Lüksemburg İstinaf İdare Mahkemesi — gdprhub/cour-administrative-48964c

GRAND-DUCHE DE LUXEMBOURG

COUR ADMINISTRATIVE
Numéro du rôle : 48964C
ECLI:LU:CADM:2023:48964
Inscrit le 23 mai 2023

Audience publique du 28 novembre 2023

Appel formé par
(A) – ....., ..... (AT),
contre un jugement du tribunal administratif
du 21 avril 2023 (n° 45716 du rôle)
ayant statué sur son recours contre un courrier
de la Commission nationale pour la protection des données, Belvaux,
en matière de protection des données

Vu la requête d’appel inscrite sous le numéro 48964C du rôle et déposée au greffe de la Cour
administrative le 23 mai 2023 par Maître Catherine WARIN, avocat à la Cour, inscrite au tableau
de l’Ordre des avocats à Luxembourg, au nom de (A) – ....., établie et ayant son siège social à AT-
… ..... (Autriche), …., …, immatriculée au registre autrichien des associations (Zentrales
Vereinsregister) sous le numéro …., représentée par son « Vorstandsvorsitzender » actuellement
en fonctions, mandatée par Monsieur (B), demeurant à L-… …, …, …, dirigée contre un jugement
du tribunal administratif du Grand-Duché de Luxembourg du 21 avril 2023 (n° 45716 du rôle) par
lequel ledit tribunal a déclaré irrecevable son recours tendant à la réformation d’une « décision »
du 18 septembre 2020 de la Commission nationale pour la protection des données (« CNPD »),
informant Monsieur (B) de son refus de poursuivre le traitement de sa réclamation du 5 avril 2019
et réitérée en date du 10 août 2020 ;

Vu l’exploit de l’huissier de justice Laura GEIGER, demeurant à Luxembourg et immatriculée
près le tribunal d’arrondissement de et à Luxembourg, du 26 mai 2023 portant signification de
cette requête d’appel à la CNPD, établissement public, inscrite au registre de commerce et des
sociétés de Luxembourg sous le numéro J52, établi au L-4370 Belvaux, 15, boulevard du Jazz,
représentée par son collège des commissaires actuellement en fonctions ;

Vu le mémoire en réponse déposé au greffe de la Cour administrative le 22 juin 2023 par Maître
Elisabeth GUISSART, avocat à la Cour, inscrite au tableau de l’Ordre des avocats à Luxembourg,
au nom et pour le compte de la CNPD, préqualifiée ;

Vu le mémoire en réplique déposé au greffe de la Cour administrative le 21 septembre 2023 par
Maître Catherine WARIN au nom de l’appelante ;

Vu le mémoire en duplique déposé au greffe de la Cour administrative le 20 octobre 2023 par
Maître Elisabeth GUISSART au nom et pour le compte de la CNPD, préqualifiée ;

Vu les pièces versées en cause et notamment le jugement dont appel ;

Le rapporteur entendu en son rapport ainsi que Maîtres Catherine WARIN et Elisabeth
GUISSART en leurs plaidoiries respectives à l’audience publique du 7 novembre 2023.

Après avoir constaté que la société de droit américain (D) LLC, ci-après « la société (D) », avait
collecté des données à caractère personnel sur sa personne afin de les publier sur son site internet
« https://(D).co », Monsieur (B) contacta ladite société à ce sujet en date du 5 avril 2019 et se vit
adresser par cette dernière un courriel daté du même jour auquel une copie de ses données était
jointe et l’informant que la société (D) avait supprimé les données à caractère personnel le
concernant de ses bases de données.

Toujours en date du 5 avril 2019, Monsieur (B) introduisit une réclamation auprès de la
Commission nationale pour la protection des données, ci-après « la CNPD », la priant d’intervenir
auprès de la société (D) afin que cette dernière réserve une suite à sa demande conformément au
règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard du traitement des données à caractère personnel et à
la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), désigné ci-après par « le RGPD ».

Par courriel du 9 avril 2019, la CNPD pria Monsieur (B) de lui faire parvenir toute correspondance
avec le responsable du traitement de la société (D), notamment le courriel contenant sa demande
d’accès et d’informations spécifiques, la réponse automatique à cette demande, ainsi que toute
correspondance éventuelle postérieure à l’introduction de sa réclamation, l’informant, par ailleurs,
que le lien sur le site internet de la société (D) censé contenir ses données personnelles ne
semblerait pas marcher.

Par courriel du même jour, Monsieur (B) informa la CNPD que la société (D) semblerait avoir
supprimé l’ensemble de ses données sur leur site internet suite à sa prise de contact avec cette
dernière, mais qu’elle continuerait de collecter et de traiter les données d’autres citoyens
européens.

En date du 18 juillet 2019, la CNPD s’adressa par courrier et courriel à la société (D) en relevant
notamment que :

« (…) We therefore understand that Article 3(2) of the GDPR applies to processing
activities performed by (D).
Considering the circumstances, the CNPD would like to know the contact details of the
(D)’s representative in the European Union designated pursuant to Article 27 GDPR or, should
there be none, the contact details of the relevant point of contact by (D) for data protection

concerns raised by data protection authorities, in order to process further the abovementioned
complaint ».

Par courriel du 24 juillet 2019, la société (D) informa la CNPD ne pas avoir désigné de représentant
dans l’Union européenne en vertu de l'article 27 du RGPD, tout en estimant que « (…) please note
that (D) is not the controller of the data on our site. Our users are the controller and therefore are
responsible for ensuring that they individually adhere to data protection laws and regulations such
as GDPR ».

Par courriel du 6 mars 2020, la CNPD informa Monsieur (B) que « la société (D) nous a
communiqué qu’elle considère que ce sont les utilisateurs de ses services, et non elle-même, qui
sont les responsables du traitement pour ce qui concerne les données à caractère personnel
traitées sur son site internet », (…) « que la société (D) est une société située aux Etats-Unis
d’Amérique ne disposant pas d’un représentant dans l’Union au sens de l’article 27 du règlement
général sur la protection des données (RGPD) » et que, bien qu’elle ne partagerait pas le point de
vue de la société (D) (« nous sommes en effet d’avis que cette société est bien à considérer comme
responsable du traitement pour les traitements de données à caractère personnel effectués sur son
site internet »), il lui serait impossible de poursuivre sa réclamation, alors que, tout en ayant la
possibilité de communiquer avec ladite société, la CNPD ne disposerait pas du pouvoir de lui
imposer des actions en vue d’améliorer ses pratiques en matière de protection des données.

Monsieur (B) répondit par courriel du même jour en s’interrogeant « que la CNPD ne prendra pas
d’actions ? ».

Par courriel du 17 mars 2020, la CNPD lui confirma son impossibilité de poursuivre sa
réclamation, courriel auquel Monsieur (B) répondit par courriels du même jour et des 28 mars, 19
et 26 avril 2020, ainsi que par courrier recommandé du 4 mai 2020, auxquels la CNPD répondit
par courriel du 25 mai 2020 tout en y renvoyant à ses courriels des 6 et 17 mars 2020.

Par courriel du 29 mai 2020, Monsieur (B) pria la CNPD de lui envoyer une décision signée
conformément aux articles 12 et 13 de son règlement d’ordre intérieur (« ROI »), courriel auquel
la CNPD répondit par courriel du 8 juillet 2020.

Par courrier recommandé du 10 août 2020, Monsieur (B) relança à nouveau la CNPD en les termes
suivants :

« (…) Man teilte mir mit, dass die CNPD entschieden hat (D) nicht zu verfolgen
obwohl man mir im Sinne der Beschwerde [R]echt gibt. Dies wohlgemerkt nachdem
die CNPD sich mit der Firma ausgetauscht hat. Auf Nachfrage teil[t]e man mir mit,
dass dies keine offizielle „Entscheidung der CNPD sei“ und man sich deshalb auch
nicht an da[s] ROI der CNPD zu halten hätte.
 Wie kann es sein, dass die CNPD die Entscheidung trifft nicht gegen ein
Unternehmen vorzugehen. Dies aber nicht offiziell als „Entscheidung“ wertet?
 Wie kann es sein dass man mit der Gegenpartei kommuniziert und diskutiert aber
behauptet es sei noch keine „Enquête“ laut ROI gewesen? ».

Par courrier du 18 septembre 2020, la CNPD informa Monsieur (B) de son impossibilité de
poursuivre sa réclamation du 5 avril 2019 dans les termes suivants :

« (…) Monsieur (B),

La Commission nationale pour la protection des données (ci-après « CNPD ») revient à
votre courriel du 8 juillet 2020 relatif à votre réclamation du 5 avril 2019 à l'encontre de la société
(D).

Concernant votre demande d'obtenir des précisions sur les raisons pour lesquelles les
articles 9 du règlement de la Commission nationale pour la protection des données (CNPD) relatif
à la procédure d'enquête (ci-après « Règlement enquêtes ») et 10 et 12 du Règlement d'Ordre
Intérieur de la CNPD (ci-après « ROI ») ne sont pas d'application dans le cas d'espèce, nous vous
informons qu'il ressort des dispositions du ROI que les dossiers d'enquêtes et de réclamations
relèvent de procédures différentes.

Le Règlement enquêtes est uniquement applicable aux dossiers d'enquête, et les articles 10
et 12 du ROI susmentionnés sont uniquement applicables aux séances de délibération de la CNPD,
parmi lesquelles les délibérations relatives aux dossiers d'enquête.

De plus, bien que le traitement d'une réclamation puisse aboutir à la proposition et à
l'ouverture d'une enquête selon les modalités prévues à l'article 2 du Règlement enquêtes,
l'ouverture d'un dossier d'enquête à la suite d'une réclamation n'est pas systématique.

En effet, lorsqu'une réclamation est introduite, le service « réclamations » essaie de
résoudre la problématique soulevée sans ouvrir une enquête formelle au sens des articles 37 à 41
de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des
données et du régime général sur la protection des données (ci-après : « loi du 1er août 2018 »).
La plupart des réclamations peuvent être résolues et clôturées de cette manière, après que la
CNPD soit intervenue auprès du responsable du traitement concerné. Lorsqu'il s'avère que le
dossier d'une réclamation ne peut pas être instruit de cette manière, le Collège peut décider
d'ouvrir une enquête.

Il n'existe pas de critères législatifs qui définissent quand la CNPD doit ou non ouvrir une
enquête. La CNPD est une autorité de contrôle indépendante qui bénéficie du principe de
l’« opportunité d'action » (cf. Avis du Conseil d'Etat du 26 juin 2018, doc. parl. N° 7184/28). Elle
peut par ailleurs refuser de donner suite à une réclamation qui est manifestement infondée ou
excessive, conformément à l'article 57 (4) du RGPD.

Dans le cas de votre réclamation, l'ouverture d'un dossier d'enquête n'apparaît pas
pertinente, car la CNPD ne dispose d'aucun moyen d'action à l'encontre d'un responsable du
traitement établi sur le territoire des Etats-Unis d'Amérique n'ayant pas d'établissement sur le
territoire de l'Union Européenne (UE) ou n'ayant pas désigné de représentant dans l’UE en vertu
de l'article 27 du RGPD. En effet, dans ces cas, il lui est impossible de faire respecter les
dispositions du RGPD sur le territoire des Etats-Unis d'Amérique.

Considérant avoir répondu à vos questions, nous estimons que notre intervention dans le
cadre de votre réclamation est désormais terminée. (…) ».

Par requête déposée au greffe du tribunal administratif le 1er mars 2021, (A) – ....., désignée
ci-après par « (A) », mandatée à cette fin par Monsieur (B) par une convention de représentation
signée le 16 novembre 2020 en conformité avec l’article 80, paragraphe (1), du RGPD, introduisit
un recours tendant à la réformation sinon à l’annulation du courrier précité de la CNPD du
18 septembre 2020.

Par jugement du 21 avril 2023, le tribunal administratif se déclara compétent pour connaître du
recours principal en réformation, le déclara irrecevable pour défaut d’intérêt à agir dans le chef de
Monsieur (B), partant le rejeta, dit qu’il n’y avait pas lieu de statuer sur le recours subsidiaire en
annulation, rejeta encore la demande en allocation d’une indemnité de procédure formulée par (A),
tout en condamnant celle-ci aux frais et dépens de l’instance.

Pour ce faire, le tribunal constata qu’il était constant, pour ne pas être contesté par (A), que tant au
moment de la réclamation de Monsieur (B) du 5 avril 2019 adressée à la CNPD, qu’au moment de
l’introduction du recours sous analyse, les données personnelles de celui-ci avaient été supprimées
du site internet de la société (D) et qu’il ne ressortait d’aucune pièce versée aux débats que le
traitement des données de Monsieur (B) par la société (D) était toujours d’actualité, la copie d’un
profil produit en cause et intitulé « (B)’s Email » n’étant pas datée et ne comportant aucune
référence de source. Comme (A) restait ainsi en défaut de prouver un traitement des données de
Monsieur (B) par la société (D) « tant au moment de l’introduction du recours sous analyse qu’à
l’heure actuelle », le tribunal arriva à la conclusion que celui-ci ne pouvait se prévaloir d’un intérêt
à agir du fait d’un traitement de ses données par ladite société emportant une violation de ses droits
prévus par le RGPD au moment de l’introduction de son recours.

Le tribunal nota encore que ce constat n’était pas énervé par les développements de (A) suivant
lesquels le traitement antérieur des données personnelles de Monsieur (B) par la société (D)
constituerait une violation de ses droits prévus au RGPD et releva que le rôle de la CNPD
consistait, en application de l’article 51, paragraphe (1), du RGPD et de l’article 4 de la loi du 1er
août 2018 portant organisation de la Commission nationale pour la protection des données et du
régime général sur la protection des données, ci-après « la loi du 1er août 2018 », en la surveillance
de l’application du RGPD par les responsables de traitement et qu’elle n’était plus appelée à
intervenir à partir du moment où une éventuelle méconnaissance du RGPD par un responsable de
traitement avait cessé, Monsieur (B) ne pouvant tirer du RGPD un droit personnel à voir
sanctionner un responsable de traitement en dehors d’une action en réparation du dommage
résultant d’une violation de ses droits, droit expressément prévu par le RGPD.

Finalement, le tribunal releva que la réparation d’un dommage résultant, le cas échéant, d’une
violation des droits à la protection des données à caractère personnel d’une personne concernée
n’était ni conditionnée par une saisine préalable de l’autorité de contrôle compétente, telle la
CNPD, ni par une décision de cette dernière sanctionnant pareille violation, respectivement par
une décision juridictionnelle y relative.

Par requête d’appel déposée au greffe de la Cour administrative le 23 mai 2023, (A) a relevé appel
du jugement du 21 avril 2023.

Au dispositif de son mémoire en réponse, la CNPD demande à voir déclarer la requête d’appel
irrecevable pour défaut d’intérêt à agir de la partie appelante respectivement demande à la Cour
de se déclarer incompétente du fait que le recours n’aurait pas été introduit contre un acte
administratif définitif faisant grief.

Lesdites demandes sont à rejeter pour manquer de fondement.

En effet, indépendamment du constat que la CNPD n’a pas autrement développé son moyen
d’irrecevabilité de la requête d’appel tiré d’un défaut d’intérêt à agir et qu’un recours qui n’a pas
été introduit contre un acte administratif faisant grief ne conduit pas à une décision d’incompétence
mais à une décision d’irrecevabilité de la juridiction administrative saisie, il convient de rappeler,
d’une part, que l’intérêt à interjeter appel se mesure aux prétentions de l’appelant au regard du
dispositif du jugement entrepris et, d’autre part, que le tribunal qui déclare un recours irrecevable
statue sur une exception de procédure et une fin de non-recevoir, à savoir un moyen
d’irrecevabilité, et met fin à l’instance, de sorte qu’un appel immédiat dans le délai de la loi est de
mise.

En outre, l’argumentaire de la CNPD que le recours initial n’a pas été introduit contre un acte
administratif faisant grief ne constitue pas une question de recevabilité de la requête d’appel, mais,
comme rappelé ci-dessus, une question de recevabilité du recours initial, à l’instar de la question
de l’intérêt à agir.

Or, comme dans le dispositif du jugement entrepris le tribunal s’est déclaré compétent pour
connaître du recours en réformation de (A), tout en le déclarant irrecevable pour défaut d’intérêt à
agir, l’appelante à un intérêt évident à interjeter appel sur base de son argumentaire visant à
déclarer son recours initial recevable.

L’appel ayant pour le surplus été introduit selon les formes et délai de la loi, il est recevable.

A l’appui de sa requête d’appel, l’appelante argumente plus particulièrement que Monsieur
(B) disposerait d’un intérêt personnel et direct à agir contre la décision entreprise en ce que
celle-ci porte sur une réclamation par lui introduite relative à la violation de ses droits
fondamentaux. Elle renvoie à la formulation de l’article 78 du RGPD ouvrant un recours à
toute personne voyant ses droits impactés par la décision de l’autorité de contrôle. Cet intérêt
serait né, effectif et actuel en ce que la CNPD a refusé de faire la lumière sur des violations
de ses droits fondamentaux par la société (D), ce qui aurait été un préalable à la cessation de
ces violations.

(A) rappelle dans ce contexte que Monsieur (B) aurait dénoncé un traitement de ses données sans
base légale appropriée, ainsi qu’un manque d’information quant aux circonstances de traitement
des données dont il ferait l’objet. Si la société (D) avait certes informé Monsieur (B) qu’elle avait
supprimé son profil de son site internet, celle-ci n’aurait à aucun moment indiqué si, comment,
pour combien de temps et à quelles fins elle avait conservé les données personnelles de Monsieur

(B) dans ses propres bases de données ou à quelles sociétés elle a communiqué lesdites données.
Elle soutient encore que le droit à l’information sur un traitement de données ne p ourrait pas
disparaître juste parce que le traitement en question aurait cessé. Ainsi, le droit d’accès
constituerait la pierre angulaire des droits des individus sujets de données et la « porte
d’entrée » qui permettrait l’exercice de l’ensemble des autres droits conférés par le RGPD,
tel le droit d’opposition ou celui à la rectification ou encore le droit à l’effacement. Le droit
de Monsieur (B) de recevoir des informations concernant le traitement de ses données ne
disparaîtrait pas avec l’effacement des données à caractère personnel en réponse à une
demande d’accès.

Finalement, l’appelante précise qu’il ne serait indiqué nulle part dans le RGPD que des
réclamations ne devraient être traitées que concernant des traitements de données en cours et
que des réclamations sur des traitements passés seraient d’office exclues. En effet, il serait
possible qu’un individu ne prenne connaissance que tardivement d’une violation de ses droits.
De la sorte, imposer des délais trop serrés pour lui permettre de dénoncer cette violation
porterait atteinte à l’effectivité même du droit d’introduire une réclamation.

La CNPD conteste tout intérêt né et actuel à agir dans le chef de Monsieur (B), soutenant en
premier lieu qu’un intérêt simplement éventuel ne suffirait pas pour que le recours contre un
acte soit déclaré recevable, ce d’autant plus que la « faisabilité » des mesures réclamées vis-
à-vis de la société (D) serait hautement discutable.

Elle réfute ensuite un intérêt personnel dans le chef du réclamant qui ne chercherait pas à
obtenir une satisfaction personnelle mais qui se positionnerait surtout en défenseur de l’intérêt
collectif.

La CNPD nie encore tout intérêt direct dans le chef de l’appelante en ce que la nature précise
de l’« affectation négative » concrète de la situation de Monsieur (B) du fait spécifique et
unique de la décision de la CNPD resterait particulièrement nébuleuse. Ainsi, invoquer la
violation générale par principe et non circonstanciée d’un « droit » ne serait pas suffisante
pour justifier d’un intérêt à agir. Dans ce contexte, l’intimée signale encore que la société (D)
aurait répondu le jour même de la demande initiale de Monsieur (B) en lui fournissant un
premier niveau d’informations et en lui proposant de cliquer sur un lien pour obtenir de plus
amples détails et en l’invitant à lui écrire un courriel si d’autres interrogations devaient encore
subsister, possibilité dont ce dernier n’aurait pas fait usage. Elle signale encore, d’une part,
que la société (D) aurait adressé à Monsieur (B) une copie des données personnelles et, d’autre
part, qu’au moment de l’introduction de la réclamation et de l’introduction du recours devant
le tribunal administratif, le traitement des données aurait cessé. Partant, la CNPD ne voit pas
quelles seraient les conséquences négatives que la décision entreprise aurait causé à Monsieur
(B).

Finalement, dans le même ordre d’idées, la CNPD estime encore que la décision entreprise ne
constituerait pas un acte administratif faisant grief à Monsieur (B) et qui lui conférerait partant
un intérêt à agir.

L'intérêt conditionne la recevabilité d'un recours contentieux. En matière de contentieux
administratif portant, comme en l'espèce, sur des droits objectifs, l'intérêt ne consiste pas dans un
droit allégué, mais dans le fait vérifié qu'une décision administrative affecte négativement la
situation en fait ou en droit d'un administré qui peut partant tirer un avantage corrélatif de la
sanction de cette décision par le juge administratif (cf. Cour adm. 14 juillet 2009, nos 23857C et
23871C du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 2 et autres références y citées).

L’intérêt à agir n’est pas à confondre avec le fond du droit en ce qu’il ne se mesure non au bien-
fondé des moyens invoqués à l’appui d’une prétention, mais à la satisfaction que la prétention est
censée procurer à une partie, à supposer que les moyens invoqués soient justifiés (cf. Cour adm.
13 décembre 2007, n° 23330C du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 3 et autres
références y citées).

D’autre part, concernant l’absence d’un acte administratif faisant grief, tel que soutenu par la
CNPD, il convient de rappeler qu’un acte administratif individuel, pour répondre au qualificatif de
décision administrative et donc pour être susceptible d’un recours devant les juridictions
administratives, doit également constituer une véritable décision de nature à faire grief, c'est-à-dire
un acte susceptible de produire par lui-même des effets juridiques affectant la situation personnelle
et patrimoniale de celui qui réclame (cf. Cour adm. 24 mai 2007, n° 22408C du rôle,
Pas. adm. 2022, V° Actes administratifs, n° 44 et autres références y citées).

En vue de déterminer si le courrier de la CNPD du 18 septembre 2020, ensemble les prises de
positions antérieures, affecte négativement la situation personnelle de Monsieur (B) et constitue
partant une décision de nature à lui faire grief lui donnant un intérêt personnel et direct, légitime
et certain, né et actuel à agir, il convient en premier lieu de délimiter l’objet de la réclamation
adressée le 5 avril 2019 par Monsieur (B) à la CNPD.

Ainsi, il ressort de ladite réclamation que celui-ci a critiqué l’utilisation, selon lui illégale, de ses
données personnelles par la société (D) à des fins commerciales (« I have no relation ship [sic]
with the data controller, yet the data controller sells my personal information », (…) « Their
privacy policy stipulates no legal basis of processing as I have no customer account with them.
They claim to use data that is "public", my email address isn’t », (…) « No [l]egal basis of
processing my personal data [;] Reselling of my personal data for commercial gain »). Il a
également critiqué l’interprétation faite par la société (D) du RGPD (« Their GDPR interpretation
which can be publically read here, is non-sensical »).

Enfin, dans la rubrique « objet de la plainte », il a indiqué :
« - ne m’a pas fourni les informations nécessaires relatives à un traitement de données
personnelles me concernant
- a transmis mes données personnelles à un/des tiers
- a procédé à une collecte excessive de mes données personnelles ».

Ce faisant, Monsieur (B) a clairement indiqué qu’il estimait que la société (D) utilisait ses données
personnelles en violation des droits lui reconnus par le RGPD, sans cependant énoncer
expressément par quels moyens il souhaitait que la CNPD remédie à cette violation alléguée de
ses droits.

Cependant, le bon sens commande de retenir qu’un administré ne se contente pas de dénoncer
une violation de ses droits pour la simple forme, mais qu’en s’adressant à l’autorité de contrôle
qui est compétente pour constater et sanctionner une violation du RGPD, il demande à cette
autorité de réserver une suite à sa demande et d’essayer de faire la lumière sur les violations
alléguées et de prendre, le cas échéant, des mesures adéquates pour tenter d’y remédier, voire
prononcer des sanctions.

Concernant plus précisément les démarches entreprises par la CNPD, la Cour constate que
celle-ci a envoyé le 18 juillet 2019 un courrier à la société (D) concluant à un traitement des
données personnelles de Monsieur (B) et à l’applicabilité conséquente du RGPD au cas
d’espèce, tout en sollicitant de la société (D) les coordonnées de son représentant dans l’Union
européenne, tel qu’exigé par l’article 27 du RGPD.

Sur ce, la société (D), suivant courriel du 24 juillet 2019, a informé la CNPD ne pas avoir
désigné de représentant dans l’Union européenne en vertu de l'article 27 du RGPD, tout en estimant
que les utilisateurs de son site internet seraient les responsables du traitement des données
personnelles y figurant. (« (…) please note that (D) is not the controller of the data on our site.
Our users are the controller and therefore are responsible for ensuring that they individually
adhere to data protection laws and regulations such as GDPR »).

Par un courriel du 6 mars 2020, après divers rappels de Monsieur (B), la CNPD a fait part à celui-
ci du contenu de la réponse de la société (D) du 24 juillet 2019, tout en lui signalant qu’elle était
d’avis que ladite société « est bien à considérer comme responsable du traitement pour les
traitements de données à caractère personnel effectués sur son site internet », mais qu’elle ne
disposait pas des pouvoirs de mener des enquêtes et de faire appliquer les décisions qu’elle serait
amenée à prendre sur le territoire des Etats-Unis d’Amérique.

Après un nouvel échange de courriels et deux lettres recommandées de Monsieur (B) des 4 mai et
10 août 2020 à l’adresse de la CNPD, celle-ci, par l’intermédiaire de son commissaire T. L., a fait
parvenir au réclamant le courrier précité du 18 septembre 2020, faisant part à ce dernier que
l’intervention de la CNPD dans le cadre de sa réclamation « est désormais terminée », étant donné
que l’ouverture d’un dossier d’enquête n’apparaîtrait pas pertinente au motif qu’elle ne disposerait
d’aucun moyen d’action à l’encontre de la société (D) établie aux Etats-Unis et qu’il lui serait
partant impossible de faire respecter les dispositions du RGPD sur ce territoire, et ceci après avoir
informé Monsieur (B) que « les dossiers d’enquêtes et de réclamations relèvent de procédures
différentes », que « l’ouverture d’un dossier d’enquête à la suite d’une réclamation n’est pas
systématique » et « qu’il n’existe pas de critères législatifs qui définissent quand la CNPD doit ou
non ouvrir une enquête. La CNPD est une autorité de contrôle indépendante qui bénéficie du
principe de l’« opportunité d’action » (…). Elle peut par ailleurs refuser de donner suite à une
réclamation qui est manifestement infondée ou excessive, conformément à l’article 57 (4) du
RGPD ».
Or, sans vouloir prendre position, au stade actuel du dossier, quant au fond du litige, la Cour relève
qu’il est constant en cause que la décision litigieuse de la CNPD a été prise dans le cadre du RGPD
rendant applicables les articles 77 et 78 du RGPD consacrant un droit à un recours juridictionnel
effectif contre une décision d’une autorité de contrôle, articles de la teneur suivante :

(Art. 77) « 1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute
personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en
particulier dans l’Etat membre dans lequel se trouve sa résidence habituelle, son lieu de travail
ou le lieu où la violation a été commise, si elle considère que le traitement de données à caractère
personnel la concernant constitue une violation du présent règlement.

2. L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur
de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité
d’un recours juridictionnel en vertu de l’article 78.

(Art. 78) « 1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute
personne physique ou morale a le droit de former un recours juridictionnel effectif contre une
décision juridiquement contraignante d'une autorité de contrôle qui la concerne.

2. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne
concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui
est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la
personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de la
réclamation qu'elle a introduite au titre de l'article 77.

3. Toute action contre une autorité de contrôle est intentée devant les juridictions de l'État
membre sur le territoire duquel l'autorité de contrôle est établie. (…) ».

Il y a lieu de relever encore que l’article 55 de la loi du 1er août 2018, aux termes duquel « [u]n
recours contre les décisions de la CNPD prises en application de la présente loi est ouvert devant
le Tribunal administratif qui statue comme juge du fond. », ne distingue pas le type de décisions
de la CNPD susceptibles de recours, de sorte à inclure a priori toute décision émanant de cette
dernière à condition de faire grief.

Sans vouloir à ce stade se prononcer sur le principe de l’opportunité d’action mis en avant par la
CNPD dans le dossier émargé – question qui relève du fond du dossier – , ce d’autant plus que
toute la lumière sur l’étendue et la durée du traitement des données à caractère personnel de
Monsieur (B) par la société (D) n’a pas pu être effectuée à ce jour, il se dégage du dossier que
l’objet de la demande initiale de Monsieur (B) à l’adresse de la CNPD ne visait pas uniquement la
cessation par la société (D) de l’utilisation de ses données à caractère personnel, utilisation dont
l’étendue reste incertaine, mais, tel que repris au dispositif de sa requête introductive d’instance, à
voir annuler le classement de l’affaire et à voir ordonner à la société (D) de se conformer à l’article
27 du RGPD et de donner une suite à son droit d’accès sur le fondement de l’article 15 du RGPD,
respectivement de poursuivre le traitement de sa réclamation et, en cas de refus d’un droit d’accès,
de constater une violation du RGPD, et de prononcer le cas échéant une mesure corrective au sens
de l’article 58 du RGPD.

Dans ce contexte, il convient encore de relever que le courriel de la CNPD du 8 juillet 2020 renvoie
entre autres respectivement aux articles 77, paragraphe (2), et 78, paragraphe (2), du RGPD,
articles prévoyant au profit de la personne concernée un droit à un recours juridictionnel effectif,

droit qui se trouve par ailleurs rappelé sur le propre site internet de la CNPD sous la rubrique
« faire valoir vos droits », la CNPD y relevant que « si les suites données par la CNPD ne vous
paraissent pas satisfaisantes, vous êtes toujours en droit de saisir le tribunal ».

Au vu de ce qui précède, la Cour arrive à la conclusion que le courrier de la CNPD du
18 septembre 2020 constitue une décision de nature à faire grief et que les contestations afférentes
de la CNPD sont à rejeter.

Il s’ensuit que l’intérêt à agir de (A) à l’encontre de ladite décision se trouve vérifié à suffisance
et le jugement entrepris encourt la réformation en ce qu’il a déclaré irrecevable pour défaut
d’intérêt à agir le recours de l’appelante.

Dans le cas de figure où les premiers juges ont déclaré le recours irrecevable et n’ont pas toisé le
fond, les exigences de double degré de juridiction, ensemble celles découlant du respect des droits
de la défense, portent que la juridiction d'appel sera, en principe, amenée à renvoyer l'affaire devant
les premiers juges en prosécution de cause, dans l'hypothèse où la Cour sera amenée à réformer le
premier jugement sur le point retenant l'irrecevabilité du recours (cf. Cour adm. 12 mars 2019,
n° 42002C du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 1189 et autres références
y citées).

Cette solution s’impose d’autant plus en l’espèce que le dispositif du recours introductif de
première instance vise directement sinon indirectement la société (D), de sorte que la question
d’une mise en intervention éventuelle de cette dernière se pose.

En effet, il convient de rappeler que la mise en intervention d'une partie tierce intéressée s'impose,
chaque fois qu'elle est raisonnablement réalisable, en ce qu'elle tend par essence à éviter une
procédure de tierce opposition ultérieure. C'est le caractère préventif de la mise en intervention qui
en justifie sa mise en place à l'encontre des parties tierces intéressées dans les délais les meilleurs,
tandis que l'absence de délai afférent prévu par la loi s'explique en ce qu'en toute instance la
cristallisation de la qualité de partie tierce intéressée est susceptible de ne se faire qu'après une
instruction plus avancée des données du dossier (cf. Cour adm. 1er février 2007, n°21572C du rôle,
Pas. adm. 2022, V° Procédure contentieuse, n° 554 et autres références y citées).

La CNPD sollicite encore la condamnation de (A) au paiement d’une indemnité de procédure de
5.000.- €.

Ladite demande est cependant à rejeter, les conditions légales afférentes n’étant pas remplies en
l’espèce.

Par ces motifs,

la Cour administrative, statuant à l’égard de toutes les parties en cause ;

reçoit l’appel du 23 mai 2023 en la forme ;

par réformation du jugement entrepris du 21 avril 2023, dit que c’est à tort que le tribunal
administratif a déclaré irrecevable le recours originaire du 1er mars 2021 pour défaut d’intérêt à
agir dans le chef de (A) – ..... ;

renvoie le dossier devant le tribunal administratif en prosécution de cause ;

déboute la Commission nationale pour la protection des données de sa demande en
allocation d’une indemnité de procédure ;

met les frais de la présente instance d’appel à charge de la Commission nationale pour la
protection des données ;

réserve les frais de première instance.

Ainsi délibéré et jugé par:

Lynn SPIELMANN, premier conseiller,
Martine GILLARDIN, conseiller,
Annick BRAUN, conseiller,

et lu par le premier conseiller en l’audience publique à Luxembourg au local ordinaire des
audiences de la Cour à la date indiquée en tête, en présence du greffier assumé de la Cour …….

s. …. s. SPIELMANN

Reproduction certifiée conforme à l’original
Luxembourg, le 28 novembre 2023
Le greffier de la Cour administrative