Brüksel İstinaf Mahkemesi — gdprhub/court-of-appeal-of-brussels-2020-ar-1333

![img-0.jpeg](img-0.jpeg)

| Numéro du répertoire |
| --- |
| **2021 / 785** |
| Date du prononcé |
| **27 Janvier 2021** |
| Numéro du rôle |
| **2020/AR/1333** |

#### Expédition

| Délivrée à | Délivrée à | Délivrée à |
| --- | --- | --- |
| le € CIV | le € CIV | le € CIV |

Non communicable au receveur

## Cour d'appel

## Bruxelles

Section Cour des marchés

19$^{e}$ chambre A

Chambre des marchés

## Arrêt

| Présenté le |
| --- |
| Non enregistrable |

COVER 01-00001942078-0001-0025-05-01-1

![img-1.jpeg](img-1.jpeg)

Cour d'appel Bruxelles – 2020/AR/1333 p. 2

X, [...], représenté [...],

Partie requérante,

Contre la Décision n°53/2020 prononcée par la Chambre contentieuse de l'Autorité de Protection des Données le 1er septembre 2020 (DOS-2019-02974)

Contre :

L'AUTORITE DE PROTECTION DES DONNEES, BCE 0694.679.950, dont le siège social est établi rue de la presse 35 à 1000 Bruxelles, représentée par Me CROISANT Guillaume ([email protected]) et Me SERON Carine ([email protected]) avocats à BRUXELLES,

Partie défenderesse,

***

# 1.La saisine de la Cour des marchés.

La Cour des marchés est saisie par un recours émanant de X contre la décision n°53/2020 prononcée par la Chambre contentieuse de l'Autorité de Protection des Données (ci-après la Chambre contentieuse ») le 1er septembre 2020 qui lui inflige une amende de 5.000 € (DOS-2019-02974).

En vertu de l'article 108 § 1 de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « loi APD »), la chambre contentieuse informe les parties de sa décision et de la possibilité de recours à la Cour des marchés dans un délai de trente jours, à compter de la notification de la décision. Le recours introduit par une requête déposée au greffe de la cour d'appel de Bruxelles en date du 29 septembre 2020 est dès lors recevable. La recevabilité du recours n'est pas contestée.

La cause a été plaidée à l'audience du 13 janvier 2021 sous la forme d'une vidéoconférence (Webex). Par courriel du greffe du 3 janvier 2021 les parties ont été invitées à participer à une vidéoconférence. Par courriels du 11 janvier 2021 les conseils des parties ont marqué leur accord de remplacer l'audience publique présentielle par une audience publique virtuelle.

A la date de l'audience, le greffe met à disposition de tout justiciable et de toute personne désirant assister aux débats, le lien et le mot de passe lui permettant de participer à la vidéoconférence.

# 2.La Décision Attaquée.

La Décision Attaquée stipule ce qui suit :

«PAR CES MOTIFS, LA CHAMBRE CONTENTIEUSE,

Décide, après délibération, d'imposer au responsable de traitement une amende de 5000 EUR sur la base des articles 100, 13e et 101 de la LCA ainsi que 83 du RGPD, pour l'ensemble des manquements retenus, à savoir pour manquement à l'article 5, 1., b) du RGPD, et

PAGE 01-00001942078-0002-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 3

manquement aux articles 5.1.a) et 5.1.b), 6.1, 25.1 et 25.2, 32.1 et 32.4 du RGPD lus ensemble.

La présente décision peut faire l'objet d'un recours dans un délai de trente jours, à compter de la notification, à la Cour des marchés15 (article 108, § 1er de la LCA), avec l'Autorité de protection des données comme défendeur. »

# 3. Les demandes des parties.

En conclusions de synthèse déposées le 15 décembre 2020, X demande de :

« À TITRE PRINCIPAL

Déclarer l'appel recevable et fondé,

Réformer la décision dont appel,

Ce faisant, prononcer la suspension du prononcé.

À TITRE SUBSIDIAIRE

Déclarer l'appel recevable et fondé,

Réformer la décision dont appel,

Ce faisant, réduire considérablement l'amende infligée par la Chambre contentieuse de l'Autorité de Protection des Données.

À TITRE INFINIMENT SUBSIDIAIRE

Déclarer l'appel recevable et fondé,

Réformer la décision dont appel,

Ce faisant, renvoyer la plainte devant la Chambre contentieuse afin que celle-ci adopte une nouvelle décision qui tiendrait compte des motifs d'annulation retenus.

DANS TOUS LES CAS

Condamner la partie intimée aux entiers frais et dépens de la présente procédure liquidés comme suit en ce qui concerne X :

Frais de requête d'appeL: 20,00 euros
- Indemnité de procédure : 1.440,00 euros
Total:1.460,00 euros

L'Autorité de Protection des Données (APD) demande en conclusions de synthèse, déposées au greffe de la cour d'appel de Bruxelles le 07/01/2021 ;

« PLAISE À LA COUR DES MARCHES DE LA COUR D'APPEL DE BRUXELLES

- À titre principal, de déclarer le recours de X non fondé et de le condamner aux entiers dépens de l'instance, en ce compris l'indemnité de procédure fixée au montant de base de 1.440 € ;

- À titre subsidiaire, si Votre Cour devait retenir un motif d'annulation (quod non), de renvoyer la plainte devant la Chambre Contentieuse afin que celle-ci adopte une nouvelle décision conforme à l'arrêt de Votre Cour. »

# 4. Les moyens.

4.1.

X fait valoir les moyens suivants :

1er moyen : l'amende infligée ne respecte pas l'article 83 du RGPD

a) La nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que le nombre de personnes affectées et le niveau de dommage qu'elles ont subi (article 83.2.4 du RGPD)

PAGE 01-00001942078-0003-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 4

b) Le fait que la violation a été commise délibérément ou par négligence (article 83.2.b du RGPD)
c) Mesures prises par le responsable de traitement et le sous-traitant pour atténuer le dommage subi par la personne concernée (article 83.2.c du RGPD)
d) Toute violation commise par le responsable de traitement ou le sous-traitant (article 83.2.e du RGPD)
e) Le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs (article 83.2.f du RGPD)
f) Toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation (article 83.2.k du RGPD)

2ème moyen : l'amende est disproportionnée

À TITRE SUBSIDIAIRE : REDUCTION DE L'AMENDE

À TITRE INFINIMENT SUBSIDIAIRE : RENVOI DEVANT LA CHAMBRE CONTENTIEUSE

4.2.

L'APD, quant à elle, soulève les moyens suivants :

Moyen 1 : l'amende infligée par la Décision Attaquée est proportionnée et respecte l'article 83 du RGPD. La Chambre contentieuse a pleinement respecté l'article 83.1 du RGPD et le principe de proportionnalité tant dans son choix d'imposer une amende administrative à X que dans la détermination du montant de celle-ci.

Elle a pris en considération les critères énumérés par l'article 83.2 du RGPD pour évaluer et garantir le caractère proportionné et dissuasif de cette amende. Elle a en revanche écarté les circonstances atténuantes alléguées par X, parce que celles-ci étaient soit non pertinentes soit non fondées.

De plus, l'amende infligée à X se situe dans la continuité de la jurisprudence de la Chambre Contentieuse relative au traitement illicite de données à caractère personnel à des fins électorales.

Le moyen unique de X, selon lequel l'amende administrative qui lui a été infligée par la Décision Attaquée serait disproportionnée, doit donc être rejeté pour absence de fondement.

Moyen 2 : à titre subsidiaire, la Cour ne peut pas substituer sa décision à celle de la Chambre Contentieuse. À titre subsidiaire, même si la Cour devait annuler la Décision Attaquée (quod non), elle ne saurait substituer son appréciation à celle de la Chambre contentieuse comme le sollicite X.

En effet, lorsque X sollicite de la Cour qu'elle statue en pleine juridiction en réformant la Décision Attaquée et en prononçant la suspension du prononcé à la place de la Chambre Contentieuse, il demande à la Cour de décider sur un aspect qui relève du pouvoir d'appréciation discrétionnaire de l'APD. Une telle solution ne saurait être retenue. La Cour devrait donc renvoyer la plainte devant la Chambre contentieuse afin que celle-ci adopte une nouvelle décision qui tiendrait compte des motifs d'annulation retenus par la Cour.

PAGE 01-00001942078-0004-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 5---

## 5. Les faits.

La Décision Attaquée relate les faits comme suit :

« Le 25 mai 2019, le plaignant a introduit une demande d'information auprès de l'Autorité de protection des données concernant l'utilisation par le défendeur, de son adresse électronique personnelle pour l'envoi d'un message électoral reçu le 22 mai 2019, adressé en son nom par sa secrétaire. Le plaignant souligne qu'il n'a jamais donné son accord pour que son adresse soit utilisée à cette fin par le défendeur. Le plaignant dénonce également le fait que ce message a été envoyé à de nombreux destinataires placés en copie, ce qui a favorisé la diffusion non sollicitée de son adresse électronique à ces tierces personnes.

2. Le courrier était rédigé comme suit : « Mesdames, Messieurs, Chères amies, Chers amis, Je suis fier d'être le [Xème] candidat de la liste [Y] pour notre arrondissement [liste des communes concernées...]. Qu'il me soit permis de solliciter votre suffrage. Un bon résultat me permettra avec notre équipe au Collège et au Conseil provincial d'être encore plus efficace. Je souhaite mettre tout en œuvre pour soutenir aussi nos mandataires locaux et leurs projets. ».

3. Par lettre du 2 juillet 2019, le Service de première ligne de l'Autorité de protection des données a invité le plaignant à exercer ses droits auprès du défendeur, en l'occurrence, son droit d'opposition au traitement de ses données personnelles. Parallèlement, par lettre le 2 juillet 2019, le Service de première ligne a contacté le défendeur pour lui demander notamment de quelle manière il avait obtenu l'adresse e-mail du plaignant, s'il avait introduit une notification de fuite de données auprès de l'APD et quelles mesures ont été prises pour que ce type d'incident ne se reproduise plus.

4. Des réponses que le défendeur a adressées au plaignant et au Service de première ligne, il ressort que l'adresse email du plaignant a été recueillie à l'occasion d'une demande d'information adressée en mars 2014 par le plaignant au secrétariat du bourgmestre de la ville de X., pour signaler un problème de propreté publique. Il s'agissait plus particulièrement d'un e-mail adressé à « [email protected] » concernant une décharge clandestine aux abords des anciens remparts de la ville dont le plaignant sollicitait le nettoyage. Le 4 juillet en effet, dans son courrier adressé au Service de première ligne, co-signé par le défendeur, la secrétaire du défendeur écrit l'explication suivante concernant la collecte de l'adresse e-mail litigieuse : « Les adresses proviennent d'un fichier « permanences » organisé par le défendeur lorsqu'il était « bourgmestre de la ville. Le plaignant figure donc dans celui-ci pour avoir, à un moment ou un autre, eu un contact avec le défendeur. » La Chambre contentieuse ne peut donc suivre le défendeur dans ses explications ultérieures (juillet 2020) selon lesquelles l'adresse e-mail litigieuse (et d'autres) auraient été recueillies via des e-mails lui étant adressés personnellement et non pas via un service administratif ou autre de l'Administration communale. La Chambre contentieuse comprend dès lors que les données récoltées par le bourgmestre résultent non seulement de contacts de citoyens avec l'administration de la ville mais aussi, selon les déclarations du défendeur, d'emails lui ayant été adressés personnellement, ce qui n'était pas le cas en ce qui concerne l'e-mail du plaignant qui a bien été collecté via le secrétariat du bourgmestre.

5. En ce qui concerne le modus operandi d'envoi de l'email litigieux, le défendeur a répondu aux questions de l'Autorité de protection des données en cosignant l'explication suivante fournie par l'employée communale qui était sa secrétaire lorsqu'il était bourgmestre :

PAGE 01-00001942078-0005-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 6---

« Dans les faits, de ma messagerie privée, j'ai envoyé une publicité électorale pour le défendeur, afin d'éviter qu'il utilise sa messagerie professionnelle en sa qualité de député provincial. [...] Et ce mail a été envoyé spontanément, en omettant de mettre en CCI les destinataires. Il n'y a donc aucune intention d'utiliser avec abus ces adresses, ni de nuire à qui que ce soit. C'est juste une erreur de manipulation que nous regrettons. Nous nous sommes excusés auprès du plaignant comme vous avez pu le lire ».

6. Suite à ces réponses, le plaignant a confirmé au Service de première ligne de l'APD sa volonté que sa demande d'information soit transmise en tant que plainte à la Chambre contentieuse de l'APD, par courriers du 11 et du 26 juillet 2019. Le 6 août 2019, le Service de première ligne de l'Autorité de protection des données a déclaré la plainte recevable et l'a transmise à la Chambre Contentieuse.

7. Le 25 août 2019, la Chambre contentieuse a considéré que le dossier était prêt pour traitement quant au fond en vertu des articles 95 § 1er, 1° et 98 LCA. A cette même date, la Chambre contentieuse a transmis la plainte et les pièces au défendeur par lettre recommandée et a invité les parties à faire valoir leurs arguments selon un calendrier établi. Ce courrier précisait que « chacune des parties est tenue de transmettre ses conclusions simultanément au secrétariat de la Chambre contentieuse et à l'autre partie ».

8. Par courrier daté du 14 octobre 2019 reçu le 18 octobre 2019, le défendeur expose qu'il se tient à la disposition de la Chambre contentieuse pour être entendu si la Chambre le souhaitait. Le défendeur explique dans son bref courrier qu'il confirme « que l'envoi du fichier à l'ensemble des personnes était une simple erreur de manipulation au moment de l'envoi du document qui être [sic] individualisé ».

9. Le défendeur indique également avoir « sollicité l'avis d'un spécialiste de la nouvelle législation » pour l'aider à encadrer son équipe « afin d'éviter à l'avenir toute nouvelle erreur du genre ». Le défendeur précise que la question de savoir quelles sont les précautions à prendre avec les adresses e-mail que les personnes n'ont pas transmis spontanément, est toujours à l'analyse. Le défendeur conclut qu'il pensait être autorisé à contacter les personnes qui lui avaient transmis leur adresse, et qu'il a maintenant conscience que cela n'est « manifestement pas si évident ».

10. Par email du 7 novembre 2019, le plaignant a introduit ses arguments comme le calendrier de conclusion l'y invitait. A cette occasion, le plaignant signale qu'il n'a pas reçu les conclusions du défendeur, réitère les éléments de sa plainte, et demande de retenir comme circonstance aggravante que les atteintes dénoncées ont été commises par un homme politique dans l'exercice de son mandat.

11. La Chambre contentieuse a repris l'affaire par procédure écrite le 3 juillet 2020 et a adopté un projet de décision. Le même jour, la Chambre contentieuse a communiqué par e-mail au défendeur le montant de l'amende envisagée à son encontre, ainsi qu'une liste des manquements constatés au RGPD et justifiant ce montant. La Chambre a notamment constaté que le défendeur n'a pas soumis ses conclusions au plaignant. Le défendeur a été invité, par ce même e-mail, à faire valoir ses moyens de défense à l'égard du montant de l'amende envisagée. Dans cette communication, la Chambre contentieuse a souligné que les débats sur le fond étaient clôturés. La Chambre contentieuse a reçu la réponse du défendeur par email le 7 juillet 2020 (formulaire d'amende complété et lettre d'accompagnement datée du 6 juillet 2020). »

PAGE 01-00001942078-0006-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 7

# 6.Dispositions applicables

L'article 100 de la loi du 3 décembre 2017, portant création de l'Autorité de protection des données, dispose que :

« 1er. La chambre contentieuse a le pouvoir de :

1° classer la plainte sans suite;

2° ordonner le non-lieu;

3° prononcer la suspension du prononcé;

4° proposer une transaction;

5° formuler des avertissements et des réprimandes;

6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;

7° ordonner que l'intéressé soit informé du problème de sécurité;

8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;

9° ordonner une mise en conformité du traitement;

10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données;

11° ordonner le retrait de l'agréation des organismes de certification;

12° donner des astreintes;

13° donner des amendes administratives;

14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international;

15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier;

16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.

§ 2. Lorsqu'après application du § 1er, 15°, le ministère public renonce à engager des poursuites pénales, à proposer une résolution à l'amiable ou une médiation pénale au sens de l'article 216ter du Code d'instruction criminelle, ou lorsque le ministère public n'a pas pris de décision pendant un délai de six mois à compter du jour de réception du dossier, l'Autorité de protection des données détermine si la procédure administrative doit être reprise ».

L'article 101 de la même législation ajoute que :

« La chambre contentieuse peut décider d'infliger une amende administrative aux parties poursuivies selon les principes généraux visés à l'article 83 du Règlement 2016/679 ».

Selon l'article 83 du Règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère

PAGE 01-00001942078-0007-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 8

personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) :

« 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :

a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en oeuvre en vertu des articles 25 et 32;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs;
g) les catégories de données à caractère personnel concernées par la violation;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation » (souligné par nous).

# 7. Motivation.

# 7.1. Les infractions.

X ne conteste pas les infractions. Il n'y a dès lors pas lieu d'examiner le bien-fondé de la Décision Attaquée en ce qu'elle déclare les infractions comme prouvées.

# 7.2. L'étendue de la juridiction de la Cour des marchés.

Les parties sont en désaccord sur l'étendue de la compétence/juridiction de la Cour des marchés, en particulier la question de l'étendue de la pleine juridiction de la Cour des marchés, ou plus concrètement sur la question de savoir si la Cour - après avoir annulé une décision – peut substituer sa propre décision à la décision de l'APD et peut dès lors imposer une sanction « différente » de celle

PAGE 01-00001942078-0008-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 9

fixée par l'APD (par exemple si la Cour pourrait remplacer la sanction d'une amende de 5.000 € par une autre sanction telle que la suspension du prononcé).

Alors que dans certaines législations qui confèrent juridiction à la Cour des marchés, il est explicitement indiqué que la Cour statuera de pleine juridiction, cette délimitation de juridiction n'est pas explicitement mentionnée en l'espèce. L'article 108 § 1 de la loi APD prévoit seulement qu'un recours contre les décisions de la chambre contentieuse peut être formé devant la Cour des marchés.

Un recours devant la Cour des marchés diffère d'un appel « ordinaire » tel que celui qui peut être introduit devant un juge d'appel de l'ordre judiciaire$^{1}$.

L'article 6 § 1 de la CEDH dispose que « *Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, [...] »*

En ce qui concerne le droit à un recours effectif et à un procès équitable, l'article 47 de la charte des droits fondamentaux de l'Union européenne dispose que « *toute personne dont les droits et libertés garantis par le droit de l'Union ont été violés a droit à un recours effectif devant un tribunal dans le respect des conditions prévues au présent article. Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable par un tribunal indépendant et impartial, établi préalablement par la loi. [...] »*

Le législateur Européen n'a pas spécifié ce qu'il faut entendre par un recours effectif devant un tribunal impartial et indépendant.$^{2}$

L'article 78 du RGDP prévoit que :

« *Droit à un recours juridictionnel effectif contre une autorité de contrôle*

$^{1}$ Comp. Cour des marchés 19 février 2020, 2019 AR 1600.

$^{2}$ La Cour renvoie à l'arrêt du 27 septembre 2011 den la CEDH en cause A. MENARINI DIAGNOSTICS S.R.L. c. ITALIE, où il est considéré :

« 62. Par ailleurs, la Cour rappelle que la nature d'une procédure administrative peut différer, sous plusieurs aspects, de la nature d'une procédure pénale au sens strict du terme. Si ces différences ne sauraient exonérer les États contractants de leur obligation de respecter toutes les garanties offertes par le volet pénal de l'article 6, elles peuvent néanmoins influencer les modalités de leur application (Valico S.r.l. c. Italie (déc.), no 70074/01, CEDH 2006-III).

63. La Cour note que dans le cas d'espèce, les juridictions administratives se sont penchées sur les différentes allégations de fait et de droit de la société requérante. Elles ont dès lors examiné les éléments de preuve recueillis par l'AGCM. De plus, le Conseil d'État a rappelé que lorsque l'administration dispose d'un pouvoir discrétionnaire, même si le juge administratif n'a pas le pouvoir de se substituer à l'autorité administrative indépendante, il peut toutefois vérifier si l'administration a fait un usage approprié de ses pouvoirs.

64. De ce fait, la Cour note que la compétence des juridictions administratives n'était pas limitée à un simple contrôle de légalité. Les juridictions administratives ont pu vérifier si, par rapport aux circonstances particulières de l'affaire, l'AGCM avait fait un usage approprié de ses pouvoirs. Elles ont pu examiner le bien-fondé et la proportionnalité des choix de l'AGCM et même vérifier ses évaluations d'ordre technique.

65. De plus, le contrôle effectué sur la sanction a été de pleine juridiction dans la mesure où le TAR et le Conseil d'État ont pu vérifier l'adéquation de la sanction à l'infraction commise et le cas échéant auraient pu remplacer la sanction (voir, a contrario, Silvester's Horeca Service c. Belgique, no 47650/99, § 28, 4 mars 2004).

66. En particulier, le Conseil d'État, en allant au-delà d'un contrôle « externe » sur la cohérence logique de la motivation de l'AGCM, s'est livré à une analyse détaillée de l'adéquation de la sanction par rapport aux paramètres pertinents, y compris la proportionnalité de la sanction même.

67. La décision de l'AGCM ayant été soumise au contrôle ultérieur d'organes judiciaires de pleine juridiction, aucune violation de l'article 6 § 1 de la Convention ne saurait être décelée en l'espèce. »

PAGE 01-00001942078-0009-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 10---

*Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.*

*Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77.*

*Toute action contre une autorité de contrôle est intentée devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie.*

[...] » La Cour des marchés accentue.

Pour que ce recours puisse être effectif et efficace, la Cour des marchés peut - sous la forme de la pleine juridiction accordée par le législateur - non seulement annuler les décisions de l'APD, mais elle peut également substituer sa propre décision à la décision annulée (à condition que l'APD devait prendre une décision et dans la mesure où une telle substitution peut être effectuée sans violer aucune règle de la procédure ou de consultation qui était nécessaire pour l'approbation de la Décision Attaquée).

Cependant, dans l'exercice de cette pleine juridiction, la Cour des marchés doit respecter les limites du débat judiciaire. Dans les limites des règles d'ordre public et dans les limites de l'interprétation à donner aux moyens invoqués devant la Cour, celle-ci doit limiter son appréciation, c'est-à-dire qu'elle doit limiter - la substitution éventuelle de sa propre décision - aux motifs invoqués par le requérant et aux moyens de défense de l'autre partie$^{3}$.

En bref, la Cour des marchés peut substituer sa décision à la Décision Attaquée annulée par la Cour, à condition que la Cour ne soulève pas de litiges n'ayant pas fait l'objet du débat contradictoire dans la procédure devant elle et dans la mesure où aucune décision n'est prise à l'égard des parties à la procédure qui n'ont pas pu se défendre dans la procédure devant elle.

En conséquence, la Cour des marchés a juridiction pour annuler la Décision Attaquée et, le cas échéant, remplacer la sanction par une autre, telle notamment, celle invoquée par le requérant (en ordre principal) à savoir « la suspension du prononcé », moyen contre lequel l'APD a pu se défendre.

### 7.3. Le respect des principes de bonne administration. Le contrôle de la politique de l'APD. Principes.

La Cour des marchés n'a pas de juridiction pour remettre en question les choix politiques ou l'opportunité des choix de la politique de l'APD.

Dans le cadre de la séparation des pouvoirs, il appartient à l'APD, dans le cadre de sa mission, d'adopter les choix politiques qu'elle juge appropriés.

Si le pouvoir judiciaire devait interférer dans de tels choix politiques en les modifiant ou en les complétant, le pouvoir judiciaire dépasserait sa marge d'appréciation sur le pouvoir discrétionnaire de l'APD.

$^{3}$ Comp. Cour des marchés 22 janvier 2020, 2019 AR 1470, n° 26.

PAGE 01-00001942078-0010-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 11

La juridiction de la Cour des marchés est limitée à un contrôle de régularité et de légalité. Les dispositions procédurales de la *lex specialis* et du droit commun applicable ont-elles été respectées, les règles de bonne administration *sensu lato* ont-elles été observées ? 4

Quant au fond, la Cour limite son examen à la question de savoir si les faits ont été présentés correctement et s'il n'y a pas eu d'erreur manifeste d'appréciation en la matière, ou si la qualification juridique des faits est exacte, c'est-à-dire si l'interprétation que le régulateur donne aux éléments factuels du dossier et aux documents du dossier peut en effet être tirée de ces documents 5.

La Cour des marchés contrôle la régularité des preuves et des faits à prouver, elle vérifie si les preuves à fournir sont appropriées, concluantes et recevables 6.

La Cour des marchés se réfère à la jurisprudence de la Cour de cassation 7 qui énonce, entre autres (la Cour adopte ce motif, étant entendu que ce qui est décidé par rapport à la décision de justice attaquée à cet égard s'applique à la décision de l'APD):

« Il appartient à la Cour de vérifier la légalité de la déduction que la décision attaquée tire en droit des faits qu'elle constate. »

et 8 :

“Si le juge constate souverainement les faits d'où il déduit l'existence ou l'inexistence d'un lien de causalité entre la faute et le dommage, la Cour contrôle cependant si, de ses constatations, le juge a pu légalement déduire cette décision. »

Le principe de pleine juridiction implique la possibilité d'identifier, de vérifier et de corriger de telles erreurs.

Le principe de pleine juridiction ne doit pas être interprété comme si la Cour des marchés offrait « une seconde chance » pour la ou les parties concernées et comme si que la Cour des marchés pourrait « réexaminer le dossier en faisant table rase dès le départ et réévaluer le dossier ».

La Cour apprécie si les preuves fournies constituent un cadre factuel pertinent aux fins d'apprécier l'infraction et peuvent servir de base aux conclusions qui en sont tirées.

L'exigence de motivation de l'acte administratif litigieux exige (voir article 3 de la loi du 29 juillet 1991 sur la motivation explicite des actes administratifs) que la motivation telle qu'elle figure dans l'acte énonce les considérations juridiques et factuelles sur lesquelles la décision est fondée et il faut que cette justification soit suffisante pour porter la décision.

Cette loi a des conséquences très importantes, car une obligation formelle de motivation s'ajoute désormais à l'obligation de la motivation, quant au fond, traditionnelle. L'obligation formelle de motivation va donc plus loin que l'obligation matérielle de motivation : les motifs ne doivent pas seulement exister ; ils doivent également être reflétés dans la décision elle-même. La motivation formelle a donc trait à la notification, la divulgation des motifs. Les administrés doivent en même

4 Comp. Cour des marchés 2020 AR 1238.

5 Comp. Cour des marchés 12 juin 2019, 2019/AR/113.

6 Comp. J. Laenens, K. Broeckx en D. Scheers, Handboek Gerechtelijk Recht (Intersentia Antwerpen-Oxford, 2004, n° 1089, page 502 et les références.

7 Cass. 23 septembre 2010, Arr.Cass. 2010, 2281; http://www.cass.be op datum, arrest nummer C.09.0496.F; JLMB 2011, 245; RW 2012-13, 984.

8 Cass. 18 juin 2010, Arr.Cass. 2010, 1854; http://www.cass.be à sa date, arrêt n° C.08.0211.F. aussi: Cass. 28 février 2007, Arr.Cass. 2007, 481; http://www.cass.be à sa date, arrêt n° P.06.1038.F; JT 2007, 501, note RANERI, G. Aussi : Cass. 28 mai 2013 (Arr.Cass. 2013, 1311, concl. DUINSLAEGER; http://www.cass.be à sa date, arrêt n° P.13.0066.N, concl. DUINSLAEGER, P.; RW 2013-14, 1616, note DE SMET, B.) .

PAGE 01-00001942078-0011-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 12

temps être en mesure de prendre connaissance de la décision et des motifs sur lesquels elle se fonde.

Plus le pouvoir discrétionnaire de l'autorité administrative est large, plus le raisonnement doit être détaillé. Une autorité qui dispose d'un large pouvoir discrétionnaire doit énoncer les faits qui donnent lieu à la décision prise.⁹

Le terme « satisfaisant » signifie que la décision doit être suffisamment étayée par le raisonnement, ce qui implique que le raisonnement doit être fondé sur des faits réels, qu'un rapport raisonnable peut être déduit du raisonnement entre la décision envisagée et le but recherché et que, selon le cas, ce raisonnement montre que les options politiques prises ont été pesées.¹⁰

L'expression « satisfaisante » signifie que la décision est étayée par la motivation.¹¹

L'objet de l'obligation de motivation est de donner un tel aperçu des motifs de cette décision que la personne à l'égard de laquelle la décision a été prise est en mesure d'apprécier correctement s'il est judicieux de se défendre contre cette décision avec les moyens dont elle dispose par la loi. Quiconque qui connaît les motifs d'une décision qui doit être formellement motivée, même si cette décision n'est pas formellement motivée, ne peut utilement invoquer la violation de l'obligation de motivation car, dans un tel cas, le but de l'obligation formelle de motivation est atteint, à savoir lui faire prendre conscience des motifs de la décision.¹²

Pour atteindre l'objectif de l'obligation de motivation, la décision doit énoncer clairement et concrètement les motifs qui peuvent la justifier, il ne peut être tenu compte de l'explication fournie dans le cadre de la procédure judiciaire entamée ultérieurement¹³.

Il suffit que les motifs soient clairement, si nécessaire de manière concise, énoncés dans la décision elle-même. S'il est fait référence à des avis ou à des rapports, il suffit d'indiquer brièvement l'objet et le contenu de ces documents, sans qu'il soit nécessaire de les reproduire intégralement ou de les joindre à la décision.¹⁴

La motivation par référence n'est autorisée que si le document visé est joint à l'acte, ou si l'acte reflète sa portée.¹⁵

Le caractère suffisant de la motivation signifie que la motivation doit être pertinente, c'est-à-dire qu'elle doit être clairement liée à la décision, et qu'elle doit être substantielle, c'est-à-dire que les motifs doivent être suffisants pour étayer la décision. Le raisonnement doit être basé sur des éléments clairs et concrets et ces éléments doivent être d'autant plus concret et précis que la décision s'écarte d'une proposition ou d'un avis, même s'il n'est pas contraignant. Dans un tel cas, l'autorité administrative ne devrait pas se limiter à contredire la proposition ou l'avis, mais devrait au

⁹ Cass. 15 février 1999, http://www.cass.be à sa date, arrêt n° 5.98.0007.F; A.J.T. 2000-01, 103, noot PUT, J.; Arr.Cass. 1999, 199.

¹⁰ Cass. 3 février 2000, http://www.cass.be à sa date, arrêt n° C.96.0380.N; A.J.T. 2000-01, 284; Amén. 2001, 324, noot PAQUES, B.; Arr.Cass. 2000, 288.

¹¹ voir: Cass. 12 novembre 2015, APT 2016, 94; http://www.cass.be à sa date, arrêt n° C.13.0257.N; TBO 2016, 152; aussi: Cass. 7 septembre 2017, APT 2018, 174; http://www.cass.be à sa date, arrêt n° C.16.0360.N.

¹² Conseil d'Etat n°. 40.442, 22 septembre 1992, Arr. R.v.St. 1992, z.p.; Pos. 1995, IV, 21; R.A.C.E. 1992, z.p.

¹³ Comparer avec : Conseil d'Etat., 3 juin 1993, n.v. Syndicat Machiensteen en n.v. Swenden, nr. 43.154. Aussi : Conseil d'Etat 17 mai 1993, n° 42.968.

¹⁴ Conseil d'Etat n° 43.526, 29 juin 1993, Arr. R.v.St. 1993, z.p.; R.A.C.E. 1993, z.p.; TBP 1994, 225.

¹⁵ Conseil d'Etat (8e ch.) n° 86.732-86.733, 7 avril 2000, http://www.raadst-consetat.be; TBP 2001, 272, note DE SUTTER, T.

PAGE 01-00001942078-0012-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 13

contraire expliquer pourquoi elle estime ne pas pouvoir suivre les arguments sur lesquels se fonde l'organe qui propose ou conseille.¹⁶

La principale raison d'être de l'obligation de motivation est que la personne concernée doit pouvoir trouver, dans la décision la concernant elle-même, les raisons sur la base desquelles elle a été prise, de telle manière qu'il apparaisse ou du moins puisse être vérifiée si l'autorité s'est fondée sur des informations qui sont factuellement correctes, si elle a correctement évalué ces données et si elle a raisonnablement pu prendre sa décision sur la base de celles-ci, de sorte que la personne concernée puisse déterminer en toute connaissance de cause s'il y a lieu de contester la décision moyennant un recours en annulation¹⁷.

Bien que la section « Cour des marchés » fait partie de la cour d'appel de Bruxelles, la Cour des marchés n'est pas un juge d'appel au sens ordinaire de droit commun judiciaire.

Par "appel ordinaire" la Cour des marchés entend l'appel porté devant toute juridiction instaurée par le Code judiciaire qui est appelée à statuer sur le litige en vertu d'un recours qui est formé contre une décision rendue par un juge de l'ordre judiciaire en première instance et en vertu de la compétence dont dispose ce juge d'appel (faisant usage du principe de l'effet dévolutif) de revoir le litige en fait et en droit et de « re-statuer » c'est-à-dire de réexaminer la cause en fait et en droit, le cas échéant en prenant en considération de nouveaux moyens et arguments ainsi qu'en ayant égard à d'autres ou de nouvelles pièces justificatives, le tout en fonction de l'évolution de la cause en fait et en droit (éventuellement même eu égard à une nouvelle législation entrée en vigueur depuis l'acte introductif d'instance).

Le juge d'appel a la juridiction pour apprécier le litige en fait et en droit, à condition que de nouveaux moyens et arguments et, le cas échéant, des preuves nouvelles ou différentes soient pris en compte, le tout en fonction de l'évolution que subit le litige en fait et en droit (éventuellement même à la suite de l'entrée en vigueur d'une nouvelle législation depuis l'introduction initiale du litige). Il n'est même pas nécessaire que de « nouveaux » arguments, faits ou pièces soient produits, le juge d'appel fonctionne dans le cadre du double degré de juridiction. Le droit judiciaire commun admet en ordre général que le justiciable dispose d'un droit - sans qu'il s'agisse d'un principe de droit absolu et exécutoire - de soumettre le litige une seconde fois à un juge. Dans le cadre de pareil appel ordinaire, le justiciable peut émettre des critiques quant aux motifs de jugement dont appel, il peut également tout simplement invoquer de nouveaux moyens ou de nouveaux arguments ou pièces. Le justiciable essayera d'établir devant le juge d'appel comment et pourquoi le jugement, dont il demande la réformation, n'a pas appliqué les principes de droit de façon correcte. Dans ce cadre, le justiciable dispose donc d'une « deuxième chance » pour essayer d'obtenir gain de cause.

Tel n'est pas le cas devant la Cour des marchés. Elle exerce un contrôle juridictionnel (en une seule instance) sur les décisions de certaines autorités administratives, mais avant de pouvoir envisager de remplacer une décision si nécessaire (dans le cadre de sa pleine compétence) par sa propre décision, il est nécessaire que la Décision Attaquée soit irrégulière ou illégale sensu lato.

En décider autrement reviendrait à attribuer à la Cour des marchés les compétences d'une autorité administrative et de violer ainsi le principe de la séparation des pouvoirs.

La chambre contentieuse de l'APD est un organe d'une autorité administrative faisant partie du pouvoir exécutif. Dans la mesure où des autorités administratives sont autorisées à prendre des

¹⁶ Conseil d'Etat (9e ch.) nr. 188.152, 24 novembre 2008, CDPK 2009, 535; http://www.raadvst-consetat.be.

¹⁷ Conseil d'Etat n° 153.326, 9 janvier 2006, CDPK 2006, 183 et 207; http://www.raadvst-consetat.be.

PAGE 01-00001942078-0013-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 14---

décisions, dont certaines ont une portée équivalente à celle des cours et tribunaux de l'ordre judiciaire, il est impératif qu'un recours juridictionnel soit instauré par le législateur afin de garantir au justiciable un recours devant une juridiction faisant partie de l'ordre judiciaire.

Il s'ensuit que la Cour des marchés ne peut donc substituer sa décision à celle de l'autorité administrative que lorsque la Cour constate que cette décision est illégale ou irrégulière (par exemple lorsqu'un quelconque principe de bonne administration serait violé par la décision administrative attaquée).

Une erreur manifeste « peut » entraîner l'annulation de la décision. Il s'ensuit qu'il appartient au requérant de prouver l'erreur manifeste d'appréciation qui aurait été commise par la chambre contentieuse de l'APD, l'illégalité de la Décision Attaquée ou la méconnaissance des principes généraux en matière de la bonne gestion administrative$^{18}$.

La motivation exigée par la loi du 29 juillet 1991 sur la motivation explicite des actes administratifs doit comporter l'énoncé des considérations de droit et de fait qui constituent le fondement de la décision. Il résulte de ces dispositions que, dans l'hypothèse où la légalité d'une décision administrative repose sur la prise en compte d'un certain nombre de considérations, le respect de l'exigence de motivation qu'elles prévoient ne conduit son auteur à ne devoir énoncer que celles sur lesquelles se fonde la décision qu'il a prise. Il suit de là que le moyen tiré de l'insuffisance de motivation de la Décision Attaquée qui n'avait pas à se prononcer sur l'ensemble des critères prévus à l'article 83 du RGPD précité et de l'erreur de droit que révélerait cette insuffisance de motivation, doit être écarté.

#### **7.4. L'amende infligée respecte-t-elle l'article 83 du RGPD ?** (premier moyen du requérant et de l'APD)

Dans la mesure où le requérant critique le contenu des réponses fournies par la chambre contentieuse de l'APD, le moyen ne peut pas être accueilli.

En effet, le requérant fait valoir :

« 4.1.3.

*En l'espèce, la Chambre contentieuse de l'Autorité de protection des données a infligé une amende d'un montant de 5.000,00 euros sans prendre en considération tous les éléments ainsi invoqués par l'article 83 du Règlement RGPD.*

*a) La nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que le nombre de personnes affectées et le niveau de dommage qu'elles ont subi (article 83.2.4 du RGPD)*

4.1.4.

*L'Autorité de protection des données aurait dû prendre en considération la nature, la gravité et la durée de la violation ainsi que ainsi que le nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi (article 83.2 a)*

*En l'espèce, X a adressé un seul courriel au plaignant, Z, et s'est immédiatement excusé de cette erreur de manipulation de sorte qu'il n'y a eu qu'une seule personne affectée et que la violation au règlement RGPD n'a pas duré.*

$^{18}$ Cour des marchés 12 juin 2019, 2019 AR 113.

PAGE 01-00001942078-0014-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 15---

Cette erreur de manipulation n'a, par ailleurs, pas causé un dommage important à Z, ce que la Chambre contentieuse n'a pas pris en compte dans l'évaluation de l'amende infligée à X.

#### 4.1.5.

En termes de conclusions principales, l'Autorité de Protection des données reconnaît qu'un seul courriel est litigieux mais indique qu'il est erroné de considérer qu'une seule personne a été affectée dès lors que le courriel dont question aurait été adressé à 150 personnes.

Cela ne signifie pas pour autant que ces 150 personnes sont des « personnes affectées » au sens de l'article 83.2. du RGPD dès lors qu'il n'est pas établi que X ne disposait pas de l'autorisation d'utiliser les données personnelles de certaines de ces personnes.

D'ailleurs, hormis Z, personne n'a émis de plaintes, ni à X, ni à l'Autorité de Protection des Données.

b) Le fait que la violation a été commise délibérément ou par négligence (article 83.2.b du RGPD)

#### 4.1.6.

L'Autorité de protection des données aurait également dû tenir compte du fait que la violation n'était pas délibérée et a eu lieu, au contraire, par négligence (article 83.2 b).

Comme a pu l'expliquer X par l'intermédiaire de sa secrétaire, cette dernière a adressé une publicité électorale depuis sa messagerie privée en omettant de cacher la liste des destinataires.

Il n'y a donc eu aucune intention d'utiliser avec abus ces adresses, ni de nuire à qui que ce soit. Il s'agit d'une simple erreur de manipulation pour laquelle X s'est excusé.

#### 4.1.7.

Dans sa décision, la Chambre contentieuse reconnaît « qu'aucun élément du dossier n'atteste que l'atteinte aurait été commise de manière délibérée, sur instruction du défendeur » (page 11 de la décision).

La Chambre contentieuse a ainsi accepté de retenir le caractère non délibéré de l'atteinte à titre de circonstances atténuantes.

Toutefois, au niveau de la sanction, la Chambre contentieuse n'a, en réalité, nullement pris en considération cette circonstance atténuante dès lors que, et comme il le sera exposé ci-dessous, la sanction infligée à X est une sanction très sévère par rapport aux sanctions appliquées habituellement par la Chambre contentieuse.

#### 4.1.8.

En termes de conclusions principales, l'Autorité de Protection des Données allègue que « le caractère non délibéré de l'atteinte qui a été retenu par la Chambre contentieuse en tant que circonstance atténuante (Décision Attaquée paragraphe 35) concerne uniquement la troisième violation (article 32.1 et 32.4 du RGPD) » (page 15 des conclusions principales de l'Autorité de la Protection des Données).

En d'autres termes, l'Autorité de Protection des Données estime, en termes de conclusions principales, que cette circonstance atténuante n'a pas été retenue pour les violations des articles 5.1.a, 5.1.b, 6.1 ainsi que des articles 25.1 et 25.2 du RGPD.

Force est de constater que cette affirmation est en totale contradiction avec la décision rendue par la Chambre contentieuse de l'Autorité de la Protection des données.

PAGE 01-00001942078-0015-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 16---

Cette dernière a admis, sous le titre 3 de sa décision « Mesure correctrice », cette circonstance atténuante sans faire de distinction et sans préciser qu’elle ne s’appliquait qu’à l’une ou l’autre violation.

Le point 35 de la décision attaquée est, en effet, rédigé en ces termes :

« Dans sa réponse au formulaire de réaction à l’encontre d’une amende envisagée, le défendeur fait valoir principalement que l’envoi de ce courrier résulte de son point de vue d’une erreur de manipulation. A cet égard, la Chambre contentieuse rappelle qu’une telle erreur de manipulation, le cas échéant, constitue une faille de sécurité et à ce titre une violation de données au sens de l’article 4.10 du RGPD qui entraîne la responsabilité du défendeur en ce qui concerne la mise en œuvre préalable de mesures de sécurité adéquates en vue d’éviter de telles erreurs. La Chambre contentieuse note toutefois qu’aucun élément du dossier n’atteste que l’atteinte aurait été commise de manière délibérée, sur instruction du défendeur. La Chambre contentieuse retient donc le caractère non délibéré de l’atteinte à titre de circonstance atténuante » (page 11 de la décision attaquée).

En outre, dans la mesure où la Chambre contentieuse de l’Autorité de Protection des Données a infligé une amende globale pour les différentes violations, la circonstance atténuante reconnue par cette dernière devait être prise en considération quant à l’évaluation de la sanction et ce quand bien même cette circonstance atténuante ait été reconnue uniquement pour l’une des violations, quod non.

c) Mesures prises par le responsable de traitement ou le sous-traitant pour atténuer le dommage subi par la personne concernée (article 83.2.c du RGPD)

#### 4.1.9.

Par ailleurs, l’Autorité de protection des données aurait encore dû prendre en considération les mesures prises par X pour atténuer le dommage subi par les personnes concernées (article 83.2 c).

Dans son courrier du 14 octobre 2019, X a informé la Chambre contentieuse qu’il avait « sollicité l’avis d’un spécialiste de la nouvelle législation » pour l’aider à encadrer son équipe « afin d’éviter à l’avenir toute nouvelle erreur du genre ». L’Autorité de protection des données a refusé de prendre en considération ces éléments.

d) Toute violation commise précédemment par le responsable du traitement ou le sous-traitant (article 83.2.e du RGPG)

#### 4.1.10.

Dans l’estimation de l’amende infligée à X, la Chambre contentieuse n’a également pas jugé utile de prendre en compte l’absence totale de précédente violation dans le chef de X et ce en contrariété avec l’article 83.2. e).

#### 4.1.11.

En termes de conclusions principales, l’Autorité de Protection des Données prétend que le RGPD considère la récidive comme étant une circonstance aggravante.

Selon elle, l’absence de circonstance aggravante ne signifie pas l’existence d’une circonstance atténuante.

Cela n’enlève rien au fait que pour déterminer la sanction à appliquer à X, l’Autorité de Protection des Données aurait dû prendre en considération le fait que ce dernier n’était pas coutumier des violations au RGPD et qu’aucune sanction ne lui avait jamais été appliquée auparavant.

PAGE 01-00001942078-0016-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 17

Si l'absence de précédentes violations ne constitue pas une circonstance atténuante, quod non, cela constitue à tout le moins un critère objectif qui doit être pris en compte dans la détermination de la sanction.

e) Le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs (article 83.2.f du RGPD)
4.1.12.

De même, la Chambre contentieuse n'a pas pris en considération la coopération de X (article 83.2 f). Dès le 14 octobre 2019, X a indiqué à la Chambre contentieuse qu'il était à sa disposition pour être entendu si elle le souhaitait.

Cela démontre parfaitement que X souhaitait coopérer dans le cadre de cette affaire, ce que la Chambre contentieuse n'a pas pris en compte.

f) Toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation (article 83.2.k du RGPD)

4.1.13.

Enfin, la Chambre contentieuse n'a pas estimé utile de prendre en compte d'autres circonstances atténuantes comme le fait que X n'a retiré aucun avantage de cette violation. En termes de conclusions principales, l'Autorité de Protection des données estime qu'il n'y a pas lieu de faire droit à cet argument au motif que X n'apporte aucun élément qui permettrait de déterminer si l'utilisation du fichier permanent a influencé ou non favorablement le résultat des élections.

Il est impossible pour X d'apporter la preuve de ce fait négatif. Néanmoins, il n'est pas déraisonnable d'admettre que les 150 personnes prétendument visées par le courriel litigieux n'ont pas, à elle seules, pu influencer le résultat final des élections. Par ailleurs, il y a lieu de constater que les amendes infligées par l'Autorité de Protection des Données constituent des sanctions de nature pénale.

En effet, depuis l'arrêt de la Cour Européenne des Droits de l'Homme Engel c. Pays-Bas du 8 juin 1976, il est acquis que la notion d'« accusation en matière pénale » visée par l'article 6 de la Convention est une « notion autonome », dotée d'une signification européenne potentiellement distincte de celle attribuée aux termes homonymes dans le droit national des Hautes Parties contractantes.

Pour déterminer si une sanction administrative revêt un caractère pénal, il faut que trois critères soient réunis : la qualification de la sanction en droit interne, la nature du comportement réprimé et, enfin, la nature et le degré de sévérité de la sanction concernée.

Les deuxième et troisième critères sont alternatifs et non nécessairement cumulatifs. Pour que l'article 6 de la CEDH s'applique, il suffit que l'infraction en cause soit par nature pénale au regard de la Convention, ou ait exposé l'intéressé à une sanction qui, par sa nature et son degré de gravité, ressortit en général à la matière pénale.

En l'espèce, force est de constater que la sanction appliquée par l'Autorité de Protection des Données constitue bien une sanction administrative dotée d'une nature pénale :

- L'amende ainsi infligée est qualifiée de sanction administrative ;
- Le RGPD protège l'intérêt général de la société et les amendes infligées en raison d'une violation du RGPD ont à la fois un but dissuasif et répressif ;
- L'amende infligée est d'une sévérité indéniable.

PAGE 01-00001942078-0017-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 18---

Cela est d’autant plus vrai que la Cour européenne des droits de l’homme a déjà eu l’occasion d’appliquer les « critères d’Engel » à une amende administrative prononcée par l’autorité de contrôle des marchés financiers italiens et de lui reconnaître le caractère pénal.

La Cour de justice de l’Union européenne, après avoir fait sien le développement des « critères d’Engel », a également appliqué ce raisonnement aux amendes administratives.

Le caractère pénal des sanctions administratives prévues par le RGPD doit ainsi manifestement être reconnu, notamment eu égard à la teneur de l’article 83 du RGPD prévoyant que les amendes administratives prévues par les autorités de contrôle doivent être effectives, proportionnées et dissuasives, et fixant des seuils particulièrement élevés.

Étant de nature pénale, les amendes administratives appliquées par l’Autorité de Protection des Données doivent se voir appliquer les garanties procédurales propres à la « matière pénale » que sont le droit à un procès équitable, la légalité des incriminations et des peines et le principe non bis in idem.

Ces garanties procédurales en matière pénale entraînent, notamment, une interversion de la charge de la preuve, ce qui signifie que c’est la partie poursuivante, en l’espèce l’Autorité de Protection des Données, qui doit supporter la charge de la preuve.

Ainsi, l’Autorité de Protection des données ne peut se contenter d’invoquer que X aurait retiré un avantage de la violation au RGPD mais doit en apporter la preuve, quod non.

4.1.14.

De même, la Chambre contentieuse n’a pas estimé utile de prendre en compte la situation financière délicate de X alors que ce dernier avait informé la Chambre de celle-ci et avait ajouté qu’une amende d’un montant de 5.000,00 euros aurait pour conséquence d’aggraver cette situation financière déjà délicate.

En effet, X doit faire face à d’importantes dettes qui l’empêchent d’assumer une amende d’un montant de 5.000,00 euros.

A titre d’exemple, X se voit réclamer de près de 16.000,00 euros par l’Administration fiscale.

En outre, l’immeuble dont il est propriétaire et dans lequel il réside rencontre des problèmes de stabilité. X n’a dès lors d’autre choix que de réaliser des travaux d’envergure pour lesquels son assurance habitation refuse d’intervenir, ce qui l’oblige à en assumer seul le coût.

Enfin, X a fait l’objet de poursuites pénales dans le cadre du dossier dit du « ... ».

Cette procédure initiée le 3 novembre 1999, a duré treize années et elle s’est clôturée par un arrêt de la 6ème chambre de la Cour d’appel de [...] du [...] dans lequel la Cour d’appel a confirmé en tout point le jugement du Tribunal correctionnel de [...], du [...] en vertu duquel X a été acquitté de toutes les préventions.

Les conseils ayant assisté X dans le cadre de cette procédure lui réclament, à titre de frais et honoraires, la somme globale de 465.488,82 euros.

Ces montants ont fait l’objet de contestations de la part de X, ce qui a entraîné une procédure en justice devant le Tribunal de première instance de [...] (pièce 13 du dossier inventorié du concluant).

Cette procédure est actuellement toujours en cours de sorte qu’aucun jugement définitif n’a pu être rendu.

g) Conclusion

PAGE 01-00001942078-0018-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 19---

#### 4.1.15.

*La Chambre contentieuse de l'Autorité de protection des données n'a pas pris en considération l'ensemble des éléments qui doivent être pris en compte pour déterminer le montant de l'amende selon le prescrit de l'article 83 du Règlement RGPD. »*

L'ensemble de ces critiques porte sur l'appréciation de fait que la chambre contentieuse de l'APD a effectuée en l'espèce.

Comme il n'appartient pas à la Cour des marchés de « *réexaminer* » les faits de la cause, et que le moyen n'invoque pas qu'il y aurait eu une erreur manifeste d'appréciation, il ne peut pas être accueilli.

#### 7.5. L'amende infligée est-elle disproportionnée ?

(deuxième moyen du requérant, premier moyen de l'APD)

L'article 83 du RGPD dispose en son premier point que chaque autorité de contrôle veille à ce que les amendes administratives imposées pour des violations du règlement soient, dans chaque cas, effectives, proportionnées et dissuasives.

En son article 100, la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (loi APD) énumère les sanctions possibles.

La chambre contentieuse a le pouvoir de classer la plainte sans suite; d'ordonner le non-lieu; de prononcer la suspension du prononcé; de proposer une transaction; de formuler des avertissements et des réprimandes; d'ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits; d'ordonner que l'intéressé soit informé du problème de sécurité; d'ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement; d'ordonner une mise en conformité du traitement; d'ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données; d'ordonner le retrait de l'agréation des organismes de certification; de donner des astreintes; de donner des amendes administratives; d'ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international; de transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier; de décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.

La faculté d'infliger une amende administrative n'est que la treizième sanction dans l'énumération légale.

Le but fondamental de la législation Européenne n'est pas de sanctionner sous la forme d'infliger des amendes pour le moindre manquement aux prescrits, le but réel est la protection des données. La finalité est donc de protéger les données, non pas de sanctionner à tout prix la moindre infraction.

En l'espèce :

*« Le 22 mai 2019, X a adressé un courriel en son nom, par l'intermédiaire de l'adresse emails de sa secrétaire, [...], à Z en ces termes : « Mesdames, Messieurs, Chères amies, Chers amis, Je suis fier d'être le Xème candidat de la liste [...] pour notre arrondissement de [...]. Qu'il me soit permis de solliciter votre suffrage. Un bon résultat me permettra avec notre équipe au Collège et au Conseil provincial d'être encore plus efficace. Je souhaite mettre tout en œuvre pour soutenir aussi nos*

PAGE 01-00001942078-0019-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 20---

mandataires locaux et leurs projets. Mes plus amicales salutations » (pièce 1 du dossier inventorié de l'appelant).

Le 23 mai 2019, Z a adressé un courriel sur l'adresse emails de la secrétaire de X afin d'indiquer qu'il n'avait pas donné son accord pour l'utilisation de ses données personnelles et que le courriel dont mention ci-dessus n'aurait dès lors pas dû lui être adressé.

Dès le lendemain, soit le 24 mai 2019, X, par l'intermédiaire de sa secrétaire, a présenté ses excuses à Z en ces termes : « Nous connaissons la loi sur le RGPD : nous nous excusons de cette erreur. Nous nous sommes rendu compte de celle-ci au moment de l'envoi mais il était trop tard. Nous vous demandons donc de ne pas porter plainte pour un geste totalement indépendant de notre volonté. Encore toutes nos excuses. Meilleurs salutations » (pièce 2 du dossier inventorié de l'appelant).

Le 25 mai 2019, Z a introduit une demande d'information auprès de l'Autorité de protection des données concernant l'utilisation par X de son adresse électronique personnelle. Il a également dénoncé le fait que ce message a été envoyé à de nombreux destinataires placés en copie (pièce 3 du dossier inventorié de l'appelant). »

et : « Dès le 4 juillet 2019, la secrétaire de X, [...] a répondu à cette interrogation en ces termes : « Les adresses proviennent d'un fichier « permanences » organisés par X lorsqu'il était Bourgmestre de [...] . Z figure donc dans celui-ci pour avoir, à un moment ou à un autre, eu un contact avec X ».

La secrétaire a encore ajouté : « Dans les faits, de ma messagerie privée, j'ai une envoyé une publicité électorale pour X, afin d'éviter qu'il utilise sa messagerie personnelle en sa qualité de député provincial (...). Et ce mail a été envoyé spontanément, en omettant de mettre en CCI les destinataires. Il n'y a donc aucune intention d'utiliser avec abus ces adresses, ni de nuire à qui que ce soit. C'est juste une erreur de manipulation que nous regrettons. Nous nous sommes excusés auprès de Z comme vous avez pu le lire ».

Le 6 août 2019, le Service de première ligne de l'Autorité de protection des données a déclaré la plainte de Z recevable et l'a transmise à la Chambre Contentieuse.

Par un courrier recommandé du 25 septembre 2019, le Président de la Chambre Contentieuse a informé X et Z que le dossier était prêt pour traitement au fond et a invité les parties à introduire leurs conclusions selon le calendrier fixé.

Par courrier du 14 octobre 2019, X a indiqué à la Chambre contentieuse : « J'ai bien reçu votre nouveau courrier concernant la diffusion d'adresses mails à une série d'interlocuteurs pendant la dernière campagne électorale. Si vous le souhaitez, je me tiens à votre disposition pour être entendu à ce sujet. Je veux déjà vous confirmer ou « reconfirmer » que l'envoi du fichier à l'ensemble des personnes était une simple erreur de manipulation au moment de l'envoi du document qui devait être individualisé. J'ai moi-même sollicité l'avis d'un spécialiste de la nouvelle législation pour m'aider à encadrer mon équipe afin d'éviter à l'avenir toute nouvelle erreur du genre. La question toujours en cours d'analyse avec la personne ressource que j'ai choisie est de savoir quelles sont les précautions d'utilisation à prendre avec les adresses e-mail que les personnes n'ont pas transmis spontanément. Pour

PAGE 01-00001942078-0020-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 21

ma part, je pensais qu'eu égard au fait que les personnes m'avaient elles-mêmes transmis leur adresse, cela m'autorisait à les recontacter – cela ne semble pas si évident ! Croyez bien que je mets tout en œuvre pour éviter la répétition de telle(s) faute(s) ou erreur(s). Je reste à votre disposition » (pièce 4 du dossier inventorié de l'appelant). »

L'APD ne conteste pas ces faits (voir les conclusions pour l'APD pages 4 à 7.

La Décision Attaquée considère que :

« 29. Premièrement, la nature et la gravité des manquements sont prises en compte (article 83, 1, a) du RGPD). En effet, les manquements aux articles 5.1.b (traitement ultérieur incompatible), 5.1.a (licéité) et 6.1 du RGPD (traitement illicite) identifiés dans la présente décision constituent des manquements aux principes fondamentaux de protection des données. Il s'agit d'ailleurs de manquements pour lesquels les montants d'amendes maximums sont les plus élevés (article 83.5 du RGPD).

30. Deuxièmement, la Chambre Contentieuse considère que la qualité du défendeur, à l'époque de la collecte des données, à savoir celle de bourgmestre, et ultérieurement, la qualité de parlementaire à l'époque de l'envoi de l'e-mail litigieux, constitue une circonstance aggravante au titre de l'article 83.2.k. Au regard de ce rôle joué par le défendeur dans la vie publique, il pouvait légitimement être attendu de lui le plus grand souci de ne pas réutiliser à titre personnel des données collectées via le secrétariat de la ville dont il avait été bourgmestre, et mener une campagne électorale dans le respect de l'ensemble des règles y applicables et en l'occurrence, des règles de protection des données.

31. Enfin, la Chambre contentieuse prend bonne note du fait que le défendeur expose sa bonne volonté de mettre en œuvre le RGPD, en ce qu'il déclare avoir « sollicité l'avis d'un spécialiste de la nouvelle législation » pour l'aider à encadrer son équipe « afin d'éviter à l'avenir toute nouvelle erreur du genre » (voir § 9 ci-dessus). La Chambre contentieuse ne peut tenir compte de l'entrée en vigueur du RGPD à titre de circonstance atténuante, car les atteintes constatées aux principes de finalité et de licéité ne sont pas des éléments neufs dans la législation relative à la protection des données personnelles. Dans sa note « Elections » publiée dès le début des années 2000 sur le site Internet de l'APD et mise à jour à la suite de l'entrée en application du RGPD, l'Autorité de protection des données mentionnait déjà l'interdiction de réutiliser à des fins électorales les données extraites de fichiers du secteur public (comme le Registre national, des données de fichiers du personnel de la fonction publique, une liste des personnes aidées par un CPAS, des données obtenues dans le cadre de l'exercice d'un mandat d'échevin, ...) ou des données de fichiers du secteur privé (fichier clients d'une entreprise, liste des membres d'une association, ...) »

Le fait que le manquement est un manquement à un principe fondamental pour lesquels les montants des amendes sont les plus élevés, n'est pas un argument de nature à justifier la proportionnalité.

La fonction du requérant est certes un élément dont il peut être tenu compte pour déterminer une sanction, mais la considération que la chambre contentieuse a établi une « jurisprudence » sévère envers des hommes politiques, ne peut pas être retenue. La chambre contentieuse est un organe d'une autorité administrative, elle ne peut en aucun cas établir une « jurisprudence », elle doit prendre une décision, cas par cas. En outre, même à supposer qu'il s'agirait néanmoins d'une jurisprudence, la publicité de ces décisions sur le site web de l'APD devrait suffire pour alerter les hommes et femmes politiques sur leurs obligations et la nécessité de renforcer leur vigilance sur les mesures de sécurité apportées aux données personnelles qu'ils traitent, il est interdit par les principes de droit commun que l'on applique « un tarif ». Chaque justiciable, tout comme chaque

PAGE 01-00001942078-0021-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 22---

citoyen, a le droit d'être traité en individuel et en fonction des éléments de son dossier et sans que des éléments d'autres dossiers puissent interférer.

Lorsqu'il y a lieu de prendre une décision au cas par cas, partant du principe de bonne foi, en l'absence d'un avertissement préalable, en l'absence de tout précédent et confronté avec des excuses immédiates (le lendemain de la date à laquelle le requérant a été informé du problème dont il n'était pas conscient), la sanction d'infliger immédiatement une amende administrative en plus du fait de la fixer d'emblée à une somme importante de 5.000 euros, revêt d'un caractère disproportionné.

En outre, les motifs suivants :

« 34. Le défendeur n'a pas suivi la procédure qui lui a été communiquée par courrier recommandé et par email. Sa réponse selon laquelle il n'aurait pas été informé de l'obligation d'envoyer des conclusions au plaignant est contraire aux faits. La Chambre contentieuse estime que par cette omission et dénégations erronées des faits, le défendeur n'a pas fourni toute sa coopération dans la procédure, ce qui constitue une circonstance aggravante »

font preuve d'une erreur manifeste d'appréciation dans le chef de la chambre contentieuse de l'APD. Il n'y a pas de procédure contraignante et quoi qu'il en soit, un manquement à des règles de procédure peut avoir comme effet que l'autorité ne tienne pas compte d'écrits ou de documents qui sont utilisés en infraction à des règles de procédure, mais pareil fait – fût-il établi *quod non* en l'absence de règles contraignantes qui sont opposables aux justiciables – ne peut jamais constituer une circonstance aggravante. Ce motif de la chambre contentieuse mélange la forme et le fond et est parfaitement illégal et infirme la décision de ce seul fait.

La Cour des marchés ne critique pas la politique de la chambre contentieuse de l'APD mais le fait de ne pas considérer les possibilités d'atteindre le but poursuivi par la législation Européenne (telle que implémentée en droit belge) par une autre décision (prévue explicitement à l'article 100 points 3 à 12 de la loi APD) tout en constatant une série d'éléments qui démontrent que le requérant n'a nullement manifesté son intention de méconnaître les principes de protection des données personnelles mais que tout au contraire la violation qu'il a commise est le résultat d'une négligence ou inadvertance et qu'il a redressé immédiatement la situation tout en présentant ses excuses (voir ci-dessus) ne peut être interprété autrement que comme un détournement de pouvoir, l'utilisation par une autorité administrative de son pouvoir à une fin autre que celle pour laquelle elle a été accordée, dans le chef de la chambre contentieuse de l'APD.

Une attitude, tendant à infliger des amendes dès la première infraction commise par inadvertance, ne correspond pas aux principes qui gouvernent la matière. Dans la mesure où la chambre contentieuse de l'APD dispose d'une chaîne répressive complète lui permettant de réaliser des contrôles dont les suites (si l'infraction est établie) peuvent aller de l'avertissement à la sanction financière ou non. Dans certains cas, une publicité peut même être décidée en fonction de la gravité des cas. La Cour des marchés se demande si dans le cas de X un avertissement n'aurait pu suffire. La chambre litigieuse omet de tenir compte de la présomption de bonne foi. En infligeant immédiatement une amende administrative – très consistante à l'encontre d'un particulier qui a adressé des courriels mentionnant l'adresse e-mail de toutes les personnes auxquelles le courriel était adressé – la chambre contentieuse méconnaît les principes fondamentaux de la proportionnalité de la sanction.

PAGE 01-00001942078-0022-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 23

## 7.6. La sanction.

(deuxième moyen de l'APD)

Le requérant demande la “réformation” de la décision de telle sorte que la sanction d'infliger une amende de 5.000,00 € serait réformée en un sursis du prononcé. L'APD fait valoir à ce sujet :

« 78. À titre subsidiaire, même si Votre Cour devait annuler la Décision Attaquée (quod non), elle ne saurait substituer son appréciation à celle de la Chambre contentieuse comme le sollicite X.

En effet, lorsque X sollicite de Votre Cour qu'elle statue en pleine juridiction en réformant la Décision Attaquée et en prononçant la suspension du prononcé à la place de la Chambre Contentieuse, il demande à Votre Cour de décider sur un aspect qui relève du pouvoir d'appréciation discrétionnaire de l'APD. Une telle solution ne saurait être retenue.

Votre Cour devrait donc renvoyer la plainte devant la Chambre contentieuse afin que celle-ci adopte une nouvelle décision qui tiendrait compte des motifs d'annulation retenus par Votre Cour. »

La Cour des marchés ne peut pas « réformer » une décision comme un juge d'appel pourrait le faire. La Cour des marchés ne peut qu'annuler ou non la Décision Attaquée.

Dans la mesure où une décision est annulée, la Cour des marchés peut – sur la base de la pleine juridiction – prendre une nouvelle décision qui remplacera la décision annulée. La « réformation factuelle » de la Décision Attaquée se fait donc en deux phases, d'abord l'annulation de la décision et puis le remplacement de la décision annulée par une nouvelle décision.

La Cour des marchés considère donc que lorsque le requérant demande la « réformation » d'une Décision Attaquée, qu'il demande en finalité que la Cour des marchés annule la Décision Attaquée et remplace cette décision par une nouvelle décision.

La Cour fait sienne les considérations suivantes de l'arrêt du 28 septembre 2012 ¹⁹ de la Cour de cassation :

« Le juge est tenu de trancher le litige conformément aux règles de droit qui lui sont applicables. Il est tenu d'examiner la nature juridique des faits et actes allégués par les parties et peut, quelle que soit la qualification juridique que les parties leur ont donnée, compléter d'office les motifs qu'elles ont invoqués à la condition qu'il ne soulève pas de contestation dont les parties ont exclu l'existence dans leurs conclusions, qu'il se fonde exclusivement sur des éléments qui lui ont été régulièrement soumis, qu'il ne modifie pas l'objet de la demande et qu'il ne viole pas les droits de défense des parties. »

En l'espèce le requérant demande que la décision soit remplacée et l'APD s'est défendu sur cette demande (voir l'extrait des conclusions cité ci-dessus). Lorsque la Cour des marchés interprète la demande du requérant de « réformer » la Décision Attaquée en une demande d'annuler la décision et de la remplacer par une nouvelle décision sur l'étendue de laquelle les parties ont pris des conclusions, la Cour des marchés ne statue pas ultra petita.

En l'espèce, la Décision Attaquée doit être annulée pour détournement de pouvoir, l'utilisation par la chambre contentieuse de l'APD de son pouvoir de sanctionner par la voie d'infliger une amende administrative sans envisager que les autres sanctions de l'article 100 de la loi APD peuvent atteindre

¹⁹ Cass. 28 septembre 2012, http://www.cass.be à sa date, arrêt n° C.12.0049.N; J.T. 2013, 497 ; J.L.M.B. 2013, 1297, note VAN DROOGHENBROECK, J.

PAGE 01-00001942078-0023-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 24---

le résultat envisagé par le législateur$^{20}$ et au motif qu'en l'espèce la chambre contentieuse n'a pas tenu compte de la présomption de bonne foi, ni de l'attitude du requérant dès qu'il a été informé de l'infraction, et qu'elle a pris en considération des circonstances aggravantes de façon illégale, violant ainsi le principe de proportionnalité de la sanction.

Étant donné que le requérant ne conteste pas les infractions et ne l'a jamais fait, il y a lieu de considérer les infractions comme établies et reconsidérant – en vertu de la pleine juridiction dont dispose la Cour des marchés – la proportionnalité de la sanction, il y a lieu d'infliger au requérant la sanction de la suspension du prononcé.

## **8. Décision et dépens**

Le recours est recevable et fondé.

La Décision n°53/2020 prononcée par la chambre contentieuse de l'Autorité de Protection des Données le 1$^{er}$ septembre 2020 qui inflige une amende de 5.000 € (DOS-2019-02974) à X est annulée, la sanction est celle de la suspension du prononcé.

L'Autorité de la Protection des Données est condamnée aux dépens, liquidés à 1.440 € d'indemnité de procédure pour X.

**PAR CES MOTIFS, LA COUR,**

Vu les articles 24 et 43 bis § 3 *in fine* de la loi du 15 juin 1935 sur l'emploi des langues en matière judiciaire,

Statuant contradictoirement,

Dit le recours de X recevable et fondé ;

Annule la Décision n°53/2020 prononcée par la Chambre contentieuse de l'Autorité de Protection des Données le 1$^{er}$ septembre 2020 (DOS-2019-02974) en qu'elle impose une amende de 5.000 euros à X sur la base des articles 100, 13$^{e}$ et 101 de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (« LCA ») ainsi que l'article 83 du RGPD ;

Statuant de pleine juridiction prononce la sanction de suspension du prononcé sur la base des articles 100 et 101 de la LCA ainsi que l'article 83 du RGPD;

Condamne l'Autorité de Protection des Données aux dépens, liquidés à ... droit de mise au rôle et 1.440 € d'indemnité de procédure pour X.

En application de l'article 2692 du Code des droits d'enregistrement, d'hypothèque et de greffe, condamne l'Autorité de protection des données, à payer à l'Etat belge, SPF Finances, le droit de mise au rôle d'appel (400 €).

$^{20}$ à savoir notamment de moderniser la réglementation européenne sur la protection des données personnelles en raison de l'avancement des nouvelles technologies et de garantir que les données à caractère personnel soient traitées d'une manière nouvelle et que tous les citoyens bénéficient d'une protection de haute qualité lors du traitement de leurs données à caractère personnel.

PAGE 01-00001942078-0024-0025-05-01-4

Cour d'appel Bruxelles – 2020/AR/1333 p. 25

Cet arrêt a été prononcé à l'audience publique du 27 janvier 2021 par :

M. BOSMANS Conseiller ff. président
A-M. WITTERS Conseiller
O. DUGARDYN Conseiller-suppléant
D. GEULETTE Greffier

PAGE 01-00001942078-0025-0025-05-01-4