57
Expédition
| Numéro du répertoire 2021 / 5563 |
| --- |
| Date du prononcé 30 juin 2021 |
| Numéro du rôle 2020/AR/1111 |
| Délivrée à | Délivrée à | Délivrée à |
| --- | --- | --- |
| le € CIV | le € CIV | le € CIV |
☐
Non communicable au receveur
# Cour d'appel
# Bruxelles
Section Cour des marchés
19ᵉ chambre A
Chambre des marchés
# Arrêt
| Présenté le |
| --- |
| Non enregistrable |
COVER 01-00002220406-0001-0041-09-01-1
Cour d'appel Bruxelles – 2020/AR/1111 p. 2---
**GOOGLE BELGIUM S.A.**, BCE 0878.065.378 représenté par Me VANDENDRIESSCHE Gerrit ([email protected]) et Me. JOLLY Louis-Dorsan ([email protected]) avocats à BRUXELLES,
Partie requérante,
Contre la Décision n°37/2020 prononcée par la Chambre contentieuse de l'Autorité de Protection des Données le 14 juillet 2020 ayant pour objet « X c/ Google (déréférencement)
**Contre :**
**L'AUTORITE DE PROTECTION DES DONNEES**, BCE 0694.679.950, représentée par Me. TATON Xavier([email protected]) et Me VAN OVERSTRAETEN Tanguy.([email protected]) avocats à BRUXELLES,
Partie défenderesse,
**Autres :**
X, qui avait comme conseils Me DOUTRELEPONT Carine ([email protected]) et Me. YAHYAOU Inès([email protected]), avocates à BRUXELLES, qui a déposé des conclusions mais qui ne comparaît pas à l'audience du 16 juin 2021 et qui n'est pas représentée à cette audience.
\*\*\*\*
## **1. La saisine de la Cour des marchés.**
### **1.1.**
La Cour des marchés est saisie par un recours émanant de GOOGLE BELGIUM SA contre la décision n°37/2020 prononcée par la Chambre Contentieuse de l'Autorité de Protection des Données (ci-après la Chambre Contentieuse de l'APD ») le 14 juillet 2020 (DOS-2019-03780).
Par arrêt interlocutoire du 17 février 2021, la Cour a décidé comme suit :
« *Dit le recours de GOOGLE BELGIUM SA recevable ratione temporis;*
*Dit l'intervention volontaire de X irrecevable sauf en ce qu'elle est limitée à soutenir la thèse de l'APD et de défendre le bien-fondé de la décision attaquée et de lui entendre déclarer commun l'arrêt qui sera rendu par la Cour des marchés ;*
*Dit qu'il n'y a pas lieu de poser des questions préjudicielles à la Cour Constitutionnelle ;*
*Dit la demande de GOOGLE BELGIUM SA d'appliquer l'article 748 § 2 du Code judiciaire irrecevable ;*
*Dit qu'il y a lieu de permettre à GOOGLE BELGIUM SA, à X et à l'APD de mettre la cause en état comme suit :*
- *conclusions de synthèse pour GOOGLE BELGIUM SA au plus tard le 10 mars 2021*
PAGE 01-00002220406-0002-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 3
- conclusions de synthèse pour X et l'APD au plus tard le 31 mars 2021
- plaidoiries (probablement par vidéoconférence WEBEX – sauf abolition de toutes les mesures restrictive COVID-19) en date du mercredi 14 avril 2021 à 9.30 h pour 360 minutes.
Réserve à statuer sur le surplus. »
1.2.
Le 8 mars 2021, la SA GOOGLE BELGIUM a déposé des conclusions additionnelles et de synthèse.
Elle demande :
« Déclarer le recours de Google Belgium SA recevable et fondé ;
Déclarer l'intervention volontaire de X irrecevable en tant qu'elle n'est pas limitée à soutenir la thèse de l'Autorité de protection des données et à défendre le bien-fondé de la décision quant au fond 37/2020 de la Chambre contentieuse de l'Autorité de protection des données du 14 juillet 2020 (DOS-2019-03780) ;
Déclarer les demandes de X et de l'Autorité de protection des données irrecevables dans la mesure où elles reposent sur de nouveaux éléments, arguments et pièces de sorte qu'elles excèdent le contentieux objectif devant Votre Cour ;
Annuler la décision quant au fond 37/2020 de la Chambre contentieuse de l'Autorité de protection des données du 14 juillet 2020 (DOS-2019-03780) ;
À la suite de l'annulation de la décision la décision quant au fond 37/2020, ordonner à l'Autorité de protection des données de procéder aux mesures suivantes dans les versions linguistiques française et néerlandaise de son site web endéans le mois du prononcé :
- Publication de l'arrêt à intervenir sur son site web dans la section Publications > Décisions > Arrêts de la Cour des marchés ;
- Ajout de l'encart suivant, sur toute publication de la décision annulée disponible sur son site web, sur la première page du document, de façon apparente dès l'ouverture du document, en gras et encadré ;
Note au lecteur : la décision au fond 37/2020 de la Chambre contentieuse de l'Autorité de protection des données du 14 juillet 2020 a été annulée par l'arrêt de la Cour d'appel de Bruxelles du [insérer date].
Pour plus d'informations, voyez [insérer lien vers l'arrêt] et [insérer lien vers le communiqué de presse].
PAGE 01-00002220406-0003-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 4
- Suppression de tout communiqué de presse ou autre communication antérieurs relatifs à l'existence et au contenu de la décision annulée disponibles sur son site web ou, à tout le moins, ajout d'un encart conformément au point précédent.
- Publication d'un communiqué de presse, à tout le moins en français, néerlandais et anglais, dans les sections « Actualités » et « Communiqués de presse » de son site web, avec le contenu suivant :
« La Cour des marchés annule la décision de l'APD qui avait sanctionné Google Belgium
Par un arrêt de [insérer date], la Cour des marchés a annulé la décision quant au fond 37/2020 de la Chambre contentieuse de l'Autorité de protection des données du 14 juillet 2020 (DOS-2019-03780). La décision annulée avait sanctionné Google Belgium pour non-respect du droit à l'oubli.
À la suite de cet arrêt de la Cour des marchés, les mesures correctrices qu'avait imposées l'APD à Google Belgium ont été mises à néant.
LIENS INTÉRESSANTS
Arrêt de la Cour des marchés de [insérer date] »
- Publication d'un lien vers le communiqué de presse visé ci-dessus de façon apparente sur la page d'accueil de son site web, dans la section « actualités », pendant au moins 2 mois à compter de la publication dudit communiqué de presse ;
Ensuite, statuant à nouveau en lieu et place de l'Autorité de protection des données, sur la base de l'article 100, §1er, 2°de la loi portant création de l'Autorité de protection des données, ordonner le non-lieu, en ce que Google Belgium SA n'est pas le responsable du traitement en cause.
Condamner l'Autorité de protection des données à payer le droit de mise au rôle et à payer à Google Belgium SA les entiers frais et dépens de la procédure, en ce compris l'indemnité de procédure de 1.440 EUR (montant de base). »
Le 31 mars 2021, X a déposé des conclusions additionnelles et de synthèse dans lesquelles, elle demande :
« Déclarer la présente intervention volontaire dans l'instance existant entre Google Belgium S.A. et l'Autorité de Protection des Données recevable et fondée, et
Déclarer le recours introduit par Google Belgium S.A. à l'encontre de la Décision quant au fond 37/2020 de la Chambre Contentieuse de l'APD du 14 juillet 2020 ayant pour objet « X C/ Google (déréférencement) » recevable mais non fondé, et déclarer fondée la demande de l'APD dont la partie en intervention volontaire s'approprie les moyens comme le dispositif et au soutien de laquelle elle intervient. »
PAGE 01-00002220406-0004-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 5---
A la même date, l'Autorité de Protection des Données (ci-après : « l'APD ») a déposé des secondes conclusions de synthèse dans lesquelles elle demande :
– « *A titre principal, de déclarer le recours de Google Belgium S.A. irrecevable en ce qu'il est dirigé contre le point (1) de la Décision Attaquée, et en toute hypothèse, non fondé ;*
– *A titre subsidiaire,*
*si Votre Cour devait considérer que l'infraction à l'article 12 RGPD n'entrait pas dans la saisine de la Chambre contentieuse de l'APD (quod non), de déclarer le recours de Google Belgium S.A. partiellement fondé et de prononcer une annulation partielle limitée aux points (4) et (5) de la Décision Attaquée ;*
*d'adresser à la Cour de justice de l'Union européenne les questions préjudicielles libellées comme suit :*
« 1. L'effet utile du RGPD et la protection complète qu'il offre en matière de traitements de données à caractère personnel s'opposent-ils à ce qu'une juridiction d'un État membre saisie d'un recours au sens de l'article 78 RGPD, puisse considérer que le ou les établissements dans l'Union du responsable du traitement dont le siège se trouve en dehors de l'Union et soumis au RGPD en vertu de l'article 3.1, ne pourraient faire l'objet de mesures coercitives que si le traitement est effectué par ce ou ces établissements, tandis qu'une obligation de désigner un représentant auquel des mesures coercitives peuvent être imposées n'est prévue que dans les cas où l'article 3.2 s'applique (article 27 et considérant 80 RGPD). »
« 2. Afin de lui donner un effet utile et d'éviter un vide juridique lorsqu'un traitement est effectué en dehors de l'Union par un responsable du traitement qui dispose d'un établissement dans l'Union, l'article 3.1 RGPD doit-il être interprété en ce sens qu'une autorité de contrôle au sens du RGPD peut imposer des mesures contraignantes envers l'établissement dans l'Union d'un responsable du traitement dont le siège se trouve en dehors de l'Union dans l'hypothèse où
(a) les activités de cet établissement dans l'Union sont indissociablement liées avec celle du responsable du traitement ; et
(b) l'autorité de contrôle pourrait ne pas être en mesure d'exercer son pouvoir coercitif envers le responsable du traitement étant donné que celui-ci a son siège en dehors de l'Union ? »
– *A titre plus subsidiaire, si Votre Cour devait décider qu'il y a lieu de réduire les amendes prononcées ou qu'il n'y a pas lieu d'imposer des amendes en l'espèce (quod non), de déclarer*
PAGE 01-00002220406-0005-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 6
le recours de Google Belgium S.A. partiellement fondé et de prononcer une annulation partielle limitée aux points (3) et (4) de la Décision Attaquée ;
- A titre infiniment subsidiaire, si Votre Cour devait décider qu'il y a lieu d'annuler aussi le point (2) de la Décision Attaquée (quod non), de renvoyer la plainte devant la Chambre contentieuse de l'APD afin que celle-ci adopte une nouvelle décision conforme à l'arrêt de Votre Cour et d'ordonner le maintien des effets du point (2) de la Décision Attaquée, c'est-à-dire le maintien de l'ordre de cessation des référencements n°s 9 à 12, jusqu'à ce que la Chambre contentieuse de l'APD ait pris une nouvelle décision sur la plainte pour non-déréférencement, le cas échéant à l'encontre d'une autre entité du groupe Google ;
- En toute hypothèse, de rejeter les demandes de Google Belgium S.A. visant à ordonner des mesures de publication et de suppression de publications à l'APD, et de condamner Google Belgium S.A. aux entiers dépens de l'instance en ce compris l'indemnité de procédure fixée au montant de base de 1.440 €. »
## 2. L'étendue du recours, la recevabilité, les moyens.
# 2.1.
L'APD fait valoir que le recours de GOOGLE BELGIUM est irrecevable en tant qu'il vise l'annulation totale de la Décision Attaquée puisqu'en son point (1) cette décision « classe sans suite la plainte concernant les demandes de déréférencement des référencements n°s 1 à 8 ».
En fait, GOOGLE BELGIUM ne vise pas l'annulation de la Décision Attaquée sur ce point précis, elle vise l'annulation intégrale de la Décision, sa demande n'est pas correctement libellée.
Dans la mesure où GOOGLE BELGIUM demande l'annulation de la Décision en sa totalité et ne limite pas son recours aux autres points (que le point 1) de la Décision, le recours est irrecevable, faute d'intérêt.
# 2.2.
Nonobstant le fait que dans l'arrêt interlocutoire la Cour avait explicitement rappelé aux parties qu'il y a lieu de respecter le prescrit de l'article 744, 3° du Code judiciaire, la partie GOOGLE BELGIUM a déposé de nouvelles conclusions qui font mention de titres, qualifiés comme étant des moyens, sans que ces titres et les dizaines de pages qui les accompagnent, puissent être considérés comme étant des moyens au sens de la loi.
Le strict respect de ces principes est fondamental pour que la Cour puisse exercer son contrôle visé ci-avant.
Le Cour des marchés ne répondra dès lors pas à « tous ces titres portant le nom de prétendus moyens » mais statuera sur les questions de droit telle que la Cour les comprendra en vertu des textes et pièces produites.
# 2.3.
PAGE 01-00002220406-0006-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 7---
GOOGLE BELGIUM fait valoir que la demande actuelle de la partie intervenante est irrecevable dans la mesure où elle ne se limite pas à soutenir la thèse de l'APD et à défendre le bien-fondé de la Décision Attaquée et que toute demande en relation avec le prétendu non-respect de l'ordre de déréférencement de la Décision Attaquée et la prétendue illicéité de transferts hors Union européenne devrait être déclarée irrecevable en ce qu'elle ne saurait faire l'objet du contentieux objectif devant la Cour (premier moyen de GOOGLE BELGIUM).
Il n'y a pas lieu de faire droit à ce moyen, cette demande de GOOGLE BELGIUM est sans objet, la Cour des marchés a déjà statué sur la recevabilité par son arrêt interlocutoire, qui a force de chose jugée.
2.4.
La Cour des marchés exerce un recours objectif en vertu d'une *lex specialis*, elle n'a pas de juridiction pour des demandes qui excèdent ce recours.
### 3. La Décision Attaquée.
Pour faciliter la lecture, la Cour reprend le texte du dispositif de la Décision Attaquée, qui stipule ce qui suit :
« la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :
(1) en vertu de l'article 100, paragraphe 1er, 2°, de la LCA, classe sans suite la plainte concernant les demandes de déréférencement des référencements nos 1 à 8.
(2) en vertu de l'article 100, paragraphe 1er, 8° et 9° de la LCA, ordonne à Google Belgium SA de mettre en conformité le traitement et à cet effet, de faire mettre en œuvre toutes mesures techniques efficaces afin de cesser les référencements nos 9 à 12 d'une part, pour l'ensemble des autres sites internet du moteur de recherches dans toutes leurs versions linguistiques mais uniquement pour les utilisateurs les consultant depuis l'Espace Économique Européen, et ce au plus tard sept jours après la notification de la présente décision et d'informer par e-mail l'Autorité de protection des données (Chambre Contentieuse) que l'ordre susmentionné a été exécuté, dans le même délai (via l'adresse e-mail [email protected]);
(3) en vertu des articles 100, 13° et 101 de la LCA ainsi que 83 du RGPD, impose à Google Belgium SA une amende de 500.000 EUR pour le manquement aux articles 17, 1., a), et 6, 1., f), du RGPD.
(4) en vertu des articles 100, 13° et 101 de la LCA ainsi que 83 du RGPD, impose à Google Belgium SA une amende de 100.000 EUR pour le manquement à l'article 12, 1. et 4. Du RGPD.
(5) en vertu de l'article 100, paragraphe 1er, 9° de la LCA, ordonne à Google Belgium SA de faire adapter les formulaires électroniques qu'elle met à disposition et communique aux
PAGE 01-00002220406-0007-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 8
utilisateurs qui utilisent ses services de moteur de recherches sur internet depuis le territoire belge, aux fins de déréférencement, en identifiant clairement et précisément quelle(s) entité(s) juridique(s) est(sont) responsable(s) du traitement et de quels traitements, et ce au plus tard deux mois après la notification de la présente décision et d'informer par e-mail l'Autorité de protection des données (Chambre Contentieuse) que l'ordre susmentionné a été exécuté, dans le même délai (via l'adresse e-mail [email protected]).
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours dans un délai de trente jours, à compter de la notification, à la Cour des marchés, avec l'Autorité de protection des données comme défendeur. »
#### **4. Le contexte factuel.**
En ses conclusions, X donne le récit des faits suivant :
**1. La concluante, bien connue du public bruxellois :**
- réside à Bruxelles ;
- est la directrice actuelle de SIBELGA, une entreprise, gérant le réseau de distribution du gaz et d'électricité des 19 communes bruxelloises, qui compte environ 1 000 employés et est responsable de 1,2 million de compteurs d'énergie et de 83 000 éclairages publics ;
- présente des compétences reconnues.
**2. Elle a un parcours professionnel de très grande qualité, en occupant principalement des fonctions de haut fonctionnaire et de manager dans le secteur énergétique.**
Titulaire d'une maîtrise en actuariat, mais aussi en économie appliquée et en gestion environnementale, elle a occupé le poste de chef de cabinet adjoint d'une vice-première ministre, de conseillère en stratégie du PDG du gestionnaire ELIA, de chef de la direction générale de l'énergie du SPF Économie, de présidente du conseil d'administration de la Commission fédérale belge de régulation de l'électricité et du gaz (CREG), de vice-présidente du Conseil des régulateurs européens de l'énergie (CEER) et présidente du groupe de coordination internationale (ICG) au sein du CEER. En tant que présidente de la CREG, elle a représenté la Belgique à l'Agence de coopération des régulateurs de l'énergie (ACER).
**3. La concluante a fait l'objet d'un référencement, par Google, de contenus (rich snippets, mots-clés, titres, liens hypertextes) qui portent atteinte à son honneur et à sa réputation, éléments constitutifs de sa vie privée, ainsi qu'à ses données à caractère personnel.**
Ceux-ci contiennent des informations inexactes, non mises à jour ainsi que des accusations graves.
**4. Alors que ses compétences sont évidentes et que c'est grâce à de telles compétences qu'elle a pu occuper différents postes, certaines publications référencées par Google se sont référées :**
PAGE 01-00002220406-0008-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 9
- à des liens politiques présumés de la concluante avec le PS (le Parti Socialiste belge), probablement parce qu'elle a travaillé au début de sa carrière avec l'ex-Ministre Laurette Onkelinx pour attribuer son ascension professionnelle à des soutiens politiques et non à ses mérites et compétences ;
- à une plainte pour harcèlement, alors que cette plainte a été déclarée non fondée en 2010 par l'organisme chargé de l'examen, ARISTA¹.
Douze contenus ont ainsi été recensés visant deux catégories distinctes de contenus :
- Les contenus 1 à 8 présentant la concluante « comme une personne étiquetée PS » (le Parti Socialiste belge), alors qu'il s'agit d'un traitement de catégories particulières de données personnelles dans le sens de l'article 9 du RGPD non couvert par les exceptions prévues dans le RGPD ;
- Les contenus 9 à 12 renvoyant à une procédure et infraction pénale, donnée également sensible, de surcroît ancienne, incomplète et non à jour, portant, par leur incomplétude, une accusation grave à l'encontre de la concluante (pièce B.03.ix à xii déposée par Google Belgium).
5. Le référencement de ces contenus lui portant préjudice tant sur le plan personnel que professionnel, la concluante en a souhaité le déréférencement.
A cette fin, elle a adopté certaines mesures conformes au RGPD et donc :
- exercé son droit à l'oubli, conformément à l'article 17 du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le « RGPD »);
- informé le moteur de recherche Google de sa demande de déréférencement.
Elle a par conséquent :
- dû remplir, le 31 mai 2019 deux formulaire ad hoc, disponibles depuis les règles de confidentialité de Google et les envoyer à l'adresse « legal-removals@system/gserviceaccount.com » ;
- demandé à ce que 12 hyperliens n'apparaissent plus comme résultat dans le moteur de recherche Google Search (pièces B.01 et B.02 déposée par Google Belgium).
La concluante reçut à chaque fois deux confirmations de réception de ses demandes provenant de https://www.google.com/webmasters/tools/legal-removal-submis... (pièces B.01 et B.02 déposée par Google Belgium).
6. Google a refusé de faire droit à ces deux demandes pour différents motifs :
- Par un premier courriel du 13 juin 2019 de 19 h 00 min 33 s heure d'été d'Europe centrale envoyé de l'adresse [email protected] et portant signature de « l'équipe Google » :
- les URL 1, 2, 3, 4, 5, 6 et 8 liés à l'étiquetage PS au motif, notamment mais sans autres détails, que le contenu était pertinent, ce qui en soit, ne voulait pas dire grand-chose ;
¹ SPMT-ARISTA est un service externe de prévention et de protection au travail qui depuis le 1er janvier 2020 est devenu cohezio (voir https://www.cohezio.be/fr,).
PAGE 01-00002220406-0009-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 10
- l'URL 7 lié à l'étiquetage PS au motif que ce résultat n'existait plus, ce qui s'est avéré exact au final ;
- l'URL 2 lié à l'étiquetage PS au motif que le contenu de l'article était verrouillé (pièce B.01 déposée par Google Belgium)
- Par un second courriel du 18 juin 2019 de 18 h 53 min 49 s heure d'été d'Europe centrale envoyé de l'adresse [email protected] et portant signature de « l'équipe Google » :
- les URL 9 à 12, liés à l'existence de plaintes qui se sont révélées non-fondées, au motif notamment, mais sans grands détails, que le rôle public de X s'y opposerait.
Ensuite, en contradiction avec la question de la facilitation des droits des personnes concernées requise par le RGPD et la jurisprudence de la CJUE, Google a invité la concluante à contacter individuellement chaque site web des éditeurs, se déchargeant ainsi de toute responsabilité (pièce B.02 déposée par Google Belgium).
7. Face à l'impossibilité d'identifier avec certitude le responsable de traitement, la concluante introduisit une procédure à l'encontre de Google Belgium devant l'APD, dans le respect de l'esprit et des principes, notamment de transparence, d'efficacité et de facilité du RGPD qui seront développés ci-dessous.
Notons, en effet, à ce stade que
- Le formulaire ne comportait pas de mention précise quant au responsable du traitement ;
- L'adresse d'expédition était on ne peut plus opaque « legalremovals@system/gserviceaccount.com » ;
- La réponse à l'envoi au formulaire était signée par l'équipe Google ;
- L'adresse de la réponse était [email protected];
- Les conditions de confidentialité précisaient, en 2019, que Google Ireland Limited était responsable de traitement, sauf indication contraire, mais le nom de Google LLC était mentionné dans le formulaire comme interface, sans autre précision (pièce n° 9) ;
- Les réponses de l'équipe Google encourageaient « à envoyer votre demande de suppression directement au webmaster qui contrôle le site en question. Cette personne est en mesure de supprimer le contenu concerné sur le Web ou de l'empêcher d'apparaître dans les moteurs de recherche », en contradiction avec la jurisprudence de la Cour Google Spain, C-131/12, et les « lignes directrice » du 26 novembre 2014.
Les données concernées sont des données sensibles ayant trait à une procédure et à une prétendue connivence politique.
8. Par une décision quant au fond 37/2020 du 14 juillet 2020 (ci-après « la Décision attaquée »), la Chambre contentieuse de l'APD a ordonné à Google Belgium SA de
- déréférencer les URLs 9 à 12 renvoyant vers des pages web mentionnant une plainte pour harcèlement au travail à l'encontre de la concluante ;
- d'adapter les formulaires électroniques et de communiquer « ...aux utilisateurs qui utilisent ses services de moteur de recherches sur internet depuis le territoire belge, aux fins de
PAGE 01-00002220406-0010-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 11---
déréférencement, en identifiant clairement et précisément quelle(s) entité(s) juridique(s) est(sont) responsable(s) du traitement et de quels traitements... » ;
-payer une amende de 500.000 EUR pour manquement aux articles 17.1 a) et 6.1 f) RGPD et de 100.000 EUR pour manquement aux articles 12.1 et 12.4 RGPD.
Elle classa sans suite la plainte en ce qui concerne le déréférencement des URLs 1 à 8 renvoyant vers des pages web mentionnant l'étiquetage politique de la concluante.
Google Belgium SA a prétendu s'être conformée aux mesures appropriées.
Le contenu litigieux est cependant toujours référencé par Google, pour les liens 9, 10, 11 et 12, comme en témoignent les captures d'écran réalisées au 20 décembre 2020 (pièces n° 7 et 8), et de façon générale par le référencement des pages identifiées dans la demande de la concluante, voir notamment
[...]
[...]
[...]
[...]
**9.** Google Belgium SA ainsi que la concluante reçurent la décision de l'APD, le 14 juillet par courriel ainsi que par un envoi postal recommandé le 16 juillet 2020.
Le 17 août 2020 et bien que le délai soit expiré, Google Belgium SA introduisit sa requête d'appel. »
# **5. La saisine de la Chambre Contentieuse de l'APD.**
La Décision Attaquée ne se limite pas à statuer sur une plainte bien précise.
Dans la Décision Attaquée, la Chambre Contentieuse fait valoir :
« 12. Par la présente décision, la Chambre Contentieuse se penche sur la question du déréférencement par un moteur de recherches sur Internet, de contenus suite à des recherches relatives à une personne physique. Cette question fait l'objet d'une jurisprudence de la Cour de Justice de l'Union européenne (ci-après CJUE) bien connue, notamment dans les arrêts Google Spain.
La Cour de Cassation belge s'est également prononcée sur le déréférencement et le droit à l'oubli.
13. Pour la Chambre Contentieuse, c'est l'occasion d'adopter une décision de principe et de trancher quelques aspects fondamentaux liés au déréférencement, sur la base de la
PAGE 01-00002220406-0011-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 12---
*jurisprudence de la CJUE en la matière, ou à propos d'autres points relatifs à la fixation de sa compétence à agir (notamment l'arrêt de la CJUE Wirtschaftsakademie). »*
Le réel objectif - tant de la Décision Attaquée, que du présent recours - est donc de tenter d'obtenir de la part de la Cour des marchés, une série de positions de principe quant au fonctionnement du moteur de recherche « Google ». Le fait que les parties ont déposé plus de 640 pages de conclusions (et des dossiers volumineux) en est la preuve.
La Cour des marchés n'a pas de juridiction pour réglementer le marché et s'immiscer dans les choix politiques ou d'opportunité de l'APD, sa juridiction est limitée à un examen ponctuel des griefs à l'encontre d'une décision bien concrète.
Dans le cadre de la séparation des pouvoirs, il appartient à l'APD, dans le cadre de sa mission, d'adopter les choix politiques qu'elle juge appropriés.
Si le pouvoir judiciaire devait interférer dans de tels choix politiques en les modifiant ou en les complétant, le pouvoir judiciaire empiéterait sa marge d'appréciation sur le pouvoir discrétionnaire de l'APD.
La juridiction de la Cour des marchés est limitée à un contrôle de régularité et de légalité. Les dispositions procédurales de la *lex specialis* et du droit commun applicable ont-elles été respectées, les règles de bonne administration *sensu lato* ont-elles été observées$^{2}$ ?
Le pouvoir de contrôle de la Cour des marchés en l'espèce ne s'étend pas au-delà du domaine de la légalité externe et interne des actes administratifs de la Chambre Contentieuse de l'APD.
Lorsqu'elle examine la légalité, la Cour des marchés ne peut se placer sur le plan de l'opportunité, car cela reviendrait à lui reconnaître une compétence incompatible avec les principes qui régissent les rapports entre l'administration et les juridictions et notamment le principe de la séparation des pouvoirs$^{3}$.
La Chambre Contentieuse considère qu'elle aurait comme pouvoir et compétence d'*adopter une décision de principe et de trancher quelques aspects fondamentaux liés au déréférencement*.
La Cour des marchés ne peut pas se rallier à cette interprétation. La seule mission légale de la Chambre Contentieuse est celle **de traiter la plainte concrète, conformément aux prescrits de la loi LCA**.
Il s'avère que la Chambre Contentieuse de l'APD entend outrepasser sa saisine légale, mais ce moyen n'est pas invoqué.
La Cour des marchés examinera dès lors la Décision Attaquée, dans le contexte bien précis et limité de la plainte, telle que soumise légalement à la Chambre Contentieuse et aux moyens développés dans le recours de GOOGLE BELGIUM.
$^{2}$ Comp. Cour des marchés 2020 AR 1238.
$^{3}$ comp. Cass. 20 septembre 1990, R.C.J.B., 1993, p. 618 et s., note J. VERHOEVEN.
PAGE 01-00002220406-0012-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 13---
# **6. GOOGLE LLC ou GOOGLE BELGIUM S.A. ? Le responsable du traitement est ce GOOGLE LLC et non pas GOOGLE BELGIUM S.A. (articles 58.2, 3.1 et 4.7 juncto 17.1 du RGPD et l'article 100, §1, 9°de la Loi LCA) ?**
# **6.1.**
GOOGLE BELGIUM fait valoir :
1. Le RGPD contient exclusivement des obligations et des sanctions pour le « responsable du traitement » ou le « sous-traitant ». Google LLC est seule responsable du traitement dans le cadre du référencement des résultats du Moteur de Recherche Google, ce que l'APD reconnaît.
L'APD viole les dispositions citées dans la mesure où, d'un côté, elle identifie expressément Google LLC (et non la concluante) comme le responsable du traitement qui aurait enfreint le RGPD, tout en imposant, de l'autre, la mise en conformité du traitement et les sanctions à la concluante (et non à Google LLC).
Par ailleurs, l'APD viole les dispositions visées en jugeant qu'une entité qui n'est pas le responsable du traitement mais « dont les activités sont indissociablement liées avec celles du responsable de traitement », peut être considérée comme si elle avait la capacité de responsable du traitement, c'est-à-dire comme un quasi-responsable de traitement.
L'application et l'interprétation correcte de la notion de responsable du traitement est d'une importance capitale pour l'application harmonisée du RGPD. Le non-respect de cette notion afin de faire rentrer sous sa compétence des établissements locaux est une décision de principe et porte atteinte aux principes territoriaux du RGPD.
# **1. Dispositions légales pertinentes**
2. Article 58.2 du RGPD : « Chaque autorité de contrôle dispose du pouvoir d'adopter toutes les mesures correctrices suivantes :
[...]
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé;
[...]
i) imposer une amende administrative en application de l'article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas. »
PAGE 01-00002220406-0013-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 14
Article 4.7 du RGPD :« responsable du traitement », la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre » (la concluante souligne).
Article 3.1 du RGPD :« Le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union ».
Article 17.1 du RGPD : La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, [...] » (la concluante souligne).
Article 100, §1, 8°, 9°, 13° Loi APD : « La chambre contentieuse a le pouvoir de : [...]
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
[...]
13° donner des amendes administratives ; ».
6.2.
L'APD réplique :
« 198. Un lien évident et avéré existe entre Google LLC et sa filiale en Belgique. Une lecture attentive des dispositions prétendument violées selon le sixième moyen de Google, à la lumière des concepts pertinents du RGPD, démontre l'absence d'une telle violation.
Dans la mesure où Google LLC dispose d'une filiale en Belgique et que le système du « guichet unique » ne joue pas en l'espèce, l'APD était indubitablement compétente pour agir à l'égard de Google, établissement en Belgique du responsable du traitement, en vertu des articles 3.1 juncto 55.1 et 56.2 RGPD.
L'interprétation de Google selon laquelle l'APD ne pourrait s'adresser qu'à Google LLC aux Etats-Unis en tant que responsable du traitement, enlèverait tout effet utile au RGPD. Elle permettrait de facto à l'établissement belge de Google LLC de continuer à commercialiser en toute impunité de l'espace publicitaire disponible sur un moteur de recherche violant le RGPD. L'APD n'aurait soi-disant pas le droit de lui imposer des mesures correctrices pour les traitements de données personnelles pertinents en l'espèce. L'APD serait ainsi totalement à la merci du bon vouloir de Google LLC, qui pourrait parfaitement choisir de ne pas mettre en œuvre ses décisions.
En l'occurrence, la question centrale n'est donc pas l'identification du responsable du traitement, mais bien les pouvoirs que peut ou non exercer l'APD.
PAGE 01-00002220406-0014-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 15---
La jurisprudence de la Cour de Justice, citée par Google afin de conforter sa thèse, ne soutient pas son interprétation et n’exclut aucunement la compétence de l’APD dans le cas d’espèce. L’APD pouvait donc légalement exercer ses pouvoirs de contrôle et imposer des mesures correctrices à l’égard de l’établissement belge Google. Le sixième moyen de Google doit donc être rejeté pour absence de fondement. ».
### 6.3.
GOOGLE BELGIUM fait notamment valoir les éléments de fait suivants :
« Dans la Décision Attaquée, l’APD reconnaît explicitement et à plusieurs reprises que la concluante n’est pas le responsable du traitement en cause mais que c’est Google LLC le responsable du traitement, vu que cette dernière détermine les finalités et moyens du traitement concerné :
**§32** : « L’objectif de cette section est d’établir si Google Belgium SA – le défendeur dans cette affaire – peut être considéré comme responsable du traitement relatif aux demandes de déréférencement du plaignant, c’est-à-dire l’entité qui détermine les finalités et les moyens, et/ou dont les activités sont indissociablement liées avec celles **du responsable de traitement, ici Google LLC.** » (la concluante souligne).
**§49** : « Bien qu’il est vrai que **Google Belgium SA ne détermine pas les finalités ou les moyens du traitement** au sens strict – ceux-ci sont déterminés par **Google LLC** - » (la concluante souligne).
**§65** : « Premièrement : le responsable du traitement est établi en dehors de l’Espace Economique Européen. [...] **le responsable du traitement étant in casu, Google LLC, [...]** » (la concluante souligne).
**§66** : « [...] ce raisonnement vaut a fortiori lorsque **le responsable du traitement est établi en dehors de l’Union européenne.** » (la concluante souligne).
**§67** : « Deuxièmement : le responsable du traitement ne doit pas désigner de représentant, puisqu’il est établi sur le territoire de l’Espace Économique Européen. Eu égard aux rôles joués par Google Belgium SA et **Google LLC, cette dernière étant un responsable du traitement soumis au RGPD** en application de son article 3, 1 » (la concluante souligne).
**§69** : « Si le législateur européen n’a pas jugé utile, en adoptant l’article 3, 1., du RGPD, **d’obliger un responsable du traitement dans une situation telle que celle de Google LLC** en cause dans l’arrêt Google Spain à désigner un représentant » (la concluante souligne).
**§182** : « [...] lors d’une demande de déréférencement [...] c’est Google LLC qui met la page web à disposition et qui dirige le processus de traitement de sa plainte ».
Également dans sa demande d’information dans le cadre de la procédure d’assistance mutuelle, l’APD indique « Google LLC » comme responsable du traitement (« controller ») sur le formulaire adressé aux autres autorités de contrôle (**pièce C.6.i**).
PAGE 01-00002220406-0015-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 16---
De plus, l'APD constate que c'est Google LLC (et non Google Belgium) qui aurait enfreint le RGPD :
**§161** : « En décidant de refuser de déréférencer les référencements nos 9 à 12 le 19 juin 2019, **alors que Google LLC aurait dû promptement procéder à leur déréférencement** car elle avait une connaissance effective de motifs sérieux de nature à justifier que celui-ci ne pouvait pas être maintenu en application de l'article 17, 3., a), du RGPD$^{91}$, étant entendu que **Google LLC aurait également pu procéder au déréférencement** de manière temporaire en vue de vérifier en fait et plus en détails auprès du plaignant et de son conseil les motifs sérieux allégués, **Google LLC a manqué aux obligations consacrées** dans l'article 17, 1., a), du RGPD. » (la concluante souligne).
Toutefois, l'APD a ordonné la mise en conformité du traitement et les sanctions non pas au responsable du traitement (Google LLC) mais à la concluante, au motif que ses activités « sont indissociablement liées avec celles du responsable de traitement ».
#### 6.4.
Dans la mesure où l'APD fait valoir qu'elle est compétente pour prendre des mesures et imposer des sanctions au responsable du traitement (GOOGLE LLC), cette argumentation n'est pas pertinente.
GOOGLE BELGIUM ne conteste pas **la compétence**, elle conteste le fait que la Chambre Contentieuse puisse la contraindre à des mesures et qu'elle puisse se voir infliger une amende pour des infractions qui ne sont certes pas commises par GOOGLE BELGIUM mais qui sont – même dans la thèse de l'APD – commises par GOOGLE LLC.
Dans son arrêt du 15 juin 2021 (C-645/19) (répondant à des questions préjudicielles posées par la Cour d'appel de Bruxelles) (au sujet duquel les parties concernées se sont exprimées à l'audience du 16 juin 2021, sans demander de pouvoir conclure additionnellement), la Cour de Justice répond comme suit :
« 3) L'article 58, paragraphe 5, du règlement 2016/679 doit être interprété en ce sens que le pouvoir d'une autorité de contrôle d'un État membre, autre que l'autorité de contrôle chef de file, de porter toute prétendue violation de ce règlement à l'attention d'une juridiction de cet État et, le cas échéant, d'ester en justice, au sens de cette disposition, peut être exercé tant à l'égard de l'établissement principal du responsable du traitement qui se trouve dans l'État membre dont relève cette autorité qu'à l'égard d'un autre établissement de ce responsable, pour autant que l'action en justice vise un traitement de données effectué dans le cadre des activités de cet établissement et que ladite autorité soit compétente pour exercer ce pouvoir, conformément à ce qui est exposé en réponse à la première question préjudicielle posée.
4) L'article 58, paragraphe 5, du règlement 2016/679 doit être interprété en ce sens que, lorsqu'une autorité de contrôle d'un État membre qui n'est pas l'« autorité de contrôle chef de file », au sens de l'article 56, paragraphe 1, de ce règlement, a intenté avant le 25 mai 2018 une action en justice visant un traitement transfrontalier de données à caractère personnel, à savoir avant la date à laquelle ledit règlement est devenu applicable, cette action peut, du point de vue du droit de l'Union, être maintenue sur le fondement des dispositions de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre
PAGE 01-00002220406-0016-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 17---
1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, laquelle demeure applicable en ce qui concerne les infractions aux règles qu'elle prévoit commises jusqu'à la date à laquelle cette directive a été abrogée. Ladite action peut, en outre, être intentée par cette autorité pour des infractions commises après cette date, sur le fondement de l'article 58, paragraphe 5, du règlement 2016/679, pour autant que ce soit dans l'une des situations où, à titre d'exception, ce règlement confère à une autorité de contrôle d'un État membre qui n'est pas l'« autorité de contrôle chef de file » une compétence pour adopter une décision constatant que le traitement de données concerné méconnaît les règles que contient ledit règlement s'agissant de la protection des droits des personnes physiques à l'égard du traitement de données à caractère personnel et dans le respect des procédures de coopération et de contrôle de la cohérence prévues par le même règlement, ce qu'il appartient à la juridiction de renvoi de vérifier. »
La Chambre Contentieuse de l'APD est donc compétente « pour autant que l'action en justice vise un traitement de données effectué dans le cadre des activités de cet établissement et que ladite autorité soit compétente pour exercer ce pouvoir ».
L'arrêt cité énumère deux exceptions au principe du guichet unique :
« 58. Parmi ces exceptions figure, en premier lieu, l'article 56, paragraphe 2, du règlement 2016/679, qui prévoit qu'une autorité de contrôle qui n'est pas l'autorité de contrôle chef de file est compétente pour traiter une réclamation introduite auprès d'elle et qui concerne un traitement transfrontalier de données à caractère personnel ou une infraction éventuelle à ce règlement, si son objet concerne uniquement un établissement dans l'État membre dont elle relève ou affecte sensiblement des personnes concernées dans cet État membre uniquement.
59. En second lieu, l'article 66 du règlement 2016/679 prévoit, par dérogation aux mécanismes de contrôle de la cohérence visés aux articles 60 et 63 à 65 de ce règlement, une procédure d'urgence. Cette procédure d'urgence permet, dans des circonstances exceptionnelles, lorsque l'autorité de contrôle concernée considère qu'il est urgent d'intervenir pour protéger les droits et les libertés des personnes concernées, d'adopter immédiatement des mesures provisoires visant à produire des effets juridiques sur son propre territoire et ayant une durée de validité déterminée qui n'excède pas trois mois, l'article 66, paragraphe 2, du règlement 2016/679 prévoyant de surcroît que, lorsqu'une autorité de contrôle a pris une mesure en vertu du paragraphe 1 et estime que des mesures définitives doivent être adoptées d'urgence, elle peut demander un avis d'urgence ou une décision contraignante d'urgence au comité européen de la protection des données, en motivant sa demande d'avis ou de décision. »
Ces exceptions ne s'appliquent pas en l'espèce, l'APD reconnaît (voir les extraits de la Décision Attaquée cités ci-avant) que c'est bien GOOGLE LLC qui est le responsable du traitement et qu'il ne s'agit en l'espèce pas d'un traitement de données effectué dans le cadre des activités de l'établissement GOOGLE BELGIUM.
La circonstance que l'APD était valablement saisie d'une plainte à l'encontre de GOOGLE BELGIUM ne change rien au fait qu'en l'espèce le responsable du traitement est GOOGLE LLC et qu'il y a lieu d'examiner dans quelle mesure des sanctions peuvent être infligées à une
PAGE 01-00002220406-0017-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 18
filiale pour des manquements commis par la société mère qui elle est en l'espèce le responsable du traitement des données.
6.5.
L'APD fait valoir :
1. « Si Votre Cour devait considérer, per impossibile, que l'APD n'avait pas le pouvoir de prendre des mesures envers l'établissement de Google LLC en Belgique malgré le lien indissociable entre les activités de cet établissement et celles de Google LLC en tant que responsable du traitement, cela reviendrait à conclure que l'APD ne peut imposer le déréférencement qu'à Google LLC, alors qu'elle ne peut exercer aucun pouvoir coercitif sur cette dernière si elle ne respecte pas la décision de l'APD. L'APD se trouverait en d'autres termes soumise au bon vouloir de Google LLC.
2. Une telle interprétation serait totalement contraire au principe d'effet utile du RGPD. Celui-ci veut que le RGPD soit interprété de façon suffisamment large pour donner son plein effet aux règles de protection des données personnelles dans l'Union. L'objectif est d'éviter des situations qui pourraient permettre un contournement des règles applicables⁴.
Ce principe d'effet utile a été reconfirmé récemment par le CEPD⁵ et découle du principe de coopération loyale (article 4.3 Traité sur l'Union européenne).
⁴ Le principe d'effet utile est reconnu dans la jurisprudence de la Cour de Justice, notamment dans les arrêts Simmenthal et Factorame. Il implique une obligation pour tout organe d'un Etat membre de collaborer, en ce compris les cours et tribunaux (K. Lenaerts et P. Van Nuffel, Europees recht, Anvers, Intersentia, 2017, p. 519). Il a été appliqué par la Cour de Justice dans le contexte de la protection des données personnelles, entre autres dans l'arrêt Google Spain (voy. point 53 : « En outre, au vu de l'objectif de la directive 95/46 d'assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l'égard du traitement des données à caractère personnel, cette dernière expression ne saurait recevoir une interprétation restrictive »).
⁵ « Lignes directrices 07/2020 concernant les concepts de responsable du traitement et de sous-traitant dans le RGPD », op. cit., p. 9 : « as the underlying objective of attributing the role of controller is to ensure accountability and the effective and comprehensive protection of the personal data, the concept of 'controller' should be interpreted in a sufficiently broad way so as to ensure full effect of EU data protection law, to avoid lacunae and to prevent possible circumvention of the rules » (traduction libre: « étant donné que l'objectif sous-jacent d'attribution du rôle de responsable du traitement est de garantir la responsabilité et la protection efficace et complète des données à caractère personnel, le concept de 'responsable du traitement' devrait être interprété d'une manière suffisamment large pour garantir le plein effet de la législation de l'UE en matière de protection des données, afin d'éviter des lacunes et pour éviter un éventuel contournement des règles »). La Cour souligne que le CEPD (Comité Européen de la Protection des Données (EPDB) est un organe composé des représentants des
PAGE 01-00002220406-0018-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 19
A ce sujet, il est piquant de noter que Google, dans ses conclusions additionnelles et de synthèse, a supprimé fort opportunément un passage qu'elle avait pourtant souligné dans ses conclusions principales et de synthèse, lequel soulignait la nécessité de donner un plein effet à la législation applicable (à l'époque, la Directive 95/46) afin d'assurer une protection efficace et complète des personnes concernées⁶.
3. L'interprétation de Google serait également irréconciliable avec la jurisprudence de la Cour de Justice dans l'arrêt Google / CNIL (voy. ci-dessous, et s.). En effet, la Cour de Justice a considéré dans ce cadre que :
« la circonstance que ce moteur de recherche soit exploité par une entreprise d'un État tiers ne saurait avoir pour conséquence que le traitement de données à caractère personnel effectué pour les besoins du fonctionnement dudit moteur de recherche dans le cadre de l'activité publicitaire et commerciale d'un établissement du responsable de ce traitement sur le territoire d'un État membre soit soustrait aux obligations et aux garanties prévues par la directive 95/46 et par le [RGPD]. »⁷
Alors que, dans sa Requête, Google n'était pas explicite sur les conséquences de sa position quant au pouvoir de l'APD, Google ne se cache plus et affirme dans ses conclusions additionnelles et de synthèse que l'APD violerait le GDPR :
« afin de faire rentrer sous sa compétence des établissements locaux » (conclusions additionnelles et de synthèse de Google, § 130).
Google sous-entend donc bien l'absence de compétence de l'APD par rapport à son établissement local en Belgique. On comprend aisément pourquoi. Cette position mettrait Google dans une position de force. Pourtant, la suivre sur ce point reviendrait à limiter de manière illégale les pouvoirs de l'APD à faire respecter le GDPR en Belgique, comme exposé ci-après, et créerait de plus un dangereux précédent.
Les pouvoirs des autorités de contrôle (article 58.2 RGPD)
4. Dans le cadre de ce moyen, Google prétend que l'article 58.2 RGPD relatif aux pouvoirs des autorités de contrôle aurait été violé par l'APD.
autorités nationales chargées de la protection des données et du Contrôleur européen de la protection des données CEPD). Il ne s'agit donc ni d'une juridiction, ni d'une autorité indépendante.
⁶ Le texte supprimé est le suivant (voir conclusions principales et de synthèse de Google, § 196): « pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu'une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée » (arrêt du 13 mai 2014, Google Spain et Google, C-131/12, EU:C:2014:317, point 38).
⁷ CJUE, 24 septembre 2019, C-507-17, Google LLC contre Commission nationale de l'informatique et des libertés (CNIL), point 58.
PAGE 01-00002220406-0019-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 20---
Google voit dans cet article la preuve que l'APD pourrait uniquement imposer des mesures correctives et des sanctions au responsable du traitement, en l'absence de référence à la notion d'établissement dans cette disposition.
Cette position est cependant dénuée de sens. Le RGPD ne peut en effet pas avoir eu pour objectif de faire entrer un établissement du responsable du traitement dans le champ d'application du RGPD par le biais de l'article 3.1 RGPD pour ensuite le soustraire au pouvoir de l'autorité de contrôle territorialement compétente au motif qu'il ne s'agit pas du responsable du traitement.
De plus, l'article 58.2.i) RGPD cité par Google, qui concerne le pouvoir d'imposer une amende administrative, ne fait pas référence au responsable du traitement. Même si la position de Google était correcte, quod certe non, cela n'empêcherait pas l'imposition par l'APD d'une amende administrative à l'établissement du responsable du traitement.
5. La seule interprétation possible de l'article 58 RGPD est que, si un responsable du traitement entre dans le champ d'application du RGPD au travers de l'un de ses établissements, il sera de ce fait soumis au pouvoir de contrôle de l'autorité. Il importe peu à cet égard que ce pouvoir soit exercé à l'égard de l'établissement du responsable du traitement ou du responsable du traitement directement.
Si le législateur en avait jugé autrement, il aurait institué une forme de représentation, comme c'est le cas pour les responsables du traitement sans établissement dans l'Union, ce qu'il n'a pas fait. »
#### 6.6.
La Décision Attaquée viole les dispositions des articles 58.2, 3.1 et 4.7 *juncto* 17.1 du RGPD, l'article 100, §1, 9° de la LCA et les principes de la motivation et de bonne administration en imposant à GOOGLE BELGIUM la mise en conformité du traitement et les sanctions, alors que l'APD reconnaît que c'est une autre entité juridique, à savoir GOOGLE LLC, qui est le responsable du traitement.
#### 6.6.1.
Le RGPD contient des obligations pour le « responsable du traitement » et le « sous-traitant ».
Le responsable du traitement (article 4.7 RGPD) est « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les
PAGE 01-00002220406-0020-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 21
moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre ».
Le pouvoir d'imposer des mesures et/ou de prendre des sanctions en vertu de l'article 58.2.d) et i) du RGPD est limité *ratione personae*. Une autorité de contrôle ne peut exercer son pouvoir qu'à l'égard du responsable du traitement ou du sous-traitant.
Les parties s'accordent pour dire que la notion de « *responsable du traitement* » est une notion clé sous le RGPD.
L'article 17. 1 RGPD stipule que « *la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : [...]* » (la Cour souligne).
C'est cette entité qui porte la responsabilité du respect des obligations du RGPD.
#### 6.6.2.
La pièce 71 du dossier administratif « *71 – 20/07/2020 – Google LLC - Mail : Google donne son accord pour déréférencer* » émane de GOOGLE LLC, et non pas de GOOGLE BELGIUM. En l'espèce, suite à la demande de déréférencement de X, la Chambre Contentieuse identifie d'une part expressément GOOGLE LLC comme le responsable du traitement qui aurait enfreint le RGPD$^{8}$, mais elle ordonne d'autre part la mise en conformité du traitement et impose les amendes à GOOGLE BELGIUM (et non à GOOGLE LLC).
Dans la mesure où la Chambre Contentieuse a établi qu'en l'espèce GOOGLE BELGIUM n'est pas le responsable du traitement mais que GOOGLE LLC, est le responsable du traitement et est le seul responsable de la prétendue violation du RGPD (en ce qui concerne la plainte de X), l'APD ne peut pas imposer à GOOGLE BELGIUM un ordre de mise en conformité ou une sanction pour des manquements liés à ce traitement sans violer la définition de responsable du traitement (article 4.7 du RGPD), le champ d'application du RGPD (article 3.1 du RGPD), le droit à l'effacement (l'article 17 du RGPD) et ses pouvoirs (article 58.2 du RGPD *juncto* article 100 §1, 8°, 13 de la Loi LCA).
Le responsable du traitement litigieux, GOOGLE LLC, est en contact avec l'APD et a déjà fait l'objet de décisions par d'autres autorités nationales.
En soutenant que l'APD a le pouvoir de prendre des mesures à l'égard d'une entité « *dont les activités sont indissociablement liées avec celles du responsable de traitement* »$^{9}$ et qu'elle
$^{8}$ Décision Attaquée, §161 ("Google LLC a manqué aux obligations consacrées dans ..."), §178 ("Google LLC se trouve en effet en défaut d'identifier clairement...").
$^{9}$ *Ibid.*, §32.
PAGE 01-00002220406-0021-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 22---
est donc de ce fait fondée à traiter cette entité « *de la même manière qu'un responsable du traitement* »$^{10}$ considérant qu'une entité qui n'est pas le responsable du traitement peut être traitée *comme si* elle avait la capacité de responsable du traitement, en d'autres mots comme un quasi-responsable du traitement, la Chambre Contentieuse enfreint les principes de la motivation.
Le responsable du traitement est la personne qui détermine les finalités et les moyens du traitement (art. 4.7 du RGPD).
En l'espèce GOOGLE LLC est seule responsable du traitement pour le déréférencement des résultats de recherche du moteur de recherche Google, à l'exclusion de GOOGLE BELGIUM qui n'est qu'une filiale ou un établissement en Belgique de la société GOOGLE LLC.
L'APD ne démontre en effet nullement que le référencement en question aurait été effectué par GOOGLE BELGIUM « dans le cadre de ses activités ».
Où GOOGLE BELGIUM fait valoir :
« **Google LLC est l'exploitant du moteur de recherche 'Google Search' et c'est elle seule qui détermine les finalités et les moyens du traitement** des données à caractère personnel sur son moteur de recherche.
*Google Belgium SA, qui est une filiale de Google LCC, ne fournit, en effet, que des services de conseil et de marketing d'autres entités du groupe Google. Il n'est aucunement démontré qu'elle réalise en Belgique une activité directement liée à l'indexation ou au stockage d'informations ou de données à caractère personnel. [...]*
**Google Ireland Ltd et Google Belgium SA sont en réalité des établissements de Google LLC** au sein de l'Union européenne et leur présence permet de conclure que Google LLC est elle-même établie dans l'Union européenne au sens de l'article 3.1 RGPD.
Ces deux entités ne disposent cependant **d'aucun pouvoir quant à la détermination des moyens et finalités du traitement** de données à caractère personnel explorées, indexées et présentées par Google LLC et ne sont pas associées conjointement avec Google LLC à cette fin.
Elles n'ont donc **pas la qualité de responsable du traitement**. Elles ne sont **pas non plus** les sous-traitants ou les **représentants** du responsable du traitement au sens de l'art 27 RGPD.
**Google LLC étant le seul responsable du traitement** des données à caractère personnel sur son moteur de recherche 'Google Search', l'action de M. X en ce qu'elle est dirigée contre Google Ireland Ltd et Google Belgium SA doit être déclarée non fondée »(la concluante souligne),
l'APD ne contredit pas ces éléments factuels.
$^{10}$ *Ibid.*, §§51-52.
PAGE 01-00002220406-0022-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 23---
### 6.6.3.
L'APD ne justifie pas pourquoi imposer en l'espèce des obligations ou sanctions à un « établissement dont les activités seraient indissociablement liées avec celles du responsable de traitement ».
Dans la mesure où l'APD prétend qu'il serait nécessaire de suivre son interprétation en vue de donner un « effet utile » à l'article 3 RGPD car :
« [...] l'APD ne peut imposer le déréférencement qu'à Google LLC, alors qu'elle ne peut exercer aucun pouvoir coercitif sur cette dernière si elle ne respecte pas la décision de l'APD. L'APD se trouverait en d'autres termes soumis au bon vouloir de Google LLC. [...] Une telle interprétation serait totalement contraire au principe d'effet utile du RGPD. [...] L'interprétation de Google serait également irréconciliable avec la jurisprudence de la Cour de Justice dans l'arrêt Google / CNIL [...] »$^{11}$, cet argument de l'APD n'est pas fondé.
Un problème factuel éventuel d'exécution des décisions – à supposer qu'il serait établi *quod non* - n'est pas de nature à permettre d'imposer des sanctions à une simple filiale du responsable du traitement dont la Chambre Contentieuse reconnaît qu'en l'espèce, cette filiale n'est pas le responsable du traitement.
Il serait illégal que pour pouvoir sanctionner un comportement, une autorité administrative puisse outrepasser la loi, sous prétexte que sa décision pourrait rencontrer des difficultés d'exécution.
Dans l'arrêt GOOGLE/CNIL (du 24 septembre 2019, C-507/17) la Cour de Justice a notamment considéré :
« 46. Dans le cadre du règlement 2016/679, ce droit au déréférencement de la personne concernée trouve désormais son fondement à l'article 17 de celui-ci, qui régit spécifiquement le « droit à l'effacement », également dénommé, dans l'intitulé de cet article, « droit à l'oubli ».
47. En application de l'article 17, paragraphe 1, du règlement 2016/679, la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données dans les meilleurs délais, lorsque l'un des motifs énumérés par cette disposition s'applique. L'article 17, paragraphe 3, de ce règlement précise que ledit article 17, paragraphe 1, ne s'applique pas dans la mesure où le traitement en cause est nécessaire pour l'un des motifs énumérés à cette première disposition. Ces motifs couvrent
$^{11}$ Conclusions de synthèse APD du 18 décembre 2020, §§259-260.
PAGE 01-00002220406-0023-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 24---
notamment, en vertu de l'article 17, paragraphe 3, sous a), dudit règlement, l'exercice du droit relatif, notamment, à la liberté d'information des internautes.
48. Il résulte de l'article 4, paragraphe 1, sous a), de la directive 95/46 et de l'article 3, paragraphe 1, du règlement 2016/679 que tant cette directive que ce règlement permettent aux personnes concernées de faire valoir leur droit au déréférencement à l'encontre de l'exploitant d'un moteur de recherche qui dispose d'un ou de plusieurs établissements sur le territoire de l'Union, dans le cadre des activités desquels il effectue un traitement de données à caractère personnel concernant ces personnes, et ce indépendamment du point de savoir si ce traitement a lieu ou non dans l'Union.
49. À cet égard, la Cour a jugé qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement sur le territoire d'un État membre lorsque l'exploitant d'un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet État membre (arrêt du 13 mai 2014, Google Spain et Google, C 131/12, EU:C:2014:317, point 60).
50. En effet, dans de telles circonstances, les activités de l'exploitant du moteur de recherche et celles de son établissement situé dans l'Union sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l'accomplissement de ces activités, l'affichage de la liste des résultats étant accompagné, sur la même page, de celui de publicités liées aux termes de recherche (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C 131/12, EU:C:2014:317, points 56 et 57).
51. Dans ces conditions, la circonstance que ce moteur de recherche soit exploité par une entreprise d'un État tiers ne saurait avoir pour conséquence que le traitement de données à caractère personnel effectué pour les besoins du fonctionnement dudit moteur de recherche dans le cadre de l'activité publicitaire et commerciale d'un établissement du responsable de ce traitement sur le territoire d'un État membre soit soustrait aux obligations et aux garanties prévues par la directive 95/46 et par le règlement 2016/679 (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C 131/12, EU:C:2014:317, point 58).
52. En l'occurrence, il ressort des indications fournies par la décision de renvoi, d'une part, que l'établissement dont dispose Google sur le territoire français exerce des activités, notamment commerciales et publicitaires, qui sont indissociablement liées au traitement de données à caractère personnel effectué pour les besoins du fonctionnement du moteur de recherche concerné et, d'autre part, que ce moteur de recherche doit, compte tenu, notamment, de l'existence de passerelles entre ses différentes versions nationales, être regardé comme effectuant un traitement de données à caractère personnel unique. La juridiction de renvoi considère que, dans ces conditions, ledit traitement est effectué dans le
PAGE 01-00002220406-0024-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 25---
cadre de l'établissement de Google situé sur le territoire français. Il apparaît ainsi qu'une telle situation relève du champ d'application territorial de la directive 95/46 et du règlement 2016/679. »
En l'espèce, la Décision Attaquée ne démontre pas qu' «il ressort des indications fournies par la décision de renvoi, d'une part, que l'établissement dont dispose Google sur le territoire [belge] exerce des activités, notamment commerciales et publicitaires, qui sont indissociablement liées au traitement de données à caractère personnel effectué pour les besoins du fonctionnement du moteur de recherche concerné et, d'autre part, que ce moteur de recherche doit, compte tenu, notamment, de l'existence de passerelles entre ses différentes versions nationales, être regardé comme effectuant un traitement de données à caractère personnel unique ».
L'APD fait valoir :
« 42. La Chambre Contentieuse souligne que cette position implique que Google Belgium SA semble admettre que le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement dans l'Union européenne, c'est-à-dire Google Belgium SA. Une autre lecture de cette position aurait – comme statué dans l'arrêt Google/CNIL - « pour conséquence que le traitement de données à caractère personnel [...] soit soustrait aux obligations et aux garanties prévues [par la directive 95/46 et] par le RGPD ». En d'autres termes, une telle lecture mettrait en péril l'effet utile de l'application du RGPD. »
Cette argumentation ne démontre pas le lien indissociable entre GOOGLE LLC et GOOGLE BELGIUM quant au traitement des données de X.
L'APD donne les arguments suivants :
« 44. Dans ses conclusions en réponse, le plaignant soutient notamment que Google Belgium SA est une filiale de Google LLC. essentiellement active dans le marketing digital, dont le siège social se situe à Bruxelles et son activité vise les habitants de la Belgique, et que les activités de Google Belgium SA et de Google LLC sont indissociables au sens de l'arrêt Google Spain évoqué précédemment.
45. Google Belgium SA ne le conteste pas. Il n'est pas non plus contesté que Google Belgium SA exerce réellement et effectivement des activités en Belgique.
46. Lors de l'audience, Google Belgium SA a été interrogée sur les différents rôles des établissements de Google. Elle a confirmé ne jouer aucun rôle à l'égard des données traitées dans le cadre des trois phases du fonctionnement du moteur de recherches Google, à savoir sa phase d'exploration, sa phase d'indexation et sa phase de sélection des résultats en fonction de la requête introduite par l'utilisateur. Google LLC serait seule responsable du traitement dans ce contexte. En substance lors de l'audience, Google Belgium SA a expliqué qu'elle était une filiale de Google établie en Belgique de nature à entraîner l'application des
PAGE 01-00002220406-0025-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 26---
droits européen et belge. Google Belgium SA considère que Google LLC est donc soumise au RGPD en application de son article 3,1., et en conséquence, ne doit pas désigner un représentant conformément aux articles 3, 2., et 27 du RGPD.
47. Google Belgium SA a expliqué qu'elle se bornait à offrir des services de consultance liés à la commercialisation des services d'autres entités de Google sur le marché belge. Les demandes de déréférencements sont, elles, directement et exclusivement traitées par Google LLC à partir des formulaires en ligne introduits par les personnes concernées sans aucune implication de Google Belgium SA. Cette dernière explique que lorsqu'elle est sollicitée par des personnes concernées demandant un déréférencement, elle les renvoie systématiquement vers les formulaires en ligne qui sont envoyés (et adressés) à Google LLC. Sur la base du pays et de la langue choisis par la personne concernée dans le formulaire, les agents du service de première ligne de Google LLC sont sélectionnés pour répondre au cas en question. Dans les cas où les contenus concernés nécessitent une évaluation plus approfondie, un processus d'« escalation » (escalade) est suivi et, en l'occurrence, c'est une personne belge établie aux Etats-Unis (qui n'est pas employée de Google Belgium SA) et travaillant pour Google LLC qui a été consultée. Les analyses effectuées par cet employé de Google le sont sur la base d'informations issues de sources publiques et sa bonne connaissance des particularités propres au pays concerné dont il possède la nationalité.
48. La Chambre Contentieuse conclut que sur la base des éléments précédents, qu'en appliquant en l'espèce l'arrêt Google Spain, le RGPD est bien applicable à Google LLC en application de l'article 3, 1., du RGPD et que la filiale Google Belgium SA constitue bien un établissement de nature à entraîner l'application du RGPD au titre de l'article 3, 1., du RGPD. La Chambre Contentieuse invoque dans ce Décision quant au fond 37/2020 - 13/49 contexte l'arrêt Google/CNIL 26 dans lequel la Cour souligne qu'il importe peu que ce traitement ait lieu ou non dans l'Union.
49. Bien qu'il est vrai que Google Belgium SA ne détermine pas les finalités ou les moyens du traitement au sens strict – ceux-ci sont déterminés par Google LLC –, Google Belgium SA est une filiale de Google LLC et il s'ensuit de la position de Google Belgium SA que les activités de cette filiale déclenchent l'application de l'article 3.1 du RGPD. En d'autres termes, le traitement en cause est effectué dans le cadre des activités de l'établissement de Google en Belgique. Une autre interprétation impliquerait l'application de l'article 3.2 du RGPD, ainsi que l'obligation de Google de désigner un représentant dans l'Union européenne en vertu de l'article 27 du RGPD. Ceci n'est pas prévu par Google et n'est pas non plus nécessaire au vu du rôle de Google Belgium SA.
50. La Chambre contentieuse souligne que cette interprétation est corroborée par l'arrêt Google Spain, bien que le cas de figure ne soit pas identique. Dans cet arrêt, la Cour a jugé – sous le régime de la directive 95/46 – « qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement
PAGE 01-00002220406-0026-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 27---
sur le territoire d'un État membre, au sens de cette disposition, lorsque l'exploitant d'un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet État membre. »
51. De plus, ses activités étant indissociablement liées à celles de Google LLC., cette filiale en Belgique, eu égard au rôle qu'elle joue et décrit, peut être traitée de la même manière qu'un responsable des traitements de données réalisés dans le cadre du fonctionnement du moteur de recherches Google et de la gestion des demandes de déréférencements en Belgique.
52. En bref, la Chambre contentieuse considère que Google Belgium SA devrait être traitée de la même manière qu'un responsable du traitement sur la base des éléments du dossiers et de la jurisprudence Google Spain de la Cour de justice de l'Union européenne.
53. En tout état de cause, quand bien même Google Belgium SA ne pourrait être considérée comme responsable du traitement, la Chambre Contentieuse demeurerait compétente à l'égard de Google Belgium SA en raison de la présence de cette entité sur le territoire belge, comme les éléments suivants le démontrent. »
En d'autres termes, la Chambre Contentieuse prétend, mais ne démontre pas qu'il y a en l'espèce un lien indissociable entre GOOGLE LLC et GOOGLE BELGIUM quant au traitement des données de X devant mener au déréférencement.
Les références à des décisions jurisprudentielles de la Cour de Justice (que la Cour des marchés ne met pas en cause), justifient la théorie, mais ne justifient pas son application en l'espèce.
#### 6.6.4.
Dans la mesure où la Chambre Contentieuse de l'APD a le pouvoir – en vertu de l'article 58.2.i du RGPD « d'adopter toutes les mesures correctrices, notamment d'imposer une amende administrative en application de l'article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas », cela n'implique pas qu'elle ait le pouvoir d'imposer une amende administrative à une entité autre que le responsable du traitement ou le sous-traitant$^{12}$ – sans examen et motivation des circonstances de fait qui démontrent au cas par cas des activités indissociablement liées au traitement de données à caractère personnel effectué pour les besoins du fonctionnement du moteur de recherche concerné -. En l'absence de pareille motivation, **la Décision Attaquée manque aux principes de la motivation adéquate** telle que régie par la loi belge (loi 29 juillet 1991).
#### 6.7.
##### 6.7.1.
$^{12}$ Conclusions de synthèse APD du 18 décembre 2020, §261.
PAGE 01-00002220406-0027-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 28
La Cour des marchés limite son examen à la question de savoir si la Décision Attaquée n'enfreint pas la loi *sensu lato*, que les faits ont été présentés correctement et s'il n'y a pas eu d'erreur manifeste d'appréciation en la matière, que la qualification juridique des faits est exacte, c'est-à-dire que l'interprétation que la Chambre Contentieuse de l'APD donne aux textes légaux *sensu lato*, aux éléments factuels du dossier et aux documents du dossier peut en effet être tirée de ces éléments et/ou documents$^{13}$.
La Cour des marchés contrôle la régularité des preuves et des faits à prouver, elle vérifie si les preuves à fournir sont appropriées, concluantes et recevables$^{14}$.
La Cour des marchés se réfère à la jurisprudence de la Cour de cassation$^{15}$ qui énonce, entre autres (la Cour adopte ce motif, étant entendu que ce qui est décidé par rapport à la décision de justice attaquée à cet égard s'applique à la décision de l'APD) :
« Il appartient à la Cour de vérifier la légalité de la déduction que la décision attaquée tire en droit des faits qu'elle constate. »
et$^{16}$ :
“Si le juge constate souverainement les faits d'où il déduit l'existence ou l'inexistence d'un lien de causalité entre la faute et le dommage, la Cour contrôle cependant si, de ses constatations, le juge a pu légalement déduire cette décision. ».
La Cour apprécie si les preuves fournies constituent un cadre factuel pertinent aux fins d'apprécier l'infraction et peuvent servir de base aux conclusions qui en sont tirées$^{17}$.
6.7.2.
L'exigence de motivation de l'acte administratif litigieux exige (voir article 3 de la loi du 29 juillet 1991 sur la motivation explicite des actes administratifs) que la motivation, telle qu'elle figure dans l'acte, énonce les considérations juridiques et factuelles sur lesquelles la décision est fondée et il faut que cette justification soit suffisante pour porter la décision. La motivation doit être satisfaisante.
L'obligation de motivation exige qu'il ne suffit pas de *donner une motivation* mais que les motifs doivent également être reflétés dans la décision elle-même.
Les administrés doivent être en mesure de prendre connaissance de la décision et des motifs sur lesquels elle se fonde.
Plus le pouvoir discrétionnaire de l'autorité administrative est large, plus le raisonnement doit être détaillé. Une autorité qui dispose d'un large pouvoir discrétionnaire doit énoncer les faits qui donnent lieu à la décision prise$^{18}$.
Le terme « satisfaisant » signifie que la décision doit être suffisamment étayée par le raisonnement, ce qui implique que le raisonnement doit être fondé sur des faits réels, qu'un
$^{13}$ Comp. Cour des marchés 12 juin 2019, 2019/AR/113.
$^{14}$ Comp. J. Laenens, K. Broeckx en D. Scheers, Handboek Gerechtelijk Recht (Intersentia Antwerpen-Oxford, 2004, n° 1089, page 502 et les références.
$^{15}$ Cass. 23 septembre 2010, *Arr.Cass.* 2010, 2281; http://www.cass.be op datum, arrest nummer C.09.0496.F; *JLMB* 2011, 245; *RW* 2012-13, 984.
$^{16}$ Cass. 18 juin 2010, *Arr.Cass.* 2010, 1854; http://www.cass.be à sa date, arrêt n° C.08.0211.F. aussi: Cass. 28 février 2007, *Arr.Cass.* 2007, 481; http://www.cass.be à sa date, arrêt n° P.06.1038.F; *JT* 2007, 501, note RANERI, G. Aussi : Cass. 28 mai 2013 (*Arr.Cass.* 2013, 1311, concl. DUINSLAEGER; http://www.cass.be à sa date, arrêt n° P.13.0066.N, concl. DUINSLAEGER, P.; *RW* 2013-14, 1616, note DE SMET, B.) .
$^{17}$ Cour des marchés, 2020 AR 1333.
$^{18}$ Cass. 15 février 1999, http://www.cass.be à sa date, arrêt n° S.98.0007.F; *A.J.T.* 2000-01, 103, noot PUT, J.; *Arr.Cass.* 1999, 199.
PAGE 01-00002220406-0028-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 29
rapport raisonnable peut être déduit du raisonnement entre la décision envisagée et le but recherché et que, selon le cas, ce raisonnement montre que les options politiques prises ont été pesées¹⁹.
L'expression « satisfaisante » signifie que la décision est étayée par la motivation²⁰.
6.7.3.
L'objet de l'obligation de motivation est de donner un aperçu des motifs de cette décision qui est tel que la personne à l'égard de laquelle la décision a été prise est en mesure d'apprécier correctement s'il est judicieux de se défendre contre cette décision avec les moyens dont elle dispose par la loi. Quiconque connaît les motifs d'une décision qui doit être formellement motivée, même si cette décision n'est pas formellement motivée, ne peut utilement invoquer la violation de l'obligation de motivation car, dans un tel cas, le but de l'obligation formelle de motivation est atteint, à savoir lui faire prendre conscience des motifs de la décision²¹.
Pour atteindre l'objectif de l'obligation de motivation, la décision doit énoncer clairement et concrètement les motifs qui peuvent la justifier, il ne peut être tenu compte de l'explication fournie dans le cadre de la procédure judiciaire entamée ultérieurement²².
Il suffit que les motifs soient clairement, si nécessaire de manière concise, énoncés dans la décision elle-même. S'il est fait référence à des avis ou à des rapports, il suffit d'indiquer brièvement l'objet et le contenu de ces documents, sans qu'il soit nécessaire de les reproduire intégralement ou de les joindre à la décision²³.
La motivation par référence n'est autorisée que si le document visé est joint à l'acte, ou si l'acte reflète sa portée²⁴.
Le caractère suffisant de la motivation signifie que la motivation doit être pertinente, c'est-à-dire qu'elle doit être clairement liée à la décision, et qu'elle doit être substantielle, c'est-à-dire que les motifs doivent être suffisants pour étayer la décision. Le raisonnement doit être basé sur des éléments clairs et concrets et ces éléments doivent être d'autant plus concrets et précis que la décision s'écarte d'une proposition ou d'un avis, même s'il n'est pas contraignant. Dans un tel cas, l'autorité administrative ne devrait pas se limiter à contredire la proposition ou l'avis, mais devrait au contraire expliquer pourquoi elle estime ne pas pouvoir suivre les arguments sur lesquels se fonde l'organe qui propose ou conseille²⁵.
La principale raison d'être de l'obligation de motivation est que la personne concernée doit pouvoir trouver, dans la décision la concernant elle-même, les raisons sur la base desquelles elle a été prise, de telle manière qu'il apparaisse ou du moins puisse être vérifié si l'autorité s'est fondée sur des informations qui sont factuellement correctes, si elle a correctement
¹⁹ Cass. 3 février 2000, http://www.cass.be à sa date, arrêt n° C.96.0380.N; A.J.T. 2000-01, 284; Amén. 2001, 324, noot PAQUES, B.; Arr.Cass. 2000, 288.
²⁰ voir: Cass. 12 novembre 2015, APT 2016, 94; http://www.cass.be à sa date, arrêt n° C.13.0257.N; TBO 2016, 152; aussi: Cass. 7 septembre 2017, APT 2018, 174; http://www.cass.be à sa date, arrêt n° C.16.0360.N.
²¹ Conseil d'Etat n°. 40.442, 22 septembre 1992, Arr. R.v.St. 1992, z.p.; Pas. 1995, IV, 21; R.A.C.E. 1992, z.p.
²² Comparer avec : Conseil d'Etat., 3 juin 1993, n.v. Syndicaat Machiensteen en n.v. Swenden, nr. 43.154. Aussi : Conseil d'Etat 17 mai 1993, n° 42.968.
²³ Conseil d'Etat n° 43.526, 29 juin 1993, Arr. R.v.St. 1993, z.p.; R.A.C.E. 1993, z.p.; TBP 1994, 225.
²⁴ Conseil d'Etat (8e ch.) n° 86.732-86.733, 7 avril 2000, http://www.raadvst-consetat.be; TBP 2001, 272, note DE SUTTER, T.
²⁵ Conseil d'Etat (9e ch.) nr. 188.152, 24 novembre 2008, CDPK 2009, 535; http://www.raadvst-consetat.be.
PAGE 01-00002220406-0029-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 30
évalué ces données et si elle a raisonnablement pu prendre sa décision sur la base de celles-ci, de sorte que la personne concernée puisse déterminer en toute connaissance de cause s'il y a lieu de contester la décision moyennant un recours en annulation 26.
6.8.
La Cour constate d'ailleurs, qu'à l'exception des organismes de certification ou de suivi des codes de conduite, il ne découle d'aucune disposition du RGPD qu'un autre acteur que le responsable du traitement ou le sous-traitant, tel qu'un établissement local d'un responsable du traitement situé en dehors de l'UE, puisse être tenu responsable pour une violation du RGPD. Le fait qu'aucune référence ne soit faite au « responsable du traitement » (ou « sous-traitant ») dans l'article 58.2.i du RGPD ne peut donc en aucun cas signifier que l'APD pourrait assimiler un établissement d'un responsable du traitement au responsable du traitement lui-même, et que l'APD pourrait choisir à sa discrétion à qui elle a le pouvoir d'infliger des sanctions.
6.8.1.
Le texte de l'article 17 du RGPD limite expressément l'exercice du droit à l'effacement au responsable du traitement (« La personne concernée a le droit d'obtenir du responsable de traitement [...] »). Si le législateur avait voulu également viser d'autres acteurs, il l'aurait prévu – quod non.
6.8.2.
Que la circonstance que l'article 100 LCA ne fasse pas référence au responsable du traitement ne mène pas à une autre conclusion, la sous-section dont fait partie l'article 100 précité fait uniquement référence aux “parties”. Cet article énumère les pouvoirs correctifs de la Chambre Contentieuse de l'APD. Le fait que cet article ne fasse pas explicitement référence au « responsable du traitement » ne signifie en rien que l'APD pourrait donc imposer un ordre d'une mise en conformité du traitement ou une amende à une entité autre que le responsable du traitement (ou le sous-traitant).
La notion « parties poursuivies » dans l'article 101 LCA ne peut signifier autre chose que les responsables du traitement (ou des sous-traitants).
6.9.
6.9.1.
En vertu de l'article 3 RGPD, le champ d'application territorial est libellé comme suit :
« 1. Le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union.
2. Le présent règlement s'applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un
26 Conseil d'Etat n° 153.326, 9 janvier 2006, CDPK 2006, 183 et 207; http://www.raadvst-consetat.be.
PAGE 01-00002220406-0030-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 31
responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées:
a) à l'offre de biens ou de services à ces personnes concernées dans l'Union, qu'un paiement soit exigé ou non desdites personnes; ou
b) au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union.
3. Le présent règlement s'applique au traitement de données à caractère personnel par un responsable du traitement qui n'est pas établi dans l'Union mais dans un lieu où le droit d'un État membre s'applique en vertu du droit international public. »
Le RGPD ne permet pas à l'APD d'imposer des mesures correctrices, la publicité ou une amende à GOOGLE BELGIUM, qui n'est - dans le présent cas - pas plus qu'une simple filiale ou un établissement de GOOGLE LLC.
Une amende administrative, une injonction et la publicité sont des mesures coercives qui pourraient, le cas échéant, être imposées à GOOGLE LLC en sa qualité de responsable du traitement et en vertu de l'article 58 du RGPD.
C'est le choix (procédural) de la plaignante et de la Chambre Contentieuse de l'APD de ne pas impliquer GOOGLE LLC et de ne pas requérir que le Service d'Inspection de l'APD effectue des investigations.
La personne concernée (en l'espèce X) a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais (article 17.1 RGPD).
Cet article ne dispose pas que les APD nationales peuvent agir – sans autres conditions (voir ci-avant) - contre d'autres parties – c'est-à-dire d'autres personnes juridiques conformément aux principes du droit national qui détermine les conditions de forme et de fond pour devenir partie à une procédure administrative – que le responsable du traitement.
GOOGLE LLC étant en l'espèce le responsable du traitement, GOOGLE IRELAND Ltd étant l'établissement principal dans l'Union Européenne.
6.9.2.
Dans la mesure où la Chambre Contentieuse de l'APD détermine que le responsable du traitement litigieux est bien GOOGLE LLC mais qu'elle poursuit et sanctionne néanmoins (seulement et à l'exclusion de ce responsable du traitement GOOGLE LLC) une toute autre personne juridique (à savoir GOOGLE BELGIUM), la Décision Attaquée n'est pas correctement motivée puisqu'elle ne donne pas une motivation adéquate (ou satisfaisante) - au sens de la loi du 29 juillet 1991 - pouvant justifier à la Chambre Contentieuse la compétence adéquate, basée sur l'interprétation des arrêts de la Cour de Justice, pour diriger des poursuites et d'infliger des sanctions (les points 2 à 5 de la Décision Attaquée) uniquement à GOOGLE BELGIUM S.A. qui n'est pas le responsable du traitement qui fait l'objet de la plainte et dont il n'est pas établi sans ambiguïté et sans contradiction des motifs (voir ci-avant) qu'elle serait – en l'espèce - indissociablement liée avec le responsable du traitement (GOOGLE LLC).
Dans la mesure où la plainte doit être dirigée contre le responsable du traitement et que ce n'est que moyennant la preuve que l'établissement local est indissociablement lié à ce
PAGE 01-00002220406-0031-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 32---
responsable du traitement, que l'APD nationale peut poursuivre l'établissement local, la preuve de ce prétendu lien ne peut pas être présumée, ni démontrée par renvoi à des décisions – fussent des décisions judiciaires en force de chose jugée – d'autres juridictions nationales ou juridictions d'autres États Membres ou de l'Union.
La Décision Attaquée doit être annulée pour défaut de motivation.
## 7. Les autres moyens de GOOGLE BELGIUM.
Dans la mesure où la Décision Attaquée est annulée pour défaut de motivation, il n'y a pas lieu d'examiner les autres moyens et les autres griefs, qui ne sauraient entraîner une annulation plus étendue.
## 8. L'intervention volontaire de X.
### 8.1.
X ne comparait pas à l'audience du 16 juin 2021 et n'y est pas représentée.
Son conseil qui informe la Cour qu'elle est sans instructions, dit néanmoins se référer à justice et à la procédure écrite. Il n'y a pas lieu à une procédure écrite, l'article 755 du Code judiciaire exige une demande conjointe de toutes les parties à la cause. En l'espèce il n'y a pas d'accord de toutes les parties concernées.
À l'audience du 16 juin 2021, les autres parties à la cause en effet s'opposent à la procédure écrite. La Cour tiendra compte des conclusions légalement déposées conformément à l'article 744, alinéa 1$^{er}$ du Code judiciaire (art. 780 Code judiciaire).
### 8.2.
Dans ces conclusions X fait valoir les moyens suivants
*Moyen 3 (à titre principal) : L'application du mécanisme d'assistance mutuelle est conforme au prescrit de l'article 61.3 du RGPD ainsi qu'aux principes de bonne administration et à l'obligation de motivation ;*
*Moyen 4 (à titre principal) : Respect de l'obligation de motivation et des droits procéduraux de Google Belgium quant au constat des infractions aux articles 6, 12.1 et 12.4 du RGPD*
*Moyen 5 (à titre principal) : La Décision attaquée est conforme aux articles 4.16 et 56.1 du RGPD*
PAGE 01-00002220406-0032-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 33---
Moyen 6 (à titre principal) : La Décision attaquée est conforme aux articles 3.1, 4.7 juncto 17.1 et 58.2 du RGPD et à l'article 100, §1er, 9° de la Loi APD
Moyen 7 (à titre principal) : L'APD a respecté son obligation de motivation et son devoir de minutie (application conforme des articles 6.1.f et 17 du RGPD)
Moyen 8 (à titre principal) : L'article 12 du RGPD a correctement été interprété par l'APD dans le cadre de la Décision attaquée
Moyen 9 (à titre principal) : L'APD a respecté le principe de légalité des incriminations et des peines
Moyen 10 (à titre principal) : La Décision attaquée respecte l'article 83.1 du RGPD et le principe de proportionnalité
Moyen 11 (à titre principal) : La Décision attaquée est conforme aux articles 83.2 et 58.2.i) du RGPD et respecte le principe de motivation
Moyen 12 (à titre principal) : L'APD a respecté le prescrit de l'article 83.2 du RGPD et pris en compte tous les éléments pertinents de l'espèce
Moyen 13 (à titre principal) : La Décision attaquée respecte la règle du cumul des amendes prévue aux articles 83.3 du RGPD et 103 de la loi APD
Moyen 14 (à titre principal) : La motivation de la Décision attaquée concernant l'application de la portée territoriale est conforme au RGPD
Moyen 15 (à titre infiniment subsidiaire) : Les mesures accessoires
Moyen 16 (à titre infiniment subsidiaire) : En cas d'annulation de la Décision attaquée, il y a lieu de renvoyer l'affaire devant l'APD.
En moyens 1 et 2 X invoque :
Moyen 1 (à titre préliminaire) : Les demandes exposées par la concluante et l'APD sont recevables
Moyen 2 (à titre préliminaire) : Les arguments développés par l'APD et la partie intervenante n'ont pas vocation à compléter ni corriger la Décision attaquée.
Dans l'arrêt interlocutoire du 17 février 2021, la Cour a décidé :
« Dit l'intervention volontaire de X irrecevable sauf en ce qu'elle est limitée à soutenir la thèse de l'APD et de défendre le bien-fondé de la décision attaquée et de lui entendre déclarer commun l'arrêt qui sera rendu par la Cour des marchés ; »
La Cour des marchés a déjà statué sur le premier moyen.
Le second moyen ne nécessite pas de réponse puisqu'il confirme un principe non contesté à savoir que la Décision Attaquée ne peut pas être « motivée » dans le cadre du recours, mais qu'il y a lieu de statuer sur la base des mérites de la motivation de la décision elle-même et non pas de ce que les parties ajouteraient à cette motivation en cours d'instance devant la Cour des marchés.
PAGE 01-00002220406-0033-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 34
Dans la mesure où la Cour des marchés statue sur les mérites du recours de GOOGLE BELGIUM (voir le point 6 ci-devant), les moyens développés par X ne doivent pas être examinés puisque ces moyens ne sont pas de nature à mener à une autre décision de la Cour.
8.3.
Pour ce qui concerne (le moyen 6, première branche : « L'APD pouvait légalement imposer la mise en conformité du traitement à Google Belgium » et seconde branche : « L'APD pouvait effectuer un parallèle entre le rôle de l'établissement et celui du représentant tout en distinguant les situations respectives », la Cour observe que si, afin de satisfaire aux critères de l'article 3, 1. du RGPD, il faut que le traitement de données à caractère personnel réalisé par le responsable du traitement soit effectué « dans le cadre des activités d'un établissement » de ce responsable sur le territoire de l'Union, il s'avère qu'en l'espèce GOOGLE BELGIUM n'a pas effectué le traitement de données litigieux.
En vertu du RGPD article 4, 7° : un «responsable du traitement», [est] la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre; ».
Un « sous-traitant », [est] la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ; (article 4, 8°).
Comme précisé au point 6 ci-avant, en l'espèce GOOGLE LLC est le responsable du traitement et GOOGLE IRELAND Ltd est l'établissement principal dans l'Union Européenne. S'il n'est pas contesté qu'il y a un lien entre les activités de l'exploitant du moteur de recherches (en l'espèce Google LLC) et celles de son établissement situé dans l'État membre concerné (GOOGLE BELGIUM), toujours est-il qu'il y a un établissement principal dans l'UE. Les moyens invoqués par X ne sont donc pas fondés.
9. La publication.
9.1.
GOOGLE BELGIUM fait valoir :
« 15ème moyen : Mesures accessoires à l'annulation
L'APD a donné à la Décision Attaquée une publicité qui va au-delà de la simple publication de la Décision Attaquée sur son site web :
- l'APD a mis en ligne un communiqué de presse (pièce C.9 bis) pour annoncer sa décision ;
- l'APD a mis en ligne une traduction vers l'anglais de la Décision Attaquée (pièce C.9 ter), et ce avant même de mettre à disposition une traduction dans les autres langues nationales ;
PAGE 01-00002220406-0034-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 35---
- le Président de la Chambre contentieuse a insinué dans la presse le 3 février 2021 (magazine Knack, **pièce C.16**) que la concluante aurait introduit son recours devant Votre Siège contre la Décision Attaquée au seul motif qu'elle en a les moyens :
« Le 28 janvier, l'Europe a célébré la Journée de la protection des données. N'était-ce pas une célébration en mode mineur ?
Hielke Hijmans : Non, le solde est positif. ... Et de nombreuses sanctions font l'objet d'un appel. Par exemple, les amendes que nous avons imposées l'année dernière à Proximus et à Google, respectivement 20.000 et 600.000 euros. **Pour de telles entreprises, les possibilités de contester nos décisions sont infinies.** »$^{27}$ (la concluante souligne)
En vue d'atténuer les conséquences des mesures de publicité de l'APD et dans un objectif de transparence et de bonne information des justiciables, la concluante demande que Votre Cour, après avoir annulé la Décision Attaquée (sur la base des **moyens 3 à 14** ci-dessus), ordonne les mesures de publication décrites en dispositif.
## 9.2.
L'APD réplique :
« 683. Votre Cour n'est pas compétente pour enjoindre à l'APD d'adopter les mesures spécifiques de communication et de publication, relatives à la Décision Attaquée et à Votre futur arrêt, qui sont sollicitées par Google dans son dispositif de manière accessoire à l'annulation. D'abord, Votre Cour peut uniquement être saisie d'un recours contre la Décision Attaquée et non d'autres demandes. Ensuite, le principe de la séparation des pouvoirs s'oppose à ce que Votre Cour interfère dans les choix discrétionnaires de l'APD concernant la communication avec la presse et la sensibilisation du citoyen. Enfin, aucun reproche de Google concernant la publication de la Décision Attaquée n'est fondé en fait.
Le quinzième moyen de Google manque de tout fondement et doit par conséquent être rejeté par Votre Cour. »
## 9.3.
Pour ce qui concerne la publicité négative telle qu'elle ressortirait de la presse ou de communiqués émanant de membres de la Chambre Contentieuse de l'APD concernant la Décision Attaquée, la Cour des marchés n'a pas de juridiction.
$^{27}$ « Op 28 januari vierde Europa Data Protection Day. Was het geen feest in mineur?
Hielke Hijmans: Nee, de balans is positief. ... En tegen heel wat sancties wordt beroep aangetekend. Bijvoorbeeld tegen de boetes die we vorig jaar aan Proximus en Google hebben opgelegd, respectievelijk 20.000 en 600.000 euro. Voor dat soort bedrijven zijn de mogelijkheden om onze beslissingen te betwisten onbegrensd » (ce texte est illustratif et ne fait pas partie de la décision de la Cour).
PAGE 01-00002220406-0035-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 36---
Si le juge ordinaire doit s'abstenir de formuler des commentaires sur ses décisions, même si celles-ci sont critiquées par les médias ou la doctrine, ou si elles sont réformées en appel (son mode d'expression est la motivation de ses décisions), il n'en est pas ainsi pour les membres de l'APD.
Il est regrettable que des membres de l'APD (communiquent et correspondent avec la presse quant au contenu des dossiers pendants devant un organe de l'APD ou des décisions prises par cet organe$^{28}$, mais il appartiendra, le cas échéant à GOOGLE BELGIUM de se pourvoir devant les cours et tribunaux de l'ordre judiciaire.
La Cour des marchés n'a pas de juridiction pour statuer sur les droits subjectifs des parties lésées par des publications ou des communications par des membres de l'APD.
La Cour des marchés est uniquement compétente pour vérifier si la publication de la Décision Attaquée avec identification de la partie défenderesse - dans un objectif de sanction - est dûment motivée comme telle par l'APD.
La loi indique en effet que : « *La chambre contentieuse décide du suivi qu'elle donne au dossier et a le pouvoir de [...] décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données* » (article 95 § 1, 8° et 100 § 1, 16° LCA).
9.4.
Aux points 180 à 183, la Décision Attaquée donne une motivation satisfaisante pour procéder à sa publication sans supprimer les données d'identification de Google.
## **10. Demande de statuer en lieu et place de l'APD.**
10.1.
GOOGLE BELGIUM demande que la Cour des marchés fasse usage de son droit de statuer en lieu et place de l'APD et d'ordonner le non-lieu.
En principe, ce n'est que dans des cas où le Régulateur (en l'espèce l'APD) ne se conforme pas à la jurisprudence de la Cour des marchés, que la Cour fait usage de la pleine juridiction.
10.2.
GOOGLE BELGIUM fait valoir :
*16$^{ème}$ moyen : Demande de statuer en lieu et place de l'APD et d'ordonner le non-lieu*
$^{28}$ Il est contraire à l'éthique pour quiconque (en tant qu'organe autonome qui n'a aucune responsabilité politique envers le citoyen) qui rend une décision avec une portée individuelle ou personnelle (même si cette conséquence n'est qu'une conséquence secondaire de la décision) d'utiliser la presse *sensu lato* pour commenter sur la décision, son contenu ou sa portée. Il appartient le cas échéant à la presse de commenter des décisions, celui qui rend une décision s'abstient de tout commentaire. Le fait - que les membres de la Chambre Contentieuse et de l'APD en général n'adhèrent pas à ces règles fondamentales et causent ainsi consciemment ou inconsciemment des dommages aux citoyens, aux entreprises et aux institutions - ne peut pas être sanctionné dans le cadre du recours devant la Cour des marchés.
PAGE 01-00002220406-0036-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 37
3. Votre Cour a non seulement le pouvoir d'annuler les décisions de l'APD mais aussi, en cas d'annulation, celui de statuer à nouveau en lieu et place de l'APD.$^{29}$
La concluante souligne que dans son arrêt interlocutoire du 17 février 2021, Votre Cour a cité la jurisprudence de la Cour de cassation voulant qu'« Il appartient à la Cour de vérifier la légalité de la déduction que la décision attaquée tire en droit des faits qu'elle constate »$^{30}$. Faisant sienne ce motif de la Cour de cassation, Votre Cour a ensuite rappelé que « Le principe de la pleine juridiction implique la possibilité d'identifier, de vérifier et de corriger de telles erreurs »$^{31}$.
4. En l'espèce, il convient d'ordonner le non-lieu en ce que la partie visée par la plainte originaire et par la procédure, à savoir Google Belgium SA, n'est pas responsable du traitement en cause.
En effet, comme le reconnaît l'APD, la concluante n'est pas le responsable du traitement concernant le traitement de données à caractère personnel en cause ; elle n'est qu'un établissement du responsable du traitement et ne joue aucun rôle dans le fonctionnement du Moteur de Recherche Google (voir le 6$^{ème}$ moyen).
Le fait que Google LLC est seule responsable du traitement dans le cadre du référencement des résultats de recherche du Moteur de Recherche Google est établi par une jurisprudence constante (voir les points Error! Reference source not found. à Error! Reference source not
$^{29}$ Cour des marchés, 2 septembre 2020, 2020/AR/329, p. 13 :
« Cette juridiction (en ce cas la Cour du Marché) doit, en outre, avoir pleine juridiction pour statuer sur la décision de l'autorité administrative et doit avoir le pouvoir non seulement de renverser la décision en annulant, mais aussi de modifier le fond de la décision en prenant sa propre décision et en remplacer la décision de l'autorité administrative »$^{29}$ (traduction libre).
Cour des marchés, 19 février 2020, 2019/AR/1600, pp. 23-24 :
« Pour que la disposition soit efficace, la Cour des Marchés - en vertu de la pleine juridiction conférée par le législateur - peut non seulement annuler les décisions de l'APD mais également substituer sa propre décision à la décision annulée (à condition que l'APD ait été obligée de prendre une décision et dans la mesure où cette substitution peut avoir lieu sans enfreindre aucune règle de procédure ou de consultation nécessaire à l'adoption de la décision contestée). [...]
La Cour des Marchés est donc compétente pour annuler la décision attaquée et, le cas échéant, pour remplacer la sanction par une autre sanction telle que réclamée par la requérante à titre subsidiaire, un moyen contre lequel l'APD a pu se défendre »$^{31}$ (traduction libre, la concluante souligne).
Cour des marchés, 28 octobre 2020, 2020/AR/147, p. 26 :
« Au vu du silence du législateur, la Cour des Marchés à elle-même dû déterminer l'étendue de sa compétence de pleine juridiction. Cette appréciation se fonde sur les articles 6 CEDH et 47 de la Charte de l'UE. En vertu de l'article 6 CEDH, une instance judiciaire doit pouvoir statuer sur les décisions de l'administration avec pleine juridiction (...). Cela implique de pouvoir statuer sur tous les aspects de l'affaire en cause, tant en fait qu'en droit*. La notion de pleine juridiction agit donc sur la portée, l'intensité et le résultat du contrôle juridictionnel*. Les compétences liées donnent alors lieu à un réexamen complet, des compétences discrétionnaires à un examen marginal »
Cour des marchés, 27 janvier 2021, 2020/AR/1333, p. 10 :
« En bref, la Cour des marchés peut substituer sa décision à la Décision Attaquée annulée par la Cour, à condition que la Cour ne soulève pas de litiges n'ayant pas fait l'objet du débat contradictoire dans la procédure devant elle et dans la mesure où aucune décision n'est prise à l'égard des parties à la procédure qui n'ont pas pu se défendre dans la procédure devant elle »
$^{30}$ Arrêt interlocutoire du 17 février 2021, p. 20 (et les références citées).
$^{31}$ Arrêt interlocutoire du 17 février 2021, p. 20.
PAGE 01-00002220406-0037-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 38---
found. ci-dessus) et par l'APD elle-même (voir les **points** Error! Reference source not found., Error! Reference source not found., Error! Reference source not found., Error! Reference source not found. ci-dessus). La partie intervenante l'a également implicitement reconnu en adressant sa demande de déréférencement initiale à Google LLC (**pièces B.1 et B.2**). Comme l'établit aussi la jurisprudence constante, les procédures à l'encontre des filiales européennes de Google LLC sont dès lors non-fondées (voir les **points** Error! Reference source not found. à Error! Reference source not found. ci-dessus)$^{32}$.
Il faut donc nécessairement constater, sur la base de ces éléments, que la plainte et la procédure ont été erronément dirigées contre la concluante et, pour cette raison, ordonner le non-lieu.
5. Le pouvoir de Votre Cour de se substituer à la décision annulée n'est pas contesté par l'APD et la partie intervenante. En absence d'un tel pouvoir, il n'y aurait en effet pas de véritable contrôle juridictionnel effectif.
Les conditions que Votre Cour a posées à l'exercice de son pouvoir de substitution sont clairement réunies en l'espèce. En particulier, il faut souligner que tant l'APD que la partie intervenante ont eu l'opportunité de se défendre et se sont d'ailleurs effectivement défendues à ce sujet dans leurs conclusions. Ni l'APD, ni la partie intervenante ne prétendent qu'une règle quelconque pourrait être enfreinte dans ce cadre.
6. L'APD soulève cependant qu'elle n'accepte qu'un « contrôle marginal » de Votre Cour, à l'exclusion de toute nouvelle appréciation des éléments essentiels du litige qui ont abouti à la Décision Attaquée, dont l'APD prétend qu'ils relèveraient de sa compétence discrétionnaire$^{33}$.
Cet argument de l'APD ne s'oppose pas à ce que Votre Cour substitue en l'espèce sa décision à celle de l'APD car il faut constater que ce moyen **ne relève pas du pouvoir d'appréciation discrétionnaire de l'APD**.
Le droit prévu à l'article 17 RGPD ne peut s'exercer qu'à l'encontre du responsable du traitement et les pouvoirs de l'APD prévus à l'article 58 du RGPD ne peuvent être exercés qu'à l'égard du responsable du traitement (ou du sous-traitant) (voir le **6$^{ème}$ moyen**).
$^{32}$ A cet égard, l'APD tente en vain d'invoquer *a posteriori* à son profit, pour la première fois dans ses conclusions de synthèse du 18 décembre 2020 (§723), un passage des lignes directrice WP 225 du Groupe de travail « Article 29 » qui est totalement isolé et contredit par la jurisprudence constante, d'autant plus que lesdites lignes directrices, contrairement à d'autres, n'ont pas été approuvées par le CEPD (successeur du Groupe de travail « Article 29 ») et qu'en tout état de cause, de manière générale, les autorités administratives n'ont pas la compétence d'interpréter la législation, cette compétence étant réservée au pouvoir judiciaire (sur ce dernier point, voir le **§Error! Reference source not found. ci-dessus**).
$^{33}$ Conclusions de synthèse APD du 18 décembre 2020, §721.
PAGE 01-00002220406-0038-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 39
Si Votre Cour constate que la concluante n'est pas « responsable du traitement » (ni « sous-traitant ») concernant le traitement en cause, une seule décision est possible : constater qu'il n'y a pas lieu à poursuivre la concluante. Contrairement au cas d'un pouvoir discrétionnaire, la norme de droit objectif spécifie le contenu d'une décision dès que certaines conditions sont remplies. Dans ce cas, l'autorité n'a aucune marge de manœuvre et doit simplement appliquer ladite norme.
Vu qu'il s'agit d'une compétence liée, et pas d'une compétence discrétionnaire, Votre Cour peut se substituer à l'autorité administrative sans lui renvoyer l'affaire.34
10.3.
Dans la mesure où les sanctions sont infligées à GOOGLE BELGIUM, alors que cette société (fût-elle un établissement local de GOOGLE LLC) n'a pas traité les données litigieuses, la Décision Attaquée doit être annulée pure et simple quant aux points (2) à (5) de la Décision mais, la Cour des marchés n'a pas à prendre des décisions quelconques de nature à « imposer » une décision ou d'autres mesures coercitives à la Chambre Contentieuse de l'APD.
10.4.
L'APD fait valoir :
700. « Dans l'hypothèse où Votre Cour devrait décider de retenir le sixième moyen de Google (quod non), l'APD ne s'oppose pas à ce que Votre Cour prononce le non-lieu à l'encontre de Google Belgium S.A. en sa qualité d'établissement du responsable du traitement.
Même en cas de prononcé de ce non-lieu, et en cas d'accueil de tout autre moyen d'annulation de Google (quod non), Votre Cour devrait néanmoins renvoyer la plainte de la partie intervenante devant la Chambre contentieuse, différemment composée, afin que celle-ci adopte une nouvelle décision conforme à Son arrêt à intervenir, le cas échéant vis-à-vis d'une autre entité du groupe Google ».
Il s'ensuit que – même dans l'hypothèse où la Chambre Contentieuse estimerait devoir prendre une quelconque 'nouvelle' décision, la Cour des marchés prend acte que la Chambre Contentieuse devrait (1) être totalement différemment composée et (2) reprendre l'examen ab ovo à supposer qu'il y aurait encore une plainte valablement pendante.
10.5.
Dans la mesure où la Décision attaquée est annulée (quant aux points (2) à (5)) au motif que les poursuites sont dirigées à tort contre GOOGLE BELGIUM, il n'y a pas lieu à faire application de la pleine juridiction.
34 Trib. Trav. Charleroi 1 février 2010, Chron. D.S. 2010, liv. 10, 554. Voyez aussi : Cass. 10 juin 2013, AR S.12.0148.F, Arr.Cass. 2013, n°6-7-8, 1415 ; Cour trav. Anvers 23 avril 2009, Chron. D.S. 2010, liv. 8, 436 ; Trib. Trav. Bruxelles 21 décembre 2011, Chron. D.S. 2012, liv. 10, 542.
PAGE 01-00002220406-0039-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 40---
## **11. Les dépens.**
L'APD est la partie succombante.
L'indemnité de procédure s'élève à 1.440 EUR.
Les dépens exposés par l'intervenante volontaire restent à sa charge, elle ne peut pas prétendre à une indemnité de procédure.
\*\*\*\*\*
## **PAR CES MOTIFS**
Statuant contradictoirement
Vu les articles 24 et 43 bis § 3 *in fine* de la loi du 15 juin 1935
Dit le recours de la S.A. GOOGLE BELGIUM irrecevable en ce qu'il vise le point (1) de la Décision Attaquée et pour le surplus recevable et fondé comme suit :
Annule les points (2) à (5) de la Décision n°37/2020 prononcée par la Chambre Contentieuse de l'Autorité de Protection des Données le 14 juillet 2020 (DOS-2019-03780) ;
Condamne l'Autorité de Protection des Données aux dépens, l'indemnité de procédure pour la S.A. GOOGLE BELGIUM fixée à 1.440,00 EUR ;
En application de l'article 2692 du Code des droits d'enregistrement, d'hypothèque et de greffe, condamne l'Autorité de Protection des Données à payer à l'Etat belge, SPF Finances, le droit de mise au rôle d'appel (400 €).
Dit les moyens invoqués par X non fondés, dit que les frais et dépens de X restent à sa charge.
PAGE 01-00002220406-0040-0041-09-01-4
Cour d'appel Bruxelles – 2020/AR/1111 p. 41
Cet arrêt a été prononcé à l'audience publique du 30 juin 2021 par :
M. BOSMANS
A-M. WITTERS
O. DUGARDYN
D. GEULETTE
Conseiller ff. président
Conseiller
Conseiller-suppléant
Greffier
PAGE 01-00002220406-0041-0041-09-01-4