquant un
vice de procédure tiré d’une extension du périmètre de l’enquête à la question du respect de cette
disposition, adopté une position incohérente.
Il suit des considérations qui précèdent que si la CNPD invoque à juste titre la fin de
non-recevoir fondée sur la théorie de l’estoppel par rapport à la question du respect des articles 12
à 15 et 17 du RGPD, le moyen afférent est à rejeter pour ce qui des violations retenues par la
CNPD des articles 16 et 21 du RGPD, l’appelante étant admise à poser au stade contentieux la
question d’une extension du périmètre de l’enquête à cet égard.
S’agissant ensuite de la question de savoir si le périmètre de l’enquête a effectivement été
étendu de façon irrégulière et celle des conséquences à en tirer, la Cour observe que le libellé, en
tant que tel, du procès-verbal de la réunion du 5 avril 2019 ayant décidé de l’ouverture d’une
enquête (« CBU propose l'ouverture d'une enquête contre (AA) sur base de la plainte
« Quadrature du Net » avec 2 volets : cookies et base de licéité »), de même que celui de l’ordre
de mission du 23 avril 2019 « Objet: « Publicité comportementale - licéité et cookies» ») et encore,
dans une certaine mesure, celui de la lettre du 23 avril 2019 ayant informé l’appelante de
l’ouverture d’une enquête et précisant que l’enquête a comme « objectif de vérifier la conformité
aux obligations du RGPD en ce qui concerne les activités de traitement à des fins de publicité
comportementale (base de licéité et utilisation de cookies) », paraît, à première vue, quelque peu
ambigu quant à l’objet de l’enquête, comparé aux violations finalement retenues par la CNPD.
En effet, si a priori, deux questions étaient initialement abordées, à savoir celle de la base
légale du traitement des données à caractère personnel à des fins de PBI et celle de l’utilisation des
cookies, la CNPD a retenu, à côté de son analyse au sujet de l’utilisation des cookies - question
qui n’est pas l’objet du présent recours -, que non seulement le traitement des données à caractère
personnel à des fins de PBI tel qu’opéré par l’appelante ne trouvait pas de base légale suffisante
dans le point f) de l’article 6, paragraphe (1), alinéa 1er, du RGPD, mais elle a encore retenu des
21
Pages 23 et 29 de la communication des griefs.
22
Sections III et IV de la réponse à la communication des griefs.
25
violations autonomes d’autres dispositions du RGPD et a infligé à l’appelante une amende pour
violation de celles-ci.
A cet égard, la Cour observe que l’examen par la CNPD des modalités du traitement des
données à caractère personnel à des fins de PBI, tel qu’opéré à l’époque par l’appelante, a évolué
durant l’enquête selon une logique qui a priori est retraçable et compréhensible.
En effet, au moment où l’enquête a été lancée, se posait de façon tout à fait générale la
question de la base légale du traitement des données à caractère personnel opéré par l’appelante à
des fins de PBI, la réclamation ayant déclenché la procédure s’étant interrogée, au-delà de la
question des cookies, sur l’existence d’une base légale suffisante de ce traitement et ayant examiné
de façon théorique les différentes bases légales potentielles. La base légale de l’intérêt légitime au
sens de l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD ne s’était cristallisée de façon
certaine qu’à la suite des réponses fournies par l’appelante au questionnaire annexé à la lettre du
23 avril 2019 l’ayant informée de l’ouverture d’une enquête, le questionnaire comportant, en effet,
en l’occurrence, une question ayant pour objet la clarification, voire la confirmation de la base
légale du traitement des données invoquée23 et le rapport d’audit résumant les justifications
fournies par l’appelante à cet égard24. C’est dans la logique de l’analyse de la conformité de la
base légale de l’intérêt légitime que la question du respect d’autres dispositions du RGPD a été
examinée, d’abord par le chef d’enquête et ensuite par la CNPD, en l’occurrence, tel que le tribunal
l’a relevé à juste titre, au niveau de la troisième étape du test du bien-fondé du recours au point f)
de l’article 6, paragraphe (1), alinéa 1er, du RGPD comme base légale du traitement des données,
à savoir le test de mise en balance des intérêts opposés et plus précisément au niveau de l’analyse
des facteurs susceptibles d’être pris en considération dans ce contexte. Il s’agit-là des facteurs
suivants : (i) la manière dont les données à caractère personnel sont traitées par l’appelante
(modalités de l’accès aux données et d’exercice du droit à l’effacement des données, la CNPD
étant arrivée à la conclusion que les modalités mises en œuvre par l’appelante n’auraient même
pas respecté le minimum requis, de sorte à ne pas faire pencher la balance en faveur de l’appelante)
et (ii) l’évaluation des mesures additionnelles que l’appelante a affirmé avoir mises en place afin
d’atténuer les effets du traitement des données sur les droits des concernés (en l’occurrence le
mécanisme d’opposition et les règles de transparence concrètement appliquées par elle, la CNPD
étant toutefois là encore arrivée à la conclusion que ceux-ci ne respectaient sur certains points
même pas le minimum requis, de sorte à ne pas non plus faire pencher la balance en faveur de
l’appelante).
L’examen critiqué du respect des conditions de transparence et du respect des droits des
personnes concernées peut dès lors être considéré comme s’inscrivant dans la logique des réponses
fournies par l’appelante aux questions lui posées dans le cadre de l’enquête quant à la base légale
sur laquelle elle se fondait, voire des justifications fournies par elle du recours à cette base légale,
et partant s’inscrire dans la logique de l’examen de cette base légale.
23
Page 6 du questionnaire « - Conformément à l'article 6 du RGPD, veuillez nous confirmer la condition de licéité
sur laquelle (AA) se base pour ses activités de traitement à des fins de publicité comportementale.
- Pour quelle(s) raison(s) (AA) n'indique pas sur ses sites internet quelle est la base de licéité de ses traitements de
données à caractère personnel réalisés ? ».
Si les traitements réalisés à des fins de publicité comportementale sont effectivement basés sur l'intérêt légitime d'(AA),
pour quelle(s) raison(s) (AA) n'indique pas sur ses sites internet quel est son intérêt légitime ? ».
24
page 26 du rapport d’audit.
26
De manière générale, la Cour relève encore que la prise en compte des modalités de
traitement des données à caractère personnel au niveau du test de mise en balance des intérêts, y
compris la question du respect en particulier des requis de transparence, n’est pas critiquable en
soi, tel que la CNPD le relève à juste titre. A cet égard, il convient de relever que (i) la jurisprudence
de la CJUE lie en l’occurrence le respect des exigences de transparence découlant de l’article 13,
paragraphe (1), du RGPD et l’analyse de la question de la base légale de l’intérêt légitime
conformément à l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD, en ce sens qu’un défaut
d’information des personnes concernées de l’intérêt légitime poursuivi impacte la condition de la
nécessité du traitement25, et que les critères pris en compte par la CNPD se retrouvent en substance
dans la jurisprudence de la CJUE26, (ii) l’appelante a elle-même déclaré avoir procédé à son
analyse de conformité sur base de l’avis WP 21727, qui consacre ses sections III.3.5. et III.3.6. au
respect des requis de transparence et du droit d’opposition dans le contexte du contrôle du respect
des conditions de l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD, et (iii) les lignes
directrices du CEPD rappellent, par rapport à des activités de ciblage des utilisateurs de médias
sociaux, que, dans les cas où un responsable du traitement envisage d’invoquer l’intérêt légitime,
les obligations de transparence et le droit de s’opposer doivent être examinés attentivement 28 et
envisagent la relation entre l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD et les droits
accordés aux personnes concernées par le RGPD et qui relèvent encore que des mesures qualifiées
par le responsable du traitement comme étant des mesures d’atténuation additionnelles au niveau
du test de mise en balance des intérêts opposés ne peuvent pas être prises en compte utilement
lorsqu’elles ne font que se recouper avec les obligations découlant du RGPD29 30.
25
CJUE 9 janvier 2025, C-394/23, affaire MOUSSE, points 46, 52 et 63.
26
CJUE 11 décembre 2019, C-708/18, ASOCIATIA DE POPRIETARI BLOC M5A-SCARAA, points 56 à 58.
27
Cf page 29 du rapport d’audit: « We periodically assess our legitimate interest against the interests and fundamental
rights of the data subjects in accordance with guidance issued by WP29 to confirm the validity of our legal basis and
compliance with the GDPR. WP 217 opinion sets out the following factors to consider when carrying out a balancing
test: (i) assessing the controller's legitimate interest including the nature and source of the legitimate interest and
whether the data processing is necessary for the exercise of a fundamental right, is otherwise in the public interest,
or benefits from recognition in the community concerned, (ii) the impact on the data subject including (A) assessment
of the impact on the data subject, (B) the nature of the data, (C) how they are processed, (D) the reasonable
expectations of the data subject, and (E) status of the data controller and data subject, and (iii) additional safeguards
which could limit undue impact on the data subjects.13 Our analysis with respect to the WP 2017 (sic) criteria is
described below ».
28
point 54 des lignes directrices 8/2020 du 13 avril 2021 (version 2.0) sur le ciblage des utilisateurs des médias
sociaux : « Le CEPD rappelle que dans les cas où un responsable du traitement envisage d’invoquer l’intérêt légitime,
les obligations de transparence et le droit de s’opposer doivent être examinés attentivement. Les personnes concernées
doivent avoir la possibilité de s’opposer au traitement de leurs données à des fins ciblées avant que le traitement ne
soit lancé. Les utilisateurs des médias sociaux devraient non seulement avoir la possibilité de s’opposer à l’affichage
de publicités ciblées lorsqu’ils accèdent à la plateforme, mais aussi disposer de contrôles garantissant que le
traitement sous-jacent de leurs données à caractère personnel à des fins de ciblage n’a plus lieu après leur
opposition ».
29
section III des lignes directrices du 8 octobre 2024, intitulées « Guidelines 1/2024 on processing of personal data
based on Article 6(1)(f) GDPR », ci-après « les lignes directrices 1/2024 ».
30
Point 53 des mêmes lignes directrices: « the mere fulfilment of the information obligations set out in Articles 12, 13
and 14 GDPR is not sufficient in itself to consider that the data subjects can reasonably expect a given processing ».
point 57: « Yet, these mitigating measures should not be confused with the measures that the controller is legally
required to adopt anyway to ensure compliance with the GDPR, irrespective of whether the processing is based on
Article 6(1)(f) GDPR. For that reason, mitigating measures can, for instance, not consist of measures meant to ensure
compliance with the controllers’ information obligations, security obligations, obligations to comply with the
27
La Cour constate toutefois encore que la CNPD a non seulement observé un non-respect
des articles 12 à 17 et 21 du RGPD dans le contexte de l’examen de la base légale du traitement
des données à caractère personnel à des fins de PBI, mais elle en a encore retenu une violation
autonome de ces dispositions et a prononcé une amende sur base du constat d’une violation de
celles-ci.
Or, si certes l’approche de la CNPD d’inclure la question du respect des dispositions
précitées du RGPD dans son analyse de la base légale du traitement des données à caractère
personnel n’est pas critiquable en soi et si, par ailleurs, les premiers juges ont retenu à juste titre
que la CNPD est saisie de faits et non pas de leur qualification juridique, la Cour ne partage
toutefois pas leur analyse selon laquelle, en l’espèce, l’objet factuel de la plainte dont la CNPD
était au final saisie consistait à mettre en cause, au regard des exigences du RGPD, les traitements
de données personnelles à des fins de PBI tels qu’opérés par l’appelante et que partant l’enquête
tendait, en substance, à examiner la conformité, de façon générale, du traitement des données opéré
par l’appelante à des fins de PBI aux requis du RGPD, y inclus la question du respect des articles
12 à 17 et 21 du RGPD. La Cour est en revanche d’avis que la CNPD, lorsqu’elle a constaté que
d’autres questions que celles envisagées initialement, à savoir la base légale du traitement et
l’utilisation des cookies, se posaient au regard du RGPD, aurait a priori dû, avant de poursuivre
l’instruction et de procéder le 25 juin 2020 à la communication des griefs, prendre une nouvelle
décision afin d’étendre le périmètre de l’enquête et d’en informer l’appelante, et ce au regard du
Règlement de procédure de l’époque, adopté le 22 janvier 2020 et entretemps applicable à la
procédure en cours, qui requiert en ses articles 2 et 7 l’identification de l’objet de l’enquête, qui,
par suite, est porté à la connaissance du contrôlé en vertu de l’article 8 du Règlement de procédure.
Or, au lieu de ce faire, l’enquête a été poursuivie et le chef d’enquête a opéré, dans la
communication des griefs, une analyse du respect des articles 12 à 17 du RGPD à la fois dans le
contexte du test de mise en balance des intérêts légitimes (sous-section 1 de la section B, intitulée
« griefs ») et de façon autonome (section 2 de la section B, intitulée « griefs »), pour ensuite
envisager dans la section C les mesures à prendre en raison de ces manquements, tandis que la
CNPD a adopté une méthode d’analyse, certes quelque peu différente, mais qui a abouti à la même
conclusion, en ce qu’elle a procédé à une analyse du respect des articles 12 à 17 du RGPD, en
ajoutant encore son article 21, uniquement dans le contexte du test de mise en balance des intérêts,
mais a néanmoins tiré une double conclusion, à savoir, d’une part, que les modalités d’après
lesquelles étaient traitées les données à caractère personnel à des fins de PBI ne répondaient pas
en tous points aux dispositions précitées du RGPD, de sorte à faire pencher la balance en faveur
des droits et intérêts des personnes concernées, et, d’autre part, a constaté une violation autonome
de ces dispositions, ce qui a également impacté l’amende ayant été prononcée.
Il convient toutefois encore de déterminer les conséquences à tirer en l’espèce d’une telle
irrégularité.
Or, la question primordiale qu’il convient d’examiner, dans l’optique de la demande en
annulation de la décision de la CNPD pour vice de procédure telle que l’appelante la formule, est
principle of data minimisation, or the fulfilment of data subject rights under the GDPR, and must go beyond what is
already necessary to comply with these legal obligations under the GDPR ».
28
celle de savoir si ses droits de la défense ont effectivement été lésés, étant souligné
qu’indépendamment du débat mené par l’appelante au sujet de la qualification des mesures prises
par la CNPD en tant que sanction pénale, le respect des droits de la défense s’impose à elle en tant
que principe général du droit, lorsqu’elle mène une enquête susceptible d’aboutir à une des
mesures prévues à l’article 58, paragraphe (2), du RGPD.
En effet, si les droits de la défense ont été respectés et s’il n’est pas établi qu’à défaut de
l’irrégularité procédurale invoquée, la procédure menée par le chef d’enquête et la procédure s’en
étant suivie auraient pu aboutir à un résultat différent et l’entité visée par l’enquête aurait pu mieux
assurer ses droits de la défense31, un non-respect éventuel du Règlement de procédure, sur lequel
l’appelante insiste à l’appui de son appel, ne saurait, indépendamment de la question de la valeur
juridique de celui-ci, conduire à l’annulation pure et simple de la décision de la CNPD, les
dispositions afférentes n’étant pas une fin en soi, mais ayant pour objet de garantir le respect des
droits de la défense, principe sur lequel l’appelante insiste d’ailleurs aussi.
La Cour observe, à cet égard, que l’appelante a amplement eu l’occasion, au cours de la
procédure d’enquête et à la suite de la communication des griefs, de prendre position par rapport
aux reproches soulevés à son encontre dans la communication des griefs, y compris les violations
de l’obligation de transparence, du droit d’accès et d’effacement des données, et a usé de cette
faculté, en l’occurrence à travers sa prise de position précitée du 20 août 2020, d’ailleurs sans faire
état d’une violation de ses droits de la défense.
Dans ces conditions, le moyen tiré d’une extension irrégulière du périmètre de l’enquête à
la question du respect des articles 12 à 17 du RGPD ne peut pas, dans les circonstances de l’espèce,
en tout état de cause et au-delà de la fin de non-recevoir retenue ci-avant par rapport aux articles
12 à 15 et 17 du RGPD, conduire à l’annulation de la décision de la CNPD.
En revanche, la Cour estime que le fait que l’appelante a été confrontée, pour la première
fois dans la décision de la CNPD, à une violation autonome de l’article 21 du RGPD, sans avoir
été informée de reproches à cet égard au moins dans la communication des griefs, pose problème
au niveau du respect des droits de la défense, et ce au-delà de la question d’ordre purement
procédural tenant à la nécessité de la prise d’une décision propre d’extension du périmètre de
l’enquête.
A ce stade, la Cour se limite à constater une irrégularité à ce niveau et laisse ouverte la
question des conséquences à en déduire par rapport à la légalité de la décision querellée de la
CNPD du 15 juillet 2021. Il convient toutefois d’ores et déjà de retenir que la conséquence la plus
appropriée à en tirer à ce stade est celle d’exclure la question de la violation de l’article 21 du
RGPD telle que retenue par la CNPD du périmètre de l’analyse.
31
Par analogie aux principes retenus en droit de la concurrence par rapport à l’enquête menée par la Commission
européenne : Tribunal de l’Union 15 juin 2022, QUALCOMM Inc. c. Commission, T‑235/18, points 159 et 160, par
référence à CJUE 25 octobre 2011, C‑109/10, point 53 ; CJUE 25 mars 2021, DEUTSCHE TELEKOM c.
Commission, C‑152/19 P, point 106 ; CJUE 2 octobre 2003, THYSSEN STAHL c. Commission, C‑194/99 P, point
31, et Tribunal de l’Union 13 décembre 2018, DEUTSCHE TELEKOM c. Commission, T‑827/14, point 129.
29
Pour l’ensemble des considérations qui précèdent, le moyen fondé sur une extension
irrégulière du périmètre de l’enquête encourt le rejet, tant en ce qu’il tend à l’annulation de la
décision de la CNPD qu’en ce qu’il tend à réduire le périmètre de son analyse au seul respect de
l’article 6 du RGPD, sous réserve de ce que la Cour vient de retenir par rapport à la question du
respect de l’article 21 du RGPD, et le jugement a quo est à confirmer partiellement dans cette
mesure, encore que par endroits pour d’autres motifs.
4) Quant à la question de l’accès au dossier
Position des parties à l’instance
L’appelante reproche aux premiers juges de ne pas avoir accueilli son moyen basé sur un
refus d’accès au dossier de l’enquête.
Tout en admettant avoir reçu communication du dossier d’enquête, l’appelante incrimine
le fait que la CNPD a refusé de lui communiquer les documents, communications et objections
pertinentes et motivées d’autres autorités de contrôle formulées en vertu de l'article 60 du RGPD,
ce qui constituerait une violation de l’article 8, paragraphe (4), du Règlement de procédure, des
articles 11 et 12 du règlement grand-ducal du 8 juin 1979, du droit à un procès équitable et du
principe du contradictoire, tout en reprochant aux premiers juges d’avoir retenu qu’elle aurait dû
introduire un recours contentieux contre le refus d’accès aux documents litigieux.
L’appelante estime en substance que les observations des autres autorités de contrôle
auraient pu avoir une influence sur l’amende retenue par la CNPD, ce que le tribunal aurait
d’ailleurs implicitement reconnu en relevant que, suite à ces observations, la CNPD avait précisé
le chiffre d’affaires à prendre en considération dans le cadre de la détermination du montant de
l’amende à prononcer, tout en fournissant des explications quant au caractère effectif, proportionné
et dissuasif de l’amende retenue. L’appelante fait valoir qu’elle aurait dû être en mesure de voir et
de commenter les éléments qui ont conduit la CNPD à ses conclusions quant au caractère
proportionné de l’amende. Dans ce contexte, elle souligne que l’amende finalement retenue serait
largement supérieure à celle envisagée dans la communication des griefs et fait valoir qu’à défaut
de nouvelles violations retenues à son encontre par rapport à la communication des griefs, il serait
« inconcevable pour la CNPD d’affirmer qu'elle n'a pas utilisé les informations provenant
d’autres Autorités de Contrôle » à son détriment. Elle en conclut qu’à défaut d’accès à tous les
éléments du dossier, la décision déférée ne lui permettrait pas de comprendre clairement d’où
provient cette augmentation de l’amende et de vérifier si la décision a été prise dans le plein respect
de l’article 60 du RGPD.
Au-delà de la question de l’influence potentielle sur la décision des commentaires formulés
par d’autres autorités de contrôle, l’appelante fait valoir que l’article 11 du règlement grand-ducal
du 8 juin 1979, lu avec son article 13, imposerait un accès général au dossier indépendamment de
la question de savoir si certains des éléments le composant affectent par eux-mêmes la situation
de l’administré concerné.
Elle se prévaut, en outre, de l’article 8, paragraphe (4), du Règlement de procédure, qui
permettrait certes de refuser la communication de certains documents, y compris les informations
30
et les documents du CEPD et d’autres autorités de contrôle, mais qui ne s’appliquerait qu’à la
phase de l’enquête. Une fois le dossier transmis à la Formation restreinte, le processus serait régi
par l’article 9 du règlement grand-ducal du 8 juin 1979, auquel l’article 8, paragraphe (4), du
Règlement de procédure ne pourrait de toute façon pas déroger à défaut de prévoir des garanties
au moins équivalentes, l’appelante relevant encore que ni l’article 13 du règlement grand-ducal du
8 juin 1979 ni le secret professionnel au sens de l’article 42 de la loi du 1 er août 2018 ne
permettraient de refuser la communication.
A côté d’une violation de l’article 8, paragraphe (4), du Règlement de procédure et des
articles 11 et 12 du règlement grand-ducal du 8 juin 1979, l’appelante se prévaut d’une violation
du droit à un procès équitable, du principe du contradictoire et de celui de l’égalité des armes.
A cet égard, elle fait valoir que les autorités de contrôle concernées auraient pu fournir des
observations sur le projet de décision sans qu’elle-même n’ait pu les lire et présenter ses arguments.
Or, la Formation restreinte aurait pu lire ces observations et intégrer des arguments
supplémentaires dans sa décision finale, alors qu’elle-même n’aurait pas pu le faire, ce qui la
placerait dans une situation désavantageuse vis-à-vis de la Formation restreinte et des autres
autorités de contrôle.
Sur base du constat que le montant de l’amende infligée était presque le double de celui
recommandé par le chef d’enquête, l’appelante suppose que la Formation restreinte a pris en
compte les documents ou observations supplémentaires, que le chef d’enquête n’avait pas
considéré au niveau de la communication des griefs, auxquels elle n’aurait toutefois pas eu accès,
ce qui la placerait dans une situation désavantageuse vis-à-vis de la Formation restreinte.
En outre, elle ne pourrait pas vérifier si la Formation restreinte a respecté son obligation de
rester indépendante pendant la procédure et si la décision a été prise conformément aux
dispositions légales régissant la procédure de la CNPD.
L’appelante relève que le droit à une procédure contradictoire comporterait celui de
prendre connaissance de toutes les pièces et observations présentées et de les discuter, de sorte
qu’elle aurait dû avoir accès aux observations et aux objections des autorités de contrôle
concernées, ce d’autant plus que l’article 60, paragraphe (3), du RGPD exigerait explicitement que
la CNPD tienne compte de l’avis des autres autorités de contrôle, et que l’article 58,
paragraphe (4), du RGPD exigerait que l’exercice des pouvoirs des autorités de contrôle soit
soumis à des « garanties appropriées », y compris à une procédure régulière.
Le refus de la CNPD serait encore en contradiction avec la pratique d’autres autorités de
contrôle, telle la Commission irlandaise de protection des données.
Sur base de ces constats, la décision litigieuse devrait être annulée, sinon réformée, sinon
subsidiairement il y aurait lieu d’ordonner à la CNPD de communiquer tous les documents et
observations, y compris ceux provenant d’autres autorités de contrôle, en relation avec le
mécanisme de coopération prévu à l'article 60 du RGPD.
31
Le tribunal aurait encore à tort retenu qu’un recours distinct aurait dû être introduit contre
le refus de la CNPD de lui donner complètement accès au dossier.
A cet égard, l’appelante fait valoir que le refus d’accès litigieux se recouperait avec la
décision visée par le présent recours et ne pourrait pas faire l’objet d’un traitement autonome, ce
d’autant plus que les deux décisions lui auraient été notifiées le même jour et que, de toute façon,
la décision déférée aurait été précisément affectée par celle du 16 juillet 2021, refusant l’accès au
dossier, indépendamment de la question de savoir si elle pouvait être contestée de manière
autonome.
En tout état de cause, la décision de refus de la CNPD ne constituerait pas un « acte
décisionnel » susceptible de faire l’objet d’un recours, puisqu’il ne s’agirait que d’un acte
préparatoire à la décision déférée.
L’appelante fait encore valoir qu’il aurait été inefficace et illogique de déposer une
demande distincte d’annulation du refus d’accès au dossier parallèlement à son recours en
réformation, dans la mesure où les deux procédures seraient basées sur le même dossier d’enquête.
S’y ajouterait que la communication de la CNPD relative au refus d’accès au dossier ne
comporterait aucune des références exigées par le règlement grand-ducal du 8 juin 1979, ce dont
il faudrait conclure qu’elle n’aurait elle-même pas considéré son courriel du 16 juillet 2021 comme
une décision susceptible de recours, mais comme un acte préparatoire.
Dans son mémoire en réplique, l’appelante affirme encore que, contrairement à ce qui est
affirmé par la CNPD, le fait allégué qu’elle n’ait pas tenu compte des observations des autres
autorités de contrôle ne serait pas pertinent, puisque l’article 60 du RGPD obligerait justement la
CNPD d’en tenir dûment compte.
Même à admettre que la Formation restreinte a relevé l’amende uniquement en raison des
informations tirées de l’affaire WHATSAPP, tel qu’affirmé par la CNPD, cela n’excuserait pas le
fait que la CNPD ne lui a pas donné la possibilité d’être entendue sur cette question avant de
prendre sa décision.
Surtout, ce qui importerait, aux fins du droit d’accès en vertu des articles 11 et 12 du
règlement grand-ducal du 8 juin 1979, serait le fait que les observations d’autres autorités de
contrôle feraient partie du dossier sur lequel se fonde la décision.
Par ailleurs, en s’appuyant sur la jurisprudence de la CJUE, elle fait valoir qu’elle aurait
dû avoir la possibilité de vérifier par elle-même si, et dans quelle mesure, les observations des
autres autorités de contrôle ont influencé la CNPD, au lieu de devoir se fier aux seules assurances
de celle-ci.
A défaut d’avoir eu accès aux observations des autres autorités de contrôle, elle ne pourrait
pas vérifier la légalité de la procédure, y compris la question de savoir si les membres de la
Formation restreinte sont restés indépendants de toute influence indue de la part des autres
autorités de contrôle, situation qui mettrait à mal sa confiance dans la fiabilité et la régularité de la
procédure devant la CNPD.
32
En tout état de cause, les circonstances de l’espèce nourriraient un soupçon raisonnable
que la CNPD s’est effectivement basée sur les observations des autres autorités pour déterminer
l’amende, la CNPD n’ayant toujours pas fourni d’explication crédible au sujet du doublement de
celle-ci, l’explication fournie et basée sur les enseignements tirés de la procédure WHATSAPP
n’étant pas jugée convaincante par l’appelante.
Par ailleurs, l’obligation de secret professionnel de la CNPD n’interdirait pas la divulgation
des observations demandées, puisque son objectif principal serait celui de protéger les personnes
qui déposent plainte et les entités supervisées et non pas les autorités de contrôle elles-mêmes.
A titre subsidiaire, si l’obligation de secret professionnel de la CNPD venait à s’appliquer,
l’appelante demande à la Cour de réexaminer les observations et de vérifier si les intérêts liés au
maintien de la confidentialité des informations l’emportent sur son droit d’avoir accès auxdites
observations afin d’être en mesure d’exercer pleinement ses droits de la défense, sachant que selon
la propre description faite par la CNPD, les observations des autres autorités de contrôle
concerneraient directement le calcul de l’amende, en particulier la pertinence du chiffre d’affaires
mondial et l’effectivité, la proportionnalité et le caractère dissuasif de la sanction, questions qui se
trouveraient au cœur de sa défense.
En tout état de cause et conformément à l'article 13 du règlement grand-ducal du 8 juin
1979, elle aurait dû au moins recevoir une description du « contenu essentiel [du dossier] se
rapportant à l'affaire » et « l’occasion de présenter ses observations », l’appelante relevant que
ce ne serait que dans son mémoire en réponse en appel que la CNPD donnerait un aperçu de ce
que les autres autorités de contrôle auraient pu dire, sans toutefois fournir suffisamment de détails
pour pouvoir comprendre, par exemple, comment les observations des autres autorités de contrôle
ont influencé le raisonnement de la CNPD sur l’effectivité, la proportionnalité et le caractère
dissuasif de l’amende.
La CNPD conclut au rejet de ce moyen.
Analyse de la Cour
L’article 11, alinéa 1er, du règlement grand-ducal du 8 juin 1979 dispose que « tout
administré a droit à la communication intégrale du dossier relatif à sa situation administrative,
chaque fois que celle-ci est atteinte, ou susceptible de l’être, par une décision administrative prise
ou en voie de l’être », tandis que l’article 9 du même règlement grand-ducal, invoqué par ailleurs
par l’appelante, permet à l’administré de prendre position avant la prise des catégories de décisions
y envisagées, étant relevé que l’article 9 s’inscrit dans le cadre des objectifs de la loi habilitante
du 1er décembre 1978, contenus à l’alinéa 2 de son article 1er et énonçant que les règles générales
destinées à réglementer la procédure administrative non contentieuse à résulter précisément du
règlement grand-ducal d’application du 8 juin 1979 « doivent notamment assurer le respect des
droits de la défense de l’administré en aménageant dans la mesure la plus large possible la
participation de l’administré à la prise de la décision administrative », l’alinéa 3 du même article
1er précisant que, dans ce cadre, les règles générales en question « assurent la collaboration
procédurale de l’administration, consacrent le droit de l’administré d’être entendu (…) », étant
33
toutefois relevé que la loi du 1er décembre 1978 ne crée pas des obligations autonomes et doit être
lue ensemble avec son règlement d’exécution. Ces deux dispositions garantissent partant en
substance le respect du contradictoire, dont l’accès au dossier est un des aspects.
Le Règlement de procédure, en sa version pertinente en l’espèce, à savoir celle du
22 janvier 2020 - entretemps abrogée par le règlement de procédure du 23 avril 2024, ayant été
adopté postérieurement à la prise de la décision du 15 juillet 2021 -, prévoit en son article 8,
paragraphe (4), que l’entité visée par la communication des griefs a accès au dossier à la base de
la communication des griefs, sauf exceptions énumérées au deuxième alinéa, de même qu’aux
documents supplémentaires ajoutés au dossier depuis la communication des griefs.
L’article 12 du règlement grand-ducal du 8 juin 1979, encore invoqué par l’appelante, n’est
en revanche pas pertinent dans la mesure où il vise le droit d’accès des tiers concernés par une
décision, ce qui n’est pas le cas de l’appelante qui demande accès à son propre dossier, lequel lui
est garanti à travers l’article 11 du même règlement.
De façon plus générale et tel que cela a été retenu ci-avant, la CNPD, lorsqu’elle est amenée
à instruire un dossier suite à une réclamation et par suite à statuer sur celle-ci à travers une décision
susceptible d’aboutir au prononcé d’une amende administrative, n’est en tout état de cause pas
dispensée de respecter durant la phase administrative précontentieuse un certain nombre de
principes généraux du droit, parmi lesquels figure plus particulièrement le principe d’une
procédure équitable, comprenant le respect du contradictoire et le respect des droits de la défense,
dont l’accès au dossier est le corollaire, droits garantis en l’occurrence par les dispositions des
articles 9 et 11 du règlement grand-ducal du 8 juin 1979, précité, de même que le principe de bonne
administration, qui sous-tend toute la réglementation en matière de procédure administrative non
contentieuse telle qu’introduite à travers la loi du 1er décembre 1978 et le règlement grand-ducal
du 8 juin 197932 et qui englobe notamment le respect des droits de la défense.
La Cour relève qu’en l’espèce, le droit pour l’appelante de se voir communiquer le dossier
administratif dès la phase précontentieuse sur demande afférente de sa part n’est pas contesté.
Il n’est pas non plus contesté que l’appelante s’est vu communiquer, avant la prise de la
décision du 15 juillet 2021, le dossier à la base de la communication des griefs ainsi que les pièces
qui se sont ajoutées par la suite, le courriel de la CNPD du 16 juillet 2021 constatant que les pièces
du dossier au 2 juillet 2020 se trouvaient d’ores et déjà à la disposition de l’appelante et annonçant
la communication des documents qui se sont ajoutés par la suite, sous la réserve suivante :
« However, this would not include documents the disclosure of which would violate the obligation
of professional secrecy to which all persons exercising or having exercised an activity for the
CNPD are bound or the internal rules of the CNPD , which includes inter alia internal information
and documents of the EDPB or other national supervisory authorities. ».
Les parties à l’instance sont en désaccord sur la question de savoir si cette communication
était suffisante, l’appelante affirmant que la CNPD aurait dû lui communiquer aussi les prises de
position des autres autorités de contrôle faites en application de l’article 60 du RGPD et estime en
substance que le défaut par la CNPD de l’avoir fait a porté atteinte à ses droits de la défense et l’a
32
En ce sens : Cour adm. 19 juillet 2023, numéro 48647C du rôle.
34
mise dans une situation désavantageuse à un tel point que la décision litigieuse devrait encourir
l’annulation de ce fait.
La Cour rappelle sa jurisprudence selon laquelle la notion de « dossier relatif à [l]a
situation administrative » de l’administré au sens de l’article 11 du règlement grand-ducal du
8 juin 1979 doit être comprise par rapport à l’autorité administrative à laquelle la communication
du dossier est demandée et à la compétence qu’elle met en œuvre à travers la décision
administrative projetée ou déjà prise. Ainsi, lorsque l’autorité a informé l’administré de son
intention de prendre une certaine décision à son égard, la demande en vue de la communication du
dossier intégral vise nécessairement les éléments factuels et les documents qui peuvent être
pertinents pour l’exercice de la compétence de l’autorité en question à l’égard de l’administré et
de la décision concrètement envisagée33. Par ailleurs, le respect des droits de la défense et du
principe du contradictoire n’implique pas, en faveur de la personne concernée, un droit d’accès
illimité et absolu à l’ensemble des informations traitées par l’autorité compétente dans le cadre de
son enquête, mais ledit droit doit être mis en balance avec les droits de tiers et le secret
professionnel de l’autorité. En outre, si en principe la totalité des éléments tant à charge qu’à
décharge doivent pouvoir être examinés par l’administré concerné et si la validité d’une restriction
de l’accès à ces éléments pour des motifs de secret professionnel est susceptible de faire l’objet
d’un contrôle juridictionnel, l’autorité est cependant autorisée à exclure du dossier administratif
les éléments qui n’ont aucun rapport avec les allégations de fait et de droit figurant dans la
communication préalable du résultat d’une enquête, destinés à être mis à la base d’une future
décision administrative, et qui sont dès lors sans aucune pertinence pour l’enquête 34. A cet égard,
il convient encore de se référer à un arrêt de la CourEDH du 30 juin 201135 ayant retenu par rapport
à une affaire où l’autorité administrative avait collecté un volume impressionnant de pièces, mais
en a écarté un grand nombre pour ne pas être pertinentes, qu’il n’y avait pas eu violation de
l’article 6 de la CEDH, en relevant que tous les concernés avaient eu accès au dossier retenu par
l’autorité administrative, que le requérant n’avait pas indiqué en quoi des éléments qui n’auraient
pas été versés au dossier auraient pu contribuer à sa défense et en quoi elles auraient été de nature
à influer sur l’issue de l’affaire et que le requérant a eu l’occasion de faire valoir ses griefs
successivement devant deux juridictions qui ont examiné les arguments soulevés avant de les
rejeter36.
Enfin, la Cour renvoie à la jurisprudence de la CJUE en droit de la concurrence qui attache
une importance particulière à la question de la violation effective des droits de la défense lorsqu’il
s’agit de vérifier si un défaut d’accès à un élément du dossier est susceptible d’être sanctionné par
l’annulation de la décision37, en distinguant en l’occurrence entre les documents à charge et à
décharge38, voire en posant la question de savoir si l’entreprise visée, si elle avait eu à sa
disposition un élément sur lequel l’autorité s’est basée - en cette affaire un modèle économétrique
33
Cour adm. 27 juin 2024, n° 49886C du rôle, par référence à un arrêt du 17 décembre 2019, n° 42666C du rôle, Pas.
adm. 2024, V° Procédure administrative non contentieuse, n° 154.
34
Idem.
35
CourEDH 30 juin 2011, affaire MESSIER c. France, 25041/07.
36
Points 58, 59, 61 et 63 de l’arrêt MESSIER.
37
CJUE 25 octobre 2011, affaire SOLVAY, C-109/10.
38
CJUE 15 octobre 2002, LIMBURGSE VINYL MAATSCHAPPIJ c. Commission, C-238/99, CJUE 7 janvier 2004,
AALBORG PORTLAND, C-204/00.
35
auquel la CJUE a attribué une nature particulière en ce qu’il ne peut pas être qualifié de pièce à
charge ou à décharge -, aurait pu avoir une chance de mieux assurer sa défense39.
Par application de ces principes au cas de l’espèce, la Cour retient qu’indépendamment de
l’ensemble des questions débattues par les parties à l’instance et tenant à la qualification du courriel
de la CNPD du 16 juillet 2021 en tant que décision susceptible de recours, à la question de savoir
si son existence et le défaut par l’appelante d’avoir introduit un recours autonome contre elle,
l’empêche de faire état d’un moyen basé sur un défaut d’accès au dossier dans le cadre du présent
recours, à la qualification des mesures prises par la CNPD en tant que sanctions pénales et des
conséquences à en déduire, à la question de savoir si les documents litigieux font partie du dossier
administratif auquel l’appelante a le droit d’accéder, à leur nature exacte et à l’applicabilité d’un
secret professionnel, au regard des critiques de l’appelante et du résultat qu’elle recherche, à savoir
l’annulation de la décision pour défaut d’accès à l’entièreté du dossier sur lequel se fonde la
décision de la CNPD, la question pertinente qui se pose en l’espèce est, en tout état de cause, celle
de savoir si les droits de la défense de l’appelante ont effectivement été méconnus et ce d’une
façon telle que la conséquence en devrait être le constat que la décision litigieuse du 16 juillet 2021
serait irrémédiablement viciée et que son annulation s’imposerait.
La Cour observe que l’examen de la version corrigée du projet de décision à la suite des
commentaires des autres autorités de contrôle ainsi que du résumé fait par la CNPD des
modifications apportées dans ce contexte, pièces soumises à la seule Cour, permet de retenir, tel
que le tribunal l’a aussi relevé, que la CNPD n’a pas modifié sa décision en ce qui concerne
l’analyse des griefs. Les modifications n’ont, au contraire, porté que sur des points très limités, en
ce que la CNPD (i) a fourni davantage de précisions concernant sa qualité d’autorité chef de file,
qualité que l’appelante n’a remise en question à aucun stade de la procédure précontentieuse ou
contentieuse, (ii) a précisé le chiffre d’affaires à prendre en considération dans le cadre de la
détermination du montant de l’amende à retenir - complément de justification de la prise en compte
du chiffre d’affaires de (GG) et prise en compte du chiffre d’affaires de 2020 au lieu de celui de
2017 -, et (iii) a complété la motivation en fournissant des explications quant au caractère effectif,
proportionné et dissuasif de l’amende retenue.
En outre, la CNPD a expliqué de façon convaincante que la modification apportée au
niveau de l’année de référence au titre du chiffre d’affaires à prendre en considération pour le
calcul de l’amende ne résulte pas des observations des autres autorités de contrôle dont le défaut
de communication est incriminé.
En tout état de cause, l’appelante reste en défaut de justifier de façon utile et convaincante
en quoi, au regard de la portée limitée des modifications telles que circonscrites ci-avant, l’accès
aux observations des autres autorités de contrôle lui aurait permis de mieux assurer sa défense.
Au contraire, l’argumentation de l’appelante réside essentiellement en des pures
allégations et suppositions, en ce qu’elle part du principe que le montant de l’amende aurait été
augmenté considérablement à la suite des observations des autres autorités de contrôle, alors que
la CNPD est formelle pour dire que les observations n’ont pas eu pour effet pareille augmentation,
qui s’expliquerait exclusivement par la prise en compte des éléments se dégageant de la procédure
39
CJUE 16 janvier 2019, affaire UPS, C-265/17 et Tribunal de l’Union 15 juin 2022, QUALCOMM, T-235/18.
36
de règlement de litiges au sens de l'article 65 du RGPD qui avait été en cours à l’époque dans le
cadre d’une affaire dite WHATSAPP, à savoir que l’année de référence à prendre en compte au
niveau du chiffre d’affaires sur base duquel l’amende est calculée est celle ayant précédée la
décision de l’autorité de contrôle, tel que confirmé ensuite par le CEPD dans sa décision 1/2021
du 28 juillet 2021 dans ladite affaire WHATSAPP.
Pour le surplus, les modifications consistent en un complément de motivation, en ce que
la prise en compte du chiffre d’affaires mondial de (GG) est motivée davantage et en ce que
l’amende est sous-tendue davantage au regard du principe de proportionnalité, partant en des
éléments qui sont dans l’intérêt de l’appelante en ce qu’ils lui permettent en l’occurrence de mieux
évaluer les chances de succès d’un éventuel recours devant les juridictions compétentes.
Par ailleurs, la Cour observe que les modifications faites sur le projet de décision
concernent en substance des questions d’ordre juridique, sans lien avec des éléments à charge ou
à décharge, que l’appelante a, par ailleurs, parfaitement pu discuter au niveau contentieux et l’a
d’ailleurs fait, et qu’elle avait d’ores et déjà discutés au niveau précontentieux à travers sa prise de
position du 20 août 2020 par rapport à la communication des griefs du 25 juin 2020. En effet, elle
avait pris, de manière extensive, position sur le caractère proportionné, dissuasif et effectif de
l’amende40, ainsi que sur la notion d’entité dont le chiffre d’affaires était à prendre en considération
pour la détermination de l’amende à prononcer à son encontre, en faisant notamment valoir que
seule la société visée par l’enquête, à l’exclusion du groupe dont celle-ci pourrait, le cas échéant,
faire partie, serait à cet escient pertinente41.
La Cour est dès lors amenée à retenir que le fait que l’appelante n’ait pas eu accès aux
prises de position des autorités de contrôle n’est en tout état de cause pas de nature à emporter
l’annulation de la décision du 15 juillet 2021, aucune violation de ses droits de la défense n’ayant
été observée, de sorte que le moyen afférent est à rejeter sans qu’il n’y ait lieu de trancher les autres
questions soulevées par l’appelante dans le contexte de ce moyen, voire la demande de voir
ordonner la communication de ces pièces, cet examen devenant surabondant.
Le moyen sous analyse a partant à juste titre été rejeté par les premiers juges, et le
jugement est à confirmer sur ce point, encore que pour d’autres motifs.
5) Quant à la question du respect du RGPD
5.1 Quant à l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD
Position des parties à l’instance
L’appelante fait, de façon générale, valoir que l’analyse au titre de l’article 6,
paragraphe (1), alinéa 1er, point f), du RGPD comporterait nécessairement une dimension
subjective, de sorte que des acteurs raisonnables et diligents pourraient, sur base des mêmes faits,
arriver à des conclusions divergentes. A cela s’ajouterait un manque de clarté au niveau des critères
d’évaluation, l’appelante donnant à considérer que le RGPD ne préciserait pas les éléments
40
Pages 87 à 90 et 92 à 94 de la prise de position de la société (AA) du 20 août 2020.
41
Pages 90 à 92 de la prise de position de la société (AA) du 20 août 2020.
37
constitutifs ni les exigences concrètes de l’évaluation de l’intérêt légitime et que la jurisprudence
de la CJUE disponible au moment de l’enquête aurait été limitée. L’application de l’intérêt légitime
par la CNPD devrait dès lors être rigoureusement contrôlée au regard des principes de légalité et
de prévisibilité, compte tenu du fait que la mesure imposée était une amende, qui constituerait une
sanction à caractère pénal et qui, en plus, correspondrait en l’espèce à l’une des plus lourdes
amendes jamais prononcées au titre du RGPD. En substance, l’appelante reproche à la CNPD de
l’avoir sanctionnée sur base d’une simple divergence d’interprétation d’une disposition du RGPD,
qui laisserait une certaine marge d’appréciation.
S’agissant plus précisément de l’analyse en trois étapes du contrôle opéré par la CNPD
pour vérifier le bien-fondé de la base légale invoquée, l’appelante critique de prime abord les
premiers juges pour ne pas avoir reconnu un intérêt légitime supplémentaire au titre l’article 6,
paragraphe (1), alinéa 1er, point f), du RGPD, à savoir celui de la collectivité européenne au sens
large, y compris les opportunités économiques que la PBI créerait dans le secteur de la publicité.
Par rapport à la comparaison faite par le tribunal avec la publicité traditionnelle et son
constat qu’elle n’aurait pas individualisé à suffisance les bienfaits de la PBI, l’appelante fait valoir
que la caractérisation de celle-ci par les premiers juge serait erronée et affirme que la PBI
fonctionnerait de la même manière que la publicité traditionnelle et que sa PBI favoriserait même
la concurrence et la compétitivité.
Elle fait valoir, en s’appuyant sur des études, que la PBI pourrait être plus efficace que
d’autres formes de publicité pour stimuler la concurrence et l’innovation en ce qu’elle offrirait aux
petites entreprises, y compris aux nouveaux entrants, la possibilité de cibler de manière plus
précise les segments de consommateurs susceptibles d’être intéressés par leurs produits et services,
ce qui serait difficilement réalisable au moyen de supports publicitaires moins ciblés.
S’agissant du reproche du tribunal de ne pas avoir veillé à ce que les intérêts de la
collectivité soient « réels, présents et non hypothétiques » et sa conclusion que les intérêts avancés
seraient simplement un « amalgame » de ses propres intérêts commerciaux et de ceux des
annonceurs et éditeurs, l’appelante renvoie encore à un rapport d’expertise.
Elle ajoute que les intérêts pour la collectivité soutenus par la PBI litigieuse engloberaient
aussi les intérêts des consommateurs ayant, grâce à la publicité, accès à des informations sur des
produits et des services qu’ils n’obtiendraient pas autrement, ce qui renforcerait leur droit
fondamental de recevoir des informations, tel que protégé par les articles 10 de la CEDH et 11 de
la Charte.
Ces intérêts publics généraux comprendraient également les intérêts des parties prenantes
de l’industrie de la publicité en général, au-delà des annonceurs eux-mêmes, telles que les agences
de publicité et les entreprises de conception graphique qui développeraient le contenu créatif utilisé
dans la PBI, ainsi que les intérêts des personnes travaillant dans l’industrie de la publicité,
l’appelante étayant encore son argumentaire par le renvoi à des études. Au-delà des intérêts
financiers des employés de ces entreprises, la PBI contribuerait également au droit fondamental
de ces personnes, consacré à l’article 15 de la Charte, de travailler et d’exercer une profession
librement choisie.
38
L’appelante en conclut que les intérêts de la collectivité seraient réels, présents, non
hypothétiques et suffisamment clairs.
En tout état de cause, compte tenu du manque de clarté de la portée et du contenu de la
notion d’intérêt de la collectivité européenne dans le cadre du test de l’intérêt légitime,
l’application des principes de légalité et de prévisibilité aurait dû conduire la CNPD et le tribunal
à faire preuve de prudence au lieu d’écarter purement et simplement son évaluation de l’intérêt de
la PBI pour la collectivité.
En second lieu et contrairement à ce qui a été retenu par le tribunal, l’appelante fait valoir
qu’il n’y avait pas d’alternatives moins intrusives et raisonnablement aussi efficaces à son
traitement des données à caractère personnel à des fins de PBI.
A cet égard, le tribunal aurait de prime abord fait une application incorrecte du critère
juridique pertinent pour évaluer si le traitement des données mis en œuvre était nécessaire au
regard des intérêts poursuivis. Au lieu de se concentrer sur la question de savoir si elle pouvait
raisonnablement défendre les intérêts déclarés de manière aussi efficace par des moyens alternatifs
et moins intrusifs, les premiers juges auraient énuméré les catégories de données sur lesquelles elle
s’est appuyée pour réaliser sa PBI et conclu qu’elle n’aurait pas fourni d’« explications techniques
et factuelles précises et détaillées » sur les données collectées, la composition des profils établis
sur les clients et les durées de conservation pertinentes, de sorte à les avoir mis dans l’impossibilité
de procéder à une pondération des intérêts opposés en cause.
Or, l’énumération des données qu’un responsable du traitement utilise pour atteindre ses
objectifs ne prouverait pas que ce traitement n’est pas nécessaire et le seul volume de données
traitées ne permettrait pas de déterminer s’il existe des alternatives qui permettraient d’atteindre
les intérêts poursuivis de manière raisonnablement aussi efficace.
Le critère de nécessité n’imposerait pas non plus au responsable du traitement de fournir
des explications techniques détaillées sur chaque élément de données qu’il traite, ni de procéder à
une « pondération » des intérêts opposés, mais il devrait démontrer qu’il n’aurait pas pu atteindre
ses objectifs de manière aussi efficace en utilisant des moyens moins intrusifs. La principale
considération serait donc celle de savoir si elle avait pu promouvoir les intérêts invoqués de
manière aussi efficace en utilisant moins de données ou en appliquant des protections plus strictes
aux données qu’elle a utilisées. La réponse à cette question serait négative, ce qu’elle aurait
démontré à suffisance.
L’appelante relève que l’approche du tribunal serait substantiellement différente de celle
de la CNPD et ne correspondrait pas non plus à celle adoptée par les autres autorités de contrôle.
De même, le projet du CEPD relatif aux lignes directrices sur la base légale des intérêts légitimes
n’indiquerait pas qu’il est nécessaire de fournir des descriptions techniques détaillées afin de
démontrer la nécessité d’un traitement pour atteindre les intérêts légitimes poursuivis de manière
aussi efficace.
39
L’appelante critique ensuite la CNPD pour avoir refusé de prendre en compte les garanties
appliquées par elle à son traitement lors de l’évaluation de la condition de nécessité (par exemple,
l’exclusion de certaines données, la pseudonymisation stricte et les pratiques strictes de
conservation des données) et de n’avoir pris en compte celles-ci qu’au niveau de la troisième étape
de l’analyse.
Or, l’analyse de la nécessité exigerait que le responsable du traitement examine s’il existe
des alternatives moins intrusives et raisonnablement aussi efficaces à son traitement. Comme les
garanties mises en œuvre par elle auraient minimisé le niveau d’intrusion des données traitées,
elles seraient manifestement pertinentes pour apprécier si ces catégories de données étaient
nécessaires pour atteindre les intérêts poursuivis.
L’appelante donne ensuite à considérer que son traitement des données à caractère
personnel était limité à ce qui était nécessaire pour atteindre les intérêts poursuivis.
S’agissant des données démographiques dont le traitement a été critiqué par la CNPD et
le fait que des données sont collectées auprès de différents services, elle fait valoir qu’aucun de
ces arguments ne démontrerait que son traitement n’aurait pas été nécessaire. Comme elle l’aurait
démontré, notamment au moyen d’un rapport d’expertise, l’utilisation des données
démographiques lui permettrait de poursuivre efficacement les intérêts identifiés et toute solution
alternative serait moins efficace, ce que l’avis de l’expert indépendant, Dr. (E), confirmerait, les
données socio-démographiques étant susceptibles d’être des indicateurs importants pour évaluer
le revenu des consommateurs et leurs préférences d’achat.
De plus, d’autres formes de publicité, qui pourraient être moins intrusives, seraient
généralement moins efficaces que la PBI, telle la publicité « contextuelle », ce qui serait confirmé
par des études.
L’appelante fait encore référence à une décision de l’Autorité française de la concurrence,
qui démontrerait que la réalisation de publicités ciblées, en plus d’autres formes de publicité,
permettrait de mieux répondre aux intérêts des éditeurs d’applications mobiles et des fournisseurs
de services publicitaires, ainsi qu’aux intérêts de la collectivité dans la promotion de la
concurrence, plutôt que de s’appuyer uniquement sur la publicité non ciblée.
Ses propres données corroboreraient également la thèse selon laquelle la PBI est plus
efficace que d’autres formes de publicité pour servir ses intérêts et ceux de ses annonceurs.
De même, les données démographiques lui permettraient de proposer plus efficacement
de la publicité aux clients qui pourraient être particulièrement intéressés par des catégories
spécifiques de produits et de services pertinents pour ces groupes.
Enfin, il n’existerait pas d’alternatives moins intrusives, mais tout aussi efficaces, à la
durée de conservation appliquée, à savoir un maximum de 13 mois, les clients achetant souvent
des produits et services sur une base annuelle, de sorte qu’une durée de conservation inférieure
nuirait de manière significative à l’efficacité de la PBI.
40
En troisième lieu, l’appelante critique l’exercice de mise en balance des intérêts opéré par
la CNPD.
Dans sa réplique, elle insiste sur le bien-fondé des intérêts collectifs qu’elle a mis en avant
et sur l’avantage de la PBI par rapport à la publicité traditionnelle et réfute l’affirmation de la
CNPD selon laquelle les avantages de la PBI avancés au regard de l’intérêt de la collectivité se
confondraient avec ceux des autres types de publicité.
S’agissant de la condition de nécessité, l’appelante donne à considérer que l’alternative
envisagée devrait être praticable et pas seulement théorique.
Le fait qu’elle s’appuie désormais sur le consentement ne signifierait pas non plus que son
traitement des données à caractère personnel de l’époque n’était pas nécessaire. A cet égard, elle
fait valoir que le seul fait que la base légale du consentement était une possibilité légale ne
l’empêcherait pas de se fonder sur celle de l’intérêt légitime, qu’il n’y aurait pas de hiérarchie entre
les différentes bases légales énoncées à l’article 6 du RGPD et que le critère pertinent serait la
disponibilité d’autres « moyens » et non pas celle d’une autre base légale. Ce serait encore à tort
que la CNPD affirme que l’obligation d’obtenir le consentement au titre de l’article 5,
paragraphe (2), du règlement 2022/1925 dit « Digital Markets Act » ne ferait que clarifier une
obligation déjà présente sous le RGPD, l’appelante faisant valoir que la CJUE a retenu qu’il ne
serait pas admissible d’interdire la base légale de l’intérêt légitime pour toute une classe d’activités
de traitement.
La CNPD appliquerait encore de façon erronée le principe de minimisation. A cet égard,
l’appelante fait valoir qu’elle aurait choisi les données qu’elle traitait pour la PBI sur base des
intérêts légitimes dans le but d’augmenter la valeur de l’espace publicitaire. Compte tenu de la
vaste sélection de produits et de services disponibles dans ses boutiques, les annonceurs utilisant
ses services varieraient considérablement, tout comme les audiences qu’ils souhaitent atteindre,
qui pourraient même être multiples. Elle devrait donc maintenir un ensemble de données
suffisamment large pour permettre à la gamme diversifiée d’annonceurs d’atteindre des audiences
pertinentes pour leurs produits et services, tout en respectant la minimisation des données. Pour y
parvenir, elle aurait sélectionné un ensemble limité d’éléments de données, chacun d’entre eux
étant nécessaire pour répondre à la demande des annonceurs.
L’appelante souligne que le fait qu’elle a été sélective dans le choix des éléments de
données à traiter serait également démontré par la quantité importante d’informations qu’elle aurait
choisi de ne pas traiter pour la PBI. Elle aurait en effet restreint l’ensemble des données à caractère
personnel utilisées pour la PBI au minimum nécessaire pour atteindre chacun de ses intérêts
légitimes. Pour étayer son analyse, l’appelante produit un tableau indiquant les catégories de
données traitées et des explications pour chaque catégorie de données quant à leur nécessité,
soulignant que ces explications répondraient aux critiques afférentes des premiers juges. Par
ailleurs, elle fait valoir qu’en raison de l’interaction entre les données, la suppression d’un élément
des données traitées ne rendrait certes pas impossible la PBI, mais réduirait son efficacité globale.
41
Enfin, l’appelante critique les considérations avancées par la CNPD portant sur l’impact
du traitement des données au regard du critère de nécessité et souligne qu’elle aurait limité le
traitement des données à caractère personnel au strict nécessaire.
La CNPD, pour sa part, conclut au rejet de ce moyen et des arguments le sous-tendant.
Analyse de la Cour
Il convient de rappeler que l’article 8 de la CEDH proscrit toute ingérence dans l’exercice
du droit au respect de la vie privée, sauf, notamment, si elle est « prévue par la loi », tandis que
l’article 8 de la Charte consacre la protection des données à caractère personnel comme un droit
fondamental et prescrit que « [c]es données doivent être traitées loyalement, à des fins déterminées
et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime
prévu par la loi. Toute personne a le droit d'accéder aux données collectées la concernant et d'en
obtenir la rectification ».
Le RGPD, venu remplacer la directive 95/46/CE du Parlement européen et du Conseil du
24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des
données à caractère personnel et à la libre circulation de ces données, ci-après « la directive
95/46/CE », et devenu applicable à partir du 25 mai 2018, établit, aux termes de son article 1er,
« les règles relatives à la protection des personnes physiques à l’égard du traitement des données
à caractère personnel et des règles relatives à la libre circulation de ces données » et « protège
les libertés et droits fondamentaux des personnes physiques et en particulier leur droit à la
protection des données à caractère personnel ».
De manière générale, la jurisprudence constante de la CJUE souligne que l’objectif
poursuivi par le RGPD, tel qu’il ressort de son article 1er et de ses considérants 1 et 10, consiste,
notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des
personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données
à caractère personnel, consacré à l’article 8, paragraphe (1), de la Charte et à l’article 16,
paragraphe (1), du Traité sur le Fonctionnement de l’Union européenne42.
La CJUE rappelle encore régulièrement que conformément à cet objectif, les traitements
de données à caractère personnel couverts par le RGPD doivent, notamment, être conformes aux
principes énoncés à l’article 5 du RGPD, requérant en l’occurrence en son point a) que les données
soient traitées de façon licite, loyale et transparente au regard de la personne concernée, et doivent
satisfaire aux conditions de licéité énumérées à l’article 6 dudit règlement43.
Dans l’appréciation de la conformité d’un traitement des données aux requis du RGPD, il
convient de prendre en compte le principe de minimisation des données, énoncé à l’article 5,
42
CJUE 1er août 2022, VYRIAUSIOJI, C-184/20, point 125 et jurisprudence citée ; CJUE 4 octobre 2024, affaire
META PLATFORMS, C‑446/21, point 45 et jurisprudence citée ; CJUE 9 janvier 2025, affaire MOUSSE, C-394/23,
point 21.
43
CJUE 30 mai 2013, C-342/12, point 33 (à propos de la directive 95/46/CE) ; CJUE 6 octobre 2020, affaire LA
QUADRATURE DU NET, C-511/18, point 208 ; CJUE 4 octobre 2024, affaire KONINKLIJE NEDERLANDSE
LAWN TENNISBOND, C‑621/22, point 27 et jurisprudence citée ; CJUE 9 janvier 2025, affaire MOUSSE, C-394/23,
point 22.
42
paragraphe (1), point c), du RGPD, qui requiert que les données soient adéquates, pertinentes et
limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, ce principe
étant une expression du principe de proportionnalité44.
Conformément au principe de responsabilité énoncé à l’article 5, paragraphe (2), du
RGPD, le responsable du traitement doit être en mesure de démontrer que les données à caractère
personnel sont collectées et traitées dans le respect des principes énoncés au paragraphe (1) de cet
article45. C’est donc sur lui que repose la charge de la preuve que les données sont collectées pour
réaliser des finalités déterminées, explicites et légitimes et qu’elles sont traitées de manière licite,
loyale et transparente au regard de la personne concernée46.
L’article 6, paragraphe (1), premier alinéa, du RGPD énumère une liste exhaustive et
limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré
comme étant licite, cas parmi lesquels figure, outre l’hypothèse du consentement de la personne
concernée avec le traitement en question pour une ou plusieurs finalités spécifiques, prévue au
point a), celle du point f), invoquée en l’espèce par l’appelante comme base légale.
La CJUE rappelle dans ce contexte de façon constante que les justifications prévues à
l’article 6, paragraphe (1), premier alinéa, du RGPD, en ce qu’elles permettent de rendre licite un
traitement de données à caractère personnel effectué en l’absence du consentement de la personne
concernée, doivent faire l’objet d’une interprétation restrictive47.
Conformément à l’article 6, paragraphe (1), premier alinéa, point f), du RGPD, un
traitement de données à caractère personnel est licite s’il est « nécessaire aux fins des intérêts
légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les
intérêts ou les libertés et les droits fondamentaux de la personne concernée qui exigent une
protection des données à caractère personnel, notamment lorsque la personne concernée est un
enfant ».
Le considérant 47 du RGPD précise que « [l]es intérêts légitimes d’un responsable du
traitement, y compris ceux d’un responsable du traitement à qui les données à caractère personnel
peuvent être communiquées, ou d’un tiers peuvent constituer une base juridique pour le traitement,
à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne
prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur
relation avec le responsable du traitement. Un tel intérêt légitime pourrait, par exemple, exister
44
CJUE 11 décembre 2019, ASOCIATIA DE POPRIETARI BLOC M5A-SCARAA, C-708/18, point 48 (à propos
de la directive 95/46/CE); CJUE 4 octobre 2024, affaire META PLATFORMS, C-446/21, points 49 et 50.
45
CJUE 20 octobre 2022, affaire DIGI, C-77/21, point 24 ; CJUE 4 octobre 2024, affaire META PLATFORMS,
C-446/21, point 51.
46
CJUE 4 juillet 2023, affaire META PLARFORMS, C-252/21, point 95 ; CJUE 12 septembre 2024, affaire HTB
NEUNTE IMMOBILIEN PORTFOLIO GESCHLOSSENE INVESTMENT UG&CO.KG, C-17/22 et C-18/22, point
39 ; CJUE 4 octobre 2024, affaire KONINKLIJKE NEDERLANDSE LAWN TENNISBOND, C-621/22, point 41 ;
CJUE 9 janvier 2025, affaire MOUSSE, C-394/23, point 29.
47
CJUE 4 octobre 2024, affaire KONINKLIJKE NEDERLANDSE LAWN TENNISBOND, C-621/22, point 31 ;
CJUE 4 juillet 2023, affaire META PLATFORMS, C-252/21, point 93 ; CJUE 24 février 2022, affaire VALSTS,
C-175/20, point 73 ; CJUE 22 juin 2021, LATVIJAS REPUBLIKAS SAEIMA, C‑439/19, point 110 ; CJUE
11 décembre 2019, ASOCIATIA DE PROPRIETARI BLOC M5A-SCARAA, C-708/18, point 46 et l’affaire RIGAS
du 4 mai 2017 y citée.
43
lorsqu’il existe une relation pertinente et appropriée entre la personne concernée et le responsable
du traitement dans des situations telles que celles où la personne concernée est un client du
responsable du traitement ou est à son service. En tout état de cause, l’existence d’un intérêt
légitime devrait faire l’objet d'une évaluation attentive, notamment afin de déterminer si une
personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte
des données à caractère personnel, à ce que celles-ci fassent l’objet d'un traitement à une fin
donnée. Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier,
prévaloir sur l'intérêt du responsable du traitement lorsque des données à caractère personnel
sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement
pas à un traitement ultérieur. (…) » et donne comme exemple répondant à un intérêt légitime le
traitement de données à caractère personnel à des fins de prospection48.
Selon la jurisprudence constante de la CJUE, déjà consacrée par rapport à une disposition
similaire sous la directive 95/46/CE, abrogée par le RGPD, tel que les premiers juges l’ont
également relevé à juste titre, trois conditions cumulatives doivent être remplies pour que les
traitements de données à caractère personnel visés par l’article 6, paragraphe (1), alinéa 1er,
point f), du RGPD, soient licites, à savoir, (i) la poursuite d’un intérêt légitime par le responsable
du traitement ou par un tiers, (ii) la nécessité du traitement des données à caractère personnel pour
la réalisation de l’intérêt légitime poursuivi et (iii) celle tenant à ce que les intérêts ou les libertés
et les droits fondamentaux de la personne concernée par la protection des données ne prévalent
pas sur l’intérêt légitime du responsable du traitement ou d’un tiers49 50.
S’agissant de la condition tenant à l’existence d’un intérêt légitime, la CJUE a retenu qu’en
l’absence de définition de cette notion, un large éventail d’intérêts est en principe susceptible
d’entrer en ligne de compte51. Il faut en tout état de cause, tel que les premiers juges l’ont encore
relevé à juste titre, que l’intérêt « poursuivi » par le responsable du traitement ou par un tiers soit
né et actuel à la date du traitement et non pas simplement hypothétique52.
Tel que relevé ci-avant, un traitement à des fins de prospection en général est reconnu par
le considérant 47 du RGPD comme pouvant répondre à un intérêt légitime, la CJUE ayant
d’ailleurs mis la personnalisation de la publicité en relation avec la notion de prospection au sens
dudit considérant53. Elle a encore souligné qu’elle n’exclut pas qu’un intérêt commercial du
responsable du traitement, consistant en la promotion et en la vente d’espaces publicitaires à des
48
CJUE 4 juillet 2023, affaire META PLATFORMS, C-252/21, point 115 ; CJUE 7 décembre 2023, affaires LAND
HESSEN et SCHUFA HOLDING AG, C-26/22 et C-64/22, point 76 ; CJUE 9 janvier 2025, affaire MOUSSE,
C-394/23, point 54.
49
Par analogie à propos de l’article 7, point f), de la directive 95/46/CE : CJUE 4 mai 2017, affaire RIGAS
SATIKSME, C-13/16, point 28 ; CJUE 11 décembre 2019, affaire ASOCIATIA DE POPRIETARI BLOC
M5A-SCARAA, C-708/18, point 40.
50
Pour ce qui est de l’article 6, paragraphe (1), alinéa 1 er, point f), du RGPD : CJUE 4 juillet 2023, affaire META
PLATFORMS, C-252/21, point 106 ; CJUE 4 octobre 2024, affaire KONINKLIJKE NEDERLANDSE LAWN
TENNISBOND, C-621/22, point 37.
51
CJUE 4 octobre 2024, affaire KONINKLIJKE NEDERLANDSE LAWN TENNISBOND, C-621/22, point 38 et la
jurisprudence citée.
52
CJUE 11 décembre 2019, affaire ASOCIATIA DE POPRIETARI BLOC M5A-SCARAA, C-708/18, point 44.
53
CJUE 4 juillet 2023, affaire META PLATFORMS, C-252/21, point 113.
44
fins de marketing, puisse être considéré comme un intérêt légitime, de sorte à envisager comme
potentiellement légitime un tel intérêt commercial du responsable du traitement54.
Il convient toutefois de garder à l’esprit que la seule poursuite d’un intérêt légitime et la
reconnaissance de la prospection en tant qu’intérêt légitime potentiel, sont insuffisantes pour
justifier un traitement des données à caractère personnel à des fins de prospection sur base du
point f) de l’article 6, paragraphe (1), alinéa 1er, du RGPD, mais que l’intérêt légitime avancé doit
en tout état de cause être mis en balance avec les intérêts des personnes concernées, examen qui
correspond à la troisième étape du triple test, la CJUE ayant à titre d’exemple retenu dans l’affaire
META PLATFORMS du 4 juillet 2023 que les intérêts fondamentaux des utilisateurs du réseau
social dont il était question prévalent sur l’intérêt de l’opérateur à une personnalisation de la
publicité55.
La CJUE rappelle encore que, pour ce qui est de la condition relative à la poursuite d’un
intérêt légitime, conformément à l’article 13, paragraphe (1), point d), du RGPD, il incombe au
responsable du traitement, au moment où des données à caractère personnel sont collectées auprès
de la personne concernée, de lui indiquer les intérêts légitimes poursuivis lorsque ce traitement est
basé sur l’article 6, paragraphe (1), premier alinéa, point f), de ce règlement56. L’intérêt légitime
poursuivi doit dès lors être articulé de façon claire et précise.
Pour ce qui est ensuite de la condition relative à la nécessité du traitement des données à
caractère personnel pour la réalisation de l’intérêt légitime poursuivi, il s’agit de vérifier que
l’intérêt légitime du traitement des données poursuivi ne peut raisonnablement être atteint de
manière aussi efficace par d’autres moyens moins attentatoires aux libertés et aux droits
fondamentaux des personnes concernées, un tel traitement devant être opéré dans les limites du
strict nécessaire pour la réalisation de cet intérêt légitime, la condition tenant à la nécessité devant,
selon la CJUE, être examinée conjointement avec le principe de minimisation des données57 58.
Tel que le CEPD le précise dans ses lignes directrices 1/2024 à propos de l’intérêt légitime, il ne
s’agit dès lors pas d’une simple utilité ou d’une efficacité économique, mais il convient de vérifier
le strict caractère indispensable du traitement pour atteindre l’intérêt légitime poursuivi59.
La Cour observe encore que la jurisprudence récente de la CJUE fait également entrer en
ligne de compte, au niveau de l’analyse de la condition de nécessité, le consentement comme
alternative réaliste et non excessive. Ainsi, elle a, dans son arrêt du 12 septembre 2024 (C-17/22
et C-18/22), donné des lignes de guidance à la juridiction de renvoi quant à l’appréciation concrète
de la condition de nécessité dans l’affaire dont elle était saisie et a envisagé, dans ce contexte, la
54
CJUE 4 octobre 2024, affaire KONINKLIJKE NEDERLANDSE LAWN TENNISBOND, C-621/22, point 48.
55
CJUE 4 juillet 2023, affaire META PLATFORMS, C-252/21, point 117.
56
CJUE 9 janvier 2025, affaire MOUSSE, C-394/23, point 46 et les références citées.
57
A propos de la directive 95/46/CE : CJUE 11 décembre 2019, affaire ASOCIATIA DE POPRIETARI BLOC
M5A-SCARAA, C-708/18, points 46 et 48 ; CJUE 4 mai 2017, affaire RIGAS SATIKSME, C-13/16, point 30 et les
jurisprudences plus anciennes y citées.
58
A propos du RGPD : CJUE 4 juillet 2023, affaire META PLATFORMS, C-252/21, point 108 ; CJUE 12 septembre
2024, affaire HTB NEUNTE IMMOBILIEN PORTFOLIO GESCHLOSSENE INVESTMENT UG & CO.KG,
C‑17/22 et C‑18/22, point 52 ; CJUE 4 octobre 2024, affaire KONINKLIJKE NEDERLANDSE LAWN
TENNISBOND, C-621/22, point 43 ; CJUE 9 janvier 2025, affaire MOUSSE, C-394/23, point 49.
59
Point 28 des lignes directrices 1/2024 du CEPD.
45
possibilité de demander l’accord de la personne concernée avec le traitement comme alternative
possible, ce qui permettrait, selon la CJUE, dans l’affaire en question, à celle-ci de conserver le
contrôle sur le traitement de ses données et de limiter leur divulgation à ce qui est effectivement
nécessaire au regard des finalités poursuivies, ce en conformité avec le principe de minimisation
des données, de sorte à conclure qu’au final, il ne pourrait être exclu qu’une telle façon de procéder
puisse être considérée comme une mesure comportant une ingérence moindre dans le droit à la
protection de la confidentialité des données à caractère personnel tout en permettant au responsable
du traitement de poursuivre de façon aussi efficace l’intérêt légitime poursuivi60. La même
considération a été avancée dans son arrêt du 4 octobre 2024 (C-621/22) en ce qu’elle a observé,
sur base d’un raisonnement similaire, qu’il serait notamment possible, pour une fédération
sportive, le responsable du traitement en question dans cette affaire, voulant communiquer à titre
onéreux les données à caractère personnel de ses membres à des tiers, d’informer au préalable ses
membres et de demander à ceux-ci s’ils souhaitent que leurs données soient transmises à ces tiers
à des fins de publicité ou de marketing61.
Si certes la seule possibilité abstraite d’un traitement sur base du consentement n’exclut
pas ipso facto le recours à l’intérêt légitime comme base légale, sous peine d’enlever tout effet
utile au point f) de l’article 6, paragraphe (1), alinéa 1er, du RGPD, il convient néanmoins de
déduire de ces jurisprudences que le consentement peut, selon les circonstances, être un indice de
l’existence d’un moyen alternatif moins intrusif.
Enfin, en ce qui concerne, la troisième étape de l’analyse, consistant en la mise en balance
des intérêts opposés en présence, à savoir ceux du responsable du traitement, d’une part, et ceux
de la personne concernée, d’autre part, il se dégage de la jurisprudence de la CJUE que cet examen
implique une pondération des droits et des intérêts opposés en présence, qui dépend, en principe,
des circonstances concrètes du cas particulier62 et de l’importance des droits de la personne
concernée relevant des articles 7 et 8 de la Charte, la CJUE rappelant, par référence au considérant
47 du RGPD, que les intérêts et les droits fondamentaux de la personne concernée peuvent, en
particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère
personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent
raisonnablement pas à un tel traitement63. C’est la gravité de l’atteinte aux droits et libertés de la
personne concernée que la CJUE érige comme élément essentiel de l’exercice de la pondération
des intérêts, en tenant compte de la nature des données et des modalités concrètes du traitement,
en l’occurrence le nombre des personnes ayant accès à ces données et les modalités d’accès à
celles-ci64. La CJUE rappelle encore qu’au niveau de la prise en considération des circonstances
60
CJUE 12 septembre 2024, affaire HTB NEUNTE IMMOBILIEN PORTFOLIO GESCHLOSSENE INVESTMENT
UG & CO.KG, C‑17/22 et C‑18/22, points 59 à 61.
61
CJUE 4 octobre 2024, affaire KONINKLIJKE NEDERLANDSE LAWN TENNISBOND, C-621/22, points 51 à
53.
62
CJUE 4 juillet 2023, affaire META PLATFORMS, C-252/21, point 110 et la jurisprudence y visée.
63
CJUE 11 décembre 2019, affaire ASOCIATIA DE POPRIETARI BLOC M5A-SCARAA, C-708/18, point 52 ;
CJUE 7 décembre 2023, affaire LAND HESSEN c. SCHUFA, C-26/22 et C-64/22, point 80 ; CJUE 9 janvier 2025,
affaire MOUSSE, C-394/23, points 50 et 58 et les références citées.
64
CJUE 11 décembre 2019, affaire ASOCIATIA DE POPRIETARI BLOC M5A-SCARAA, C-708/18, points 56
et 57.
46
de l’espèce, il convient de tenir compte, outre des attentes raisonnables de la personne concernée,
de l’étendue du traitement et de son impact sur la personne concernée65.
Ces principes et les critères à prendre en compte ont d’ailleurs été résumés dans les lignes
directrices du CEPD du 8 octobre 2024 comme étant (i) la prise en compte des intérêts et droits
fondamentaux des personnes concernées, (ii) l’impact du traitement sur les personnes dont les
données sont traitées, y compris la nature des données, les modalités et les conséquences du
traitement, (iii) les attentes raisonnables de ces personnes et (iv) la mise en balance des intérêts
opposés, y compris la possibilité de mesures d’atténuation additionnelles66, et se recoupent en
substance avec ceux déjà envisagés dans l’avis WP 21767, par rapport auquel la CNPD s’est
orientée pour opérer le test de mise en balance des intérêts et sur lequel l’appelante a elle-même
déclaré, au cours de l’instruction, s’être appuyée pour évaluer la légitimité de son traitement des
données à des fins de PBI68.
En l’espèce, c’est ce test en trois étapes que la CNPD a opéré pour arriver à la conclusion,
d’une part, que la condition de nécessité n’était pas remplie, en critiquant en l’occurrence la
nécessité de traiter des données démographiques, telles les informations sur la valeur de la
propriété du client ou de son niveau d’éducation, et en soulignant qu’un intérêt économique mis
en avant pour justifier le traitement ne passerait que rarement le test de nécessité, et, d’autre part,
que la balance des intérêts penchait en faveur des personnes concernées par le traitement après
avoir examiné (i) l’impact sur les personnes concernées, (ii) la nature des données et la manière
dont elles sont traitées, en l’occurrence le respect du droit d’accès et du droit à l’effacement, (iii)
les attentes raisonnables des personnes concernées et (iv) les mesures additionnelles mises en avant
par l’appelante, à savoir un mécanisme d’opposition, des mesures de pseudonymisation, la
question de la transparence, la composition des profils publicitaires et leur utilisation, les politiques
de rétention, les restrictions contractuelles, la ségrégation et le plafonnement des fréquences des
publicités.
Le tribunal, pour sa part, a arrêté son analyse à la deuxième étape de l’analyse, après avoir
constaté que la condition de la nécessité n’était pas remplie.
En ce qui concerne la première étape de l’évaluation à opérer, laquelle consiste à identifier
un ou plusieurs intérêts légitimes poursuivis soit par le responsable du traitement, soit par un tiers,
la Cour constate, à l’instar des premiers juges, que les parties à l’instance sont d’accord à
reconnaître trois intérêts légitimes dans les activités litigieuses de traitement des données à
caractère personnel à des fins de PBI, les trois étant de nature économique, et s’articulent plus
particulièrement comme étant (i) le propre intérêt de l’appelante et celui de ses clients à les mettre
en relation avec des produits et des services qui correspondent à leurs intérêts, (ii) les intérêts des
entreprises tierces pour promouvoir leurs produits et services auprès des clients qui pourraient
vouloir les acheter, y compris dans les boutiques (FF), et (iii) les intérêts des éditeurs tiers qui
diffusent ces publicités sur leurs propres sites web.
65
CJUE 4 juillet 2023, affaire META PLATFORMS, C-252/21, point 116 ; CJUE 9 janvier 2025, affaire MOUSSE,
C-394/23, point 58.
66
CEPD, 8 octobre 2024, Lignes de conduite n° 1/2024, point 32.
67
Section III.3.4 de l’avis WP 217.
68
Page 29 du rapport d’audit.
47
Le débat en première instance et devant la Cour, au niveau de l’identification des intérêts
poursuivis, tourne autour de l’intérêt de la collectivité européenne au sens large et des opportunités
économiques accrues que la PBI créerait dans le secteur de la publicité dans l’Union européenne,
que l’appelante entend voir reconnaître comme quatrième intérêt légitime poursuivi dans l’espoir
de faire pencher la balance des intérêts davantage en sa faveur.
S’il est certes vrai que la CNPD a examiné un tel intérêt de la collectivité et l’a exclu comme
intérêt légitime susceptible d’être pris en compte, la Cour tient néanmoins à relever que
l’appelante, dans sa réponse fournie au questionnaire lui adressé dans le cadre de l’instruction et
reproduite aux pages 29 et suivantes du rapport d’audit du 17 février 2020, n’a fait état, sous le
titre « nature of the legitimate interest persued », que de trois intérêts poursuivis, à savoir ceux
reconnus par la CNPD, et n’a mentionné l’intérêt de la collectivité que sous le titre « source of the
legitimate interests persued » afin de justifier le fondement des trois intérêts avancés. En effet,
sous ce titre, elle précise, outre ses propres droits fondamentaux et ceux de ses « adviser and
publisher partners », à savoir la liberté de commerce, la liberté d’expression et le droit à
l’information, que «[t]hese legitimate interests [donc les trois intérêts avancés] align with the
interests of the wider community in an accessible and innovative internet economy ». Cette
précision a été fournie sans doute pour tenir compte de l’approche décrite dans l’avis WP 21769 et
consistant à examiner la nature de l’intérêt légitime poursuivi, qui pourra être déterminante au
niveau du test de mise en balance des intérêts opposés, en ce sens que plus l’intérêt légitime
poursuivi est impérieux, plus il a de poids par rapport aux droits des personnes dont les données à
caractère personnel sont traitées70. A ce titre, l’avis WP 217 énumère notamment l’hypothèse où
l’intérêt légitime poursuivi correspond à l’exercice d’un droit fondamental ou encore celle où il
s’inscrit sur la toile de fond d’un intérêt public ou de l’intérêt de la collectivité, correspondant
justement aux deux fondements invoqués par l’appelante. C’est dans cette logique que dans sa
réponse à la communication des griefs, l’appelante énumère sous les points 55 à 57 les trois intérêts
poursuivis par elle et affirme les avoir examinés dans le cadre de l’analyse que le responsable du
traitement des données à caractère personnel doit faire en vertu du principe de responsabilité et ne
fait état de l’intérêt de la collectivité au sens large que sous le point 58 en précisant qu’elle « a
déterminé que ces divers intérêts s’alignent sur « l’intérêt de la collectivité » ». Il convient d’en
déduire que l’appelante n’a elle-même pas considéré l’intérêt de la collectivité comme étant un
intérêt légitime autonome, mais l’a mentionné uniquement en tant que fondement des trois intérêts
légitimes qu’elle a envisagés en ce sens que cet intérêt plus large sous-tend, d’après elle, les trois
catégories d’intérêt légitime avancés, de sorte à leur donner plus de poids. C’est aussi dans cette
optique que l’intérêt de la collectivité a été examiné dans la communication des griefs 71. Ce n’est
69
Page 38 de l’avis WP 217, précité.
70
Cf aussi Annexe 1 de l’avis WP 217 intitulée « guide succinct sur les modalités d’application du critère de mise en
balance », qui énumère comme étape de l’analyse, après l’identification de l’intérêt légitime poursuivie et l’examen
de la condition de nécessité, l’établissement d’un bilan provisoire, dans le cadre duquel il convient de prendre entre
autres la nature de l’intérêt légitime poursuivi (droit fondamental ou autre type d’intérêt) à côté des autres facteurs
qu’il convient de prendre en compte au niveau de la mise en balance.
71
« 51. (AA) indique que la source des intérêts légitimes poursuivis par (AA) découle principalement de sa liberté
d’entreprise et de celle de ses partenaires commerciaux (annonceurs et diffuseurs), mais également de l’intérêt de la
communauté, en contribuant à l’expansion de l’économie de l’internet.
52. Concernant ce dernier point (l’intérêt de la communauté), il est important de noter que, quand bien même la
publicité comportementale permettrait à un responsable du traitement d’accroitre ses revenus et rendrait ainsi
48
que dans la décision de la CNPD qu’un « intérêt de collectivité en favorisant la croissance de
l’économie de l’internet » a été examiné en tant qu’intérêt légitime autonome.
Tel que relevé ci-avant, le responsable du traitement doit, en vertu du principe de
responsabilité, procéder à son analyse de la base légale de son traitement et la documenter et, selon
l’article 13, paragraphe (1), point d), du RGPD, il lui incombe par ailleurs d’indiquer, au moment
où des données à caractère personnel sont collectées auprès de la personne concernée, les intérêts
légitimes poursuivis lorsque ce traitement est appuyé sur l’article 6, paragraphe (1), alinéa 1er,
point f), du RGPD. La première étape du test en trois étapes consiste dès lors à identifier, non pas
un intérêt légitime quelconque potentiel, avancé ex post, mais celui que le responsable du
traitement des données à caractère personnel a effectivement envisagé au niveau de l’analyse ex
ante de la conformité du traitement des données au RGPD.
Dans ces conditions, l’appelante ne saurait se prévaloir actuellement, pour justifier plus
en avant son traitement des données à des fins de PBI, d’un intérêt légitime qu’elle n’a elle-même
pas envisagé ab initio en tant qu’intérêt légitime autonome, tel que cela se dégage de ses prises de
position durant l’enquête. La Cour est dès lors amenée à retenir, à l’instar des premiers juges, que
l’intérêt de la collectivité européenne au sens large n’est pas à prendre en compte en tant qu’intérêt
légitime autonome.
L’importance à attacher aux trois intérêts légitimes poursuivis et reconnus par la CNPD,
quant à elle, entre en ligne de compte au niveau de la mise en balance des intérêts et de leur
comparaison avec les droits et intérêts des personnes dont les données à caractère personnel sont
traitées, étant toutefois d’ores et déjà souligné que la CNPD a, à juste titre, relevé dans son mémoire
en réponse que si certes les trois intérêts légitimes poursuivis par l’appelante peuvent avoir des
retombées économiques bénéfiques de façon générale, il n’en reste toutefois pas moins qu’il s’agit
d’intérêts commerciaux que l’appelante poursuit pour maximiser son chiffre d’affaires et non pas
pour tenir compte de la collectivité en général.
Les contestations de l’appelante par rapport à la reconnaissance des intérêts légitimes
qu’elle déclare poursuivre sont dès lors à rejeter sans qu’il n’y ait lieu de se prononcer plus en
avant sur le débat des parties au sujet des avantages avancés de la PBI par rapport à la publicité
traditionnelle.
En ce qui concerne ensuite la deuxième étape de l’examen à opérer au titre de l’article 6,
paragraphe (1), alinéa 1er, point f), du RGPD, consistant à analyser si le traitement des données à
caractère personnel litigieux est strictement nécessaire à l’accomplissement des finalités
poursuivies, la Cour observe que le dossier tel qu’il est soumis à son appréciation n’est plus le
même que celui qui était soumis aux premiers juges.
possible l’offre de services gratuits ou presque gratuits, il n’en demeure pas moins qu’une large majorité de personnes
concernées ne se sentent pas à l’aise à l’idée de voir leur activité en ligne suivi et observée, même si cela devait
constituer une contrepartie auxdits services. Cela a été démontré dans l’Eurobaromètre spécial 431 sur la protection
des données publié en 20158 (voir ci-dessous, page 17).
53. Conformément au WP 217, étant donnée la nature et la source commerciale des intérêts avancés par (AA), seule
une faible atteinte aux droits et libertés des personnes concernées peut être permise. »
49
A l’heure actuelle et tel que cela a été relevé ci-avant, l’appelante a mis en place un
traitement des données à caractère personnel, toujours à des fins de PBI et poursuivant a priori les
mêmes intérêts, qui ne repose plus sur la base légale de l’intérêt légitime, mais qui repose sur le
consentement des personnes concernées, partant un mode de traitement qui est moins attentatoire
aux droits des personnes concernées, puisque seules les données à caractère personnel de ceux qui
donnent leur accord avec le traitement et qui de la sorte jugent ces modalités de traitement comme
étant compatibles avec leurs droits et intérêts, sont traitées à des fins de PBI. La mise en place d’un
tel système, dont l’appelante n’affirme pas qu’il sert moins bien les intérêts qu’elle entend
poursuivre à travers le traitement de données à caractère personnel à des fins de PBI sous analyse,
fournit la réponse à la question que le responsable du traitement a dû se poser à l’époque au
moment de la mise en place du traitement critiqué par la CNPD, à savoir si l’intérêt légitime du
traitement des données poursuivi ne peut raisonnablement être atteint de manière aussi efficace
par d’autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes
concernées. Il confirme, en effet, tel que la CNPD l’a relevé à juste titre dans son mémoire en
réponse, que tel traitement sur base du consentement permet de manière aussi efficace d’atteindre
les mêmes intérêts légitimes poursuivis tout en respectant mieux les droits des concernés.
Contrairement à ce qui est avancé par l’appelante, cette conclusion n’est pas de nature à
imposer une hiérarchie entre les différentes bases légales inscrites à l’article 6, paragraphe (1), du
RGPD, ni n’exclut-elle des types de traitement de données à la base légale de l’intérêt légitime, la
Cour ayant d’ailleurs relevé ci-avant que la base légale de l’intérêt légitime n’est pas ipso facto à
exclure dès lors que la base du consentement serait envisageable. Il s’agit en l’espèce avant tout
d’un constat factuel, basé sur les circonstances de l’espèce, qui permettent de retenir que des
moyens de traitement moins attentatoires aux droits et intérêts des personnes concernées sont mis
en œuvre, à savoir un système qui limite le traitement aux données à caractère personnel des
personnes qui marquent leur accord avec ce traitement et qui, de ce fait, considèrent
nécessairement qu’il est compatible avec leur droits et intérêts, cette analyse étant en concordance
avec les jurisprudences précitées de la CJUE des 12 septembre et 4 octobre 2024.
Au-delà de ce constat, la Cour relève, en ce qui concerne la condition de la nécessité, que
l’appelante reste toujours en défaut de justifier la nécessité de traiter un nombre si important de
données à caractère personnel sur base d’une collecte multi-services et multi-équipement72 et plus
particulièrement des données démographiques, critiquées en l’occurrence par la CNPD73, telles
des informations sur la valeur de la propriété du client ou le niveau de son éducation. Il est vrai
que dans son mémoire en réplique, l’appelante a produit un tableau regroupant les différentes
catégories de données qu’elle reconnaît traiter à des fins de PBI et a donné, pour chacune, une
explication pourquoi elle estime que le traitement est nécessaire. Le constat s’impose toutefois que
ces explications fournies, en l’occurrence par rapport aux données démographiques, tendent
davantage à justifier qu’avec ces données la PBI gagne en efficacité, mais elles ne sont pas de
nature à justifier que l’ensemble de ces données et leur volume conséquent, justement critiqué par
la CNPD, soit strictement nécessaire à l’accomplissement des finalités poursuivies, démonstration
qu’il lui appartient toutefois de faire dans le présent contexte.
72
Point 118 et 179 de la décision de la CNPD.
73
Point 83 de la décision de la CNPD.
50
C’est encore à tort que l’appelante affirme que les garanties qu’elle déclare avoir prévues
pour atténuer les effets du traitement sur les droits des personnes concernées devraient être prises
en compte au niveau de l’examen de la condition de la nécessité, cette analyse étant à opérer au
niveau de la troisième opération consistant en la pondération des intérêts, les garanties mises en
avant pour protéger les droits des personnes concernées pouvant, en effet, faire, le cas échéant,
pencher la balance des intérêts.
La conclusion s’impose dès lors que la condition de la nécessité du traitement n’est pas
vérifiée en l’espèce.
Les trois conditions du triple test étant des conditions cumulatives, il suffit que l’une parmi
elles ne soit pas vérifiée pour retenir que le point f) de l’article 6, paragraphe (1), alinéa 1 er, du
RGPD ne constitue pas une base légale suffisante pour le traitement des données opéré par
l’appelante à l’époque. Les premiers juges sont dès lors à confirmer, encore que partiellement pour
d’autres motifs, en ce qu’ils ont retenu que la décision de la CNPD de considérer que le traitement
des données à caractère personnel, tel qu’opéré à l’époque par l’appelante, n’avait pas de base
légale suffisante, sans qu’il n’y ait lieu de pousser plus en avant l’analyse en trois étapes ni plus
particulièrement la question de la pondération des intérêts et sans qu’il n’y ait lieu de poser non
plus la question préjudicielle que l’appelante entend soumettre à la CJUE dans ce contexte, cet
examen devenant de la sorte surabondant.
5.2 Quant aux articles 12 à 17 et 21 du RGPD
La Cour relève de prime abord qu’au-delà du constat d’une violation des articles 12 à 17
du RGPD, la CNPD a examiné le mécanisme d’opposition (« opt-out ») mis en place à l’époque
par l’appelante dans le contexte de l’examen des mesures additionnelles prévues par celle-ci dans
le cadre de l’examen de mise en balance des intérêts opposés et le critique à différents niveaux.
Elle en a conclu, d’une part, que les conditions minimales de l’article 21 du RGPD ne seraient pas
respectées, de sorte à ne pas pouvoir être qualifiées de mesures additionnelles, et a, d’autre part,
retenu une violation autonome dudit article 21 du RGPD.
Au regard de ce que la Cour vient de retenir ci-avant au sujet du moyen fondé sur une
extension irrégulière du périmètre de l’enquête, c’est à tort que la CNPD a retenu une violation
autonome de l’article 21 du RGPD, l’analyse afférente ayant dépassé le cadre de l’enquête, de
sorte qu’elle n’a pas non plus pu se fonder sur une telle violation pour décider s’il y a lieu de
prononcer une amende, ni pour justifier son montant.
Par ailleurs, dans la mesure où, dans le cadre de l’examen de l’intérêt légitime en tant que
base légale suffisante, la Cour a arrêté son analyse au constat que la condition de nécessité n’était
pas remplie, de sorte que l’examen de la décision de la CNPD au niveau de la mise en balance des
intérêts est devenu surabondant, elle limitera son examen à la question du respect des articles 12 à
17 du RGPD et du bien-fondé d’une violation autonome de ces dispositions. A cet égard, la Cour
relève que malgré le constat que le traitement des données à caractère personnel à des fins de PBI,
tel qu’opéré à l’époque par l’appelante, ne trouve pas de base légale dans l’article 6,
paragraphe (1), alinéa 1er, point f), du RGPD, conditio sine qua non du traitement en question, la
question du respect des articles 12 à 17, au-delà du non-respect de l’article 6 du RGPD d’ores et
51
déjà retenu, reste néanmoins pertinente puisqu’elle est susceptible d’impacter la question du
bien-fondé des mesures prises par la CNPD, en l’occurrence l’amende prononcée.
Positions des parties à l’instance
Par rapport aux dispositions dont la Cour a retenu ci-avant qu’elles rentrent dans le
périmètre de l’enquête, à savoir les articles 12 à 17 du RGPD, examinés au regard des modalités
de traitement des données à des fins de PBI en vigueur au moment de l’enquête, l’appelante
reproche d’abord au tribunal d’avoir conclu que ses notices d’information n’étaient pas
suffisamment transparentes au sens de l’article 12 du RGPD au motif qu’elles auraient dû être
accessibles dans un endroit unique, alors que le RGPD ne contiendrait aucune exigence spécifique
en ce sens, mais exigerait uniquement de fournir des informations « d'une façon concise,
transparente, compréhensible et aisément accessible, en des termes clairs et simples ». Elle aurait
choisi de se conformer à cette exigence en proposant plusieurs notices plus courtes, afin d’éviter
de submerger les consommateurs d’informations qui seraient plus facilement compréhensibles
dans des parties distinctes. Cette solution aurait été raisonnable et conforme aux attentes des
personnes concernées, une enquête ayant d’ailleurs révélé que deux tiers des personnes concernées
ont déclaré ne pas lire, en général, les politiques de confidentialité parce qu’elles sont trop longues.
Concernant l’indication de la base légale et des intérêts légitimes poursuivis selon
l’article 13 du RGPD, elle fait valoir que ses notices auraient indiqué clairement les finalités
spécifiques pour lesquelles elle traitait les données à caractère personnel et les intérêts qu’elle
poursuivait, y compris ceux de tiers, en soulignant que le terme d’intérêt légitime n’aurait pas été
employé puisqu’elle l’aurait jugé comme étant trop technique et peu compréhensible pour les
clients.
Pour ce qui est des informations relatives aux opérations de profilage selon les articles 13
et 14 du RGPD, l’appelante affirme que sa notice PBI aurait indiqué expressément qu’elle utilisait
la PBI « pour présenter les fonctionnalités, les produits et les services qui pourraient vous
intéresser » et qu’elle employait « des informations comme celles portant sur votre utilisation des
sites, du contenu ou des services d'(AA) » à cette fin, de sorte que l’existence, la logique et les
conséquences potentielles du traitement opéré par elle auraient été claires.
Elle expose ensuite que la notice PBI aurait indiqué expressément qu’elle travaillait avec
« des tiers, comme des annonceurs, des éditeurs, des réseaux sociaux, des moteurs de recherche
et des sociétés de publication d'annonces, mais également avec des sociétés publicitaires
intervenant en leur nom propre pour améliorer la pertinence des annonces que nous présentons »,
et que des tiers pourraient, dans certains cas, utiliser des cookies « lorsqu'ils livrent un contenu,
incluant des annonces, directement dans votre navigateur ou appareil et, dans ce cas, ils peuvent
automatiquement recevoir votre adresse IP. Ils peuvent également utiliser des cookies pour
mesurer l'efficacité de leurs annonces, vous montrer un contenu publicitaire plus pertinent et
fournir des services au nom d'(AA) », de sorte à avoir décrit clairement les catégories de tiers qui
recevaient des données à caractère personnel dans le cadre de l’affichage de la PBI.
Concernant l’information sur les transferts hors Espace Economique Européen (EEE),
l’appelante renvoie aux termes employés dans sa notice d’information générale, indiquant que
52
« Lorsque nous transférons des informations personnelles à des pays ne faisant pas partie de
l'Espace économique européen, nous nous assurons que ces informations sont transférées en
conformité avec la présente Notice et en application des lois applicables à la protection des
données à caractère personnel », et souligne que le RGPD n’imposerait pas d’identifier chaque
destinataire de données à caractère personnel situé en dehors de l’EEE ou les pays de destination,
mais qu’il suffirait d’indiquer « le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale » et une référence à des décisions d’adéquation, sinon un renvoi « aux garanties
appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à
disposition ». Elle aurait de la sorte informé les personnes concernées des transferts internationaux
et mis à leur disposition un mécanisme de contact leur permettant d’obtenir des précisions
complémentaires et une copie des mesures de protection applicables, les clients ayant la possibilité
de s’opposer à tout transfert de leurs données à caractère personnel à des fins de PBI via
l’« opt-out » proposé.
S’agissant de l’information sur les durées de conservation, l’appelante fait valoir que le
RGPD permettrait de communiquer la durée de conservation d’un ensemble particulier de données
ou, lorsque cela n’est pas possible, les critères utilisés pour déterminer cette durée. Compte tenu
de l’étendue de ses services, elle aurait estimé qu’il ne serait pas envisageable de fournir une durée
de conservation distincte pour chaque élément de données traitées, de sorte qu’elle aurait choisi de
préciser les critères retenus pour déterminer les durées de conservation applicables.
Concernant l’identification des catégories ou sources de données non collectées auprès
des personnes concernées, elle souligne que ses notices d’information auraient comporté les
informations requises par le RGPD, qui n’imposerait pas la communication d’un inventaire
exhaustif de chaque élément de données. Une telle approche, appliquée à l’ensemble des données
traitées pour chacun de ses services, rendrait d’ailleurs la consultation de ces informations difficile
pour les clients et ne satisferait pas à l’exigence générale de concision.
Enfin, elle se serait conformée aux exigences tenant à l’identification de la source d’où
proviennent les données à caractère personnel, dans la mesure où elle aurait indiqué qu’elle
obtenait des données à caractère personnel de la part de tiers. Ses notices d’information auraient
été basées sur le principe selon lequel l’information devrait être présentée sous une forme concise,
transparente et intelligible, en utilisant un langage clair et simple, de sorte à avoir estimé qu’il ne
serait pas utile pour les personnes concernées de voir une liste de noms de tiers, qui serait dénuée
de sens et pourrait même prêter à confusion.
S’agissant de la violation de l’article 15 du RGPD retenue et plus particulièrement de la
possibilité de s’appuyer sur l’article 11 du RGPD pour ne pas réidentifier des données à caractère
personnel pour répondre à des demandes d’accès liées aux publicités, l’appelante reproche au
tribunal d’avoir écarté le recours à cette disposition, qui prévoirait expressément que, lorsque le
responsable du traitement n’a pas besoin d’identifier la personne concernée dans le cadre du
traitement, il ne serait pas tenu de traiter des informations supplémentaires dans le seul but de se
conformer aux demandes d’exercice des droits des personnes concernées. Elle aurait de toute façon
toujours fourni, en réponse aux demandes d’accès, les principaux attributs utilisés pour l’affichage
de la PBI.
53
L’appelante affirme encore que les finalités du traitement et les destinataires ou catégories
de destinataires auxquels les données à caractère personnel ont été communiquées auraient été
fournis aux personnes concernées par le biais de ses notices d'information, à savoir une notice
d’information générale et une notice PBI, de sorte qu’elle aurait fourni aux personnes concernées
les informations requises par l’article 15, paragraphe (1), du RGPD.
Quant aux demandes d’accès des utilisateurs qui ne sont pas connectés à un compte (FF)
et quant à son approche relative à la rectification d’éléments individuels de données, en particulier
les données démographiques, l’appelante prend position par rapport à ses pratiques en vigueur au
moment de l’analyse des premiers juges.
L’appelante critique ainsi le tribunal pour avoir déduit d’un non-respect du droit d’accès
qu’elle n’aurait pas fourni aux personnes concernées la possibilité de rectifier leurs données en
vertu de l’article 16 du RGPD, en insistant sur la considération qu’elle aurait justement respecté le
droit d’accès.
Pour ce qui est de la suppression des données après qu’une personne concernée s’est
désinscrite de la PBI, au regard de l’article 17 du RGPD, ou après une demande de suppression,
l’appelante fait valoir qu’elle n’aurait pas supprimé automatiquement les données après l’exercice
d’un opt-out afin de pouvoir conserver la possibilité pour la personne concernée de se réinscrire
sans perdre ses préférences.
La CNPD conclut au rejet de ces moyens.
Analyse de la Cour
La Cour relève que si le tribunal a examiné la question du respect des dispositions
litigieuses du RGPD en tenant compte des adaptations apportées par la suite par l’appelante à ses
pratiques, en l’occurrence dans l’optique de l’appréciation du caractère toujours pertinent des
injonctions, la Cour limitera son analyse aux pratiques de l’appelante en vigueur au moment où la
CNPD les a examinées, celle-ci ayant précisé dans sa décision que la date pertinente prise en
compte est celle du début de l’enquête74. En effet, tel que relevé ci-avant, les parties à l’instance
s’accordent pour retenir que le traitement des données à caractère personnel à des fins de PBI, tel
que pratiqué actuellement par l’appelante, est conforme au RGPD, de sorte que, tel que demandé
par la CNPD dans son mémoire en duplique, la seule question qui se posera encore dans ce contexte
est celle de savoir si la CNPD a à bon droit pu retenir qu’au début de l’enquête, les dispositions
litigieuses du RGPD n’étaient pas respectées.
La Cour n’aura dès lors égard qu’aux développements des parties visant ce cadre limité
de son analyse.
74
Point 291 de la décision.
54
5.2.1. Quant aux articles 12 à 14 du RGPD
L’article 12 du RGPD établit les règles générales applicables notamment à la
communication d’informations aux personnes concernées par le traitement des données à caractère
personnel, visées aux articles 13 et 14 du RGPD, et aux communications adressées à ces personnes
au sujet de l’exercice de leurs droits, visées notamment aux articles 15 à 17 du RGPD.
Les articles 12 à 14 sont libellés comme suit :
(Article 12 du RGPD) « Le responsable du traitement prend des mesures appropriées
pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute
communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la
personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en
des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un
enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est
approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les
informations peuvent être fournies oralement, à condition que l'identité de la personne concernée
soit démontrée par d'autres moyens. »
(Article 13 du RGPD) « 1. Lorsque des données à caractère personnel relatives à une
personne concernée sont collectées auprès de cette personne, le responsable du traitement lui
fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel
ainsi que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts
légitimes poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées
et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition.
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à
la personne concernée, au moment où les données à caractère personnel sont obtenues, les
informations complémentaires suivantes qui sont nécessaires pour garantir un traitement
équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;
55
b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant
le retrait de celui-ci ;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne
la conclusion d'un contrat et si la personne concernée est tenue de fournir les données
à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture
de ces données ;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant
la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce
traitement pour la personne concernée.
3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont
été collectées, le responsable du traitement fournit au préalable à la personne concernée des
informations au sujet de cette autre finalité et toute autre information pertinente visée au
paragraphe 2.
4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations. ».
(Article 14 du RGPD) « 1. Lorsque les données à caractère personnel n'ont pas été
collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes
les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel
ainsi que la base juridique du traitement ;
d) les catégories de données à caractère personnel concernées ;
e) le cas échéant, les destinataires ou les catégories de destinataires des données à
caractère personnel ;
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel à un destinataire dans un pays tiers ou une
organisation internationale, et l'existence ou l'absence d'une décision d'adéquation
rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou
à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées
56
ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à
disposition.
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à
la personne concernée les informations suivantes nécessaires pour garantir un traitement
équitable et transparent à l'égard de la personne concernée :
a) la durée pendant laquelle les données à caractère personnel seront conservées ou,
lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
b) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts
légitimes poursuivis par le responsable du traitement ou par un tiers ;
c) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ainsi que du droit de s'opposer au
traitement et du droit à la portabilité des données ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article
9, paragraphe 2, point a), l'existence du droit de retirer le consentement à tout
moment, sans porter atteinte à la licéité du traitement fondé sur le consentement
effectué avant le retrait de celui-ci ;
e) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
f) la source d'où proviennent les données à caractère personnel et, le cas échéant, une
mention indiquant qu'elles sont issues ou non de sources accessibles au public ;
g) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant
la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce
traitement pour la personne concernée. (…) ».
Les premiers juges se sont de plus, de façon pertinente, référés aux considérants 58 et 60
du RGPD, auxquels il convient encore d’ajouter les considérants 39 et 61.
« (39) Tout traitement de données à caractère personnel devrait être licite et loyal. Le fait
que des données à caractère personnel concernant des personnes physiques sont collectées,
utilisées, consultées ou traitées d'une autre manière et la mesure dans laquelle ces données sont
ou seront traitées devraient être transparents à l'égard des personnes physiques concernées. Le
principe de transparence exige que toute information et communication relatives au traitement de
ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées
en des termes clairs et simples. Ce principe vaut, notamment, pour les informations communiquées
aux personnes concernées sur l'identité du responsable du traitement et sur les finalités du
traitement ainsi que pour les autres informations visant à assurer un traitement loyal et
transparent à l'égard des personnes physiques concernées et leur droit d'obtenir la confirmation
et la communication des données à caractère personnel les concernant qui font l'objet d'un
traitement. Les personnes physiques devraient être informées des risques, règles, garanties et
droits liés au traitement des données à caractère personnel et des modalités d'exercice de leurs
droits en ce qui concerne ce traitement. En particulier, les finalités spécifiques du traitement des
données à caractère personnel devraient être explicites et légitimes, et déterminées lors de la
collecte des données à caractère personnel. (…) ».
57
« (58) Le principe de transparence exige que toute information adressée au public ou à la
personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des
termes clairs et simples et, en outre, lorsqu'il y a lieu, illustrée à l'aide d'éléments visuels. (…).
Ceci vaut tout particulièrement dans des situations où la multiplication des acteurs et la
complexité des technologies utilisées font en sorte qu'il est difficile pour la personne concernée de
savoir et de comprendre si des données à caractère personnel la concernant sont collectées, par
qui et à quelle fin, comme dans le cas de la publicité en ligne. (…) »,
« (60) Le principe de traitement loyal et transparent exige que la personne concernée soit
informée de l'existence de l'opération de traitement et de ses finalités. Le responsable du traitement
devrait fournir à la personne concernée toute autre information nécessaire pour garantir un
traitement équitable et transparent, compte tenu des circonstances particulières et du contexte
dans lesquels les données à caractère personnel sont traitées. En outre, la personne concernée
devrait être informée de l'existence d'un profilage et des conséquences de celui-ci. (…) Ces
informations peuvent être fournies accompagnées d'icônes normalisées afin d'offrir une bonne vue
d'ensemble, facilement visible, compréhensible et clairement lisible, du traitement prévu. Lorsque
les icônes sont présentées par voie électronique, elles devraient être lisibles par machine. ».
« (61) Les informations sur le traitement des données à caractère personnel relatives à la
personne concernée devraient lui être fournies au moment où ces données sont collectées auprès
d'elle ou, si les données à caractère personnel sont obtenues d'une autre source, dans un délai
raisonnable en fonction des circonstances propres à chaque cas. Lorsque des données à caractère
personnel peuvent être légitimement communiquées à un autre destinataire, il convient que la
personne concernée soit informée du moment auquel ces données à caractère personnel sont
communiquées pour la première fois audit destinataire. (…). »
Tel que les premiers juges l’ont relevé à juste titre, conformément aux dispositions sous
analyse, le responsable du traitement doit fournir aux personnes dont les données à caractère
personnel sont collectées et traitées un certain nombre d’informations et ce (i) de manière concise,
transparente, compréhensible et aisément accessible et (ii) en des termes clairs et simples, tant
lorsque les données sont collectées directement auprès desdites personnes que lorsqu’elles ne le
sont pas, obligations qui s’insèrent dans le cadre du principe plus général de loyauté et de
transparence de l’article 5 du RGPD, voire dans celui d’équité de l’article 8 de la Charte.
La CJUE rappelle d’ailleurs, dans les affaires ayant trait à l’examen de la base légale
appuyée sur l’intérêt légitime, plus particulièrement l’importance des obligations découlant de
l’article 13, paragraphe (1), point c), du RGPD, en liant l’obligation d’indiquer notamment la
finalité du traitement et sa base juridique, d’un côté, et la charge de la preuve à fournir par le
responsable du traitement des données à caractère personnel que les données sont collectées pour
des finalités déterminées, explicites et légitimes et qu’elles sont traitées de manière licite, loyale
et transparente au regard de la personne concernée75, de l’autre côté.
75
CJUE 9 janvier 2025, affaire MOUSSE, C-394/23, point 29 ; CJUE 4 octobre 2024, KONINKLIJKE
NEDERLANDSE LAWN TENNISBOND, C-621/22, point 33 et la référence y citée.
58
L’avis WP 260 du groupe article 29 portant sur la transparence au sens du RGPD, adopté
le 29 novembre 2017, ci-après « l’avis WP 260 », auquel l’appelante s’est référée également76,
donne encore des lignes de conduite utiles pour guider les responsables du traitement en leur
analyse.
Il y est en l’occurrence précisé de façon pertinente que la personne concernée devrait être
en mesure de déterminer à l’avance la portée et les conséquences du traitement afin de ne pas être
prise au dépourvu77, qu’il y a lieu d’éviter de la noyer d’informations et que, dans un contexte en
ligne, une présentation sur différents niveaux permet d’éviter un tel risque78, les informations
devant être aisément accessibles en ce sens que la personne concernée ne doit pas avoir à les
rechercher79, le langage utilisé devant être suffisamment clair et simple afin d’être aisément
compréhensible pour la majorité du public visé et ne pas prêter à confusion, des termes vagues, de
même que des termes trop techniques ou juridiques étant à éviter80.
Les dispositions tenant aux requis de transparence ont pour finalité de permettre à toute
personne concernée de comprendre utilement le traitement qui est ou sera fait de ses données à
caractère personnel et ce plus particulièrement pour pouvoir exercer de façon utile les droits que
le RGPD lui reconnaît, tels les droits d’accès, de rectification, d’effacement et d’opposition81.
En l’espèce, la CNPD a examiné les notices d’information de l’appelante dans leurs
versions telles que visées dans le rapport d’audit, à savoir celles en vigueur au 9 octobre 201882.
Les reproches de la CNPD au niveau des articles 12 à 14 du RGPD peuvent être résumés
comme suit :
(i) les informations requises devraient être accessibles à un endroit unique ou dans un
même document pouvant être aisément consulté (requis d’accessibilité et de clarté),
(ii) la notice de confidentialité n’indiquerait pas la base de licéité utilisée (article 13,
paragraphe (1), point c), du RGPD),
(iii) la notice sur les annonces publicitaires basées sur les centres d’intérêt ne serait pas
suffisamment claire puisqu’elle pourrait être comprise en ce sens que les données à
caractère personnel ne sont pas traitées à des fins de PBI, voire en ce sens que
lesdites données ne sont pas partagées avec des tiers,
(iv) les personnes concernées ne seraient pas informées de façon suffisante (i) qu’un
profil publicitaire détaillé des utilisateurs des sites et services d’(FF) est établi, y
compris en relation avec des partenaires tiers et (ii) au sujet des algorithmes utilisés
pour la création de tels profils (considérant 60 et article 13, paragraphe (2), point
f), du RGPD),
(v) défaut d’information au sujet de la condition de licéité et des intérêts légitimes sur
lesquels l’appelante se basait (article 13, paragraphe (1), point d), du RGPD),
76
Réponse à la communication des griefs, point 130.
77
Point 10 de l’avis WP 260.
78
Point 8 de l’avis WP 260.
79
Point 11 de l’avis WP 260.
80
Points 9, 12 et 13 de l’avis WP 260.
81
CJUE 12 janvier 2023, affaire RW c OSTERREICHISCHE POST, C‑154/21, point 39.
82
Point 215 de la décision.
59
(vi) défaut d’indication des destinataires des données à caractère personnel et des
conséquences en résultant, en l’occurrence dans le cadre du processus RTB, le fait
de se limiter à indiquer les catégories de tiers étant jugé insuffisant (article 13,
paragraphe (1), point e), du RGPD),
(vii) imprécision au niveau des informations à fournir au titre de l’article 13, paragraphe
(1), point f), du RGPD en cas de transfert de données vers un pays tiers, en
l’occurrence sur les destinataires, les pays de destination et les garanties mises en
place,
(viii) absence d’information suffisante sur la durée de conservation des données à
caractère personnel (article 13, paragraphe (2), point a), du RGPD),
(ix) dans les hypothèses de collecte indirecte de données, défaut d’indication de façon
suffisamment claire et précise des catégories de données à caractère personnel
concernées par le traitement, ce compte tenu du volume des données traitées, les
notices ne permettant plus particulièrement pas de comprendre que des données
démographiques sont collectées et traitées (article 14, paragraphe (1), point d), du
RGPD),
(x) toujours dans les hypothèses de collecte indirecte de données, défaut d’information
suffisante sur la source d’où proviennent les données, la notice « Annonces basées
sur vos centres d’intérêt » se référant à « certains tiers », tandis que l’enquête aurait
permis d’identifier deux sources concrètes de données démographiques, qui
auraient dû être indiquées (article 14, paragraphe (2), point f), du RGPD).
L’examen des éléments du dossier ainsi que les explications fournies de part et d’autre par
les parties à l’instance amène la Cour à confirmer en substance l’analyse de la CNPD,
consécutivement celle des premiers juges pour autant qu’elle concerne les versions des notices
d’information en vigueur au 9 octobre 2018, date pertinente dans le cadre de l’examen à opérer
par la Cour.
La CNPD est en l’occurrence à confirmer dans ses reproches à l’égard du format choisi des
notices d’information. Si l’appelante fait à juste titre valoir qu’il convient de ne pas noyer les
personnes concernées dans les informations et qu’une approche à différents niveaux dans un
contexte en ligne n’est pas critiquable, la CNPD a toutefois retenu à juste titre que les modalités
d’information mises en œuvre par l’appelante à l’époque posaient problème en ce que les
informations au sujet de la collecte et du traitement de données à caractère personnel à des fins de
PBI étaient contenues dans au moins trois documents distincts, accessibles via des liens, selon des
modalités qui, en fin de compte, ne sont pas facilement consultables afin de permettre aux
concernés d’avoir une vue d’ensemble sans avoir à comparer différents documents accessibles à
des endroits différents, la WP 260 recommandant d’ailleurs, s’il y a recours à des déclarations à
différents niveaux, de rendre accessibles les informations sur les modalités de traitement des
données à caractère personnel en un endroit ou document unique pour des raisons de bonne
lisibilité83. Certes, le RGPD n’interdit pas expressément la manière de faire choisie par l’appelante.
Il n’en reste toutefois pas moins qu’elle se heurte aux requis de l’article 12 du RGPD et des
considérants, précités, du RGPD, dont il découle que les informations doivent être « aisément
accessibles » et « faciles à comprendre ». S’agissant du reproche d’un risque de confusion au
niveau des termes choisis dans les notices d’information, la Cour relève que si elle comprend la
83
Point 217.
60
lecture faite par l’appelante de l’extrait de la notice d’information PBI cité par la CNPD, il n’en
reste toutefois pas moins que la CNPD a, à juste titre, relevé que les termes employés pourraient
prêter à confusion et que de la sorte ils se heurtent à l’obligation découlant de l’article 12 du RGPD
de fournir les informations requises de façon « transparente, compréhensible (…) en des termes
clairs et simples ».
La Cour rejoint encore la CNPD dans son constat, confirmé par les premiers juges, que les
notices d’information n’indiquaient pas de façon suffisamment claire et compréhensible la base de
licéité du traitement et les intérêts légitimes poursuivis, ces deux points ayant d’ailleurs dû être
clarifiés par l’appelante au cours de l’enquête sur question du chef d’enquête. Même si l’appelante
a raison de faire valoir que les termes trop juridiques sont à éviter et qu’un langage simple est à
favoriser, il n’en reste toutefois pas moins qu’elle doit remplir son obligation légale clairement
énoncée aux points c) et d) de l’article 13, paragraphe (1), du RGPD, et que, sous cet aspect, la
communication des griefs, ainsi que la CNPD dans sa décision, constatent à juste titre que ni la
base de licéité sur laquelle l’appelante entendait baser son traitement des données à caractère
personnel à des fins de PBI, ni concrètement les intérêts légitimes poursuivis et correspondant à
ceux qu’elle a mentionnés dans ses réponses aux questions lui posées dans le cadre de l’enquête,
n’étaient clairement indiqués dans ses notices d’information de l’époque, étant rappelé que les
informations en question doivent être fournies de façon claire et facilement compréhensible et ne
peuvent pas résulter seulement de façon implicite d’autres informations fournies, tel que
l’appelante le fait valoir.
S’agissant du reproche d’une information insuffisante au sujet du fait qu’un profil
publicitaire détaillé des utilisateurs des sites et services d’(FF) est établi, y compris en relation
avec des partenaires tiers, et au sujet des algorithmes utilisés pour la création de tels profils, la
Cour estime que les informations relevées par l’appelante et tendant à indiquer qu’elle utilisait la
PBI « pour présenter les fonctionnalités, les produits et les services qui pourraient vous intéresser
», et qu’elle utilisait « des informations comme celles portant sur votre utilisation des sites, du
contenu ou des services d'(FF) » à cette fin, même si elles donnaient une certaine idée sur la logique
du traitement effectué, étaient néanmoins insuffisantes pour permettre aux personnes concernées
de comprendre de façon éclairée qu’un profilage était mis en œuvre, de même que la logique sous-
jacente, l’importance et les conséquences prévues de ce traitement pour elles, tel que l’article 13,
paragraphe (2), point f) du RGPD, lu à la lumière de son considérant 60, le requiert, étant rappelé
que, tel que la CNPD le souligne à juste titre dans sa réponse, la majorité des personnes concernées
sont des consommateurs non avertis sur la complexité des traitements en matière de PBI.
Pour ce qui est de l’indication des destinataires des données à caractère personnel et en
l’occurrence le reproche selon lequel aucune information n’était fournie sur le partage de données
dans le cadre du processus RTB, la Cour relève qu’il est certes vrai que le point e) de l’article 13,
paragraphe (1), du RGPD permet aussi l’indication des catégories de destinataires des données à
caractère personnel, l’appelante relevant à juste titre que les informations au sujet des destinataires
des données, conformément à l’article 13 du RGPD, ne sont pas à confondre avec les informations
à fournir sur demande au titre de l’article 15 du RGPD84, et que les passages des notices
d’information relevées par l’appelante indiquent que celle-ci travaille avec des tiers, en donnant
comme exemple des annonceurs, éditeurs, des réseaux sociaux, des moteurs de recherches, des
84
CJUE 12 janvier 2023, affaire RW c. OSTERREICHISCHE POST, C‑154/21, point 36.
61
sociétés de publication d’annonces et des sociétés publicitaires, la Cour relève néanmoins encore
que si le choix est opéré de n’indiquer que les catégories de tiers avec lesquels les données sont
partagées, les informations fournies doivent être suffisamment spécifiques pour permettre aux
personnes concernées de comprendre utilement à qui leurs données à caractère personnel sont
continuées. A cet égard, la Cour partage l’analyse de la CNPD et du chef d’enquête que les
informations fournies au sujet du mécanisme de RTB et des destinataires des données dans ce
contexte ne répondaient pas à ce requis de transparence.
Pour ce qui est du reproche d’une imprécision des informations fournies au titre de
l’article 13, paragraphe (1), point f), du RGPD en cas de transfert de données vers un pays tiers,
en l’occurrence sur les destinataires, les pays de destination et les garanties mises en place, la Cour
relève que l’obligation d’indication des destinataires des données à laquelle la CNPD se réfère
résulte plutôt du point e) que du point f) du RGPD. Néanmoins, comme le point f) précité requiert,
outre l’indication de l’existence d’un transfert de données dans un pays tiers, auquel la notice citée
ne se réfère que de façon vague, celle d’une décision d’adéquation de la Commission, sinon la
référence à des garanties appropriées, les moyens d’en obtenir une copie et l’endroit où les données
ont été mises à disposition, et comme l’indication de ces dernières informations requiert
logiquement aussi l’indication du pays de destination, la CNPD a raison de relever que les
informations requises au titre du point f) de l’article 13, paragraphe (1), du RGPD n’ont pas été
fournies, l’assurance générale que les lois applicables étaient respectées ayant y figuré étant
insuffisante à cet égard.
Quant aux informations à fournir au sujet de la durée de conservation des données, la Cour
rejoint le constat de la CNPD que si certes l’article 13, paragraphe (2), point a), du RGPD permet
de n’indiquer que les critères utilisés pour déterminer la durée de conservation des données,
comme l’appelante a été en mesure d’indiquer au cours de l’instruction une durée maximale de
conservation des données et d’identifier d’autres durées de conservation des données et ce d’une
façon claire et compréhensible, des informations plus précises au sujet de la durée de conservation
des données auraient pu et dû être fournies dans ses notices d’information, les premiers juges ayant
par ailleurs retenu à juste titre que les informations fournies, consistant à affirmer que les données
sont conservées pour « une durée nécessaire à la réalisation » des finalités pertinentes dans les
conditions décrites dans les notices d’information, voire d’obligations légales, est insuffisante,
même au titre de l’indication des critères utilisés pour déterminer la durée de conservation des
données.
Pour ce qui est de l’indication, lorsque les données ne sont pas collectées auprès de la
personne concernée, des catégories de données à caractère personnel concernées par le traitement
et de la source d’où elle proviennent, conformément au point d) de l’article 14, paragraphe (1) du
RGPD et au point f) de son article 14, paragraphe (2) , la Cour rejoint encore la CNPD, confirmée
par les premiers juges, que l’indication fournie par l’appelante qu’elle collectait et traitait en
l’occurrence des données démographiques est insuffisante, ce au regard du fait que les catégories
de données ont pu être listées de façon succincte et compréhensible dans le rapport d’audit et que,
par ailleurs, les sources dont proviennent les données ont été identifiées lors de l’enquête comme
étant limitées à deux, de sorte que l’appelante n’est pas fondée à argumenter que l’indication
d’informations au-delà de ce qu’elle a fourni aurait rendu ses notices d’information trop
compliquées.
62
Il suit de l’ensemble de ces considérations que la CNPD est à confirmer en ce qu’elle a
retenu que les modalités d’information au sujet du traitement des données à caractère personnel tel
qu’opéré au moment de l’établissement du rapport d’audit n’étaient pas conformes aux articles 12
à 14 du RGPD, de sorte que les premiers juges ont, à juste titre, rejeté les contestations afférentes
de l’appelante, les arguments avancés par celle-ci en instance d’appel n’étant pas venus infirmer
cette conclusion.
5.2.2 Quant aux articles 15 à 17 du RGPD
La CNPD a encore reproché à l’appelante de ne pas avoir respecté le droit d’accès aux
informations consacré à l’article 15 du RGPD et a, de façon corolaire, constaté un non-respect des
articles 16 et 17 du RGPD.
L’article 15 du RGPD dispose comme suit :
« 1. La personne concernée a le droit d'obtenir du responsable du traitement la
confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et,
lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les informations
suivantes : (…)
2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une
organisation internationale, la personne concernée a le droit d'être informée des garanties
appropriées, en vertu de l'article 46, en ce qui concerne ce transfert. (…) ».
Dans ce contexte, les premiers juges se sont valablement référés encore au considérant 63
du RGPD qui précise qu’« une personne concernée devrait avoir le droit d'accéder aux données
à caractère personnel qui ont été collectées à son sujet et d'exercer ce droit facilement et à des
intervalles raisonnables, afin de prendre connaissance du traitement et d'en vérifier la licéité. (...)
En conséquence, toute personne concernée devrait avoir le droit de connaître et de se faire
communiquer, en particulier, les finalités du traitement des données à caractère personnel, si
possible la durée du traitement de ces données à caractère personnel, l'identité des destinataires
de ces données à caractère personnel, la logique qui sous-tend leur éventuel traitement automatisé
et les conséquences que ce traitement pourrait avoir, au moins en cas de profilage. Lorsque c'est
possible, le responsable du traitement devrait pouvoir donner l'accès à distance à un système
sécurisé permettant à la personne concernée d'accéder directement aux données à caractère
personnel la concernant. (...). »
Tel que relevé ci-avant, la CJUE rappelle que l’exercice de ce droit d’accès doit permettre
à la personne concernée de vérifier non seulement que les données la concernant sont exactes, mais
également qu’elles sont traitées de manière licite et qu’en particulier, il est nécessaire pour
permettre à celle-ci d’exercer, le cas échéant, son droit à la rectification, son droit à l’effacement
ou son droit à la limitation du traitement, qui lui sont reconnus, respectivement, par les articles 16,
17 et 18 du RGPD, ainsi que son droit d’opposition au traitement de ses données à caractère
personnel, prévu à l’article 21 du RGPD85.
85
CJUE 12 janvier 2023, affaire RW c. OSTERREICHISCHE POST, C-154/21, points 37 et 38.
63
L’appelante a exposé devant la CNPD qu’elle respecterait le droit d’accès aux données à
caractère personnel traitées, tout en concédant toutefois qu’elle a pris la décision de ne pas
dépseudonymiser les profils publicitaires dans le cadre de demandes d’accès aux données à
caractère personnel traitées et de ne pas les inclure dans ses réponses à ces demandes, en se
prévalant de l’article 11 du RGPD, qui, selon elle, la dispenserait de donner l’accès litigieux, et en
insistant sur la considération que cette façon de procéder aurait pour objet de garantir la vie privée
de ses clients.
La Cour rejoint de prime abord l’appelante dans son constat que la question du droit d’accès
devrait en principe être examinée par rapport à une demande concrète. Néanmoins, dans la mesure
où l’appelante reconnaît par ailleurs que, par principe, elle ne donnait à l’époque pas accès aux
données pseudonymisées, sous réserve de fournir certains attributs-clés pour créer les profils
publicitaires, la CNPD a, à juste titre, pu vérifier si cette approche était conforme au RGPD
indépendamment d’une demande concrète d’accès.
L’article 11, paragraphe (1), du RGPD dispose comme suit :
« Si les finalités pour lesquelles des données à caractère personnel sont traitées n'imposent
pas ou n'imposent plus au responsable du traitement d'identifier une personne concernée, celui-ci
n'est pas tenu de conserver, d'obtenir ou de traiter des informations supplémentaires pour
identifier la personne concernée à la seule fin de respecter le présent règlement. ».
La Cour rejoint la CNPD dans sa position, confirmée par les premiers juges, selon laquelle
la finalité du traitement litigieux opéré par l’appelante, à savoir la fourniture de la publicité
comportementale à ses clients, présuppose en tout état de cause une identification des équipements
terminaux non seulement pour créer les profils, mais aussi afin de pouvoir afficher des offres
publicitaires personnalisées, de sorte que l’appelante ne pouvait pas valablement se baser sur
l’article 11, paragraphe (1), du RGPD - lequel pose comme prémisse de base l’absence de nécessité
d’identifier une personne concernée - pour refuser de procéder à une réidentification des données
personnelles pseudonymisées afin de donner suite à une demande d’accès des personnes
concernées à leur profil publicitaire.
La CNPD a encore retenu à juste titre que si l’appelante pouvait identifier un équipement
terminal déterminé, qu’il s’agisse d’équipements authentifiés ou non authentifiés, lui créer un
profil publicitaire et fournir ensuite de la publicité ciblée, les moyens dont elle disposait pour ce
faire auraient dû lui suffire aussi pour donner suite à une demande d’accès à des données
pseudonymisées, de sorte à ne pas porter atteinte aux droits des personnes concernées en traitant
d’avantage de données à caractère personnel afin de répondre à une demande d’accès.
Sur base de ces considérations, la CNPD, et par suite les premiers juges, ont, à juste titre,
pu retenir que l’approche de l’époque de l’appelante en relation avec le droit d’accès aux données
traitées à des fins de PBI n’était pas conforme à l’article 15 du RGPD, constat qui n’est pas remis
en cause par l’approche de l’appelante développée dans ses observations et sur laquelle elle insiste
dans sa requête d’appel, consistant à fournir, suite à une demande d’accès aux données, certains
64
attributs-clés pour créer les profils publicitaires, dans la mesure où, tel que les premiers juges l’ont
relevé à juste titre, l’article 15 du RGPD exige la communication de davantage d’informations.
La Cour observe ensuite que sur base du constat que les pratiques de l’appelante, en ce qui
concerne l’accès aux données pseudonymisées, n’étaient pas conformes à l’article 15 du RGPD,
la CNPD avait pu déduire que nécessairement, elles ne respectaient pas non plus les articles
1686 et 1787 du RGPD88, garantissant les droits de rectification et d’effacement.
A ce titre, la Cour rejoint certes les premiers juges dans leur constat qu’un exercice utile de
ces droits présuppose d’abord la prise de connaissance des données traitées, en l’occurrence le
contenu du profil publicitaire établi, la CJUE rappelant justement que l’accès aux données est
nécessaire pour permettre à la personne concernée d’exercer en l’occurrence son droit de
rectification et d’effacement. Il s’ensuit que si les conditions d’accès aux données à caractère
personnel traitées et pseudonymisées ne répondent pas aux requis du RGPD, l’exercice du droit de
rectification et d’effacement risque d’être d’autant plus hypothéqué.
La conséquence à en déduire n’est toutefois pas celle retenue par la CNPD et par les
premiers juges d’une violation en tout état de cause du droit d’effacement et de rectification, de
tels non-respects devant être examinés au cas par cas en fonction de demandes concrètes adressées
à l’appelante, mais elle est tout au plus celle d’un risque de non-respect de ces droits, cette nuance
étant à prendre en compte au niveau de l’analyse à opérer par la suite lorsqu’il s’agit de décider du
choix des mesures à prendre et, dans l’hypothèse d’une amende, du quantum de celle-ci.
En outre, la CNPD reproche à l’appelante d’avoir violé le droit à l’effacement en raison du
fait que le profil publicitaire n’était pas immédiatement effacé en cas d’exercice d’un opt-out afin
de ne plus recevoir de la publicité ciblée89. A ce titre, la Cour observe que l’appelante se limite à
expliquer que tel était le cas pour laisser à la personne concernée la possibilité de se réinscrire sans
perdre ses préférences, tout en soulignant que pendant la période de désactivation, les personnes
concernées ne recevaient pas de publicité ciblée. L’appelante ne produit toutefois pas des
explications suffisantes permettant de retenir que ses procédés en place à l’époque permettaient de
garantir que les données étaient effacées « dans les meilleurs délais » après l’exercice d’un opt-out,
l’enquête tendant plutôt de voir retenir que les données n’étaient effacées qu’après 13 mois90.
Il suit des considérations qui précèdent que l’analyse de la CNPD de la question du respect
des articles 15 à 17 du RGPD est à confirmer sous la réserve retenue ci-avant par rapport au
86
« La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification
des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la
personne concernée a le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y
compris en fournissant une déclaration complémentaire. ».
87
« 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais,
de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à
caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : (…)
c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif
légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21,
paragraphe 2. »
88
Points 172 et 173 de la communication des griefs sur lesquels la décision se réfère en ses points 161 et 164.
89
Point 161 de la décision.
90
Point 161 de la décision.
65
reproche d’une violation des droits à l’effacement et de rectification. Le jugement est à confirmer
sur ces points et dans cette mesure.
6) Quant à la méthodologie employée par la CNPD
Position des parties à l’instance
Encore que présentés de façon séparée, la Cour identifie deux moyens susceptibles d’être
rattachés en substance à la méthodologie employée par la CNPD pour arriver à la conclusion
litigieuse d’imposer une amende et de prononcer des injonctions assorties d’une astreinte,
l’appelante reprochant, en effet, à la CNPD, d’une part, de ne pas avoir examiné la question de
savoir si une négligence est vérifiée dans son chef, avant d’imposer une amende, et, d’autre part,
d’avoir imposé immédiatement une amende sans songer à recourir à d’autres mesures, les deux
reproches étant également thématisés par l’appelante sous l’angle de son moyen basé sur une
motivation insuffisante de la décision du 15 juillet 2021. Elle lie encore ses critiques à son moyen
basé sur une violation du principe de légalité, en ce que le non-respect de ce principe l’aurait privé
de garanties renforcées, notamment au niveau de l’appréciation de la négligence et de l’évaluation
de la mesure à prendre en cas de violation du RGPD. Il s’agirait-là, d’après l’appelante, de vices
ne pouvant pas être réparés en appel et devant conduire à l’annulation pure et simple de la décision
querellée.
L’appelante reproche ainsi en premier lieu au tribunal d’avoir rejeté son moyen fondé sur
une violation de l’article 83 du RGPD, au motif que la CNPD n’aurait pas examiné une négligence
dans son chef avant de décider d’infliger une amende, examen pourtant requis par la jurisprudence
de la CJUE91, et d’avoir ainsi appliqué et avalisé un régime de responsabilité objective, contraire
au droit de l’Union et à la CEDH, en l’occurrence au principe de culpabilité.
En effet, la CJUE aurait confirmé que les amendes en vertu du RGPD ne pourraient être
justifiées que si le responsable du traitement a agi de manière fautive, en violant la loi de manière
intentionnelle ou négligente, de sorte que l’existence d’une violation du RGPD ne suffirait pas à
elle seule pour infliger une amende, la preuve d’une négligence de la part du responsable du
traitement devant au moins être fournie.
Pourtant, les premiers juges n’auraient pas pris en compte les jurisprudences de la CJUE
invoquées par elle et auraient adopté une approche critiquable et contraire à l’article 83,
paragraphe (2), point b,) du RGPD, en retenant que du moment où une violation n’a pas été
commise délibérément ou intentionnellement, il y aurait nécessairement eu négligence, partant en
effectuant un constat automatique implicite de la négligence, sans analyser concrètement cette
question.
L’appelante souligne ensuite qu’il se dégagerait tant de la décision déférée que de la
position défendue par la CNPD en première instance, basée sur une responsabilité objective, que
celle-ci n’avait en réalité pas examiné la question de la négligence.
En tout état de cause, elle estime ne pas avoir été négligente.
91
Affaires DEUTSCHE WOHNEN et NACIONALINIS, précitées.
66
Elle demande, en ordre principal, l’annulation de la décision litigieuse à défaut pour la
CNPD d’avoir examiné la question de la négligence. En ordre subsidiaire, elle demande dans sa
réplique à la Cour de poser des questions préjudicielles à la CJUE, la première portant sur les
conditions formelles d’établissement de la culpabilité et tendant à savoir si l’existence d’une
négligence peut être présumée si un comportement intentionnel a été exclu, la deuxième portant
sur l’étape procédurale lors de laquelle la négligence doit être établie, l’appelante soulevant la
question de savoir si l’autorité de contrôle peut introduire un examen de la négligence pour la
première fois au cours d’une procédure contentieuse si elle ne l’a pas opéré dans sa décision initiale
et la troisième question visant à établir le niveau de preuve requis pour démontrer l’existence d'une
négligence dans le contexte d’une violation de l’article 6, paragraphe (1), alinéa 1er, point f), du
RGPD.
Elle reproche en second lieu aux premiers juges de ne pas avoir accueilli son moyen basé
sur une violation de l’article 58 du RGPD et consistant à reprocher à la CNPD d’avoir
immédiatement appliqué une amende sans envisager d’autres mesures.
L’article 58 du RGPD conférerait aux autorités de contrôle le pouvoir d’adopter une série
de « mesures correctrices », parmi lesquelles figurerait certes l’amende. Toutefois, l’objectif dudit
article 58 ne serait pas de sanctionner à tout prix, mais il permettrait aux autorités de contrôle de
promouvoir les objectifs principaux du RGPD, à savoir la protection des données à caractère
personnel et la libre circulation des données à caractère personnel dans l’Union. La CNPD aurait
dès lors dû opérer un choix effectif parmi les différentes mesures correctrices au titre de
l’article 58, paragraphe (2), du RGPD.
En ordre principal, l’appelante fait valoir que cette obligation n’aurait pas été respectée en
l’espèce, la CNPD n’ayant pas envisagé d’autres mesures correctrices moins contraignantes,
conformément aux objectifs du RGPD et au principe de proportionnalité, mais ayant opté
directement pour les sanctions les plus sévères.
En n’envisageant pas de mesures correctrices alternatives, autres qu’une amende et une
injonction, en vue de résoudre les problèmes identifiés dans sa décision, la CNPD aurait violé
l’article 58, paragraphe (2), du RGPD et le tribunal aurait à tort retenu un défaut d’obligation légale
pour la CNPD d’expliquer pour quelle raison elle n’avait pas opté pour d’autres mesures.
L’appelante souligne qu’il ne s’agirait pas simplement d’une question de motivation, mais
fondamentalement il s’agirait de savoir si la CNPD avait examiné toutes les mesures à sa
disposition en vertu du RGPD pour choisir celle qui était appropriée et nécessaire, en tenant compte
de toutes les circonstances du cas d’espèce et des objectifs du RGPD, par renvoi à la jurisprudence
de la CJUE92. En l’espèce, la CNPD n’aurait tout simplement pas du tout examiné ce choix.
En outre, en termes de motivation, le tribunal aurait implicitement admis que la CNPD n’a
pas motivé son choix des mesures correctrices prises parmi toutes les mesures disponibles, la
motivation de ce choix ne pouvant, par ailleurs, être complétée en cours d’instance contentieuse.
92
CJUE 7 décembre 2023, affaires LAND HESSEN et SCHUFA HOLDING, C-26/22 et C-64/22, points 69 et 7070 ;
CJUE 26 septembre 2024, TR c. LAND HESSEN, C-768/21, point 49.
67
A titre subsidiaire, à admettre que la CNPD avait opéré un choix délibéré parmi les mesures
à sa disposition, l’appelante fait valoir qu’elle n’aurait pas respecté les limites de son pouvoir
d’appréciation et aurait effectué un détournement de ses pouvoirs, l’appelante rappelant que
l’objectif du RGPD serait d’assurer la protection des données à caractère personnel et non pas, tel
que les premiers juges l’ont retenu, de sanctionner les responsables du traitement pour les
manquements établis. Les premiers juges auraient ainsi méconnu la jurisprudence de la CJUE93,
qui exigerait que l’autorité de contrôle exerce son pouvoir d’appréciation quant au choix des
mesures correctrices appropriées et n’inflige une amende que lorsque celle-ci est « appropriée,
nécessaire et proportionnée pour remédier à l’insuffisance constatée et garantir le plein respect
de ce règlement ». Dans ce contexte, l’appelante se réfère encore à un arrêt de la Cour d’appel de
Bruxelles94.
La décision ne serait pas conforme à l’objectif du RGPD dans la mesure où la CNPD
n’aurait tenu compte ni du fait que des mesures avaient été prises pour se conformer aux critiques
soulevées, et ce dès la communication des griefs, notamment en apportant des modifications aux
mécanismes de consentement aux cookies, à la transparence, aux informations et aux droits des
personnes concernées, ni de l’offre formulée dans la réponse à la communication des griefs de
discuter et de coopérer avec la Formation restreinte pour résoudre les questions restantes. De
même, tous les changements apportés aux pratiques du traitement des données jusqu’à la date du
jugement, y compris le fait que la base légale de l’intérêt légitime pour la PBI ne serait plus
employée, auraient dû entrer en ligne de compte.
L’appelante en conclut que la CNPD aurait dû retenir qu’une amende n’était ni appropriée,
ni nécessaire, ni proportionnée pour assurer le respect du RGPD, puisqu’elle était manifestement
disposée à coopérer avec la CNPD et à se conformer au RGPD.
Elle insiste sur la considération que l’approche punitive adoptée par la CNPD aurait aussi
été mise en cause par le Président du tribunal dans son ordonnance de référé.
Elle ajoute qu’une réponse plus collaborative de la CNPD serait particulièrement pertinente
dans des situations comme celle de l’espèce où une appréciation et une évaluation seraient
requises, qui pourraient donner lieu à des résultats variés, en particulier en l’absence de guidance
spécifique au moment où le test de mise en balance avait été fait.
La CNPD aurait ainsi d’abord dû fournir une guidance pour faciliter la mise en conformité
au RGPD et ensuite uniquement, si nécessaire, imposer des sanctions.
Une telle approche basée sur des objectifs plutôt que sur des règles serait d’ailleurs en ligne
avec les principes de responsabilité (« accountability ») et d’auto-évaluation, qui seraient les
pierres angulaires du RGPD.
Il ne serait dès lors pas approprié d’infliger une amende au responsable du traitement à titre
de sanction immédiate et primaire si celui-ci a agi de bonne foi lors de son analyse, tel que cela
93
Affaires SCHUFA HOLDING AG et TR c. LAND HESSEN, précitées.
94
Cour d’appel de Bruxelles (19e ch.), 26 mai 2021, no. 2021/AR/163.
68
serait le cas en l’espèce, la CNPD ayant expressément reconnu qu’il n’y avait pas eu de violation
intentionnelle et que l’obligation de responsabilité avait été respectée.
Dès lors, la décision de la CNPD d’infliger une amende, sans envisager au préalable des
mesures correctrices moins sévères et sans tenir compte des efforts proactifs de mise en
conformité, contredirait les objectifs fondamentaux du RGPD, qui privilégieraient la protection
des données à caractère personnel, alors que la décision querellée, portant sur une période précise
dans le passé, suggèrerait que son objectif principal était de punir plutôt que de promouvoir la
conformité.
La décision serait dès lors, non seulement contraire au RGPD, mais aussi, d’un point de
vue du droit national, viciée pour détournement de pouvoir et violation des limites du pouvoir
d’appréciation de la CNPD, ce qui devrait conduire à son annulation.
A titre plus subsidiaire, l’appelante reproche au tribunal de ne pas avoir retenu que la
CNPD, en optant immédiatement pour l’imposition d’une amende, avait outrepassé ses pouvoirs
et violé le principe de proportionnalité, imposant à la CNPD de choisir une mesure qui est propre
à assurer le respect du RGPD et qui n’excède pas ce qui est nécessaire pour atteindre cet objectif.
Les premiers juges auraient à tort qualifié l’amende de proportionnée au motif que, bien
qu’importante per se, elle ne correspondrait qu’à environ …% de son chiffre d’affaires mondial.
Il s’agirait-là d’une application erronée du principe de proportionnalité. Une sanction, telle que
celle en cause, devrait être proportionnée aux objectifs légitimes poursuivis, tel que l’article 52,
paragraphe (1), de la Charte et l’article 1er du Premier Protocole de la CEDH le prévoiraient, et ne
pourrait pas dépasser les limites de ce qui est nécessaire à la réalisation de ces objectifs, tel que la
CJUE l’exigerait95, étant entendu que, lorsqu’un choix s’offre entre plusieurs mesures appropriées,
il conviendrait de recourir à la moins contraignante. La jurisprudence belge retiendrait encore que
le seul fait que le manquement constaté concerne des principes fondamentaux ne serait pas un
argument de nature à justifier la proportionnalité de la sanction96. En outre, l’appelante se prévaut
de l’article 49, paragraphe (3), de la Charte.
Dès lors, la seule comparaison du montant de l’amende au chiffre d’affaires mondial serait
insuffisante. La CNPD n’aurait pu choisir l’amende que si elle avait été le moyen le moins
contraignant nécessaire pour assurer le respect du RGPD.
Par ailleurs, le fait d’imposer une amende sur base du seul fait que la CNPD n’était pas
d’accord avec le résultat du test de mise en balance des intérêts serait particulièrement inapproprié
et disproportionné, alors même qu’elle avait pourtant conclu que les faits ne reflétaient pas une
intention délibérée de violer le RGPD et que le principe de responsabilité avait été respecté,
l’appelante estimant qu’un avertissement ou un rappel à l’ordre aurait été possible. En infligeant
une amende, la CNPD serait clairement allée au-delà de ce qui était nécessaire pour assurer le
respect du RGPD, alors qu’elle aurait facilement pu recourir à des mesures moins contraignantes,
ce d’autant plus au regard de la proposition explicite de l’appelante de coopérer.
95
CJUE 16 février 2022, C-157/21, affaire POLOGNE c. Parlement européen et Conseil de l’Union européenne,
point 153.
96
Cour d’appel de Bruxelles, 26 mai 2021, n° 2021/AR/163, page 32.
69
En conséquence, l’appelante conclut en ordre principal à l’annulation de la décision dans
le cadre du recours en réformation.
A titre subsidiaire, elle demande à la Cour de réformer la décision en prenant une décision
de principe enjoignant à la CNPD d’adopter, le cas échéant, des sanctions plus appropriées et
moins sévères, conformément à l’objectif du RGPD et d’une manière qui n’excède pas ce qui est
nécessaire pour atteindre cet objectif.
L’appelante critique encore la décision déférée en termes de motivation, en ce qu’elle ne
fournirait aucune motivation sur des aspects fondamentaux, tels que son choix d’infliger une
amende au lieu d’autres mesures correctrices moins contraignantes au titre de l’article 58,
paragraphe (2), du RGPD, ainsi que sur la question de savoir s’il y avait négligence. Elle reproche
aux premiers juges d’avoir retenu que l’obligation de motivation en vertu de l’article 6 du
règlement grand-ducal du 8 juin 1979 ne s’appliquait pas en l’espèce.
Le fait que la CNPD avait fourni de nouvelles motivations au cours de la procédure de
première instance et que ces motivations échappent à la procédure de coopération de l’article 60
du RGPD parce que les autres autorités de contrôle concernées n’auraient pas eu la possibilité de
donner leur avis ou d’exprimer une « objection pertinente et motivée » sur une telle motivation
complémentaire, contournerait l’objectif de la procédure de coopération et constituerait une
violation de l’article 60 du RGPD. Le tribunal n’aurait donc pas dû tenir compte de la motivation
supplémentaire fournie par la CNPD.
Outre le fait que la CNPD ne pourrait ainsi pas compléter la motivation de la décision
litigieuse en phase contentieuse, elle ne pourrait en tout état de cause pas modifier sa décision.
Enfin, s’agissant de moyen basé sur une violation du principe de légalité, l’appelante
reproche au tribunal d’avoir retenu que les obligations découlant du RGPD sont clairement définies
et fait valoir que l’amende résultant de la constatation d’une violation de l'article 6 du RGPD serait
de nature pénale selon les critères dégagés par la CourEDH dans l’affaire ENGEL, de sorte que
son prononcé aurait dû être conforme au principe fondamental de légalité prévu par les articles 7
de la CEDH et 49 de la Charte et être apprécié à la lumière du fait qu’elle constituerait une
restriction à ses droits au titre de l’article 16 de la Charte et de l’article 1 er du Premier Protocole
de la CEDH. Le prononcé d’une amende pour violation de l’article 6 du RGPD devrait dès lors
être entouré de toutes les garanties procédurales qu’exigent les sanctions pénales, en l’occurrence
les critères de légalité et de proportionnalité.
Le principe de légalité interdirait en l’occurrence d’étendre le champ d’application des
infractions à des actes qui n’étaient pas des infractions pénales auparavant, de même qu’une
interprétation extensive au détriment de l’accusé. Il requerrait le respect des critères d’accessibilité
et de prévisibilité de la loi, un individu devant savoir, à partir du libellé de la disposition pertinente
et, le cas échéant, à l’aide de l’interprétation par la jurisprudence de celle-ci, quels actes et
omissions engageront sa responsabilité pénale et quelle peine sera infligée pour l’acte et/ou
l’omission, tel que la Cour constitutionnelle le rappellerait aussi.
70
A partir de ces principes, le tribunal aurait dû vérifier si le RGPD et la jurisprudence de la
CJUE existant au moment de l’instruction étaient suffisamment clairs pour lui permettre, tout en
procédant à un test de mise en balance extrêmement difficile et étroitement lié aux faits spécifiques
dans un contexte de PBI, de déterminer avec certitude si elle pouvait s’appuyer sur la base légale
de l’intérêt légitime. A cet égard, elle rappelle que la vérification de la pertinence de la base légale
de l’intérêt légitime se dégageant de l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD,
exigerait des responsables du traitement un test de mise en balance. Or, la CJUE ne fournirait
qu’une méthodologie générale sur la manière d’effectuer ce test et le RGPD resterait muet sur les
composants et les exigences individuels qui sous-tendent le test à des fins de PBI. Les rares
décisions de la CJUE qui auraient existé au moment de l’ouverture de l’enquête seraient soit
vagues sur les critères pertinents pour le test de mise en balance, soit se seraient concentrées sur
des aspects très spécifiques pertinents pour les affaires examinées. Toutefois, aucune des décisions
disponibles ne lui aurait permis de prévoir que ses pratiques en matière de PBI n’étaient pas
conformes à l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD.
D’ailleurs, l’absence de sécurité juridique entourant la base légale de l’intérêt légitime
persisterait encore aujourd’hui, la CJUE étant régulièrement appelée à répondre sur des aspects
basiques de cette base légale, telle la confirmation récente qu’un intérêt commercial peut être
considéré comme un intérêt légitime.
Le jugement a quo attesterait de l’absence persistante de sécurité juridique entourant
l’intérêt légitime, puisque le tribunal aurait analysé ses pratiques de traitement des données en
fonction d’une norme différente de celle appliquée par la CNPD, en l’occurrence pour évaluer la
nécessité du traitement pour avoir pris en compte la manière dont les données ont été collectées,
les durées de conservation applicables et le volume de données traitées, aspects que la CNPD
n’aurait pas pris en considération.
L’examen de la jurisprudence existante de la CJUE sur le principe de légalité au titre des
articles 49 et 52, paragraphe (1), de la Charte, ainsi que de la jurisprudence de la CourEDH au titre
de l’article 7 de la CEDH et de l’article 1er du Premier Protocole de la CEDH montrerait que la
réalisation du test de mise en balance selon l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD
par une entreprise privée n’aurait pas pu satisfaire au principe de sécurité juridique et de
prévisibilité justifiant l’imposition d’une sanction à caractère pénal en vertu de l’article 83 du
RGPD, dans la mesure où ce test impliquerait des notions larges et vagues. L’appelante en conclut
qu’elle n’aurait pas pu raisonnablement être critiquée et soumise à une amende à caractère pénal
face à sa tentative d’appliquer le test de bonne foi, même si la CNPD était parvenue à une
conclusion différente au niveau de son analyse du test.
L’appelante est d’avis que les premiers juges auraient dû arriver à la conclusion que le fait
de la sanctionner sur la base de lignes directrices émises par une autorité sans pouvoir législatif,
en l’occurrence sur base de l’avis WP 217 sur l’intérêt légitime, ne serait pas conforme au principe
de légalité et elle critique les premiers juges pour avoir retenu que la CNPD ne s’était pas appuyée
sur cet avis pour imposer les sanctions. Les premiers juges auraient dû retenir que la CNPD pouvait
tout au plus se baser sur le RGPD et la jurisprudence de l’époque. En effet, selon la pratique
décisionnelle établie de la CourEDH, tant que des orientations prudentielles n’avaient pas été
71
sanctionnées par un tribunal ou incorporées dans une loi, elles ne pourraient servir à imposer des
sanctions à caractère pénal, sous peine de violer le principe de légalité.
De plus, l’avis WP 217, qui n’aurait d’ailleurs jamais été entériné par le CEPD avec
l’entrée en vigueur du RGPD, fait qui sèmerait le doute sur la pertinence de l’interprétation y
contenue, fournirait essentiellement des orientations sur la méthodologie permettant de mener les
différentes étapes du test de mise en balance requis en vertu de l’article 7, point f), de la Directive
95/46/CE, le prédécesseur de l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD, associées à
quelques exemples, qui ne concerneraient toutefois pas la PBI. En outre, certains aspects de cet
avis auraient été contredits par la jurisprudence plus récente de la CJUE, telle par exemple
l’interprétation à donner à la notion de nécessité, l’avis WP 217 exigeant qu’il conviendrait de
savoir « si d'autres moyens moins intrusifs sont disponibles pour servir le même objectif », tandis
que la CJUE l’aurait supplantée par la norme plus permissive de savoir si l'intérêt légitime
poursuivi « ne peut raisonnablement être atteint de manière aussi efficace par d'autres moyens
moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées ». Enfin,
l’appelante critique le fait que des simples recommandations seraient considérées comme des
exigences.
Pour toutes ces raisons, l’avis WP 217 ne devrait pas être pris en considération au niveau
de l’évaluation de la question de savoir si l’article 6, paragraphe (1), alinéa 1er, point f), du RGPD
satisfait aux critères de légalité et de prévisibilité.
Par ailleurs, le fait de la sanctionner sur la seule base du RGPD, tel qu’interprété par la
jurisprudence disponible au moment de l’enquête, ne respecterait pas non plus le principe de
légalité, à défaut pour le RGPD de répondre aux garanties de prévisibilité exigées par ce principe,
le seul fait que le tribunal ait dû se référer à l’avis WP 217 et le fait que des orientations ont été
émises par le G29 et le CEPD montrant d’ailleurs, d’après l’appelante, que le RGPD n’est pas
suffisamment clair et prévisible.
L’appelante reproche encore au tribunal de ne pas avoir évalué, chaque fois qu’il n’était
pas d’accord avec la façon dont elle avait effectué le test imposé par l’article 6, paragraphe (1),
alinéa 1er, point f), du RGPD, si elle pouvait, avec une certitude suffisante, savoir que son
application du test de mise en balance n’était pas conforme à la loi. Dans ce contexte, elle fait
valoir que la CNPD reconnaîtrait dans sa décision qu’elle avait réalisé son exercice de mise en
balance en conformité avec le principe de responsabilité et que les faits et le manquement constatés
ne traduiraient pas une intention délibérée de violer le RGPD, ce que le chef d’enquête aurait aussi
confirmé.
Dans ces conditions, le tribunal aurait dû arriver à la conclusion qu’elle ne pouvait pas
savoir avec certitude que son comportement l’exposerait à des sanctions.
Le tribunal aurait dès lors dû retenir que l’article 6, paragraphe (1), alinéa 1er, point f), du
RGPD ne satisfaisait pas aux critères de légalité et de prévisibilité, ce qui devrait conduire à
l’annulation de la décision de la CNPD, l’absence de prévisibilité ne pouvant pas être réparée
rétroactivement. Subsidiairement, l’amende infligée en violation du principe de légalité devrait
être écartée.
72
Enfin, l’appelante reproche au tribunal d’avoir conclu que la sévérité des amendes
encourues en vertu de l'article 83 du RGPD était prévisible.
La CNPD, pour sa part, conclut au rejet de ces moyens.
Pour ce qui est de la condition de négligence, elle estime qu’elle est remplie et fait valoir
que si la Formation restreinte avait certes relevé que les faits et le manquement constatés ne
traduisent pas une intention délibérée de violer le RGPD, il n’en demeurerait pas moins que
l’appelante aurait fait preuve d’une négligence certaine dans la mesure où les principes
fondamentaux du RGPD seraient en cause, sachant que plusieurs violations ont été identifiées,
portant, en particulier, sur l’obligation élémentaire de disposer d’une base de licéité valide pour
sous-tendre les traitements de données et l’obligation de transparence et de respecter les droits des
personnes concernées.
Tout en admettant qu’il faut au moins vérifier une négligence, la CNPD donne à considérer,
à l’instar de ce qui serait retenu en droit de la concurrence, qu’il importerait peu que le responsable
du traitement ait eu conscience ou non d’enfreindre le RGPD, mais que la négligence serait vérifiée
du moment qu’il ne pouvait ignorer le caractère illicite de ses activités, tout en soulignant que la
CJUE, en matière de concurrence, n’admettrait en général pas facilement l’absence d’une
négligence, même lorsque l’entité visée a légitimement pu considérer que son comportement était
licite.
Le comportement de l’appelante devrait encore être apprécié à l’aune du fait que d’autres
responsables du traitement avaient déjà fait l’objet, de manière répétée, de sanctions pour des
manquements similaires.
En l’espèce, la prise en compte des qualités, connaissances et aptitudes du responsable du
traitement pour apprécier si ce dernier a agi avec négligence devrait conduire au constat d’une
circonstance aggravante dans la mesure où le groupe (FF) serait un acteur incontournable du
commerce en ligne et disposerait de moyens conséquents qui lui permettraient d’assurer une veille
réglementaire et jurisprudentielle sur l’ensemble du territoire de l’UE et de mettre à jour ses
traitements en conséquence.
La CNPD ajoute que le CEPD aurait statué dans le même sens dans sa décision 3/2022
META PLATFORMS IRELAND Limited du 5 décembre 2022, prise dans le cadre d’une
procédure sous l’article 65 du RGPD, en ce qu’elle aurait pris en compte le fait qu’avant l’entrée
en vigueur du RGPD, l’entreprise en question se basait sur le consentement comme base de licéité
pour la PBI et a été négligente de choisir une autre base dans le but d’éviter les droits renforcés
des utilisateurs avec l’entrée en vigueur du RGPD, la CNPD affirmant que le choix de l’appelante
aurait suivi la même logique, ce qui permettrait de retenir une négligence manifeste dans son chef.
Les premiers juges auraient dès lors à juste titre retenu la négligence dans le chef de
l’appelante pour les besoins de l’article 83, paragraphe (2), du RGPD.
73
La CNPD affirme ensuite qu’elle aurait apprécié la négligence dans sa décision et réfute
les reproches de l’appelante d’une contradiction dans sa position en ce qu’elle aurait argumenté
auparavant que la négligence n’était pas à examiner.
A cet égard, elle fait valoir que la présentation PowerPoint versée aux débats aurait été
adaptée en vue des plaidoiries de la première instance pour justement prendre en compte l’arrêt
DEUTSCHE WOHNEN de la CJUE.
Ensuite, même s’il était retenu qu’elle n’avait pas examiné l’existence de la négligence par
rapport au principe de l’amende, elle en aurait toutefois tenu compte au niveau du quantum de
celle-ci, la CNPD observant, par ailleurs, qu’elle pourrait, en vertu d'une jurisprudence constante
des juridictions administratives, compléter les éléments du dossier par des motifs complémentaires
même en cours d’instance en renvoyant à ses explications tendant à opérer cet examen.
S’agissant, d’autre part, du choix d’infliger une amende et du reproche soulevé dans ce
contexte d’une violation de l’article 58 du RGPD, la CNPD fait valoir que l’amende, mesure
pouvant être prise en complément ou à la place des autres mesures correctrices, viserait
uniquement à sanctionner un comportement illicite par le passé, mais non à mettre un terme aux
manquements constatés, d’autres mesures ayant été expressément prévues à cet effet à l’article 58,
paragraphe (2), du RGPD.
D’ailleurs, ni le RGPD ni la loi du 1er août 2018 ne prévoiraient une hiérarchie au niveau
des mesures correctrices, ce dont la CNPD conclut que les autorités de contrôle resteraient libres
de choisir la ou les mesures correctrices les plus appropriées, l’amende étant la règle plutôt que
l’exception en cas de manquement au RGPD, ce qui transparaîtrait clairement à la lecture de
l'article 83, paragraphe (2), du RGPD et de son considérant n° 148.
Il s’ensuivrait que le recours à une amende administrative dans le but d’assurer
l’application effective des règles européennes en matière de protection des données ne saurait
dépendre de la communication préalable d’une injonction de mise en conformité et cela même s’il
s’agissait d’une première violation, la CNPD renvoyant, à cet égard, à la pratique décisionnelle de
l’autorité de contrôle belge.
La CNPD se réfère encore à la pratique décisionnelle des autres autorités de contrôle
européennes, considérant l’amende comme une des mesures privilégiées, et à la jurisprudence
européenne en droit de la concurrence envisageant la non-imposition d’une amende comme une
situation exceptionnelle, et ce, même si l’entreprise concernée pensait que son comportement était
licite.
La CNPD réfute ensuite les reproches d’un détournement ou excès de pouvoir.
Elle fait valoir que ses questions, observations et conclusions auraient toutes été motivées
par sa mission d’assurer la protection des données à caractère personnel, en renvoyant à la
motivation de la décision querellée qui justifierait l’amende à la lumière des critères prévus à
l'article 83, paragraphe (2), du RGPD, auxquels elle se serait référée non seulement pour
déterminer s’il convenait d’imposer une amende, mais également pour en déterminer le montant,
74
tout en s’assurant à l’issue de cette évaluation que l’amende sera effective, dissuasive et
proportionnée. L’appelante lui reprocherait dès lors à tort un certain automatisme au niveau de
l’application de l’amende.
La CNPD réitère encore que, selon une jurisprudence constante des juridictions
administratives, une insuffisance au niveau de la motivation n’entraînerait pas l’annulation de la
décision, mais qu’il lui serait possible de compléter sa motivation en cours d’instance. Par ailleurs,
la jurisprudence du Conseil d’Etat français n’imposerait pas une explicitation du montant des
sanctions que la CNIL prononce.
Par rapport au reproche d’un excès de pouvoir, la CNPD relève que le contrôle de la Cour
devrait se limiter à l’appréciation du caractère proportionné et raisonnable de la sanction et
souligne qu’elle disposerait d’un pouvoir discrétionnaire pour prononcer à l’encontre du
responsable du traitement n’ayant pas respecté une ou plusieurs dispositions du RGPD une série
de mesures correctrices, ainsi qu’une amende administrative, un cumul de ces sanctions étant
envisageable. Il serait, par ailleurs, étonnant de ne pas imposer de mesures correctrices en cas de
constat d’une violation du RGPD.
Sur le fondement de l’article 58, paragraphe (6), du RGPD, le législateur luxembourgeois
lui aurait également accordé des pouvoirs discrétionnaires additionnels, tel par exemple l’article
49 de la loi du 1er août 2018 visant une astreinte, ces pouvoirs additionnels étant parfaitement
compatibles avec les objectifs du RGPD.
Ses pouvoirs de sanction devraient être appliqués à la lumière du principe général inscrit
dans le RGPD en vertu duquel les sanctions adoptées doivent être à la fois effectives,
proportionnées et dissuasives, la CNPD insistant plus particulièrement sur l’objectif dissuasif des
mesures prévues.
En tout cas, elle serait restée dans les limites de son pouvoir discrétionnaire de sanction en
prenant les mesures litigieuses en l’espèce.
Le cumul des mesures prises en l’espèce s’expliquerait notamment par la gravité et le
nombre de manquements constatés, de même que par le nombre des personnes concernées et par
la place du groupe (FF) en tant que leader mondial du commerce électronique. Ce serait d’ailleurs
aussi pour ces considérations que les arrêts de la Cour d'appel de Bruxelles cités par l’appelante
ne pourraient pas être transposés à la présente affaire.
L’objectif de l’amende retenue en l’espèce serait dissuasif dans l’espoir que l’appelante,
de même que d’autres responsables du traitement de données à caractère personnel, prennent
conscience de l’importance des manquements en question et afin que ceux-ci ne se reproduisent
pas.
Par ailleurs, la CNPD réfute les critiques de l’appelante au niveau de la motivation de la
décision et fait valoir que celle-ci serait motivée de manière suffisante, y inclus quant au choix
d’infliger une amende et quant à la négligence, de même qu’elle conclut au rejet du moyen basé
sur une violation du principe de légalité.
75
Analyse de la Cour
La Cour relève que, conformément à l’article 12 de la loi du 1er août 2018, la CNPD
dispose, dans le cadre de ses missions, des pouvoirs tels que prévus à l’article 58 du RGPD, qui,
en son paragraphe (2), dispose comme suit :
« 2. Chaque autorité de contrôle dispose du pouvoir d'adopter toutes les mesures
correctrices suivantes :
a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations
de traitement envisagées sont susceptibles de violer les dispositions du présent
règlement ;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent
règlement ;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux
demandes présentées par la personne concernée en vue d'exercer ses droits en
application du présent règlement ;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations
de traitement en conformité avec les dispositions du présent règlement, le cas
échéant, de manière spécifique et dans un délai déterminé ;
e) ordonner au responsable du traitement de communiquer à la personne concernée
une violation de données à caractère personnel ;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du
traitement ;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de
ces mesures aux destinataires auxquels les données à caractère personnel ont été
divulguées en application de l'article 17, paragraphe 2, et de l'article 19 ;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à
l'organisme de certification de ne pas délivrer de certification si les exigences
applicables à la certification ne sont pas ou plus satisfaites ;
i) imposer une amende administrative en application de l'article 83, en complément
ou à la place des mesures visées au présent paragraphe, en fonction des
caractéristiques propres à chaque cas ;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans
un pays tiers ou à une organisation internationale. ».
En ce qui concerne encore plus particulièrement les amendes pouvant être imposées par la
CNPD, l’article 83 du RGPD dispose comme suit :
« 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en
vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6
soient, dans chaque cas, effectives, proportionnées et dissuasives.
76
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à
h), et j). Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant
de l'amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments
suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la
portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes
concernées affectées et le niveau de dommage qu’elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour
atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en
vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement
ou le sous-traitant ;
f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la
violation et d’en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment
si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié
la violation ;
i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment
ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné
pour le même objet, le respect de ces mesures ;
j) l’application de codes de conduite approuvés en application de l’article 40 ou de
mécanismes de certification approuvés en application de l’article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l’espèce, telle que les avantages financiers obtenus ou les pertes évitées,
directement ou indirectement, du fait de la violation.
3. Si un responsable du traitement ou un sous-traitant viole délibérément ou par négligence
plusieurs dispositions du présent règlement, dans le cadre de la même opération de traitement ou
d'opérations de traitement liées, le montant total de l'amende administrative ne peut pas excéder
le montant fixé pour la violation la plus grave. (…)
5. Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2,
d’amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une
entreprise, jusqu'à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le
montant le plus élevé étant retenu :
a) les principes de base d'un traitement, y compris les conditions applicables au
consentement en vertu des articles 5, 6, 7 et 9 ;
b) les droits dont bénéficient les personnes concernées en vertu des articles 12 à 22 ;
77
c) les transferts de données à caractère personnel à un destinataire situé dans un pays
tiers ou à une organisation internationale en vertu des articles 44 à 49 ;
d) toutes les obligations découlant du droit des États membres adoptées en vertu du
chapitre IX ;
e) le non-respect d’une injonction, d’une limitation temporaire ou définitive du
traitement ou de la suspension des flux de données ordonnée par l’autorité de
contrôle en vertu de l’article 58, paragraphe 2, ou le fait de ne pas accorder l’accès
prévu, en violation de l'article 58, paragraphe 1.
6. Le non-respect d’une injonction émise par l’autorité de contrôle en vertu de l'article 58,
paragraphe 2, fait l’objet, conformément au paragraphe 2 du présent article, d’amendes
administratives pouvant s’élever jusqu'à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à
4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé
étant retenu.
7. Sans préjudice des pouvoirs dont les autorités de contrôle disposent en matière
d’adoption de mesures correctrices en vertu de l’article 58, paragraphe 2, chaque État membre
peut établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent
être imposées à des autorités publiques et à des organismes publics établis sur son territoire.
8. L’exercice, par l'autorité de contrôle, des pouvoirs que lui confère le présent article est
soumis à des garanties procédurales appropriées conformément au droit de l’Union et au droit
des États membres, y compris un recours juridictionnel effectif et une procédure régulière.
9. Si le système juridique d’un État membre ne prévoit pas d’amendes administratives, le
présent article peut être appliqué de telle sorte que l’amende est déterminée par l’autorité de
contrôle compétente et imposée par les juridictions nationales compétentes, tout en veillant à ce
que ces voies de droit soit effectives et aient un effet équivalent aux amendes administratives
imposées par les autorités de contrôle. En tout état de cause, les amendes imposées sont effectives,
proportionnées et dissuasives. Les États membres concernés notifient à la Commission les
dispositions légales qu’ils adoptent en vertu du présent paragraphe au plus tard le 25 mai 2018
et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les
concernant. ».
En application de l’article 48 de la loi du 1er août 2018 « (1) La CNPD peut imposer les
amendes administratives telles que prévues à l’article 83 du règlement (UE) 2016/679, sauf à
l’encontre de l’État ou des communes.
(2) Dans le cadre d’une violation de l’article 10 du règlement (UE) 2016/679 par une
personne physique ou une personne morale de droit privé ou de droit public, à l’exception de l'État
ou des communes, la CNPD peut imposer les amendes administratives prévues à l’article 83,
paragraphe 4, du règlement (UE) 2016/679 », tandis que l’article 49 de la même loi permet à la
CNPD d’infliger des astreintes.
Il se dégage de l’ensemble de ces dispositions que la CNPD a à sa disposition une série de
mesures qu’elle peut prendre lorsqu’elle constate une violation du RGPD, parmi lesquelles figure
78
notamment l’amende, qui peut être imposée « en complément ou à la place des mesures visées »
au paragraphe (2) de l’article 58 du RGPD et ce « en fonction des caractéristiques propres à
chaque cas », l’article 83, précité, précisant que les amendes doivent être « effectives,
proportionnées et dissuasives ».
Le paragraphe (2) de l’article 83 du RGPD énonce que les critères y énumérés sont à
prendre en compte (i) « [p]our décider s’il y a lieu d’imposer une amende administrative » et (ii)
« pour décider du montant de l’amende administrative », cette double appréciation ayant d’ailleurs
été rappelée par l’avocat général dans ses conclusions dans l’affaire NACIONALINIS97.
S’agissant de prime abord du reproche de l’appelante appuyé sur une violation du principe
de légalité, la Cour observe que celle-ci critique essentiellement et en substance la prévisibilité des
reproches lui adressés en affirmant que le libellé de l’article 6, paragraphe (1), alinéa 1er, point f),
du RGPD ne serait pas suffisamment précis pour lui avoir permis d’adopter un comportement qui
ne l’exposait pas à une amende administrative et critique, par ailleurs, le recours à des lignes
directrices pour apprécier la légalité de son traitement des données à caractère personnel à des fins
de PBI.
Selon la jurisprudence de la CourEDH, développée par rapport à l’article 7 de la CEDH, le
principe de légalité implique que les infractions et les peines qui les répriment sont clairement
définies par la loi, de sorte à devoir répondre en l’occurrence à la condition de prévisibilité. Ainsi,
le justiciable doit pouvoir savoir, à partir du libellé de la disposition pertinente, au besoin à l’aide
de l’interprétation qui en est donnée par les juridictions, le cas échéant après avoir recouru à des
conseils éclairés, en l’occurrence ceux d’un avocat ou d’un juriste, quels actes et omissions
engagent sa responsabilité pénale et quelle peine il encourt98. Toutefois, en raison du caractère
général des lois, celles-ci ne peuvent présenter une précision absolue et la CourEDH reconnaît que
l’emploi de formules plus ou moins floues, dont l’interprétation et l’application dépendent de la
pratique, ne rend pas ipso facto une disposition incompatible avec l’article 7 de la CEDH99, la
portée de la notion de prévisibilité dépendant encore dans une large mesure du contenu du texte,
du domaine qu’il couvre et du nombre et de la qualité de ses destinataires (par exemple des
professionnels), la nécessité de recourir au conseil de spécialistes ne se heurtant pas non plus au
principe de prévisibilité100.
La jurisprudence de la CJUE va dans le même sens101.
La Cour constitutionnelle luxembourgeoise a, par rapport à l’article 14 de l’ancienne
Constitution, souligné que le principe de la légalité de la peine entraîne la nécessité de définir les
infractions en des termes suffisamment clairs et précis pour en exclure l’arbitraire et permettre aux
intéressés de mesurer exactement la nature et le type des agissements sanctionnés102 et que les
97
Point 57 des conclusions de l’avocat général, affaire NACIONALINIS précitée
98
Guide sur l’article 7 de la CEDH, point n° 28, mis à jour jusqu’au 31 août 2025.
99
Idem n° 30.
100
Idem n° 32.
101
CJUE 22 octobre 2015, AC-TREUHAND AC c. COMMISSION EUROPENNE, C-194/14P, points 40 à 42.
102
Cour constitutionnelle 22 mars 2002, n° 12/2, Cour constitutionnelle 14 décembre 2007, n° 41/07 ; Cour
constitutionnelle 12 décembre 2014, n° 115/14.
79
sanctions doivent être raisonnablement évaluables quant à leur niveau de sévérité 103. Dans ce
contexte, elle a retenu qu’en l’occurrence le droit disciplinaire tolère dans la formulation des
comportements illicites une marge d’indétermination sans que le principe de la spécification de
l’incrimination n’en soit affecté, du moment que des critères logiques techniques et d’expérience
professionnelle permettent de prévoir de manière suffisamment certaine la conduite à sanctionner
et qu’en l’occurrence le principe de la légalité des peines ne fait pas obstacle à ce qu’en matière
disciplinaire les infractions soient définies par référence aux obligations légales et réglementaires
auxquelles est soumise une personne en raison des fonctions qu’elle exerce, de la profession à
laquelle elle appartient ou de l’institution dont elle relève104.
La Cour est amenée à retenir qu’en l’espèce, indépendamment des questions débattues par
les parties à l’instance de la qualification de l’amende administrative susceptible d’être prononcée
en cas de non-respect du RGPD en tant que sanction de nature pénale au regard des critères
ENGEL et corrélativement de l’applicabilité effective du principe de légalité en l’espèce, en tout
état de cause, le libellé de l’article 6 du RGPD, essentiellement critiqué par l’appelante et sur lequel
la CNPD s’est basée pour constater que le traitement des données à des fins de PBI opéré par
l’appelante n’avait pas de base légale, de même que celui des autres dispositions du RGPD, sur
lesquelles la CNPD s’est basée pour constater en l’occurrence un non-respect de l’obligation de
transparence et de certains droits des personnes concernées, sont suffisamment clairs pour
permettre à une entité telle que l’appelante de prévoir, au regard de la jurisprudence pertinente et
au besoin en ayant recours à des conseils d’experts, avec suffisamment de précision les
comportements à adopter au niveau du traitement des données à caractère personnel, le principe
de minimisation clairement inscrit à l’article 5, paragraphe (1), point a), du RGPD permettant de
guider les choix et de comprendre qu’en tout état de cause une attitude prudente s’impose en la
matière.
Une lecture combinée des articles 6, 12 à 17, 58 et 83 du RGPD, devant le contexte des
principes généraux se dégageant du RGPD et de ses considérants, permet encore, tel que les
premiers juges l’ont retenu, de prévoir quels comportements sont susceptibles d’impliquer une
amende administrative, dont le montant est, par ailleurs, déterminé selon des critères clairement
établis par la loi, la Cour se ralliant, à cet égard, à l’analyse exhaustive de ces dispositions par le
tribunal.
La Cour ne partage pas non plus les critiques de l’appelante selon lesquelles elle aurait été
sanctionnée en raison de manquements à des simples lignes directrices. Certes, la CNPD s’est en
l’occurrence référée dans sa décision à l’avis WP 217. Il n’en découle toutefois pas qu’elle ait
sanctionné l’appelante pour un manquement qui n’est pas prévu dans le RGPD, mais dans des
simples lignes de conduite. Au contraire, la CNPD a retenu des non-respects de dispositions
concrètes du RGPD et elle n’a eu recours aux lignes directrices que pour interpréter celui-ci au
niveau de la démarche de l’analyse de la base légale du point f) de l’article 6, paragraphe (1), alinéa
1er, du RGPD, à savoir le test en trois étapes, démarche qui d’ailleurs, tel que cela a été relevé ci-
avant, est entérinée par la jurisprudence de la CJUE, et que l’appelante a elle-même déclaré avoir
103
Cour constitutionnelle 14 décembre 2007, n° 41/07 ; Cour constitutionnelle 12 décembre 2014, n° 115/14.
104
Idem.
80
adoptée au moment de son analyse préalable de la licéité de son traitement des données à caractère
personnel105.
S’agissant ensuite des critiques de l’appelante au niveau de l’examen d’une faute dans son
chef et au niveau du choix de la mesure à adopter, et partant des conditions dans lesquelles une
amende au titre du RGPD peut être imposée par les autorités de contrôle nationales, il convient de
se référer à la jurisprudence récente de la CJUE, débattue d’ailleurs par les parties à l’instance, et
qui est venue clarifier certains concepts à respecter au niveau de la méthodologie avant que les
autorités de contrôle nationales ne puissent imposer une amende administrative.
Ainsi, dans les affaires DEUTSCHE WOHNEN et NACIONALINIS, la CJUE a posé le
principe selon lequel l’imposition d’une amende ne requiert pas seulement la vérification d’un
non-respect du RGPD, mais qu’en plus, il convient de s’interroger sur l’existence d’un
comportement fautif, qui peut consister soit en un acte délibéré, soit en une négligence du
responsable du traitement, la CJUE précisant par rapport à la notion de négligence que celle-ci est
vérifiée dès lors que le responsable du traitement ne pouvait ignorer le caractère infractionnel de
son comportement, qu’il ait eu ou non conscience de l’infraction106. En posant ainsi l’existence
d’un comportement fautif, au-delà d’une violation du RGPD, en condition sine qua non de
l’imposition d’une amende administrative107, la CJUE rejette un système de responsabilité sans
faute ou objective en matière d’amendes administratives au titre du RGPD, autrement dit un
concept d’une présomption automatique de faute - en l’occurrence de négligence qui en l’espèce
est en jeu -, à partir du seul constat d’une violation du RGPD.
La CJUE a ainsi souligné que « le législateur de l’Union n’a pas jugé nécessaire, pour
assurer un (…) niveau élevé de protection [des personnes à l’égard du traitement des données à
caractère personnel], de prévoir l’imposition d’amendes administratives en l’absence de faute »108
pour ensuite conclure que « il y a lieu de constater que l'article 83 du RGPD ne permet pas
d’imposer une amende administrative pour une violation visée à ses paragraphes 4 à 6, sans qu’il
soit établi que cette violation a été commise délibérément ou par négligence par le responsable du
traitement, et que, partant, une violation fautive constitue une condition à l’imposition d’une telle
amende »109.
La Cour relève encore l’arrêt LAND HESSEN de la CJUE110, ayant trait à un reproche fait
à une autorité de contrôle pour abstention de prendre des mesures correctrices, dans lequel la CJUE
a retenu que même en cas de violation avérée du RGPD, l’autorité de contrôle n’est pas en toute
hypothèse tenue d’adopter une mesure correctrice, mais dispose d’une marge d’appréciation,
notamment pour juger qu’aucune autre mesure n’est nécessaire, en l’occurrence si le responsable
du traitement a déjà corrigé la violation et s’il a mis en œuvre des mesures pour éviter qu’elle ne
se reproduise.
105
prise de position de l’appelante dans le cadre de l’instruction, reprise dans le rapport d’audit, pages 29 et suivantes.
106
Affaire NACIONALINIS, point 81 et affaire DEUTSCHE WOHNEN point 76.
107
Affaire NACIONALINIS, points 71, 73, 79 et 80 ; idem affaire DEUTSCHE WOHNEN, points 68, 75 et 78.
108
Affaire NACIONALINIS, point 79, et affaire DEUTSCHE WOHNEN, point 74.
109
Affaire NACIONALINIS, point 80, et affaire DEUTSCHE WOHNEN, point 75.
110
CJUE, 26 septembre 2024, affaire TR c. LAND HESSEN, C‑768/21.
81
Elle a ainsi souligné que « [d]ès lors, il ne saurait être déduit ni de l’article 58, paragraphe
2, du RGPD ni de l’article 83 de celui-ci l’existence d’une obligation à la charge de l’autorité de
contrôle d’adopter, dans tous les cas, lorsqu’elle constate une violation de données à caractère
personnel, une mesure correctrice, en particulier une amende administrative, son obligation étant,
en pareilles circonstances, de réagir de manière appropriée afin de remédier à l’insuffisance
constatée.»111 et conclut que « [c]ompte tenu de l’ensemble des considérations qui précèdent, il y
a lieu de répondre à la question posée que l’article 57, paragraphe 1, sous a) et f), l’article 58,
paragraphe 2, et l’article 77, paragraphe 1, du RGPD doivent être interprétés en ce sens que, en
cas de constatation d'une violation de données à caractère personnel, l’autorité de contrôle n’est
pas tenue d’adopter une mesure correctrice, en particulier une amende administrative, au titre de
cet article 58, paragraphe 2, lorsqu’une telle intervention n’est pas appropriée, nécessaire ou
proportionnée pour remédier à l’insuffisance constatée et garantir le plein respect de ce
règlement »112.
Dans cette même affaire, la CJUE a encore insisté sur l’obligation des autorités de contrôle
de « réagir de manière appropriée », une fois qu’une violation du RGPD est constatée, la mesure
qu’elles prennent devant, selon le considérant 129 du RGPD, être « appropriée, nécessaire et
proportionnée en vue de garantir le respect [du RGPD] compte tenu des circonstances de
l’espèce »113, et sur le pouvoir d’appréciation dont elles disposent au niveau de la question de
savoir s’il faut prendre une mesure et de celui du choix de la mesure la plus appropriée, en
soulignant qu’« [i]l convient de relever que le RGPD laisse à l’autorité de contrôle une marge
d’appréciation quant à la manière dont elle doit remédier à l’insuffisance constatée puisque
l’article 58, paragraphe 2, de celui-ci confère à cette autorité le pouvoir d’adopter diverses
mesures correctrices. Ainsi, la Cour a déjà jugé que le choix du moyen approprié et nécessaire
relève de l’autorité de contrôle, qui doit opérer ce choix en prenant en considération toutes les
circonstances du cas concret et en s’acquittant avec toute la diligence requise de sa mission
consistant à veiller au plein respect du RGPD (voir, en ce sens, arrêt du 16 juillet 2020, Facebook
Ireland et Schrems, C-311/18, EU: C:2020:559, point 112).
Cette marge d’appréciation est cependant limitée par la nécessité de garantir un niveau
cohérent et élevé de protection des données à caractère personnel par une application rigoureuse
des règles, ainsi qu’il ressort des considérants 7 et 10 du RGPD »114, l’exercice de ce pouvoir
d’appréciation étant soumis au contrôle juridictionnel115.
Il convient d’en déduire que si la CJUE reconnaît certes aux autorités de contrôle nationales
une large marge d’appréciation tant au niveau du principe même de prendre une mesure qu’au
niveau du choix de celle qui est la mieux appropriée pour remédier à l’insuffisance constatée, en
prenant en compte la nécessité de veiller au plein respect du RGPD et de garantir un niveau
cohérent et élevé de protection des données à caractère personnel par une application rigoureuse
111
Point 41.
112
Idem, point 50.
113
Point 33.
114
Points 37 et 38 ; dans le même sens CJUE 7 décembre 2023, affaires LAND HESSEN et SCHUFA, C-64/22 et
C-26/22, à propos d’un refus de l’autorité de contrôle de prononcer une injonction à l’égard d’un responsable du
traitement, point 68 ; CJUE 14 mars 2024, BUDAPEST FOVAROS, C-46/23, point 41.
115
Point 49 de l’arrêt TR c. LAND HESSEN, précité.
82
des règles 116, il découle néanmoins encore de ces jurisprudences, (i) que l’autorité peut s’abstenir
de prendre des mesures, dont notamment une amende, et que la CJUE rejette partant un système
de « sanction » automatique en cas de constatation d’une violation du RGPD, et (ii) la
reconnaissance d’un pouvoir d’appréciation a pour corollaire qu’il doit effectivement être exercé,
de sorte qu’en tout état de cause, l’autorité de contrôle doit procéder à une analyse, au regard des
critères devant guider son action et tels que précisés par la CJUE, de l’opportunité des mesures
qu’elle envisage de prendre. Dès lors, lorsqu’une autorité de contrôle envisage une amende - tel
que la CNPD l’a fait en l’espèce -, elle doit, au-delà de la question d’une violation du RGPD et de
l’existence d’un comportement fautif, non seulement examiner les critères énoncés à l’article 83,
paragraphe (2), du RGPD au regard du quantum de l’amende, mais aussi par rapport à l’opportunité
de prononcer une telle mesure et, dans ce contexte, elle doit se poser la question si, compte tenu
des circonstances de l’espèce et au regard des objectifs de l’article 83 du RGPD117, sous le respect
du principe de proportionnalité, d’autres mesures ne seraient pas plus appropriées. L’amende ne
constitue en tout état de cause pas une « sanction » automatique d’un non-respect du RGPD, voire
prioritaire, l’arrêt TR c. LAND HESSEN, précité, renforçant l’idée que le RGPD n’instaure pas
un système de sanctions automatiques, mais un cadre fondé sur l’effectivité, la proportionnalité et
l’évaluation des circonstances de l’espèce. Il ne se dégage pas non plus des jurisprudences
précitées de la CJUE que l’objectif primordial et exclusif des amendes serait punitif, la CJUE
mettant l’accent sur la nécessité de renforcer l’application des règles du RGPD.
En l’espèce, il convient d’examiner, au regard des contestations de l’appelante, si la CNPD
a opéré son analyse en conformité avec les dispositions du RGPD, lues à la lumière des
enseignements se dégageant des jurisprudences précitées.
S’agissant de prime abord de l’examen d’un comportement fautif dans le chef de
l’appelante en tant que préalable à l’imposition d’une amende, la Cour observe que les parties à
l’instance sont en accord sur le constat qu’une violation intentionnelle du RGPD ne se trouve pas
vérifiée en l’espèce, de sorte que se pose uniquement la question d’une négligence.
Force est ensuite de constater qu’encore que dans ses mémoires en instance d’appel, la
CNPD tente de démontrer que tel examen avait été fait et encore que le tribunal ait retenu que la
CNPD aurait implicitement vérifié la question de la négligence, à l’audience des plaidoiries du
8 janvier 2026, la CNPD a reconnu en substance, tel que cela se dégage d’ailleurs aussi de la
présentation powerpoint utilisée à cette occasion, ne pas avoir procédé à l’examen que la
jurisprudence de la CJUE lui impose pourtant de faire et a essentiellement insisté sur sa bonne foi
puisque la jurisprudence visée est postérieure à sa décision et affirmé qu’elle serait en droit de
fournir une motivation complémentaire en cours d’instance.
Cette reconnaissance d’un défaut d’analyse de la négligence en tant que condition préalable
et nécessaire au prononcé d’une amende est concordante avec la position de la CNPD défendue en
116
Point 40 de l’arrêt TR c. LAND HESSEN, précité.
117
Point 47 de l’arrêt TR c. LAND HESSEN, précité
83
première instance et ayant consisté à affirmer qu’elle n’avait pas à examiner cette question et que
le constat d’une violation du RGPD était suffisant pour prononcer une amende118.
La lecture de la motivation de la décision du 15 juillet 2021 confirme encore cette analyse.
En effet, après avoir conclu, sous le point 246 de sa décision, que l’appelante avait manqué
notamment à l’article 6, paragraphe (1), du RGPD, la question de la négligence a été abordée
uniquement à la page 117 de la décision, sous la section III ayant trait aux mesures à prendre. Elle
a été examinée non pas comme condition sine qua non de l’imposition d’une amende, mais comme
un critère, non déterminant à lui seul, parmi les différents facteurs énumérés à l’article 83,
paragraphe (2), du RGPD, partant exclusivement sous l’angle de la pondération des critères à
prendre en compte au niveau de la fixation du quantum de l’amende. Les passages afférents sont
les suivants :
« Quant à la question de savoir si les manquements ont été commis délibérément ou non
(par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle que « non
délibérément » signifie qu’il n’y a pas eu d’intention de commettre la violation, bien que le
responsable du traitement ou le sous-traitant n’ait pas respecté l’obligation de diligence qui lui
incombe en vertu de la législation.
En l’espèce, la Formation Restreinte considère que, même si elle est d’avis que la condition
de licéité sur laquelle (AA) repose ne peut, au regard de la manière dont les traitements sont mis
en œuvre, être validée, il n’en demeure pas moins qu’(AA) a réalisé son exercice de balance en
conformité avec le principe de responsabilité (« accountability »). Ainsi, les faits et le manquement
constaté ne traduisent pas une intention délibérée de violer le RGPD dans le chef d’(AA). »
La Cour ne peut dès lors que retenir que la CNPD a infligé en l’espèce une amende sur
base d’une prémisse erronée, à savoir le concept d’une responsabilité objective, fondée sur le seul
constat d’une non-conformité au RGPD d’un traitement de données à caractère personnel, sans se
poser la question de la responsabilité concrète de l’appelante à ce niveau, approche pourtant
imposée par la jurisprudence précitée de la CJUE.
A ce titre, la Cour relève que bien que cette jurisprudence soit postérieure à la décision
querellée de la CNPD, tel que son mandataire l’a donné à considérer à l’audience des plaidoiries
pour relativiser certains reproches soulevés par l’appelante au regard de la méthodologie
employée, il n’en reste toutefois pas moins que ces arrêts s’imposent à la Cour statuant dans le
cadre du recours en réformation dont elle est saisie et qu’en principe l’interprétation que la CJUE
donne des règles du droit de l’Union éclaire et précise la signification et la portée de ces règles
telles qu’elle doivent et auraient dû être comprises et appliquées depuis le moment de leur entrée
en vigueur119.
La Cour ne saurait pas non plus avoir égard, en termes de motivation complémentaire, aux
explications fournies par la CNPD en instance d’appel au sujet du caractère vérifié de la
118
Passages relevés par l’appelante dans son acte d’appel des mémoires en réponse et en duplique déposés en première
instance, points 153 et 4 et powerpoint déposée comme pièce en première instance, certes modifiée par la suite (pièce
76 de l’appelante).
119
CJUE 22 juin 2021, C-439/19, point 132.
84
négligence. En effet, si certes la jurisprudence des juridictions administratives admet la fourniture
d’un complément de motivation en cours d’instance, cette faculté accordée à l’administration
présuppose toutefois que le motif en question ait existé au moment de la prise de la décision120.
Or en l’espèce, le constat s’impose que le motif tenant à la vérification de la négligence
comme condition préalable à l’imposition d’une amende n’a justement pas existé au moment de la
prise de la décision, dans la mesure où la CNPD a cru à l’époque ne pas être obligée de faire un tel
examen et ne l’a dès lors pas fait. La Cour ne saurait partant prendre en compte les explications
fournies par la CNPD en instance d’appel et tendant à établir une telle négligence, mais ne peut
que constater que la décision de la CNPD a été viciée ab initio.
A cet égard, la Cour relève que le débat des parties à l’instance tournant autour de
l’applicabilité de l’article 6, alinéa 2, du règlement grand-ducal du 8 juin 1979, imposant
l’indication formelle des motifs pour les catégories de décisions y visées, n’est pas pertinent au
regard de la question litigieuse de l’examen de la négligence, dans la mesure où, indépendamment
de la question de l’applicabilité effective de l’article 6, alinéa 2, précité, il ne s’agit pas d’une
question d’indication formelle des motifs, mais plutôt d’une question de leur existence, l’appelante
reprochant justement à la CNPD de ne pas avoir examiné la négligence comme préalable
nécessaire à la fixation d’une amende.
La Cour ne saurait pas non plus procéder, dans le cadre du recours en réformation dont elle
est saisie, à sa propre analyse de la question de savoir si la négligence était vérifiée, dans la mesure
où une telle approche se heurterait au droit de l’appelante à un recours effectif, dont l’importance
est relevée par l’article 78 du RGPD. En effet, il ne saurait être admis qu’une des conditions
nécessaires à l’imposition d’une amende soit examinée pour la première fois en deuxième et
dernière instance devant la juridiction saisie.
Sous cet aspect, la Cour relève que certes, les premiers juges ont examiné la question de la
négligence par rapport au moyen de l’appelante basé sur une violation de l’obligation de
motivation121 et à celui appuyé sur une violation du principe de culpabilité122. Leur approche se
heurte toutefois, tel que l’appelante le relève à juste titre, aux exigences posées par la CJUE dans
ses arrêts DEUTSCHE WOHNEN et NACIONALINIS, précités, qui rappellent que le RGPD
n’envisage pas un système de responsabilité objective. Le jugement repose dès lors sur le même
concept erroné que la décision querellée de la CNPD. Les premiers juges ont en substance retenu
(i) que la CNPD aurait de façon implicite examiné la question de la négligence, en affirmant que
du moment que celle-ci a retenu une violation du RGPD et estimé que cette violation n’était pas
intentionnelle, elle aurait implicitement mais nécessairement aussi examiné la négligence et (ii)
que celle-ci était, par ailleurs, vérifiée au motif qu’une violation non intentionnelle du RGPD
équivaudrait nécessairement à une négligence. Or, il se dégage justement de la jurisprudence
précitée de la CJUE que la vérification pour le moins d’une négligence est requise et que celle-ci
ne saurait être présumée ni résulter d’un automatisme. Dès lors, l’analyse opérée par les premiers
120
Cour adm. 20 décembre 2007, n° 22976C du rôle, Pas. adm. 2024, V° Procédure administrative non contentieuse,
n° 100 et les autres références y citées ; Trib. adm. 25 septembre 2020, n° 42091 du rôle, Pas. adm. 2024, V° Procédure
administrative non contentieuse, n° 99.
121
Page 42 du jugement.
122
Page 83 du jugement.
85
juges n’énerve pas le constat fait ci-avant que si la Cour opérait l’examen de la négligence, cela
équivaudrait à un premier examen de cette question, dans les conditions se dégageant des
enseignements des jurisprudences précitées de la CJUE, en instance d’appel, approche
incompatible avec le droit à un recours effectif.
Encore que le vice tiré d’un défaut d’examen d’un comportement fautif dans le chef de la
CNPD soit à lui seul suffisant pour emporter l’annulation de la décision querellée de la CNPD, la
Cour est, dans un souci d’effet utile et de bonne administration de la justice, encore amenée à
prendre position par rapport à la question du choix des mesures à prendre, une fois une violation
du RGPD et un comportement fautif, le cas échéant, constatés.
La Cour observe, à partir de la motivation de la décision du 15 juillet 2021, que la CNPD
a examiné au point 295 les différents critères énumérés à l’article 83, paragraphe (2), du RGPD et
a, au point 297 de sa décision, conclu qu’« au regard de l’analyse susvisée des critères posés par
l’article 83.2 du RGPD, la Formation restreinte considère qu’en l’espèce, le prononcé d’une
amende administrative est justifié pour manquement aux articles 6.1, 12, 13, 14, 15, 16, 17 et 21
du RGPD », pour ensuite examiner le quantum de l’amende à retenir. S’il convient d’en déduire
que la CNPD a, dans une certaine mesure, opéré un contrôle de proportionnalité, et si certes le
libellé du point 295 de la décision, sur lequel la CNPD insiste dans son mémoire en réponse,
suggère que la CNPD semble s’être posée la question de savoir s’il fallait prononcer une amende
et quel était son quantum approprié, la Cour relève toutefois encore que cette analyse repose
exclusivement sur l’article 83, paragraphe (2), du RGPD et s’inscrit partant dans une logique de
l’imposition d’une amende. Il ne se dégage pas du libellé de la décision qu’une autre option que
l’amende ait été envisagée ou encore que la CNPD se soit réellement interrogée laquelle, parmi
les mesures prévues par l’article 58 du RGPD, était la plus appropriée pour atteindre les objectifs
du RGPD, à savoir la protection des droits des personnes concernées par le traitement de données,
voire si des mesures autres qu’une amende pouvaient suffire à cette fin au regard des circonstances
de l’espèce. Il faut en déduire que malgré l’apparence des termes choisis au premier alinéa du
point 295 de la décision querellée, l’amende a en réalité été la seule option à avoir effectivement
été envisagée.
Cette conclusion est confortée par le constat que l’examen opéré en l’espèce des différents
critères de l’article 83, paragraphe (2), du RGPD123 s’est en fin de compte résumé à une
énumération des éléments que la CNPD a décidé de prendre en compte au titre de chaque critère,
sans qu’il ne s’en dégage que les éléments, parmi ceux examinés, plaidant a priori en faveur de
l’appelante - telle la bonne collaboration lui reconnue, le constat que les violations retenues du
RGPD n’ont pas été délibérées et qu’elle avait réalisé son exercice de mise en balance en
conformité avec le principe de responsabilité ou encore les circonstances qualifiées par la CNPD
d’atténuantes, en l’occurrence la mise en place d’une procédure de pseudonymisation des données,
- aient été pris en compte pour remettre en question le principe même de l’imposition d’une
amende, voire dans quelle mesure ils sont intervenus au niveau de sa pondération. De même, s’il
n’est pas contesté que l’appelante avait, au cours de la procédure précontentieuse, pris des mesures
pour se mettre en conformité avec le RGPD - certes à ce stade jugées insuffisantes par la CNPD -
et si aux points 291 et 292 de sa décision, la CNPD s’y réfère expressément, elle ne le fait que pour
souligner que ces démarches « ne permettent pas d’annuler rétroactivement un manquement
123
Point 295 de la décision.
86
constaté » et « seront prises en compte par la Formation Restreinte dans le cadre des éventuelles
mesures correctrices », sans qu’il ne se dégage de la décision litigieuse que ces démarches soient
d’une quelconque façon entrées en ligne de compte au niveau de la question de savoir si une
amende s’imposait, alors qu’il se dégage pourtant de la jurisprudence de la CJUE dans l’affaire
LAND HESSEN, précitée, que des démarches réactives sont tout à fait pertinentes au niveau de
ce choix.
Si, tel que retenu précédemment, il se dégage des jurisprudences de la CJUE examinées ci-
avant que les autorités de contrôle disposent d’une large marge d’appréciation quant au choix des
mesures à prendre, y compris le droit de ne pas prononcer de mesures, et s’il est encore vrai qu’il
ne s’en dégage pas qu’en toute hypothèse des mesures autres qu’une amende constituent un
préalable obligatoire à l’imposition d’une amende, tel que l’appelante le soutient en substance, il
n’en reste toutefois pas moins qu’il s’en dégage aussi que toute violation observée du RGPD
n’emporte pas nécessairement et automatiquement une amende et que, dans cette optique,
l’autorité de contrôle doit, pour le moins, avoir opéré une analyse de proportionnalité de la mesure
à prendre au regard des objectifs du RGPD. C’est justement cette analyse que la CNPD n’a pas
faite à suffisance, dans la mesure où son approche globale, ainsi que sa position adoptée durant la
phase contentieuse, en ce qu’elle insiste sur le côté punitif de l’amende et affirme que l’imposition
d’une amende serait la règle124, laissent transpercer que son analyse reposait essentiellement sur
un certain automatisme entre le constat d’une violation du RGPD et l’imposition d’une amende,
approche qui est précisément rejetée par la CJUE. Il ne s’agit pas d’une question d’indication des
motifs, mais d’une question de portée de l’examen que la CNPD devait faire, partant d’existence
des motifs au sens de l’alinéa 1er, de l’article 6 du règlement grand-ducal du 8 juin 1979.
Il suit de ces considérations que la CNPD, outre le fait qu’elle n’a pas examiné la
négligence dans le chef de l’appelante, n’a pas non plus examiné à sa juste mesure l’opportunité
de prononcer une amende au lieu d’une autre mesure, de sorte que ce vice s’ajoute à la cause
d’annulation tirée d’un défaut de vérification d’un comportement fautif dans le chef de l’appelante.
Ce faisant, la CNPD a omis de vérifier deux étapes importantes du processus décisionnel
susceptible d’aboutir à une amende, alors que la jurisprudence de la CJUE examinée ci-avant pose
comme principe que (i) l’examen d’un comportement fautif - intentionnel ou pour le moins
négligent - est un préalable requis à l’imposition d’une amende administrative et (ii) la
démonstration du comportement fautif est une condition nécessaire, mais non suffisante à
l’imposition d’une amende, l’autorité de contrôle devant encore apprécier la proportionnalité de la
mesure envisagée, y compris l’opportunité de recourir à l’amende plutôt qu’à une autre mesure
compte tenu de l’ensemble des circonstances de l’espèce.
Il suit de l’ensemble des considérations qui précèdent qu’il y a lieu de faire droit à la
demande principale de l’appelante et partant d’annuler, dans le cadre du recours en réformation et
par réformation du jugement a quo, la décision de la CNPD du 15 juillet 2021, celle-ci étant viciée
à un tel point que son annulation s’impose en tous ses volets, tel que demandé par l’appelante dans
cet ordre principal, sans qu’il n’y ait lieu d’examiner plus en avant les autres moyens invoqués par
celle-ci et tendant à l’annulation, sinon à la réformation de la décision litigieuse, y compris les
124
Point 205 du mémoire en réponse.
87
questions préjudicielles y attachées et que l’appelante a suggéré de poser à la CJUE, cet examen
devenant dès lors surabondant.
L’affaire est en conséquence à renvoyer à la CNPD.
En application de ce qui a été décidé ci-avant, ce renvoi ne comporte plus l’ensemble des
aspects ayant trait aux mesures de coercition prévues par la décision querellée du 15 juillet 2021,
ni les aspects de l’astreinte prononcée et du délai fixé pour sa mise en vigueur, tous ces aspects
étant par ailleurs devenus sans objet compte tenu du constat unanime à l’audience des plaidoiries
que l’appelante était désormais conforme aux exigences du RGPD dans le domaine visé.
Par rapport aux violations du RGPD retenues par la CNPD dans la décision querellée,
certains aspects ne sont plus renvoyés compte tenu des conclusions ci-avant tirées par la Cour
concernant plus particulièrement l’impossibilité de retenir une violation autonome de l’article 21
du RGPD, le périmètre d’analyse ayant été dépassé à mauvais escient par la CNPD sur ce point.
De même, les critiques relatives au respect des droits à l’effacement et de rectification doivent être
nuancés au regard de ce que la Cour vient de retenir ci-avant.
En se plaçant aux dates pertinentes dans le passé, la CNPD sera amenée à faire pour la
première fois l’analyse de l’existence pour le moins d’une négligence dans le chef de l’appelante
par rapport aux violations des articles du RGPD valablement maintenues. Par la suite, il lui
appartiendrait de refaire une évaluation articulée afin de retenir des mesures appropriées, compte
tenu de l’ensemble des éléments de l’affaire, étant constant que, du moins pour le passé récent et
le présent, le constat unanime a pu être fait que dans le domaine visé par la décision querellée,
l’appelante était désormais conforme aux exigences du RGPD.
La Cour observe ensuite qu’en quelque sorte les parties ont été renvoyées par la Cour dos
à dos.
Il en résulte que les demandes respectives en allocation d’une indemnité de procédure
présentées en appel devant la Cour par les deux parties sont à rejeter, aucune d’elles n’ayant pu
faire valoir à suffisance que les conditions légales sont remplies dans le sens qu’il serait inique de
leur faire supporter exclusivement, à chaque partie en ce qui la concerne, les frais irrépétibles par
elles exposés.
Dans la même lignée, il convient de faire masse des frais et dépens des deux instances et
de les imposer pour moitié à chacune des deux parties.
PAR CES MOTIFS
la Cour administrative, statuant à l’égard de toutes les parties en cause ;
reçoit l’appel du 25 avril 2025 en la forme ;
88
donne acte à la Commission nationale pour la protection des données de sa déclaration que
les mesures d’injonction prononcées à l’encontre de l’appelante et leurs éléments accessoires sont
devenus sans objet ;
rejette les questions préjudicielles que l’appelante entend voir poser à la CJUE ;
par réformation du jugement entrepris du 18 mars 2025, annule la décision de la
Commission nationale pour la protection des données du 15 juillet 2021 en tous ses volets et
renvoie le dossier devant ladite Commission ;
déboute l’appelante et la Commission nationale pour la protection des données de leurs
demandes respectives en allocation d’une indemnité de procédure ;
fait masse des frais et dépens des deux instances et les impose pour moitié à chacune des
deux parties à l’instance.
Ainsi délibéré et jugé par:
Francis DELAPORTE, président,
Annick BRAUN, conseiller,
Alexandra CASTEGNARO, conseiller,
et lu par le président en l’audience publique à Luxembourg au local ordinaire des audiences de la
Cour à la date indiquée en tête, en présence de la greffière à la Cour Carla SANTOS.
s. SANTOS s. DELAPORTE
89