Cour d'appel Bruxelles - 2021/AR/163 p. 2
EN CAUSE DE
X1
Partie requerante,
Ayant pour conseils Maitre Benjamin Docquir ([email protected]) et
Maitre Chloe Ponsart ([email protected]), avocats, dont le cabinet est etabli
a 1050 Bruxelles, Place du Champ de Mars 5.
Cantre:
L'AUTORITE DE PROTECTION DES DONNEES, organisme public dote de la personnalite
juridique, cree par la loi du 3 decembre 2017, et dont le siege social est etabli a 1000
Bruxelles, Rue de la Presse 35, et inscrite a la Banque-Carrefour des Entreprises sous le
numero 0694.679.950 (ci-apres, l'"lntimee", l"'Autorite de protection des donnees" ou
l'"APD"),
Partie defenderesse,
Ayant pour conseils Maitre Etienne Kairis ([email protected]), et Maitre Francesca
Biebuyck ([email protected]), avocats, dont le cabinet est etabli a 1000 Bruxelles,
Boulevard de l'Empereur 3.
******
Vu les pieces de procedure et notamment
la decision 81/2020 rendue par la Chambre contentieuse de I'Autorite de protection
des donnees le 23 decembre 2020 (DOS-2019-02751);
le recours introduit par X1 a l'encontre de la decision 81/2020 en date du 20
janvier 2021;
- le calendrier de conclusions pris sur pied de !'article 747, §1 du Code judiciaire;
les conclusions de synthese de X1 du 8 avril 2021;
les conclusions additionnelles et synthese de I'APD du 29 avril 2021;
les dossiers de pieces deposes par les parties,
Cour d'appel Bruxelles-2021/AR/163 p. 3
Entendu les conseils des parties a !'audience publique du 5 mai 2021, tenue en
a
videoconference de l'accord des parties. A la date de !'audience, le greffe a mis la disposition
de tout justiciable et de toute personne souhaitant assister aux debats, le lien et le mot de
a
passe permettant de participer la videoconference.
I. La Decision Attaguee
X1 est une etude d'Huissiers de Justice etablie a [...]. Elle est notamment chargee du
recouvrement des redevances de stationnement confie par la Ville de [...] a la societe X2S.A.
X2S.A. et X1 ont fait l'objet d'une plainte deposee le 15 mai 2019 aupres de I'APD introduite
par [...]. (ci-apres « la personne concernee »).
La Chambre Contentieuse de I'APD a rendu la Decision Attaquee le 23 decembre 2020, au
terme de laquelle, elle a decide, a I'egard de X1 de:
°
Prononcer (...) une reprimande sur la base de !'article 100.1, 5 LCA;
Prononcer un ordre de mise en conformite en termes d'information (politique de
confidentialite et clauses d'information) et de base de liceite du formulaire joint aux
°
mises en demeure de paiement et ce, sur la base de !'article 100.1, 9 LCA. II est a
cet effet demande a la seconde defenderesse [X1] de communiquer a I' APD
tant sa politique de confidentialite applicable aux traitements vises par la presente
decision que sa/ses clause(s) d'information ainsi que la maniere dont elle entend
repondre aux manquements lies au formulaire susmentionne. La
communication de ces
documents doit intervenir dans un delai de 3 mois a dater de la notification de la
presente decision via l'adresse [email protected];
Prononcer (... ) une amende administrative d'un montant de 15.000 euros en
°
application des articles 100.1, 13 et 101 LCA.
II.
Le contexte factuel et les antecedents de procedure
Selon I'APD, les faits pertinents a I'examen de la presente cause peuvent etre synthetises
comme ii suit:
1.
X1 est une etude d'huissiers de justice situee a Bruxelles qui s'occupe, dans le cadre de ses
prerogatives legales definies a
!'article 519 du Code judiciaire, notamment du
recouvrement amiable et judiciaire de creances de ses clients.
3
Cour d'appel Bruxelles -2021/AR/163 p. 4
2.
La S.A. X2 (ci-apres « X2»} est une societe specialisee en matiere de stationnement de
rue, et elle contr61e ace titre le stationnement dans les communes dont elle est
concessionnaire des missions d'interet public. Elle fait partie du Groupe [...].
X2 est un des clients de X1 : cette derniere s'occupe pour son compte de la gestion du
recouvrement amiable, et si necessaire, judiciaire, des dettes impayees telles que des
redevances de stationnement.
3.
X2 indique avoir place, en date du 2 janvier 2019, une invitation a payer [...] sur le pare-
brise d'un vehicule stationne a [...] dans une zone bleue sans disque bleu appose ni
autorisation de stationnement. Ce montant correspond au montant de la redevance « Tarif
[..] » du Reglement Communal de [...] du [...] relatif au stationnement en zone bleue n° [...]
(ci-apres le« Reglement Communal »}.
X2 indique avoir ensuite envoye un rappel de paiement a la personne concernee le 24
janvier 2019, majorant la dette initiale de 5€, conformement a !'article [...] du Reglement
Communal.
La personne concernee conteste avoir trouve le 2 janvier 2019 une quelconque invitation a
payer cette redevance sur son parebrise, ainsi qu'avoir re�u un rappel de paiement de la part
de X2
4.
Cette dette etant restee impayee dans les 15 jours de l'envoi du rappel du 24 janvier 2019, X2
a transmis le dossier de la personne concernee a son huissier de justice X1, afin qu'elle
procede au recouvrement du montant reclame.
5.
Le 25 fevrier 2019, X1 a done envoye a la personne concernee une mise en demeure afin de
recuperer le montant reclame (soit le montant de la redevance initiale, majoree des frais de
retard et des frais d'huissiers de justice, soit un total de [..]€). La personne concernee indique
avoir re�u cette mise en demeure le 1er mars 2019.
Cette mise en demeure reprend en annexe un formulaire intitule« Formulaire anous retourner
» qui precise notamment « (...) » (Piece 1 du dossier de I'APO}.
4
Cour d'appel Bruxelles-2021/AR/163 p. 5
Le formulaire contient des champs a completer avec ses coordonnees (nom/prenom, date de
naissance, adresse, code postal et localite, numero de telephone, numero de GSM, adresse e
mail) et reprend trois « propositions de paiement » avec, pour chacune d'entre elles, une case
a cacher.
6.
La personne concernee a ecrit a plusieurs reprises a X2 et a X1 pour obtenir davantage
d'explications, indiquant n'avoir jamais re�u d'invitation a payer, ni de rappel, et
s'opposant au paiement de la redevance. Dans ces ecrits, elle a egalement interroge X1
quant aux bases legales lui permettant d'acceder a la Direction de
l'lmmatriculation des Vehicules (la « DIV ») du SPF Mobilite et au Registre national, ainsi que
demande de pouvoir exercer son droit d'acces a ses donnees a caractere personnel,
conformement a !'article 15 du Reglement General sur la Protection des Donnees (le « RGPD
)) )
7.
Le 15 mai 2019, la personne concernee a depose plainte aupres de I'APD a l'encontre de X2,
d'une part, et de X1, d'autre part, pour divers manquements au RGPD (Pieces 1 et 2 du
dossier de I'APD). Le 6 juin 2019, elle apporta un addendum a sa plainte (Piece 3 du dossier de
I'APD).
Plus precisement, aux termes de ces plaintes, elle reprochait a X1 de s'etre rendue coupable
de
Un manquement a son droit a !'information (articles 12 et 14 du RGPD);
Un manquement a son droit d'acces (article 15 du RGPD);
Un manquement a !'article 28 du RGPD eu egard a sa qualite de sous-
traitant;
Un manquement aux principes de proportionnalite et reutilisation
illegale des donnees qui lui sont communiquees par X2 alors meme qu'elle
n'y serait pas valablement fondee (articles 5 et 6 du RGPD); et
- Un manquement aux principes de minimisation des donnees et le recours au
consentement force eu egard au formulaire joint a la mise en demeure de
paiement (article 5 et 6 du RGPD).
La personne concernee a egalement demande a I'APD que X2 et X1 soient condamnees a une
sanction proportionnee a la gravite de faits, compte tenu de l'objet et de l'ampleur de leur
activite professionnelle qui touche un grand nombre de citoyens. Elle sollicitait en
outre leur condamnation a la publicite non anonymisee de la decision de la Chambre
Contentieuse afin d'informer le public des pratiques illegales en matiere de gestion des
redevances de parking a l'encontre desquelles ii peut revendiquer le respect de ses droits en
matiere de protection des donnees.
5
Cour d'appel Bruxelles- 2021/AR/163 p. 6
8.
Le 18 juin 2019, les plaintes ont ete declarees recevables par I'APO et transmises a la Chambre
Contentieuse de I'APO {Piece 4 du dossier de I'APD).
Le 12 juillet 2019, la Chambre Contentieuse decide de joindre les deux plaintes et de les
transmettre au Service d'lnspection afin qu'une enquete soit menee {Piece 5 du dossier de
l'APD).
9.
Le 6 janvier 2020, un rapport d'enquete est depose par le Service d'lnspection aupres de la
Chambre Contentieuse {Piece 6 du dossier de I'APD).
Les parties ont chacune eu !'occasion de soumettre leurs observations suite au rapport du
Service d'lnspection.
10.
Le 21 janvier 2020, I'APD informe les parties du fait qu'a la suite de la plainte introduite et des
constatations operees par le Service d'lnspection, elle decide de proceder a un examen de la
plainte quant au fond {Pieces 7, 8 et 9 du dossier de I'APD).
11.
Le 13 juillet 2020, la Chambre Contentieuse a organise une audition en presence des parties,
dent un proces-verbal a ete etabli {Pieces 10 et 11 du dossier de I'APD).
12.
En date du 23 decembre 2020, I'APD a rendu une decision quant au fond {81/2020) a l'encontre
de X1 et X2 (ci-apres la « decision » ), dans laquelle
- elle conclut, dans le chef de X1, a :
(i) un manquement a son obligation d'information (articles 12 et 14 du RGPD),
(ii) un defaut de base legale en ce qui concerne le recueil de donnees aux termes du
formulaire accompagnant la mise en demeure de paiement (article 6 du RGPO) et un
manquement au principe de minimisation (article 5.1, c) du RGPD), et
(iii) sur la base des manquements precedents ((i) et (ii)), un manquement a !'obligation de
mise en reuvre de mesures techniques et organisationnelles appropriees pour le
traitement des donnees (articles 5.2 et 24.1-2 du RGPD),
- et prononce les sanctions mentionnees ci-avant a l'egard de X1.
13.
6
Cour d'appel Bruxelles -2021/AR/163 p. 7
Le 20 janvier 2021, X1 a intente un recours devant la Cour des marches a l'encontre de la
decision Attaquee.
Ill. Le cadre legal
1.
La Decision Attaquee de I' APD prononce la sanction de la reprirnande a l'egard de X1 en
se fondant le sur prescrit de !'article 100 § 1 er, 5° LCA, et assortit cette reprirnande d'un
ordre de rnise en conforrnite du forrnulaire joint aux mises en derneure de paiement, et ce
sur la base de !'article 100 § 1, 9° LCA dans un delai de 3 mois a dater de la notification de la
decision et d'une arnende administrative d'un rnontant de 15.000,00 euros en application des
articles 100§1,13° et 101 LCA.
2.
L'article 100 § 1 er LCA est redige cornme suit
« §1 er La chambre contentieuse a le pouvoir de:
1 ° classer la plainte sans suite;
2 ° ordonner le non-lieu;
3 ° prononcer la suspension du prononce;
4 ° proposer une transaction;
5 ° formuler des avertissements et des reprimandes;
6 ° ordonner de se conformer aux demandes de la personne concernee d'exercer ces droits;
7 ° ordonner que l'interesse soit informe du probleme de securite;
8 ° ordonner le gel, la limitation ou /'interdiction temporaire ou definitive du traitement;
7
Cour d'appel Bruxelles - 2021/AR/163 p. 8
9 ° ordonner une mise en conformite du traitement;
10 ° ordonner la rectification, la restriction ou /'effacement des donnees et la notification de
celles-ci aux recipiendaires des donnees;
11 ° ordonner le retrait de l'agreation des organismes de certification;
12 ° donner des astreintes;
13 ° donner des amendes administratives;
14 ° ordonner la suspension des flux transfrontieres de donnees vers un autre Etat ou un
organisme international;
15 ° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
donnees au dossier;
16 ° decider au cas par cas de publier ses decisions sur le site internet de l'Autorite de protection
des donnees
§2. Lorsqu'apres application du§ ler, 15 °, le ministere public renonce a engager des poursuites
penales, a proposer une resolution a /'amiable ou une mediation penale au sens de /'article
216ter du Code d'instruction criminel/e, ou /orsque le ministere public n'a pas pris de decision
pendant un delai de six mois a compter du jour de reception du dossier, l'Autorite de protection
des donnees determine si la procedure administrative doit etre reprise».
L'article 101 LCA est quanta lui redige comme ii suit: « La chambre contentieuse peut decider
d'infliger une amende administrative aux parties poursuivies selon Jes principes generaux vises
a /'article 83 du Reglement 2016/679 ».
3.
L'article 83 du RGPD est redige comme ii suit
« 1. Chaque autorite de controle veille ace que Jes amendes administratives imposees en vertu
du present article pour des violations du present reglement visees aux paragraphes 4, 5 et 6
soient, dons chaque cos, effectives, proportionnees et dissuasives.
2. Se/on Jes caracteristiques propres a chaque cos, /es amendes administratives sont imposees
en complement ou a la place des mesures visees a /'article 58, paragraphe 2, points a) a h), et
j). Pour decider s'il ya lieu d'imposer une amende administrative et pour decider du montant
8
Cour d'appel Bruxelles-2021/AR/163 p. 9
de /'amende administrative, ii est dument tenu compte, dans chaque cas d'espece, des elements
suivants:
a)la nature, la gravite et la duree de la violation, compte tenu de la nature, de la portee au de
la finalite du traitement concerne, ainsi que du nombre de personnes concernees affectees et
le niveau de dommage qu'elles ant subi;
b) le fait que la violation a ete commise deliberement au par negligence;
c)toute mesure prise par le responsable du traitement au le sous-traitant pour attenuer le
dommage subi par Jes personnes concernees;
d)le degre de responsabilite du responsable du traitement au du sous-traitant, compte tenu des
mesures techniques et organisationnelles qu'i/s ant mises en ceuvre en vertu des articles 25
et 32;
e)toute violation pertinente commise precedemment par le responsable du traitement au le
sous-traitant;
f)le degre de cooperation etabli avec l'autorite de contr6/e en vue de remedier a la violation et
d'en attenuer Jes eventuels effets negatifs;
g) Jes categories de donnees a caractere personnel concernees par la violation;
h)la maniere dont l'autorite de contr6/e a eu connaissance de la violation, notamment si, et
dans quelle mesure, le responsab/e du traitement au le sous-traitant a notifie la violation;
i)lorsque des mesures visees a /'article 58, paragraphe 2, ant ete precedemment ordonnees a
/'encontre du responsable du traitement au du sous-traitant concerne pour le meme objet, le
respect de ces mesures;
j)l'application de codes de conduite approuves en application de /'article 40 au de mecanismes
de certification approuves en application de /'article 42; et
k)toute autre circonstance aggravante au attenuante applicable aux circonstances de l'espece,
telle que Jes avantages financiers obtenus au Jes pertes evitees, directement au
indirectement, du fait de la violation. »
4.
X1 pretend au travers de ses differents moyens que la Decision Attaquee viole
• !'article 14 §5 c) du RGPD sur la notion de dispense de !'obligation d'information du
responsable du traitement (premier moyen),
• la notion de caractere libre du consentement de la personne concernee au sens de
!'article 4 (11) du RGPD (deuxieme moyen),
• les regles d'application du principe de minimisation des donnees instaure par !'article 5
§ 1, c) du RGPD (3 eme moyen),
• les articles 5 §2 et 24 §§ 1- 2 du RGPD en ce qu'ils visent la mise en ceuvre de mesures
techniques et organisationnelles appropriees et le principe de motivation formelle
(4eme moyen ),
9
Cour d'appel Bruxelles-2021/AR/163 p. 10
• !'article 83 du RGPD relatif au caractere justifie et proportionne de l'amende et le
principe de !'obligation de motivation formelle (s eme moyen).
IV. L'objet du recours
1.
Au terme de ses conclusions de synthese, X1 demande a la Cour des marches de:
« - Declarer l'appel de X1 recevable et fonde;
- Par consequent;
A titre principal,
- Annuler la decision 81/2020 rendue par l'Autorite de protection des donnees le 23
decembre 2020 (decision a quo) a f'encontre de l'Appe/ante, en ce qu'elle constate un
manquement a /'obligation d'information, un defaut de base legale en ce qui concerne
le recueil des donnees aux termes du formulaire accompagnant la mise en demeure
de paiement et un manquement au principe de minimisation, ainsi qu'un manquement
aux articles 5.2. et 24.1-2 du RGPD;
- Condamner l'Autorite de protection des donnees au remboursement de /'amende
administrative d'un montant de 15.000,00 € payee par X1; et
Cour d'appel Bruxelles - 2021/AR/163 p. 11
- Confirmer la decision a quo pour le surplus.
A titre subsidiaire,
- Si la Cour devait considerer que la plainte deposee en date du 15 mai 2019 par la
personne concernee aupres de l'Autorite de protection des donnees etait fondee en
partie a J'egard de X1, prononcer en tout etat de cause une simple
reprimande et non une amende.
En tout etat de cause,
- Condamner l'lntimee aux entiers depens, en ce compris l'indemnite de procedure,
liquides a 1.860,00 € comme suit:
o Droits de role 400,00 €
o Contribution au fonds budgetaire 20,00 €
o lndemnite de procedure (montant de base) 1.440,00 € ».
2.
Au terme de ses conclusions de synthese, I' APD demande a la Cour des marches de
a
« - Declarer Jes demandes de X1 visant annuler la decision rendue en ce qu'el/e constate
un defaut de base legate pour le recueil des donnees et un manquement au principe de
minimisation (2eme et 3eme griefs) irrecevables ou, a titre subsidiaire, non fondees;
Declarer /es demandes de X1 visant a annuler la decision rendue en ce qu'el/e constate un
manquement a /'obligation d'information, un manquement aux articles 5.2 et 24.1 du
RGPD, et en ce qu'elle impose une amende administrative a X1 {ler, 4eme et 5eme griefs)
non fondees;
- Condamner X1 aux entiers depens de /'instance, en ce compris l'indemnite de procedure
fixee au montant de base {1.440,00€) ».
V. Moyens invogues par X1
11
Cour d'appel Bruxelles - 2021/AR/163 p. 12
X1 developpe un argument liminaire relatif a la competence de la Cour des marches et
a la recevabilite de ses griefs et cinq moyens.
lls sont libelles comme ii suit :
A. A TITRE LIMINAIRE: QUANT A LA COMPETENCE DE LA COUR DES MARCHES ET AUX
GRIEFS DE X1
B. PREMIER MOYEN: X1 N'A PAS MANQUE A SON OBLIGATION
D'INFORMATION DES PERSONNES CONCERNEES
C. DEUXIEME MOYEN: L'UTILISATION DU FORMULAIRE DE DEMANDE DE PAIEMENT PAR
X1 REPOSE SUR UNE BASE LEGALE ET PERMET D'OBTENIR UN CONSENTEMENT LIBRE DE LA
PERSONNE CONCERNEE
D. TROISIEME MOYEN: X1 N'A PAS COMMIS DE MANQUEMENT A L'ARTICLE 5(1)(() DU
RGPD (PRINCIPE DIT DE "MINIMISATION DES DONNEES") DANS LE CADRE DE
L'UTILISATION DU FORMULAIRE DE DEMANDE DE PAIEMENT
E. QUATRIEME MOYEN: X1 N'A PAS COMMIS DE MANQUEMENT AUX ARTICLES
5(2) ET 24(1)-(2) DU RGPD
F. CINQUIEME MOYEN: L'AMENDE ADMINISTRATIVE IMPOSEE A L'APPELANTE EST
INJUSTIFIEE ET DISPROPORTIONNEE
VI. Moyens invogues a l'appui de la defense
Les arguments de I'APD sont intitules comme ii suit :
A TITRE LIMINAIRE : QUANT A LA COMPETENCE DE LA CHAMBRE CONTENTIEUSE DE L'APO ET
DE LA COUR DES MARCHES
PREMIER MOYEN : QUANT AU MANQUEMENT A L'OBLIGATION D'INFORMATION DES
PERSONNES CONCERNEES (ARTICLES 12 ET 14 DU RGPD)
DEUXIEME MOYEN : QUANT A L'OBTENTION D'UN CONSENTEMENT FORCE DE LA PERSONNE
CONCERNEE ET LA VIOLATION DU PRINCIPE DE MINIMISATION DES DONNEES DANS LE CADRE
DE L'UTILISATION DU FORMULAIRE DE DEMANDE DE PAIEMENT (ARTICLES 6.1, A) ET 5.1, C)
DU RGPD)
TROISIEME MOYEN : QUANT AU RESPECT DES ARTICLES 5.2 ET 24 DU RGPD
QUATRIEME MOYEN : QUANT A L'AMENDE ADMINISTRATIVE IMPOSEE PAR L'APD
12
Cour d'appel Bruxelles - 2021/AR/163 p. 13
VII. Recevabilite
La Decision Attaquee a ete prise par I'APD le 23 decembre 2020 et a ete notifiee par
courrier electronique a X1 le meme jour.
II n'est pas conteste que la requete a ete deposee au greffe de la cour dans le delai de 30 jours
vise a !'article 108 § 1er de la loi du 3 decembre 2017 portant creation de l'Autorite de
protection des donnees.
Le recours est recevable.
VIII. Discussion
A. Quant a l'etendue de la juridiction de la Cour des marches et a la recevabilite de
certains griefs de la partie requerante
1.
Les parties developpent en termes de conclusions des theses en desaccord sur l'etendue de la
competence/juridiction de la Cour des marches, en particulier la question de l'etendue de la
pleine juridiction de la Cour des marches et !'incidence de celle-ci sur la recevabilite des griefs
de la partie requerante.
2.
Alers que dans certaines legislations qui conferent juridiction a la Cour des marches, ii est
explicitement indique que la Cour statuera en pleine juridiction, cette delimitation de
juridiction n'est pas explicitement mentionnee en l'espece. L'article 108 § 1 de la loi APD
prevoit seulement qu'un recours centre les decisions de la Chambre contentieuse peut etre
forme devant la Cour des marches.
Un recours devant la Cour des marches differe d'un appel « ordinaire » tel que celui qui peut
etre introduit devant un juge d'appel de l'ordre judiciaire 1.
L'article 6 § 1 de la CEDH dispose que « Toute personne a droit ace que sa cause soit entendue
equitab/ement, publiquement et dons un delai raisonnab/e, par un tribunal independant et
impartial, etabli par la Joi, qui decidera, soit des contestations sur ses droits et obligations de
caractere civil, [ .... ] »
En ce qui concerne le droit a un recours effectif et a un proces equitable, !'article 47 de la charte
des droits fondamentaux de l'Union europeenne dispose que « toute personne dont !es droits
et libertes garantis par le droit de /'Union ant ete violes a droit aun recours effectif devant un
tribunal dons le respect des conditions prevues au present article. Toute personne a droit a ce
que sa cause soit entendue equitablement, publiquement et dons un delai raisonnable par un
tribunal independant et impartial, etabli prea/ab/ement par la Joi. [ ...] »
1 Comp. Cour des marches 19 fevrier 2020, 2019 AR 1600.
13
Cour d'appel Bruxelles-2021/AR/163 p. 17
l'ordre judiciaire, ii est imperatif qu'un recours juridictionnel soit instaure par le legislateur afin
de garantir au justiciable un recours devant une juridiction faisant partie de l'ordre judiciaire.
II s'ensuit que la Cour des marches ne peut done substituer sa decision a celle de l'autorite
administrative que lorsque la Cour constate que cette decision est illegale ou irreguliere (par
exemple lorsqu'un quelconque principe de bonne administration serait viole par la decision
administrative attaquee).
Une erreur manifeste « peut » entrainer l'annulation de la decision. II s'ensuit qu'il appartient
au requerant de prouver l'erreur manifeste d'appreciation qui aurait ete commise par la
chambre contentieuse de I'APD, l'illegalite de la Decision Attaquee ou la meconnaissance des
principes generaux en matiere de la bonne gestion administrative 9•
La motivation exigee par la loi du 29 juillet 1991 sur la motivation explicite des actes
administratifs doit comporter l'enonce des considerations de droit et de fait qui constituent le
fondement de la decision. II resulte de ces dispositions que, dans l'hypothese ou la legalite
d'une decision administrative repose sur la prise en compte d'un certain nombre de
considerations, le respect de !'exigence de motivation qu'elles prevoient ne conduit son auteur
a ne devoir enoncer que celles sur lesquelles se fonde la decision qu'il a prise.
7.
Ceci etant rappele, c'est a tort que I'APD conclut au fait que certains griefs developpes par la
partie requerante ne seraient pas recevables au motif que cette derniere ne rapporterait pas
la preuve d'une irregularite ou d'une illegalite manifeste mais se contenterait d'invoquer une
erreur d'appreciation dans le chef de I' APD.
L'article 108 § ler de la loi APD ne contient aucune disposition relative a la recevabilite des
griefs souleves par la partie requerante. Le seul examen de recevabilite auquel la Cour des
marches doit se livrer a trait a celle du recours introduit. Le fait que certains griefs souleves par
la partie requerante manquent eventuellement en droit ou en fait debouchera uniquement
sur une appreciation de leur (non-) fondement.
B. Quant au premier moyen de la partie reguerante
9 Cour des marches 12 juin 2019, 2019 AR 113.
17
Cour d'appel Bruxelles - 2021/AR/163 p. 18
a) These de la partie reguerante
La these de la partie requerante peut etre synthetisee comme ii suit
« L'Autorite de protection des donnees a commis une premiere erreur de droit lorsqu'elle a
decide que X1 ne pouvait se prevaloir de /'exception a /'obligation d'information prevue
a /'article 14, §5, (c) du RGPD. (...)
En vertu de /'article 14, §5, (c) du RGPD, le responsab/e du traitement est dispense de
/'obligation d'informer Jes personnes concernees quant au traitement de Jeurs donnees
personnel/es lorsque et dans la mesure ou 11/'obtention ou la communication des informations
sont expressement prevues par le droit de /'Union ou le droit de l'Etat membre auquel le
responsable du traitement est soumis et qui prevoit des mesures appropriees visant a proteger
Jes interets Jegitimes de la personne concernee". (...)
Le considerant 62 du RGPD ne laisse aucun doute sur /'intention du Jegislateur de /'Union de
faire exception a /'obligation d'information "lorsque /'enregistrement ou la communication
des donnees a caractere personnel est expressement prevu par la Joi". (...)
(...) la dispense d'information prevue a /'article 14, § 5, (c), du RGPD, ne cree pas a charge du
responsable du traitement une sorte d'obligation de resultat en ce qui concerne /'existence de
garanties appropriees : la definition de la nature, de la teneur et de J'etendue de ces garanties
e st laissee au /egislate ur national, ce qui implique nece ssaire me nt qu'il e xiste une marge
d'appreciation dans le chef du responsab/e du traitement, qui doit se demander si lecadre legal
est suffisant pourjustifier la dispense.
JI e n resulte que l'Autorite de prote ction de s donnee s de vait apprecie r tout autrement
/'e xiste nce de la dispe nse d'information au re gard du cadre legal applicable . Elle de vait se
de mande r si, au re gard de s circonstance s concrete s, ii etait ou non raisonnab/e pour le
responsable du traitement d'estimer qu'il pouvait beneficier de la dispense d'information visee
a /'article 14, § 5, (c), du RGPD. Elle n'a pourtant pas procede a une telle appreciation, sans se
justifier nullement a cet egard ».
b) These de I' APD
18
Cour d'appel Bruxelles- 2021/AR/163 p. 19
1.
L'APD conclut a titre principal au fait que le grief formule par la partie requerante est
irrecevable au motif qu'elle ne demontre pas !'existence d'une irregularite ou d'une illegalite
commise par I'APD.
2.
A titre subsidiaire, I'APD conclut au fait que !'exception invoquee par la partie requerante
devait etre interpretee de maniere restrictive et n'etait pas applicable en l'espece, son grief
etant non fonde.
c) Decision de la Cour
1.
La Cour renvoie aux considerations qui precedent relativement a l'etendue de sa juridiction
et a la recevabilite des griefs pour ecarter !'argument d'irrecevabilite du grief souleve par
I'APD.
2.
La Cour releve pour le surplus que, dans la Decision Attaquee, au terme d'une motivation
consequente {voy. les points 97 a 104 de la decision), I' APD est parvenue a la conclusion
que !'exception a !'obligation d'information invoquee par X1 n'etait pas applicable en
l'espece.
L'APD a indique les raisons l'ayant amenee a conclure que X1 ne pouvait se prevaloir de cette
dispense : le Reglement communal ne reprenant pas d'informations quant aux
traitements de donnees {«l'obtention ou la communication des informations sont
expressement prevues »),et ne prevoyant pas de « mesures appropriees visant a proteger les
interets legitimes de la personne concernee », ii ne repond pas, selon I' APD, aux criteres
prevus par le RGPD pour !'application de cette exception.
3.
II est exact que Reglement communal n'informe pas quant aux traitements de donnees operes
en execution de celui-ci.
X1 ne conteste au demeurant pas le fait que le Reglement communal concerne ne contient
pas « Jes mesures appropriees visant a proteger Jes interets legitimes de la personne
concernee », mais invoque le fait que celles-ci seraient mises en reuvre par les « nombreuses
reg/es Jega/es et deontologiques encadrant la profession d'huissier » qu'elle cite aux pages 18
et 19 de ses conclusions de synthese.
4.
L'interpretation retenue par I'APD se fonde sur le fait qu'en presence d'une exception a une
obligation prevue par le RGPD {en l'espece !'obligation d'information), ii faut interpreter
cette dispense de maniere restrictive. Le but du texte est d'octroyer une dispense
lorsque la personne concernee dispose deja, par le biais du droit national, des informations
en question.
En l'espece, I' APD a releve que les regles legales invoquees par X1 n'etaient en majorite
par pertinentes car elles n'avaient aucun lien avec le traitement des donnees a
caractere personnel. 19
Cour d'appel Bruxelles - 2021/AR/163 p. 20
L'APD n'a retenu que deux legislations citees par la partie requerante com me etant a priori
pertinentes (!'article 519 du Code judiciaire et les articles 71 et 72 du Code de deontologie des
huissiers de justice), car elles prescrivent des garanties necessaires en matiere d'information a
l'egard du justiciable dans leur texte, mais elle a ensuite releve que X1 ne demontrait
pas avoir applique in concreto ce que ces textes prevoient.
5.
Ainsi qu'il a deja ete rappele, le principe de pleine juridiction ne doit pas etre interprete comme
si la Cour des marches offrait « une seconde chance » pour la ou les parties concernees et
comme si que la Cour des marches pouvait « reexaminer le dossier en faisant table rase des le
depart et reevaluer le dossier ».
La Cour des marches constate qu'en l'espece ii n'est pas demontre, qu'en basant sa decision
sur !'analyse qui precede, la Chambre contentieuse de I'APD ait commis une illegalite ou erreur
de droit ou de fait manifeste.
Le premier moyen de la partie requerante n'est pas fonde.
C. Quant au deuxieme maven de la partie requerante
a) These de la partie requerante
La these de la partie requerante peut etre synthetisee comme ii suit :
« L'Autorite de protection des donnees a commis une seconde erreur de droit Jorsqu'el/e a analyse
le caractere libre du consentement des personnes concernees au traitement de Jeurs donnees par
X1 dans le cadre de /'utilisation du formulaire accompagnant la mise en demeure envoyee
aux debiteurs.
La mise en demeure {Piece n °3}, dont ce formulaire constitue une annexe, met c/airement en
evidence l'objectif et le caractere facu/tatif de ce dernier en indiquant que toute consultation
du dossier ou demande de plan d'apurement peut se faire via le site de l'étude ou par e-mail
et que si la personne redevable souhaite obtenir des informations complémentaies, elle peu
se servir du formulaire dont question.
L 'Autorite de protection des donnees a, quant a elle, considere que cette mention ne permet
pas d'infirmer sa conclusion. Pourtant, ii convient de rappeler que la p/aignante (a savoir la
personne concernee se trouvant a l'origine de la plainte a l'encontre de X1 devant l'Autorite
de protection des donnees) n'avait pas rempli ce formulaire35 On peut done
•
raisonnablement considerer qu'elle avait compris le caractere facultatif du formulaire et avait
decide de ne pas le remplir malgre la formulation utilisee sur le formulaire et le fait qu'il emane
d'une etude d'huissiers de justice.
20
Cour d'appel Bruxelles - 2021/AR/163 p. 21
Le RGPD ne definit pas ce qu'il faut entendre par une "manifestation de volonte fibre" au sens
de son article 4(11). Le legis/ateur europeen a uniquement precise qu'aux fins de determiner si
le consentement est donne librement, ii y a lieu de tenir "le plus grand compte de la question
de savoir, entre autres, si /'execution d'un contrat, y compris la fourniture d'un service, est
subordonnee au consentement au traitement de donnees a caractere personnel qui n'est pas
necessaire a /'execution dudit contrat".
Conformement aux lignes directrices 5/2020 du Comite europeen de la protection des donnees
sur le consentement, l'ad jectif "fibre" implique que la personne concernee a le choix de
consentir ou non au traitement de ses d onnees. Le consentement ne sera ainsi pas considere
comme etant donne librement si la personne concernee n'est pas en mesure de refuser ou de
retirer son consentement sans subir de prejudice.
La decision de l'Autorite de protection des donnees de considerer que X1 ne pouvait se
prevaloir d u consentement comme base legate d e traitement repose d one sur une
qualification juridique inexacte des faits. Autrement dit, l'Autorite de protection des donnees,
en se basant sur !es elements factuels d u d ossier, ne pouvait va/ablement d ed uire que !es
d ebiteurs n'etaient pas en mesure d e consentir librement au traitement d e /eurs donnees
personnel/es par X1».-
b) These de I' APD
1.
L'APD concl ut a titre principal au fait que l e grief formul e par l a partie requerante est
irrecevable au motif qu'elle ne demontre pas !'existence d'une irregularite ou d'une illegalite
commise par I'APD.
2.
A titre subsidiaire, I'APD conclut au fait que !'utilisation du formulaire de demande de
paiement par X1 ne repose pas sur une base legale et ne permet pas d'obtenir un
consentement libre de la personne concernee.
c) Decision de la Cour
1.
La Cour renvoie aux considerations qui precedent relativement a l'etendue de sa juridiction
et a la recevabilite des griefs pour ecarter !'argument d'irrecevabilite du grief souleve par
l'APD.
2.
En ce qui concerne le fondement du grief de la partie requerante, la Cour des marches releve
que !'article 4.11 du RGPD definit le consentement comme « toute manifestation de volonte,
libre, specifique, eclairee et univoque par laquelle la personne concernee accepte, par une
declaration ou par un acte positif c/air, que des donnees a caractere personnel la concernant
/assent l'objet d'un traitement ».
21
Cour d'appel Bruxelles - 2021/AR/163 p. 22
3.
Selan I'APD, « L'adjectif « fibre » implique un choix et un contr6/e reels pour !es personnes
concernees. Or en J'espece, comme souligne par /'APO dans sa decision33, la combinaison des
elements suivants
!es termes utilises sur I'en-tete du formulaire (« seul le formulaire», « dument
complete») en gras, souligne;
le titre du formulaire (« Formulaire a nous retourner»);
le fait qu'il emane d'une etude d'huissiers de justice;
le fait que le formulaire soit joint a une mise en demeure; et
le fait que la mise en demeure precise qu'a defaut de paiement dans le de/ai,
une majoration du montant a payer sera appliquee;
donnent a penser qu'il n'y a pas d'alternative a la fourniture par le debiteur des informations
demandees sur /edit formulaire. Le consentement ne peut done etre qualifie de « fibre» et est
par consequent non conforme au prescrit de /'article 4.11 du RGPO. Comme souligne par /'APO,
ii y a ega/ement lieu de tenir compte, au moment de determiner si le consentement est donne
librement, de /'existence d'un desequilibre des rapports de force entre la personne concernee et
le responsable de traitement34•
Le fait que la mise en demeure adressee a la personne concernee precise, en fin de courrier et
en caractere plus red uit que ceux repris sur le formulaire, « si vous souhaitez obtenir des
informations complementaires, nous vous invitons a vous servir du formulaire en annexe» ne
suffit evidemment pas a caracteriser le consentement de « fibre », au vu des elements repris ci
avant ».
4.
II n'est pas demontre par la partie requerante que la Decision Attaquee, en ce qu'elle retient
de telles considerations serait fondee sur une illegalite, une irregularite ou une erreur
manifeste.
Le fait que la personne concernee par la decision soit une juriste et qu'elle n'ait pas complete
et renvoye ledit formulaire est sans incidence a cet egard, des lors qu'il n'est pas conteste
que le formulaire litigieux est celui employe par X1 dans le cadre de ses activites de
recouvrement de creances.
A nouveau, ii n'appartient pas a la Cour des marches de donner au justiciable, comme dans un
appel « classique», une « seconde chance» d'exposer ses arguments de fond.
22
Cour d'appel Bruxelles - 2021/AR/163 p. 23
Le deuxieme moyen de la partie requerante n'est pas fonde.
D. Quant au troisieme moyen de la partie reguerante
a} These de la partie reguerante
La these de la partie requerante peut etre synthetisee comme ii suit :
« L'Autorite de protection des donnees a commis une troisieme erreur de droit en decidant que
la col/ecte de donnees par le biais du formulaire de demande de paiement, au titre de "Vos
coordonnees", constitue un manquement au principe de minimisation des donnees (art. 5, §1,
(c) du RGPD) au seul motif qu'aucune asterisque ou autre mention n'indiquait que la personne
concernee etait libre de choisir un des modes de communication propose par le formulaire et
que la fourniture de certaines donnees etait done facultative.
L'Autorite de protection des donnees a ainsi concentre toute son analyse sur /'absence
d'asterisques ou d'une autre mention indiquant explicitement le caractere facultatif de
certaines donnees.
Toutefois c'est /'ensemble des circonstances d'espece qui doivent etre apprec,ees pour
determiner si /'utilisation de ce formulaire aboutit in fine a une collecte excessive de donnees
personnel/es par X1 au regard des finalites du traitement ».
b) These de I'APO
1.
L'APD con clut a titre prin cipal au fait que le grief formule par la partie requeran te est
irrecevable au motif qu'elle ne demontre pas !'existence d'une irregularite ou d'une illegalite
commise par I'APD.
2.
A titre subsidiaire, I'APD conclut au fait que !'utilisation du formulaire de demande de
paiement par X1 laisse croire que !'ensemble des coordonnees de la personne poursuivie
devraient etre communiquees alors qu'elles ne sont pas toutes necessaires.
c) Decision de la Cour
1.
23
Cour d'appel Bruxelles-2021/AR/163 p. 24
La Cour renvoie aux considerations qui precedent relativement a l'etendue de sa juridiction
et a la recevabilite des griefs pour ecarter !'argument d'irrecevabilite du grief souleve par
l'APD.
2.
En ce qui concerne le fondement du grief de la partie requerante, le principe de minimisation
des donnees est defini a !'article 5.1 (c) du RGPD:
« 1. Les donnees a caractere personnel doivent etre :
(...)
c) adequates, pertinentes et limitees a ce qui est necessaire au regard des
[inalites pour lesquelles el/es sont traitees (minimisation des donnees) ».
3.
La Chambre contentieuse a estime au terme de son analyse du formulaire que la presentation
des donnees demandees au titre des « coordonnees » et la formulation utilisees dans le
formulaire laissent croire que !'ensemble des rubriques doivent etre completees et qu'il n'y a
pas d'alternative a la collecte de toutes les informations demandees dans le tableau, tout en
considerant que toutes les donnees reprises sur ce formulaire ne sont pas necessaires pour
la finalite poursuivie par X1.
Selan I'APD, ii suffirait de fournir l'adresse postale, le numero de telephone, le numero de GSM
ou l'adresse e-mail, « toutes ces donnees de contact cumulees n'etant pas necessaires ».
4.
A nouveau, ii n'apparait pas que cette analyse de la Chambre contentieuse serait constitutive
d'une illegalite, d'une irregularite ou d'une erreur manifeste.
Le troisieme moyen de la partie requerante n'est pas fonde.
E. Quant au guatrieme moyen de la partie reguerante
a) These de la partie reguerante
La these de la partie requerante peut etre synthetisee comme ii suit
« L 'Autorite de protection des donnees a manque a son obligation de motivation formelle en
se contentant de renvoyer "aux manquements retenus ci-dessus {8.2.1. et 8.2.4.}" pour
24
Cour d'appel Bruxelles -2021/AR/163 p. 25
conclure que X1 etait en defaut "d'avoir mis en ceuvre !es mesures techniques et
organisationnelles appropriees pour s'assurer et etre en mesure de demontrer que /es
traitements de donnees qu'elle opere sont, compte tenu tout particulierement de leur nature,
du contexte et des finalites qu'i/s poursuivent, effectues conformement au RGPO".
Le simple renvoi aux manquements vises aux sections 8.2.1. et 8.2.4. de la decision
Attaquee ne permet pas a X1 de comprendre /es motifs sur /esquels l'Autorite de protection
des donnees s'est basee afin de conc!ure que d'autres infractions (en l'espece, un
manquement aux articles 5, §2, et 24, §§1-2 du RGPO} auraient ete commises par X1.
L'Autorite de protection des donnees s'est meme contredite puisqu'elle indiquait, dons la
meme decision, que "des le 25 mai 2018, la seconde defenderesse [X1] disposait d'une
politique de confidentialite claire et detaillee et s'est employee a se conformer a /'ensemble
des obligations decoulant du RGPO qui lui incombent, notamment la designation d'un
OPO" (nous soulignons).
Ces deux conclusions sont pour le mains antinomiques et necessitaient un raisonnement plus
detail/e de la part de l'Autorite de protection des donnees afin que X1 puisse
comprendre !es motifs qui sous-tendent ce revirement de position ».
b) These de I' APD
L 'APD conclut au fait qu'elle « a indique clairement dons sa decision que c'etait a /'appui des
arguments fournis dons cette decision meme (« dons /'acte»), pour /es manquements relatifs (i)
a /'obligation d'information des personnes concernees, et (ii) concernant le formulaire de
demande de paiement et le consentement force de la personne concernee, qu'elle a conclu a un
manquement a /'article 14.1-2 combine a !'article 12.3, article 6, article 5.1, c) et aux articles 5.2
et 24.1-2 du RGPO. II ne s'agit done pas d'un manquement autonome, mais de la consequence
des autres manquements retenus par /'APO.
La motivation developpee par /'APO a cet egard repose sur des informations et des
developpements deja conn us de X1, auxquels ii est fait expressement reference dons le texte.
Elle permet assurement a X1 de comprendre /es raisons de fait et de droit qui ant conduit
a /'adoption d'une telle decision».
c)Decision de la Cour
1.
L'exigence de motivation de l'acte administratif litigieux exige (voir article 3 de la loi du 29
juillet 1991 sur la motivation explicite des actes administratifs) que la motivation telle qu'elle
25
Cour d'appel Bruxelles-2021/AR/163 p. 27
Le caractere suffisant de la motivation signifie que la motivation doit etre pertinente, c'est-a
dire qu'elle doit etre clairement liee a la decision, et qu'elle doit etre substantielle, c'est-a-dire
que les motifs doivent etre suffisants pour etayer la decision. Le raisonnement doit etre base
sur des elements clairs et concrets et ces elements doivent etre d'autant plus concret et precis
que la decision s'ecarte d'une proposition ou d'un avis, meme s'il n'est pas contraignant. Dans
un tel cas, l'autorite administrative ne devrait pas se limiter a contredire la proposition ou
l'avis, mais devrait au contraire expliquer pourquoi elle estime ne pas pouvoir suivre les
arguments sur lesquels se fonde l'organe qui propose ou conseille. 17.
4.
La principale raison d'etre de !'obligation de motivation est que la personne concernee doit
pouvoir trouver, dans la decision la concernant elle-meme, les raisons sur la base desquelles
elle a ete prise, de telle maniere qu'il apparaisse ou du moins puisse etre verifiee si l'autorite
s'est fondee sur des informations qui sont factuellement correctes, si elle a correctement
evalue ces donnees et si elle a raisonnablement pu prendre sa decision sur la base de celles-ci,
de sorte que la personne concernee puisse determiner en toute connaissance de cause s'il y a
lieu de contester la decision moyennant un recours en annulation 18.
5.
En application de ces pnnc1pes, ii apparait que la Decision Attaquee est adequatement
motivee, la partie requerante ne demontrant pas en quoi la motivation aurait du etre
« renforcee » en I'espece.
En effet, c'est a juste titre que I'APD conclut au fait que « dans ses conclusions, X1 invoque, ace
sujet, des situations comme cel/e d'un revirement d'attitude de l'autorite. Elle s'appuie
egalement sur un arret de la Cour des marches dans lequel la decision s'ecartait d'une
proposition ou d'un avis ".
Or aucun de ces cas de figure n'est rencontre en l'espece : ii n'est pas demontre que I'APD
aurait effectue un « revirement » ou se « serait ecartee d'une proposition ou d'un avis ».
Deuxiemement, c'est egalement a tort que la partie requerante evoque une pretendue
contradiction dans le chef de I' APD, laquelle a evoque dans la decision les efforts consentis
par X1 pour se mettre en conformite avec les obligations decoulant du RGPD qui lui
incombent, tout en ayant conclu a un manquement aux articles 5.2 et 24 du RGPD.
La constatation que X1 s'est mise en conf ormite avec le RGPD en cours de procedure
decoule logiquement du constat d'une situation prealable de manquement.
L'APD ne s'est nullement contredite en tenant compte de ces efforts, dans un second temps,
pour apprecier la hauteur de la sanction qu'il lui incombait de retenir a l'encontre de X1.
II n'est pas demontre par la partie requerante que les considerations retenues par I'APD
seraient constitutives d'une illegalite, d'une irregularite ou d'une erreur manifeste.
Le quatrieme moyen de la partie requerante n'est pas fonde.
17 Conseil d'Etat (9e ch.) nr. 188.152, 24 novembre 2008, CDPK 2009, 535; http://www.raadvst-consetat.be.
18 Conseil d'Etat n° 153.326, 9 janvier 2006, CDPK 2006, 183 et 207; http://www.raadvst-consetat.be.
27
Cour d'appel Bruxelles- 2021/AR/163 p. 28
F. Quant au cinguieme moyen de la partie reguerante
a) These de la partie reguerante
La these de la partie requerante peut etre synthetisee comme ii suit
« L 'Autorite de protection des donnees a manque a son obligation de motivation formelle en
n 'indiquant pas, de maniere transparente et etayee, dans la Decision Attaquee, pourquoi une
simple reprimande ou, a tout le moins, une amende inferieure a 15.000 euros n'auraient pas
suffi a mettre fin aux manquements constates.
L'Autorite de protection des donnees a certes detaille Jes differents elements qu'elle a pris en
compte dans sa decision d'imposer une amende administrative mais el/e n'a pas motive
pourquoi une sanction moins /ourde, tel/e qu'une simple reprimande ou, a tout le moins, une
amende inferieure a 15.000 euros, n'aurait pas ete de nature a mettre fin aux infractions.
Cette motivation etait d'autant plus necessaire que l'effet dissuasif escompte de l'amende
n'avait plus de raison d'etre. X1 s'etait en effet deja engagee a apporter des
modifications a ses documents officie/s (tel/es que la mise en demeure ou la politique de vie
privee) afin de rencontrer Jes critiques adressees par l'Autorite de protection des donnees.
En outre, la Cour des marches a deja eu /'occasion de preciser qu'elle n'etait pas /iee par la
decision de l'Autorite de protection des donnees concernant l'amende ou son montant et qu'el/e
peut substituer son pouvoir d'appreciation a ce/ui de l'Autorite de protection des donnees en ce
qui concerne l'adequation de la sanction a /'infraction.
En l'espece, en plus d'etre inadequatement motivee, ii convient de constater que l'amende
imposee par l'Autorite de protection des donnees est ega/ement disproportionnee par rapport:
a. A la gravite de /'infraction eu egard au caractere non sensible des donnees
col/ectees par le b iais du formulaire conteste, des reg/es (lega/es et
deontologiques) entourant la profession d'huissier et Jes traitements de
donnees qu'ils peuvent et/ou doivent realiser dans le cadre de /eurs activites et
des nombreuses demarches entreprises par X1 afin de se mettre en
conformite avec /'ensemble des obligations decoulant du RGPD Jui incombant
(tel/es que, et comme /'a re/eve l'Autorite de protection des donnees, la mise a
disposition d'une "po/itique de confidentialite claire et detaillee");
b . Au dommage purement theorique car la plaignante n'a pas remp/i le
formulaire conteste;
c. A la situation financiere de X1 fortement impactee par la crise sanitaire
actuel/e.
Pour Jes raisons qui precedent, si la Cour devait ne pas annuler la decision entreprise, ii
convient a tout le moins de substituer a la sanction financiere le simple prononce d'une
reprimande pour /'ensemble des manquements juges etablis ».
b) These de I'APD
28
Cour d'appel Bruxelles -2021/AR/163 p. 29
La these de I'APD peut etre synthetisee comme ii suit :
« X1 reprochea !'APO d'avoir, quanta !'imposition d'une amende, manquea son obligation de
motivation formel/e.
Ce moyen est denue de tout fondement.
II convient de rappeler que /'article 58.2, i) du RGPO stipu/e que toute autorite de contro/e,
telle que !'APO, dispose du pouvoir d'imposer une amende administrative en application de
/'article 83, « en complement ou a la place des mesures visees au present paragraphe, en
fonction des caracteristiques propresa chaque cas ».
L'article 83.1 du RGPO prevoit que chaque autorite de controle veille a ce que Jes amendes
administratives imposees pour Jes violations au RGPO soient « effectives, proportionnees et
dissuasives (...).
II est incontestable que !'APO a, en l'espece, regu/ierement motive sa decision quant a
/'imposition d'une amende administrative. C'est en effet au terme de longs developpements (soit
plus de trois pages), offrant un expose clair et detaille des motifs qui sous-tendent sa decision que
la Chambre contentieuse est parvenuea la conclusion qu'une amende administrative etait, au vu
de /'ensemble des circonstances de la cause,justifiee en complement de la reprimande et de l'ordre
de mise en conformite, conformement aux criteres retenus par /'article 83.2 du RGPO (voy. Jes
points 167a 181 de la decision).
II peut encore etre souligne qu'en ce qu'elle indique que « si la Cour devait ne pas annuler en
toutes ses dispositions la decision entreprise, ii convient a tout le mains de substituer a la
sanction financiere le simple prononce d'une reprimande pour /'ensemble des manquements
juges etab/is », X1 meconnait visiblement /'etendue de la mission et des pouvoirs conferes la a
Cour. A defaut de constater que la decision serait illegale ou irreguliere, quad non en
l'espece, la Cour est en effet sans pouvoir pour modaliser la sanction retenue ».
c) Decision de la Cour
1.
La Cour des marches se refereace qui a ete expose ci-avant quanta!'exigence de motivation
formelle.
2.
La Cour releve que les sanctions infligeesaX1 sont motivees comme ii suit dans la
Decision Attaquee :
« 165. La Chambre Contentieuse a constate un manquement a /'article 14.1-2 combine a
a a
/'article 12.3, /'article 6, /'article 5.1 c) et aux articles 5.2. et 24. 1-2 du RGPO dans le chef de
la seconde defenderesse [X1] (point 137 ci-dessus).
166. Compte tenu de ces manquements, la Chambre Contentieuse adresse a la seconde
defenderesse [X1] une reprimande sur la base de /'article 100. 1, 5 ° LCA.
167. La Chambre Contentieuse prend par ailleurs acte du fait que la seconde defenderesse[X1]
s'est, aux termes de ses conclusions et /ors de /'audition, proposee d'apporter certaines
modifications 29
Cour d'appel Bruxelles - 2021/AR/163 p. 30
dans sa pratique. La Chambre Contentieuse est en effet d'avis qu'un certain nombre de
modifications et de mesures doivent en effet, le plus rapidement possible, etre apportees par
la seconde defenderesse [X1] pour se mettre en conformite avec ses obligations decoulant du
RGPD. Partant, la Chambre Contentieuse Jui impose un ordre de mise en conformite
detaille au dispositif en application de /'article 100. 1, 9 ° LCA (voy. a cet egard la precision au
point 141 cidessus).
168. Outre cette reprimande25 et cet ordre de mise en conformite, la Chambre Contentieuse
est d'avis qu'en complement, une amende administrative est en l'espece justifiee pour /es
motifs ci-apres.
169. Quant a la nature de la violation, la Chambre Contentieuse re/eve qu'en ce qui concerne le
manquement a /'article 6 du RGPD (absence de base legate - consentement force) et a /'article
5.1 c) du RGPD, ifs sont constitutifs de manquements aux principes fondateurs du RGPD (et du
droit de la protection des donnees en general}, soit aux principes de /iceite et de minimisation
consacres au Chapitre II « Principes » du RGPD . Certes /es donnees recueillies au terme du
formulaire sont des donnees d'identification principa/ement et ne constituent pas des donnees
sensibles au sens des articles 9 et 10 du RGPD. Leur traitement intervient toutefois, comme ii
sera mentionne au point 176 ci-dessous, dans un contexte « infractionnel ». La Chambre
Contentieuse tiendra compte de cette double consideration.
170. Quant a /'atteinte a /'article 14.1-2 combine a /'article 12.3 du RGPD, elle est constitutive
d'une atteinte aux droits des personnes concernees - nonobstant /'existence d'une politique de
confidentialite par ailleurs, ce que la Chambre Contentieuse n'ignore pas et dont elle tient
compte (point 179}. Le droit a /"information a ete renforce aux termes du RGPD , ce qui
temoigne de son importance toute particuliere. L'Autorite de protection des donnees a, dans
cette perspective, inscrit le respect des droits des personnes concernees au titre de priorite dans
son plan strategique 2020-202526. La mesure correctrice/sanction appropriee n'en est pas
mains determinee au cas par cas.
171. Enfin, quant au manquement a /'article 5.2. et 24. 1-2 du RGPD , ii est lui aussi constitutif
d'un manquement au principe cle de /'accountability, introduit par le RGPD.
172. Aux termes de /'article 83.5 a) du RGPD, /es violations de toutes ces dispositions peuvent
s'elever jusqu'a 20.000.000 d'euros ou dans le cas d'une entreprise, jusqu'a 4% du chiffre
d'affaire annuel mondial total de J'exercice precedent. Les montants maxima d'amende
pouvant etre app/iques en cas de violation de ces dispositions sont superieurs a ceux prevus
pour d'autres types de manquements listes a /'article 83.4. du RGPD . S'agissant de
manquements a un droit fondamental, consacre a /'article 8 de la Charte des droits
fondamentaux de /'Union europeenne, /'appreciation de leur gravite se /era, comme la
Chambre Contentieuse a deja eu /'occasion de le sou/igner, a J'appui de /'article 83.2.a) du
RGPD, de maniere autonome .
173. Aux termes de la reaction qu'el/e a adressee a la Chambre Contentieuse en reponse au
formulaire d'amende envisagee, la seconde defenderesse [X1] fait etat de ce que la crise
sanitaire liee a la pandemie du virus covid-19 a touche de maniere extremement dure la
profession d'huissier de justice. La suspension forcee de la p/upart des activites des
huissiers (dont /es mesures d'execution) a conduit la seconde defenderesse[X1] a devoir
mettre une partie de son personnel au ch6mage technique. La seconde defenderesse [X1]
estime que son chiffre d'affaire a venir pour 2020 et 2021 sera, par ailleurs, sans proportion
avec celui des annees passees.
30
Cour d'appel Bruxelles 2021/AR/163 p. 31
17 4. Quant au nombre de personnes concernees affectees par /es violations, la Chambre
Contentieuse re/eve que /es manquements constates concernent, au-de/a de la seu/e
plaignante, un grand nombre de personnes. la seconde defenderesse [X1] n'est assurement pas
une societe multinationale mais bien une PME beige. la seconde defenderesse [X1] n'en est
pas mains une etude d'huissiers de justice de reference en Belgique, forte d'une experience[...]
d'annees et qui compte [...] de co/laborateurs.
175. Compte tenu de ce que /es manquements s'inscrivent dans la pratique de la seconde
defenderesse[X1] , le nombre de personnes potentiellement concernees est a la hauteur du
nombre
de personnes dont la seconde defenderesse [X1]traite Jes donnees dons le cadre de l'exercice de
ses missions de recouvrement amiable, soit un nombre important, et ce, meme si le
recouvrement amiable de dettes ne constitue, ce que la Chambre Contentieuse n'ignore pas,
qu'une partie des activites de la seconde defenderesse.
176. Quant a la qualite de la seconde defenderesse [X1], la Chambre Contentieuse rappelle que
dans de precedentes decisions, el/e a retenu la qualite de mandataire public du responsable
de traitement comme un facteur aggravant au sens de /'article 83.2. k) du RGPD28. la
seconde defenderesse [X1] est notamment un fonctionnaire ministeriel disposant d'une
autorite publique, qui peut exercer des competences dites «monopolistiques», qui lui sont
conferees par la Joi. En tant que profession liberale, l'huissier de justice exerce quelques
activites extrajudiciaires dont le recouvrement amiable de dettes. la fonction est reglementee
et Jes huissiers de justice sont nommes par le Roi. leur nombre est limite. Eu egard a ce statut,
la seconde defenderesse [X1] se doit d'adopter une attitude exemplaire quelle que soit la
casquette avec /aquelle elle execute ses missions. le contexte « infractionnel » dons le cadre
duquel interviennent /es traitements de donnees qu'elle opere exige egalement, eu egard
a leur finalite, un respect tout particulierement rigoureux des droits des personnes
concernees. le traitement de donnees constitue par ai/leurs une part substantiel/e de l'activite
de la seconde defenderesse.
17 7 . Quant au critere de duree, la Chambre Contentieuse constate que ces
manquements ant dure dans le temps des /ors qu'ils s'inscrivent dans /es pratiques
de la seconde defenderesse
(article 83. 1 a} du RGPD), a tout le mains depuis janvier 2019 ».
2.
L'artide 83 du RGPD dispose en son premier point que chaque autorite de controle veille ace
que les amendes administratives imposees pour des violations du reglement soient, dans
chaque cas, effectives, proportionnees et dissuasives.
En son article 100, la loi du 3 decembre 2017 portant creation de l'Autorite de protection des
donnees (loi APD) enumere les sanctions possibles.
La chambre contentieuse a le pouvoir de classer la plainte sans suite; d'ordonner le non-lieu;
de prononcer la suspension du prononce; de proposer une transaction; de formuler des
avertissements et des reprimandes; d'ordonner de se conformer aux demandes de la personne
concernee d'exercer ces droits; d'ordonner que Pinteresse soit informe du probleme de
securite; d'ordonner le gel, la limitation ou !'interdiction temporaire ou definitive du
traitement; d'ordonner une mise en conformite du traitement; d'ordonner la rectification, la
restriction ou !'effacement des donnees et la notification de celles-ci aux recipiendaires des
donnees; d'ordonner le retrait de l'agreation des organismes de certification; de donner des
31
Cour d'appel Bruxelles 2021/AR/163 p. 32
astreintes; de donner des amendes administratives; d'ordonner la suspension des flux
transfrontieres de donnees vers un autre ou un organisme international; de transmettre
le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites donnees au
dossier; de decider au cas par cas de publier ses decisions sur le site internet de l'Autorite de
protection des donnees.
La faculte d'infliger une amende administrative n 1 est que la treizieme sanction dans
!'enumeration legale.
Le but fondamental de la legislation Europeenne n' est pas de sanctionner sous la forme en
infligeant des amendes pour le moindre manquement aux prescrits, le but reel est la protection
des donnees. La finalite est done de proteger les donnees, non pas de sanctionner a tout prix
la moindre infraction.
3.
Le fait que les manquements constates concernent des principes fondamentaux pour lesquels
les amendes sont plus elevees n'est pas un argument de nature a justifier la proportionnalite.
La nature des activites de la partie requerante est certes un element dont ii peut etre tenu
compte pour apprecier la hauteur de la sanction, mais le fait que dans de precedentes decisions
la Chambre contentieuse ait tenu compte de la qualite de « mandataire public » du
responsable du traitement comme etant un « facteur aggravant » ne peut etre admis, d'autant
qu'il ne peut etre admis que cette « jurisprudence » apparemment relative a des elus soit
appliquee par analogie au titulaire d'une charge d'huissier de justice.
La Chambre contentieuse est un organe d'une autorite administrative qui n'est pas fondee a
etablir une quelconque « jurisprudence » liante, mais elle doit prendre ses decisions au cas par
cas, la publication des decisions sur le site internet de 11APO devant suffire a assurer
!'information des « mandataires publics » de la necessite de se conformer aux dispositions
legales en matiere de protection des donnees. II n1est pas admissible qu'un « tarif » de
sanctions soit applicable a certaines professions, chaque justiciable ayant droit a un traitement
personnalise des elements propres a son dossier, sans que des elements d'appreciation tires
d'autres dossiers viennent interferer dans le traitement de son cas.
L'argument tire par la Chambre contentieuse de la « duree des manquements constates »
manque egalement de pertinence pour justifier le montant de l'amende retenue.
La Cour rappelle que la plainte visant la partie requerante concerne un fait unique, circonscrit
dans le temps. Le manquement constate dans le traitement des donnees est en outre
theorique puisqu'il n'est pas conteste que la personne concernee n'a pas renvoye le formulaire
litigieux vise par sa plainte. II ne peut etre tire argument dans ce cadre de considerations
generates liees au fait que la partie requerante soit active depuis de nombreuses annees et
emploie de tres nombreux collaborateurs pour justifier de la proportionnalite de l'amende.
4.
La Cour releve en outre les points suivants de la Decision Attaquee, toujours relativement a la
motivation de la sanction retenue (la Cour souligne et accentue)
« 178. Quant a la question de savoir si /es manquements ont ete commis deliberement ou par
negligence (art. 83.2.b} du RGPD), la Chambre Contentieuse estime qu'ils ne sont pas deliberes.
Elle retient egalement le fait que des le 25 mai 2018, la seconde defenderesse[X1]disposait
d'une 32
Cour d'appel Bruxelles - 2021/AR/163 p. 33
politique de confidentialite c/aire et detaillee et s'est employee a se conformer a /'ensemble
des obligations decoulant du RGPD qui lui incombent, notamment la designation d'un DPO.
Elle a pris contact avec des consultants specialises a cet effet et ce, nonobstant /es annonces
faites par la Chambre nationale des huissiers de justice qui indiquait qu'e/le al/ait mettre en
place des mesures concretes pour accompaqner et aider !es etudes ce qui in fine, n'a pas ete le
cas.
179. Enf in, la seconde defenderesse [X1] s'est montree cooperante et soucieuse de
modifier ses
pratiques en cours de procedure (aux termes de ses conclusions et /ors de /'audition). La
Chambre Contentieuse en a pris acte. (voy. a cet egard la precision au point 141 ci-dessus) ».
5.
La Cour des marches ne critique pas la politique de la Chambre contentieuse de I' APD mais le
fait qu'elle n'ait pas considere les possibilites d'atteindre le but poursuivi par la legislation
Europeenne (telle que mise en reuvre en droit beige) par une autre decision (prevue
explicitement a !'article 100 points 3 a 12 de la loi APD et specialement les points 5 et 9 dont
elle a en outre fait application en l'espece) alors qu'elle avait constate une serie d'elements qui
demontrent que la requerante n'a nullement manifeste son intention de meconnaitre les
principes de protection des donnees personnelles mais que, tout au contraire, la violation
qu'elle a commise est le resultat d'une negligence ou plutot d'une simple inadvertance, des
lors que la partie requerante avait pris des 2018 des dispositions, constatees par la Chambre
contentieuse, en esperant se conformer a la legislation, et qu'elle a redresse rapidement la
situation en cours de procedure.
6.
Le constat qui precede ne peut etre interprete autrement que comme un detournement de
pouvoir, c'est-a-dire !'utilisation par une autorite administrative de son pouvoir a une fin autre
que celle pour laquelle elle a ete accordee, dans le chef de la Chambre contentieuse de I' APD.
Une attitude tendant a infliger une amende des la premiere infraction commise par
inadvertance, ne correspond pas aux principes qui gouvernent la matiere, dans la mesure ou
la chambre contentieuse de I' APD dispose d'une chaine repressive complete lui permettant
de realiser des controles dont les suites (si !'infraction est etablie) peuvent a lier de
l'avertissement a la sanction financiere ou non. Les infractions devraient etre sanctionnees
graduellement et en fonction de leur gravite. A titre d'exemple:
• Etape 1: Avertissement ou une mise en demeure de l'entreprise fautive avec rappel du
devoir de mise en conformite des traitements de donnees sensibles au RGPD
• Etape 2: lnjonction de cesser la violation
• Etape 3 (dans certains cas): Limitation ou suspension temporaire des traitements de
donnees
• Etape 4: Sanctions administratives en cas de non-respect aux regles du RGPD.
33
Cour d'appel Bruxelles -2021/AR/163 p. 34
Les sanctions prevues dans le RGPD ne devraient done en realite etre que les ultimes sanctions
auxquelles les personnes poursuivies s'exposent si elles ne suivent pas les injonctions de I'APD.
L'APD doit egalement s'assurer que les sanctions administratives prevues en cas de
manquements au RGPD sont effectives, proportionnelles et dissuasives. lnfliger, des la
premiere infraction, une amende administrative meconnait le principe de la proportionnalite
de la sanction par rapport a !'infraction. La Chambre contentieuse, alors qu'elle releve dans sa
motivation !'absence de caractere delibere des manquements constates et le souci reel de la
partie requerante de modifier ses pratiques pour les mettre en conformite au RGPD, omet
manifestement de tenir compte de la necessite de proportionnalite qui inclut notamment la
prise en compte de la presomption bonne foi dont doit beneficier la partie requerante.
7.
II n'est en l'espece nullement demontre que la reprimande et l'ordre de mise en conformite
infliges par ailleurs a X1 n'auraient pas suffi a assurer la finalite des poursuites. En infligeant
immediatement, dans c e c as d'espec e, une amende administrative - dont le montant de
15.000,00 euros est en lui-meme tres consistant dans le chef d'une PME - en sus des deux
mesures deja citees, la Chambre contentieuse meconnait les principes fondamentaux de la
proportionnalite de la sanction.
8.
Le recours de la partie requerante a pour objet, a titre subsidiaire, de:
« si la Cour devait considerer que la plainte deposee en date du 15 mai 2019 par la personne
concernee etait fondee en partie a /'egard de X1, prononcer en tout etat de cause une
simple reprimande et non une amende ».
Compte tenu des motifs qui precedent, la Decision Attaquee sera annulee, mais uniquement
en ce qu'elle inflige une amende de 15.000,00 euros a X1.
IX. Les depens
Conformement a !'article 1017, alinea 1, du Code judiciaire, I'APDest condamnee aux depens,
liquides a 1.440 € (indemnite de procedure - affaire non evaluable en argent).
34
Cour d'appel Bruxelles - 2021/AR/163 p. 35
PAR CES MOTIFS,
LACOUR,
Vu les dispositions de la loi du 15 juin 1935 sur l'emploi des langues en matiere judiciaire,
Statuant contradictoirement,
Re�oit le recours, et le dit fonde dans la mesure suivante :
Annule la Decision n ° 81/2020 prononcee par la Chambre contentieuse de l'Autorite de
Protection des Donnees le 23 decembre 2020 (DOS-2019-02751) en ce qu'elle impose une
amende de 15.000,00 euros a la X1 sur la base des articles 100, 13° et 101 de la loi du 3
decembre 2017 portant creation de l'Autorite de protection des donnees (« LCA ») ainsi
que !'article 83 du RGPD.
Condamne I'Autorite de Protection des Donnees aux depens, en ce compris l'indemnite de
procedure de 1.440 euros.
Condamne I' Autorite de Protection des Donnees au paiement du droit de mise au role devant
la cour d'appel (400,00 €) au SPF FINANCES, conformement a !'article 2692 § 1er, du Code des
droits d'enregistrement, d'hypotheque et de greffe.
*****
35