Veri koruma otoritesi kararında gerekçenin doğruluğu

![img-0.jpeg](img-0.jpeg)

Expédition

| Numéro du répertoire 2023 / 1527 |
| --- |
| Date du prononcé 22 février 2023 |
| Numéro du rôle 2022/AR/953 |

| Délivrée à | Délivrée à | Délivrée à |
| --- | --- | --- |
| le € CIV | le € CIV | le € CIV |

☐ Enregistrable

☑ Non enregistrable

## Cour d'appel

## Bruxelles

Section Cour des marchés

19ᵉ chambre A

Chambre des marchés

## Arrêt définitif

| Présenté le |
| --- |
| Non enregistrable |

ROSSEL ET CIE/ AUTORITE DE PROTECTION DES DONNEES

COVER 01-00003160840-0001-0042-01-01-1

![img-1.jpeg](img-1.jpeg)

Cour d'appel Bruxelles – 2022/AR/953 – p. 2

# EN CAUSE DE :

La SA Rossel et Cie (ci-après « Rossel »), BCE 0403.537.816, dont le siège social est situé à 1000 Bruxelles, rue Royale 100,

Partie requérante,

Ayant pour conseil Me Etienne Wéry, avocat, dont le cabinet est établi à [...].

# CONTRE :

L'Autorité de Protection des Données (ci-après l'« APD »), BCE 0694.679.950, située à 1000 Bruxelles, rue de la Presse 35,

Partie Adverse

Ayant pour conseils Mes Evrard de Lophem, Grégoire Ryelandt et Clara Delbruyère, avocats, dont le cabinet est établi [...].

Vu les pièces de procédure et notamment

- la décision rendue par la Chambre Contentieuse de l'Autorité de Protection des Données, le 16 juin 2022 (numéro de la décision : 103/2022, numéro du dossier : DOS- 2020-02998);
la requête de Rossel déposée le 13 juillet 2022 ;
- le calendrier acte à l'audience d'introduction du 27 juillet 2022 ;
les conclusions n°1 de Rossel déposées le 30 novembre 2022;
les conclusions de synthese de l'APD déposées le 16 janvier 2023 ;
les dossiers de pieces déposés par les parties ;

Entendu les conseils des parties Rossel et APD à l'audience publique du 25 janvier 2023.

PAGE 01-00003160840-0002-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 3

# I. La Décision attaquée

La Chambre Contentieuse de l'APD a rendu la Décision attaquée le 16 juin 2022, dont le dispositif est libellé comme il suit :

PAR CES MOTIFS,

La Chambre Contentieuse de l'Autorité de protection des données décide, après délibération:

Sur base de l'article 58.2, point i) juncto l'article 83 du RGPD et l'article 100, §1, $13^{\circ}$ LCA, d'imposer une amende administrative de 50.000 EUR en raison des violations constatées aux articles 6.1.a du RGPD ; 4.11 juncto 6.1.a et 7.1 du RGPD ; 4.11 juncto 12.1, 13 et 14 du RGPD ;
Sur base de l'article 58.2, al. 2, point d) du RGPD et de l'article 100, § 1, $9^{\circ}$ LCA, enjoindre la défenderesse demettre les traitements de données personnelles visés par la presente décision en conformité avec les dispositions du RGPD dont la violation a été constatée dans le premier alinéa du present dispositif, et ce, dans un-delai de 3 mois à dater de la réception de la presente décision ; fournir la preuve de cette mise en conformité ;

En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès de la Cour des marchés dans un délai de trente jours à compter de sa notification, avec l'Autorité de protection des données en qualité de défenderesse.

PAGE 01-00003160840-0003-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 4

## II. Le contexte factuel et les antécédents de procédure

Selon la requérante, la chronologie du dossier se présente comme il suit :

| 16/1/2019 : | Décision du comité de direction de lancer une enquête sectorielle relative aux cookies sur les sites de presse (pièce 1) |
| --- | --- |
| Date inconnue en 2019 : | Approbation par les inspecteurs généraux d'une proposition de méthodologie (pièce 2) |
| 12/4/2019 : | Demande de soutien du service ICT (pièce 4) |
| 5/12/2019 : | Mail de rappel de l'inspecteur général (pièce 5) |
| 8/1/2020 au 14/2/2020 : | Constatations matérielles sur le www.lesoir.be (pièce 9) |
| 8/1/2020 au 3/2/2020 : | Constatations matérielles sur le www.sudinfo.be (pièce 10) |
| 8/1/2020 au 10/3/2020 : | Constatations matérielles sur le www.sudpressedigital.be (pièce 11) |
| 23/3/2020 : | Rédaction du rapport d'analyse technique pour www.lesoir.be (pièce 6) |
| 24/3/2020 : | Rédaction du rapport d'analyse technique pour www.sudinfo.be (pièce 7) et www.sudpressedigital.be (pièce 8) |
| 7/10/2020 : | Rapport d'enquête unique de l'inspecteur général et transmission à la chambre contentieuse (pièces 13 et 14) |
| 18/11/2020 : | Demande de la chambre contentieuse relative à une enquête complémentaire (pièce 15A) |
| 19/11/2020 : | Envoi à l'inspecteur principal de la demande d'enquête complémentaire (pièce 15) |
| 20/11/2020 : | Rapport d'enquête complémentaire (pièces 16, 17 et 17A) |
| 21/12/2020 : | Information et demande d'éclaircissement adressée à Rossel (pièce 18) |

PAGE 01-00003160840-0004-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 5

| 21/01/2021 | La chambre contentieuse octroie un délai complémentaire de 3x2 semaines pour le dépôt de conclusions, jusqu'au 23 mars 2021 |
| --- | --- |
| 22/03/2021 | Communication à l'APD des pièces et des conclusions |
| 20/01/2022 | La chambre contentieuse invite par courrier à l'audition prévue le 24 février 2022 |
| 23/02/2022 | La chambre contentieuse reporte l'audition au 31 mars 2022 |
| 08/03/2022 | La chambre contentieuse informe l'inspecteur général de l'audition afin de le permettre d'être présent durant l'audition afin de répondre aux conclusions déposées |
| 16/03/2022 | La chambre contentieuse fournit par mail la note complémentaire du service d'inspection et les pièces relatives aux formulaires de traçabilité pour chaque site, en réponse aux questions additionnelles adressées par la chambre contentieuse. |
| 23/03/2022 | La chambre contentieuse fournit par mail un nouveau lien pour l'envoi de la pièce 6a non téléchargeable |
| 31/03/2022 | Audition devant la chambre contentieuse |
| 11/04/2022 | La chambre contentieuse envoie le PV de l'audition du 31 mars 2022 |
| 13/05/2022 | La chambre contentieuse informe sur la sanction qu'elle entend prononcer et envoie un formulaire de réaction à l'encontre d'une sanction envisagée |
| 27/05/2022 | Ulys envoie à la chambre contentieuse la réaction à la proposition d'amende. |
| 16/06/2022 | La chambre contentieuse envoie par recommandé la décision : sanction de 50.000 euros |

L'APD se réfère quant à elle à l'exposé des faits tels qu'ils figurent aux feuillets 1 à 25 de la Décision attaquée, à laquelle la Cour renvoie.

La Cour tiendra compte dans sa délibération de l'ensemble des faits tels qu'ils ressortent du dossier.

PAGE 01-00003160840-0005-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 6

La Décision attaquée a été rendue le 16 juin 2022. La requérante a formé recours à son encontre par requête déposée au greffe de la cour le 13 juillet 2022.

### III. Le cadre légal.

Par la Décision attaquée, l'APD décide, à l'égard de la requérante en la présente cause :

- sur base de l'article 58.2 d) du RGPD et de l'article 100, § 1, 90 LCA, de lui enjoindre de mettre les traitements de données personnelles visés par la présente décision en conformité avec les dispositions du RGPD dont la violation a été constatée, et ce, dans un délai de 3 mois à dater de la réception de la présente décision. La Chambre Contentieuse enjoint également la défenderesse de fournir la preuve de cette mise en conformité endéans ce même délai,

- de lui imposer une amende de 50.000 EUR,

- « vu l'importance de la transparence concernant le processus de décision de la Chambre contentieuse, cette décision est publiée conformément à l'article 95, §1, 8° LCA sur le site web de l'Autorité de protection des données avec mention des données d'identification de (la requérante) et ceci du fait de la spécificité de la présente décision – qui entraîne un risque de réidentification même en cas de suppression des données d'identification – y compris l'intérêt général de cette décision ».

PAGE 01-00003160840-0006-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 7

L'article 100 LCA est rédigé comme il suit :

« § 1er. La chambre contentieuse a le pouvoir de:

1° classer la plainte sans suite;

2° ordonner le non-lieu;

3° prononcer la suspension du prononcé;

4° proposer une transaction;

5° formuler des avertissements et des réprimandes;

6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;

7° ordonner que l'intéressé soit informé du problème de sécurité;

8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;

9° ordonner une mise en conformité du traitement;

10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données;

11° ordonner le retrait de l'agréation des organismes de certification;

12° donner des astreintes;

13° donner des amendes administratives;

14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international;

15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier;

16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.

PAGE 01-00003160840-0007-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 8

§ 2. Lorsqu'après application du § 1er, 15°, le ministère public renonce à engager des poursuites pénales, à proposer une résolution à l'amiable ou une médiation pénale au sens de l'article 216ter du Code d'instruction criminelle, ou lorsque le ministère public n'a pas pris de décision pendant un délai de six mois à compter du jour de réception du dossier, l'Autorité de protection des données détermine si la procédure administrative doit être reprise ».

L'article 108 LCA est quant à lui rédigé comme il suit :

« Art. 108.

§ 1er. La chambre contentieuse informe les parties de sa décision et de la possibilité de recours dans un délai de trente jours, à compter de la notification à la Cour des marchés.

Sauf les exceptions prévues par la loi ou sauf si la chambre contentieuse en décide autrement par décision spécialement motivée, la décision est exécutoire par provision, nonobstant recours.

La décision d'effacement des données conformément à l'article 100, § 1er, 10°, n'est pas exécutoire par provision.

§ 2 Un recours peut être introduit contre les décisions de la chambre contentieuse en vertu des articles 71 et 90 devant la Cour des marchés qui traite l'affaire selon les formes du référé conformément aux articles 1035 à 1038, 1040 et 1041 du Code judiciaire ».

La Décision attaquée se fonde par ailleurs, entre autres, sur le prescrit des dispositions suivantes :

201.

En résumé, la Chambre Contentieuse constate in casu les violations suivantes dans le chef de la défenderesse :

Violation de l'article 6.1.a du RGPD juncto article 129 de la LCE, par dépôt de cookies non strictement nécessaires avant le recueil du consentement, notamment des cookies placés par des domaines tiers dont il n'est pas prouve qu'ils sont strictement nécessaires au sens de l'article 129 de la LCE;
Violation des articles 4.11 juncto 6.1.a et 7.1 du RGPD pour recueil du consentement par la technique de « further browsing » à savoir, couplage de l'expression du consentement à receivevoir des cookies au besoin de poursuivre l'utilisation du service;

PAGE 01-00003160840-0008-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 9

○ Violation des articles 6.1.a du RGPD du fait du dépôt de cookies non nécessaires, en l'occurrence, des cookies de réseaux sociaux et de mesure d'audience, avant recueil du consentement ;

○ Violation des articles 4.11 juncto 6.1.a et 7.1 du RGPD du fait que l'écran de sélection des partenaires auxquels les données personnelles sont envoyées est par défaut présenté en mode « autoriser » pour les quelques 500 partenaires listés ;

○ Violation des articles 4.11 juncto 12.1, 13 et 14 du RGPD du fait que seuls 13 partenaires sont cités dans la politique relative aux cookies, alors que l'écran de sélection des partenaires accessible via la bannière volatile relative aux cookies référence quelques 500 partenaires de ce type ;

○ Violation des articles 12.1, 13 et 14 du RGPD faute pour la défenderesse d'apporter la preuve que les informations obligatoires ont été fournies de manière suffisamment accessible et/ou dans la langue des personnes concernées au moment des constats effectués par le Service d'Inspection.

○ Violation de l'article 7.3 du RGPD vu l'ajout de nouveaux cookies sur les sites de la défenderesse après retrait du consentement sans justification jugée pertinente par le Service d'Inspection. »

10.

La requérante invoque quant à elle, en outre, notamment :

- l'article 57 LCA, lu en combinaison avec l'article 41, § 1er, de la loi sur l'emploi des langues en matière administrative, et avec les principes généraux de procédure qui imposaient de faire aussi usage du Français,
- l'article 63, 1° LCA,
- les articles 92,3° et 96 LCA,
- l'article II.3 du Code de droit économique: « Chacun est libre d'exercer l'activité économique de son choix »,
- l'absence de respect de l'exigence légale de motivation de la Décision attaquée.

PAGE 01-00003160840-0009-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 10

# IV. L'objet du recours

11.

Au terme de ses derniers écrits de conclusions la requérante demande à la Cour des marchés de :

« Dire l'appel recevable et fondé et en conséquence mettre à néant la décision attaquée et statuer à nouveau :

# A titre principal

Constater que la saisine initiale du service d'inspection par le comité de direction était irrégulière et que la procédure qui a suivi est nulle ;

Pour autant que de besoin, prononcer le non-lieu ;

Ou, si la Cour devait avoir un doute quant à sa compétence sur cette question, surseoir à statuer et poser à la Cour constitutionnelle la question suivante, ou toute autre question similaire que la cour jugera opportune :

« Les articles 100 et 108 de la LCA, interprétés en ce sens que la chambre contentieuse, et partant la Cour de marchés à sa suite, ne peuvent vérifier ni le respect de la légalité de la saisine de la chambre contentieuse par le Comité de direction ou le service de première ligne, ni le respect de la procédure, ni la compétence de l'APD, privant de ce fait le responsable de traitement visé de tout recours sur ces questions, violent-ils les articles 10, 11 et 13 de la Constitution, lus à la lumière de l'article 6 CEDH ? »

# Subsidiairement,

Dire pour droit que la chambre contentieuse devait écarter :

Les pieces 16, 17 et 17A;
- Les « éclaircissements IT » du service d'inspection déposés 11 jours avant l'audience ;
- Les pieces 6, 6A, 7, 7A, 8, 8A, 9, 10, 11, 13, 14 et 14A;

Dire pour droit qu'en se fondant sur ces pièces pour établir les manquements, la décision chambre contentieuse a excédé ses pouvoirs, violé l'article 96 LCA et l'article 48 ROI, pris une décision illégale et entaché sa décision d'un défaut de motivation.

Pour autant que de besoin, prononcer le non-lieu ;

PAGE 01-00003160840-0010-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 11

# **Plus subsidiairement,**

Constater que la chambre contentieuse se fonde sur un avis personnel des personnes qui la composent selon lequel le further browsing est, en tant que tel, inapte à caractériser un consentement tout en admettant, d'une part que l'autorité de protection des données avait jusque peu avant la décision un avis contraire, et d'autre part qu'au moment où elle statue la chambre contentieuse sait et admet que plusieurs autorités équivalentes des autres Etats membres ne partagent pas son avis et appelle à une harmonisation européenne ;

Dire pour droit qu'en condamnant sur ces bases, la chambre contentieuse applique un principe qui n'est pas suffisamment clairement établi en droit et, en conséquence, qu'elle (1) crée une règle de droit alors qu'elle n'a pas cette compétence, (2) apporte à la liberté d'entreprendre et d'information une ingérence qui n'est pas prévue par la loi, et (3) viole le droit au procès équitable de Rossel ;

Pour autant que de besoin, prononcer le non-lieu ;

# **Encore plus subsidiairement,**

Constater qu'en raison de l'utilisation d'un logiciel bêta en version anglaise dans un environnement IT en anglais, alors qu'elle mène une enquête sur un média entièrement francophone configuré pour gérer des visiteurs présumés francophones, l'enquête du service d'inspection a introduit un biais qui empêche de reproduire les résultats des constats d'une part, et ne permet pas d'établir à suffisance les manquements allégués d'autre part ;

Constater que l'affirmation du service d'inspection selon laquelle le même résultat aurait été obtenu avec un logiciel et un environnement en français, n'est appuyée par aucun élément technique de nature à la confirmer ;

Dire pour droit qu'à défaut de preuve, les manquements ne sont pas établis ;

Pour autant que de besoin, prononcer le non-lieu ;

# **Toujours plus subsidiairement,**

Dire les manquements non établis ;

Pour autant que de besoin, prononcer le non-lieu ;

# **A titre infiniment subsidiaire,**

Dire les manquements établis mais réformer la décision quant aux mesures en prenant en compte notamment la fragilité de la preuve des manquements, l'incertitude juridique qui régnait autour des problématiques complexes en jeu au moment des manquements, le caractère récent au moment des constats de l'arrêt principal rendu en cette matière par la CJUE, l'ancienneté des constats et la longueur anormale de l'enquête et de la procédure, l'abandon de la principale pratique litigieuse (further browsing) avant même que les

PAGE 01-00003160840-0011-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 12

concluantes soient informées de l'enquête et le fait que les manquements allégués découlent en réalité d'un manquement principal (further browsing) de sorte leur que multiplication ne doit pas amener à une surévaluation de la gravité intrinsèque du manquement ;

Suspendre le prononcé ou, subsidiairement, limiter la condamnation à un avertissement ;

Limiter l'amende à 1 € ;

Refuser la publication ; ».

12.

L'APD demande quant à elle à la Cour des marchés de :

« Se déclarer sans juridiction pour connaître du recours, en tant qu'il n'est pas dirigé contre une décision de la Chambre contentieuse de l'APD,

Déclarer le recours non fondé pour le surplus,

Condamner la requérante aux entiers dépens, en ce compris l'indemnité de procédure de 1.800 € (montant de base) ».

# V. Moyens de la requérante

13.

La requérante, au terme de ses conclusions, ne fait état d'aucun « moyen » au sens de l'article 744 du Code judiciaire, mais développe six griefs, synthétisés comme il suit :

# « 2 Premier grief : nullité de la procédure

2.1 Exposé du problème et analyse de la décidion attaquée
2.2 Quant à la langue de la délibération du Comité de direction
2.3 Quant à l'absence d'indices sérieux
2.3.1 La loi
2.3.2 La décision du Comité de direction
2.3.3 La décision dont appel doit être réformée
2.3.3.1La piece 2 émane du service d'inspection, et non du Comité de direction
2.3.3.2 Cette note date de mars 2019, soit plusieurs mois après la décision du Comité de direction
2.3.4 Concernant le pouvoir de contrôle de la Cour des marchés sur ces questions
2.3.5 Concernant l'absence d'impact sur la légalité de la décision attaquée
2.3.6 Concernant la nécessité d'une approche « couple » et « pragmatique »
2.4 L'absence de motivation de la saisine

PAGE 01-00003160840-0012-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 13

### 3 Deuxième grief : la prise en compte d'informations et de pièces qui devaient être écartées

3.1 Les pièces 16, 17 et 17 A
3.1.1 Exposé du problème et analyse de la décision attaquée
3.1.2 Ecartement des pièces et excès de pouvoir
3.2 Les « éclaircissements IT »
3.2.1 Exposé du problème et analyse de la décision attaquée
3.2.2 Ecartement des pièces et excès de pouvoir
3.3 Les pièces 6, 6A, 7, 7A, 8, 8A, 9, 10, 11, 13, 14 et 14A
3.3.1 Les constats techniques ne sont pas fiables
3.3.2 Les constats techniques sont incompréhensibles
3.3.3 Les constatations humaines ne sont pas fiables
3.3.4 Un constat unique est insuffisant
3.3.5 La transmission tardive des constats et du rapport d'enquête
3.3.6 Conclusion sur l'écartement des pièces

### 4 Troisième grief : incertitude du cadre juridique et conséquences

4.1 Les prétendues certitudes sur lesquelles l'enquête repose
4.2 Ces certitudes reflètent un point de vue et non une règle de droit
4.2.1 Un cookie exempté est-il forcément de première partie ?
4.2.2 Le further browsing est-il incompatible avec le recueil du consentement ?
4.2.3 Les cookies de réseaux sociaux et de mesure d'audience ne peuvent-ils jamais se prévaloir de l'intérêt légitime ?
4.2.4 La jurisprudence récente est-elle transposable telle quelle aux sites de presse ?
4.3 L'APD a entre-temps confirmé que son interprétation pourrait être remise en question et invite à une clarification européenne
4.4 Première conséquence : non-lieu pour absence de base légale
4.4.1 La liberté d'entreprendre
4.4.2 La liberté d'information
4.4.3 L'ingérence dans les libertés doit être « prévue par la loi »
4.4.4 Application en l'espèce
4.5 Seconde conséquence : incompétence et excès de pouvoir
4.6 Troisième conséquence : violation du droit au procès équitable

### 5 Quatrième grief : absence de preuve des manquements allégués

5.1 Exposé du problème
5.2 Critique de la décision attaquée
5.3 Précisions complémentaires en réponse aux conclusions de l'APD

PAGE 01-00003160840-0013-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 14

# Cinquième grief : aucun manquement ne peut être reproché à Rossel

5.4 Sur le premier manquement allégué : quant au dépôt de cookies préalable au recueil du consentement (constitution n° 1 du rapport d'enquête)
5.5 Sur le deuxième manquement allégué : quant au mécanisme du recueil du consentement (constatations n° 2 et n° 4 du rapport d'enquête)
5.6 Sur le troisième manquement allégué : quant au placement de cookies de réseaux sociaux et de mesure d'audience (constitution n° 3 du rapport d'enquête)
5.7 Sur le quatrième manquement allégué : quant au respect des obligations d'information (constitution n° 5 du rapport d'enquête)
5.8 Sur le cinquième manquement allégué : quant au retrait du consentement (constitution n° 6 du rapport d'enquête)

# 6 Sixième grief : sur les mesures

6.1 Suspension du prononcé
6.2 L'amende
6.3 L'impact des transactions dans les dossiers similaires
6.4 La publication »

# VI. Moyens de l'APD

14.

Les moyens suivants sont invoqués par l'APD:

A. Moyens relatifs au premier grief de Rossel (« nullité de procédure »)

1. La critique portant sur la langue utilisée

1.1 Moyen 1: La décision du Comité de direction de saisir le Service d'inspection concerne différents sites de presse (francophones et néerlandophones), et non seulement ceux de Rossel
1.2 Moyen 2 : En tant qu'elle est basée sur « des principes généraux élémentaires de procédure», la critique de Rossel est obscure et manque en droit
1.3 Moyen 3: En tant qu'elle est basée sur l'article 57 de la LCA, la critique de Rossel manque en droit
1.4 Moyen 4: En toute hypothèse, Rossel ne démontré pas que l'usage du néerlandais par le Comité de direction a eu une influence sur ses droits procéduraux

PAGE 01-00003160840-0014-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 15

2. La critique portant sur l'absence d'indices sérieux

2.1 Moyen 5, à titre principal : La Cour est sans juridiction pour se prononcer sur la légalité des décisions du Comité de direction

2.1.1 Première branche : seules les décisions de la Chambre contentieuse sont susceptibles du recours visé à l'article 108 de la LCA

2.1.2 Deuxième branche : Il n'y a pas lieu de poser une question préjudicielle à la Cour constitutionnelle ; la pertinence de celle que propose Rossel n'apparaît pas

2.2 Moyen 6 : L'argument de Rossel basé sur le « rôle naturel » du Comité de direction manque en droit

2.3 Moyen 7, à titre subsidiaire : La saisine du Service d'inspection a été fondée sur des indices sérieux d'une pratique susceptible de donner lieu à une violation des principes fondamentaux de la protection des données à caractère personnel, au sens de l'article 63 de la LCA

2.3.1 Première branche : L'article 63 de la LCA doit être interprété avec souplesse

2.3.2 Deuxième branche : L'opportunité de saisir le Service d'inspection est une compétence discrétionnaire ; le contrôle de la Cour est à cet égard limité

2.3.3 Troisième branche : En l'occurrence, des indices sérieux d'une pratique susceptible de donner lieu à une violation des principes fondamentaux de la protection des données à caractère personnel existaient, de sorte que la saisine du Service d'inspection est adéquatement motivée

2.3.4 Quatrième branche : Le Service d'inspection a été valablement saisi

2.4 Moyen 8, à titre subsidiaire : La requérante n'explique pas pourquoi l'absence prétendue d'indices sérieux (ou le défaut de motivation de la saisine du Service d'inspection) aurait pour conséquence l'illégalité de la Décision attaquée de la Chambre contentieuse

3. La critique portant sur la motivation de la saisine

B. Moyens relatifs au deuxième grief de Rossel (« la prise en compte d'informations et de pièces qui devaient être écartées »)

1. Les pièces 16, 17 et 17 A – Moyen 9 : Le caractère tardif de la demande de devoirs complémentaires n'emporte pas l'écartement des pièces obtenues dans ce contexte

2. Les « éclaircissements IT » - Moyen 10 : La Chambre contentieuse n'a commis aucune illégalité en donnant l'opportunité au Service d'inspection de déposer ce document

3. Les pièces 6, 6A, 7, 7 A, 8, 8A, 9, 10, 11, 13, 14 et 14 A

PAGE 01-00003160840-0015-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 16

3.1 Moyen 11: La requérante n'explique pas en quoi le raisonnement de la Chambre contentieuse procède d'une erreur manifeste d'appréciation, permettant de conclude à l'illégalité de la Décision attaquée
3.1.1 Première branche : Les critiques de la requérante sont formulées à l'égard du rapport d'enquête réalisé par le Service d'inspection et non à l'égard de la Décision attaquée
3.1.2 Deuxieme branche : La requérante ne demontre pas en quoi la Decision attaquee serait illegale
3.1.2.1 Sur la fiabilité des constats techniques
3.1.2.2 Sur la compréhensibilité des constats techniques
3.1.2.3 Sur la fiabilité des constatations humaines
3.1.2.4 Sur la suffisance d'un constat unique
3.1.2.5 Sur la transmission des constats et du rapport d'enquête
3.1.3 Conclusion sur l'écartement des pieces 6, 6A, 7, 7A, 8, 8A, 9, 10, 11, 13, 14 et 14A

C. Moyens relatifs au troisième grief de Rossel (« incertitude du cadre juridique et conséquences »)

1. Moyen 12: La prétendue incertitude du cadre juridique n'exempte pas la requérante de démontré qu'elle se conforme aux obligations qui lui incombent en vertu du RGPD
2. Moyen 13: La requérante se base sur des prémisses erronées
2.1 Quant au dépôt de cookies non strictement nécessaires avant le recueil du consentement
2.2 Quant à l'utilisation du « further browsing »
2.3 Quant au placement de cookies de réseaux sociaux et de mesure d'audience sans consentement
3. Moyen 14: L'APD n'a pas confirmé que son interprétation pourrait être remise en question
4. Conclusions sur l'incertitude du cadre juridique

D. Moyen relatifs au quatrième grief de Rossel (« absence de preuve des manquements allégués »)

1. Moyen 15 : Les manipulations effectuées par le Service d'inspection ne sont pas à l'origine de l'information fournie en anglais par la requérante, qui supporte la charge de la preuve

PAGE 01-00003160840-0016-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 17

E. Moyens relatifs au cinquième grief de Rossel (« aucun manquement ne peut être reproché à Rossel »)

1. Moyen 16: La requérante ne conteste pas que le consentement requis pour l'utilisation de certains cookies n'a pas été pas valablement recueilli
2. Moyen 17: Le further browsing ne permet pas de recueillir un consentement spécifique, tel qu'il est requis par l'article 4, §11 RGPD
3. Moyen 18: Le consentement de la personne concernée est requis pour l'utilisation de cookies de reseaux sociaux et de mesure d'audience
4. Moyen 19: La requérante ne respecte pas son obligation d'information en ce que sa politique de cookies est déficiente et que l'information obligatoire relative aux cookies est fournie en anglais
5. Moyen 20: Le mécanisme de retrait du consentement n'est pas efficient

F. Moyens relatifs au sixième grief de Rossel (« sur les mesures »)

1. Sur la mise hors cause et la suspension du prononcé
1.1 Moyen 21: La Cour ne peut réformer la Décision attaquée sans en avoir préalablement constaté l'illégalité
1.2 Moyen 22 : Les raisons invoquées par la requérante ne justifient pas de mettre sudpressedigital.be hors de cause
1.3 Moyen 23, à titre subsidiaire : Les circonstances atténuantes invoquées ne sont pas développées
2. Sur l'amende
2.1 Moyen 24: Le montant de l'amende n'est pas disproportionné; Rossel ne démontre aucune illégalité de la Décision attaquée sur ce point
2.2 Moyen 25: Le fait que des décisions de transaction soient intervenues concernant d'autres responsables de traitement n' affecte pas la légalité de la décision attaquée, ni celle du montant de l'amende imposée à Rossel
2.3 Moyen 26: La Chambre contentieuse n'a commis aucune illégalité en consultant les données publiquement disponibles sur le site de la Banque nationale; en toute hypothèse, cela n'a eu aucune influence sur les droits proceduraux de Rossel
2.4 Moyen 27: Le calcul de l'amende au niveau du « groupe » n'est pas entaché d'illégalité
3. Sur la publication de la décision »

PAGE 01-00003160840-0017-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 18

# VII. Recevabilité de la requête

15.

La Décision attaquée a été prise par l'APD le 16 juin 2022.

Il n'est pas contesté que la requête a été déposée au greffe de la cour dans le délai de 30 jours visé à l'article 108 § 1er de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données.

# VIII. Discussion – Décision de la Cour des marchés

# Quant au premier grief de la requérante relatif à la « nullité de la procédure »

# 16. Thèse de la requérante

La Cour examine en premier lieu la « seconde branche » du « premier grief » de la requérante, lequel n'est pas libellé dans la forme prescrite par l'article 744 du Code judiciaire, et qui est rédigée comme il suit :

(...)

# 2.3 QUANT À L'ABSENCE D'INDICES SÉRIEUX

# 2.3.1 LA LOI

On a vu supra que l'article 63, 1° de la loi du 3 décembre 2017 se lit comme suit : «

Le service d'inspection peut être saisi :

1° lorsque le comité de direction constate qu'il existe des indices sérieux de l'existence d'une pratique susceptible de donner lieu aux principes fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel ; »

Cette disposition conditionne la saisine du service d'inspection à la constatation, par le comité de direction, de l'existence « d'indices sérieux de l'existence d'une pratique susceptible de donner lieu aux principes fondamentaux de la protection des données à caractère personnel ».

PAGE 01-00003160840-0018-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 19

Il faut donc :

1) Des « indices sérieux »;
2) Ces indices sérieux doivent porter sur une « pratique »;
3) Cette pratique doit être « susceptible de donner lieu aux principes fondamentaux de la protection des données à caractère personnel »

On rappelle que cette prérogative du Comité de direction est exceptionnelle car ce n'est pas son rôle naturel. Il est en effet chargé, conformément à l'article 9 de la loi organique du 3 décembre 2017, de missions stratégiques (comptes annuels, budget annuel, rapport annuel, plan stratégique) ou de contrôle interne, mais sans rôle dans les dossiers individuels.

Lorsqu'il exerce cette prérogative exceptionnelle qui lui permet d'impulser un dossier individuel, le Comité de direction doit donc être d'autant plus attentif à justifier son intervention en la motivant selon le prescrit légal par la constatation d'indices sérieux.

# 2.3.2 LA DÉCISION DU COMITÉ DE DIRECTION

La décision est libellée comme suit ;

« B. Cookieproblematiek van mediawebsites

Beslissing directiecomité: o.b.v. artikel 63, 1° van de GBA-wet wordt het dossier overgedragen van de eerstelijnsdienst aan de inspectiedienst. De inspectiedienst dient een voorstel van "thematisch onderzoek" op te maken en voor te leggen aan beide inspecteurs-generaal. Op basis van dit voorstel zullen de inspecteurs-generaal beslissen om al dan niet een thematisch onderzoek op te starten.

Vooraleer actie te ondernemen moet men er zich van vergewissen dat de GBA-websites 100% conform de cookiewetgeving werken »

Ce qui se traduit de la manière suivante (logiciel de traduction automatisée Deepl) :

" B. problématique des cookies des sites web de médias

Décision du comité exécutif : conformément à l'article 63, 1° de la loi APD, le dossier est transféré du service de première ligne au service d'inspection. L'inspection doit élaborer une proposition « d'enquête thématique » et la soumettre aux deux inspecteurs généraux. Sur la base de cette proposition, les inspecteurs généraux décideront de lancer ou non une enquête thématique.

Avant de prendre des mesures, ils doivent s'assurer que les sites web de l'APD fonctionnent à 100% en conformité avec la loi sur les cookies ".

La décision ne contient donc pas un mot sur la présence d'indices sérieux. Ce

manquement suffit à prononcer la nullité des poursuites.

PAGE 01-00003160840-0019-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 20

La nullité s'impose d'autant qu'il apparait clairement que la décision du comité de direction a été guidée par un objectif politique et non par l'existence d'indices sérieux de violation relevés dans le chef de tel ou tel média. Les pièces 2 et 5 le confirment :

- Pièce 2 de l'APD : ce document qui identifie les sites qui seront visés est postérieur de 3 mois par rapport à la décidion et rédigé par le service d'inspection. En d'autres termes, au moment où il prend sa décidion, le comité de direction ne sait pas qui seront les medias visés et il délege cette tache aux enquêteurs ! On voit mal comment le Comité de direction aurait pu constater la présence d'indices sérieux de manquements, s'il ne sait même pas qui il doit observer !
- Piece 5 de l'APD : ce document démontré qu'en décembre 2019, c'est-à-dire 11 mois après la saisine, les services de l'APD réfléchissant à la question de savoir comment l'autorité justifiera une enquête qui vise spécifique les sites de medias. La réponse est : « Pourquoi les sites web de la media : beaucoup de visiteurs/des sites web populaires, juste quelques grandes structures derrière tout ca »

En d'autres termes :

La question de la justification du ciblage de l'enquête est posée 11 mois après son lancement, ce qui implique que le Comité de direction n'avait aucun indice au moment où il statue ;
Le motif du ciblage tient à la popularité des sites et non à des indices sérieux de l'existence d'une pratique susceptible de donner lieu aux principes fondamentaux de la protection des données à caractère personnel.

En exigeant des indices sérieux, la loi tente d'éviter l'arbitraire. L'arbitraire est pourtant ce qui arrive quand un justiciable fait l'objet d'une enquête non pas en raison de son comportement, mais uniquement en raison de sa popularité.

# 2.3.3 LA DÉCISION DONT APPEL DOIT ÊTRE RÉFORMÉE

La décision attaquée tente, malhabilement, de corriger ce défaut au paragraphe 65 : on y lit que le comité de direction aurait rédigé une note à destination du service d'inspection pour indiquer les indices qui l'ont amené à prendre sa décision :

65. De plus, le Comité de Direction, dans sa note au Service d'Inspection [pièce 2 du dossier de l'APD] se réfère à une plainte formelle reçue par la Chambre Contentieuse relative à l'utilisation de cookies sur le site web de la RTBF, et à des rapports d'analyse réalisés par un conseiller en sécurité de l'information qui « mettent en avant d'autres problèmes notamment le placement de cookies non essentiels avant le recueil du consentement des internautes, ou encore l'absence de possibilité (aisée) de paramétrage des cookies ». Le Comité de Direction précise que « d'autres dossiers ont montré des problèmes relatifs à l'utilisation des cookies sur d'autres médias belges ». Le Comité de Direction propose de « circonscrire l'investigation aux médias d'information belges les plus consultés en ligne ». Le Comité de Direction se réfère par ailleurs aux sites du groupe Mediahuis (Nieuwsblad, Standaard, Gazet van Antwerpen, Het Belang van Limburg) ne proposent que les titres avec un résumé si les cookies ne sont pas

PAGE 01-00003160840-0020-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 21

acceptés, ce qui diffère d'un système de paywall (« système qui sert à bloquer tout ou partie de l'accès à un site web à l'aide d'un système de paiement »). Au regard des éléments qui précèdent, le Comité de Direction a donc bien motivé l'existence d'indices d'atteinte dans sa note à l'attention du Service d'Inspection, conformément à l'exigence de l'article 63.1 de la LCA.

La décision affirme donc que :

La piece 2 de son dossier émane du Comité de Direction : « le Comité de Direction, dans sa note au Service d'Inspection [pièce 2 du dossier de l'APD] » (nous soulignons); et
- Cette note mentionne les éléments considérés par ledit Comité comme étant les indices sérieux constatés.

L'APD adopte la même ligne de défense devant la Cour.

C'est tout simplement faux, pour deux raisons :

- Cette note émane du service d'inspection, et non du Comité de direction.
- Cette note date de mars 2019, soit plusieurs mois après la décision du Comité de direction.

### 2.3.3.1 La pièce 2 émane du service d'inspection, et non du Comité de direction

Cela ressort du libellé même de la note.

Cela ressort aussi des déclarations de l'APD qui a pris ses distances avec cette note et l'a qualifiée de « simple note interne qui n'a pas été suivie d'effet ».

En effet, dans le cadre des activités journalistiques du journal Le Soir consacrées à la période difficile traversée par l'APD, l'article suivant a été écrit dans l'édition du 17 juin : « L'APD a-t-elle entériné la régionalisation de la vie privée ?».

La pièce 2 de l'APD est au cœur de cet article car elle contient une « bombe politique » : l'APD y écrit que la télévision publique flamande sera exclue d'office de l'enquête car sa supervision ressortirait des compétences de la Vlaamse Toezichtscommissie (VTC). Or, si la Cour constitutionnelle et le Conseil d'Etat ont reconnu le droit des entités fédérées de créer leurs propres autorités de contrôle, c'est uniquement en leur assignant des limites strictes à leurs compétences : les autorités de contrôle des entités fédérées peuvent uniquement être autorisées à exercer un contrôle des règles spécifiques que les entités fédérées ont promulguées pour les traitements de données dans le cadre d'activités qui relèvent de leur compétence.

L'article du Soir représente donc un risque politique majeur pour l'APD, a fortiori au moment où il est publié : le Parlement était alors en plein débat sur les dysfonctionnements de l'autorité.

PAGE 01-00003160840-0021-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 22

L'APD a jugé utile de publier un communiqué en réaction à l'article du Soir¹ :

Une note interne de l'APD indiquerait que le contrôle du site d'un média public néerlandophone serait la compétence de la VTC (Vlaamse Toezichtcommissie) et non pas de l'APD : cette note existe, mais il s'agit d'une simple note interne qui n'a pas été suivie. Celle-ci est de surcroît datée de mars 2019, c'est-à-dire avant la nomination du Comité de direction. Cette note ne reflète pas la position de l'actuel Comité de direction, comme devrait le savoir Le Soir sur base de différents échanges eus dans le passé, et comme le montre également la ligne de conduite de l'APD dans plusieurs décisions (publiques). (nous mettons en gras)

La pièce 2 n'est donc, aux yeux de l'APD, qu'une « simple note interne », qui n'a de sur-croît « pas été suivie ». Il ne saurait donc s'agir de la décision du Comité de direction qui mentionne les indices sérieux que ledit Comité a analysé au moment de sa décision et sur la base desquels il justifie sa décision.

# 2.3.3.2 Cette note date de mars 2019, soit plusieurs mois après la décision du Comité de direction

Cela ressort du libellé même de la note qui contient une date manuscrite : 7/3/2019.

Cela ressort aussi des déclarations de l'APD dans le contexte évoqué ci-dessus, qui fait remonter cette note à mars 2019.

La pièce 2 étant postérieure de plusieurs mois à la décision du Comité de direction, elle ne saurait être le document qui indiquait les indices sérieux que ledit Comité a analysé au moment de sa décision.

# 2.3.4 CONCERNANT LE POUVOIR DE CONTRÔLE DE LA COUR DES MARCHÉS SUR CES QUESTIONS

En conclusions, l'APD considère que le grief est en réalité dirigé contre une décision du comité de direction, et non contre une décision de la chambre contentieuse, de sorte que la Cour est sans compétence. Elle considère également que la compétence de la Cour est, quoiqu'il en soit, limitée en raison du pouvoir discrétionnaire du Comité de direction.

L'APD se retranche derrière une lecture restrictive de l'article 108 de la LCA selon laquelle seules les décisions stricto sensu de la chambre contentieuse sont susceptibles de recours devant la cour des marchés.

On sait que l'APD adopte la même théorie par rapport à la saisine de la chambre contentieuse à la suite d'une plainte. La recevabilité de la plainte est en effet analysée par le service de première ligne et l'APD considère qu'une fois la plainte déclarée recevable et transmise à la chambre contentieuse, celle-ci est liée par cette décision qui ne peut pas non plus être remise en cause devant la Cour des marchés.

***

PAGE 01-00003160840-0022-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 23

L'argument n'est pas pertinent in casu.

Dès l'instant où les paragraphes 63 à 75 de la décision attaquée répondent au moyen invoqué par les concluantes et concluent à la régularité de la saisine, la Cour est en droit d'exercer son contrôle légal sur cette question.

Par ailleurs, ainsi qu'il a été expliqué ci-dessus, cette décision est l'acte initial qui initie la procédure, laquelle doit être vue comme un tout. C'est pour cette raison que la décision figure dans le dossier de l'APD sur lequel la chambre contentieuse statue.

***

L'argument de l'APD n'est pas pertinent sur le plan juridique.

Si la thèse de l'APD devait être suivie, cela signifierait que la décision du comité de direction (ou du service de première ligne à l'égard d'une plainte) ne peut jamais faire l'objet d'un recours, privant forcément la personne visée par l'enquête ou la plainte de son droit à un recours effectif.

En effet, si la Cour des marchés est privée d'exercer son contrôle sur l'acte initial, le respect de la procédure et la compétence de l'APD, qui le fera ? Pas la chambre contentieuse puisque l'APD soutient que celle-ci est liée par la décision. Pas non plus le conseil d'État puisque la personne visée par la décision n'est pas informée de son existence, et que la décision n'est pas considérée par l'APD comme une décision administrative autonome et elle n'est donc pas notifiée à la personne visée.

La conséquence est mécanique : la légalité de la décision du Comité de direction (ou du service de première ligne à l'égard d'une plainte) n'est en réalité susceptible d'aucun recours et personne n'est à même de vérifier le respect de la légalité.

Dès lors, si la Cour devait envisager de suivre la thèse de l'APD, elle devrait préalablement poser une question préjudicielle à la Cour constitutionnelle.

En effet, cela signifierait que les justiciables qui comparaissent devant la chambre contentieuse seraient, de ce seul fait, les seuls justiciables qui ne pourraient jamais contester ni la saisine, ni la compétence de l'autorité qui statue à leur égard, ni le respect de la procédure en amont de la saisine de la chambre contentieuse.

Pareille interprétation de la LCA serait contraire aux articles 10, 11 et 13 de la Constitution, lus à la lumière de l'article 6 CEDH : selon ces dispositions combinées, il faut en effet qu'à un stade ou un autre de la procédure, la légalité de la saisine, le respect de la procédure et la compétence de la chambre contentieuse, puissent faire l'objet d'un recours de pleine juridiction.

Les concluantes suggèrent dans ce cas la question suivante, ou toute autre question similaire que la cour jugera opportune :

PAGE 01-00003160840-0023-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 24

questions, violent-ils les articles 10, 11 et 13 de la Constitution, lus à la lumière de l'article 6 CEDH ? »

# 2.3.5 CONCERNANT L'ABSENCE D'IMPACT SUR LA LÉGALITÉ DE LA DÉCISION ATTAQUÉE

En conclusions, l'APD s'interroge sur l'impact qu'aurait le constat de l'absence d'indices sérieux dans le chef du comité de direction, sur la légalité de la décision définitive de la chambre contentieuse. Elle explique que la situation n'est pas grave dans la mesure où le service d'inspection réalise une enquête et que « si les indices sérieux identifiés par le comité de direction s'avèrent, en réalité, n'être révélateurs d'aucune pratique problématique, le service d'inspection conclura son enquête sans identifier d'infraction potentielle au RGPD ».

L'argument n'est pas pertinent :

- D'une part, en l'espece, la question qui se pose n'est pas de savoir si les indices constatés par le comité de direction étaient « sérieux», mais bien de souligner que le comité de direction n'indique aucun indice;
- D'autre part, la thèse de l'APD revient à déléguer au service d'inspection le soin d'apprecier la présence des indices sérieux, ce qui est contraire à la loi, en particulier l'article 63 LCA.

# 2.3.6 CONCERNANT LA NÉCESSITÉ D'UNE APPROCHE « SOUPLE » ET « PRAGMATIQUE »

Selon l'APD, la légitimité et l'importance de sa mission impliquent une interprétation « souple » et « pragmatique » de la loi « en vue de garantir l'effectivité des missions et pouvoirs de l'APD ».

Les concluantes sont en profond désaccord sur le principe même de cette affirmation : l'APD est une autorité qui dispose de pouvoirs absolument extraordinaires comparables à ceux d'officiers de police judiciaires et parfois même plus : elle peut ainsi ordonner la fermeture d'un site. Dans un état de droit, ceci ne se conçoit que dans le respect de la légalité. La procédure est ce qu'elle est ; elle est le reflet d'un équilibre voulu par le législateur et il incombe à l'APD doit s'y conformer scrupuleusement.

Une approche rigoureuse s'impose d'autant que la possibilité laissée par l'article 63 LCA d'initier un dossier individuel est exceptionnelle et n'est même pas mentionnée parmi ses prérogatives légales énumérées à l'article 9 de la loi organique du 3 décembre 2017. Le Comité est un organe chargé de missions stratégiques (comptes, budget, plan stratégique) ou du contrôle interne, mais sans rôle dans les dossiers individuels est inexistant. Lorsqu'il exerce cette prérogative exceptionnelle qui lui permet d'impulser un dossier individuel, le Comité de direction doit donc être d'autant plus attentif à justifier son intervention en la motivant selon le prescrit légal par la constatation d'indices sérieux.

Lorsqu'une autorité aussi puissante s'arroge le droit de sortir de la procédure et réclame de la « souplesse » et du « pragmatisme » parce que sa mission est légitime et importante, ce n'est rien d'autre que l'antichambre du totalitarisme. Il est choquant de lire des propos pareils de la part d'une autorité aussi sérieuse. Les concluantes ne nient pas la légitimité et

PAGE 01-00003160840-0024-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 25

l'importance de la mission de l'APD, mais celle-ci doit être exercée dans le respect de la loi, point à la ligne.

***

Tout aussi interpellante est l'affirmation de l'APD selon laquelle la même souplesse doit être appliquée « pour tracer la limite entre les compétences respectives des organes de l'APD »..

En réalité, vu la composition du Comité de direction, c'est au contraire avec rigueur qu'il faut appliquer les principes.

Le Comité de direction est en effet composé de six personnes ... dont l'inspecteur général et le président de la chambre contentieuse.

Ce mélange des genres laisse songeur : on ne peut que s'interroger sur l'indépendance et l'impartialité lorsque le responsable du service d'inspection qui mènera l'enquête, et la personne qui préside les débats devant la chambre contentieuse, font partie du Comité qui constate la présence d'indices sérieux et décide d'ouvrir une enquête.

Vu cette spécificité belge pour le moins curieuse, il faut au contraire rejeter tout « pragmatisme » ou « souplesse », et exiger du Comité de direction une décision réfléchie, documentée et motivée sur la présence des indices sérieux qui l'autorisent à lancer une enquête.

# 2.4 L'ABSENCE DE MOTIVATION DE LA SAISINE

Au-delà du manquement matériel que constitue l'absence d'indices sérieux de manquement dans la décision du comité de direction, cela engendre aussi un manquement formel de motivation : le silence assourdissant de la décision du comité de direction quant à la présence d'indices sérieux ne saurait constituer une motivation adéquate sur le plan formel.

Ce manquement est d'autant plus grave qu'il prive en réalité la Cour des marchés de son rôle de contrôle. En effet, si l'on accepte que l'APD se dispense de motiver l'ouverture d'une enquête, qui pourra encore contrôler son activité ? Quel est le recours effectif dont dispose le justiciable soumis à une décision qui n'est pas motivée ? Y a-t-il plus arbitraire pour un justiciable qu'être visé par une enquête dont il ignore la raison et que l'on justifie maladroitement ensuite en raison de sa notoriété ou de son succès ? Que fait-on des principes d'égalité et de légalité ? Que fait-on du principe général de motivation des actes de l'autorité ? Que fait-on de la Cour des marchés dont le contrôle est vidé de sa substance ?

Ceci est d'autant plus grave qu'il est de notoriété publique que Le Soir (qui appartient à Rossel) est l'organe de presse qui a le plus tôt et le plus fortement dénoncé les manquements, conflits d'intérêt et dysfonctionnements graves et répétés dans le chef de l'APD. Une enquête non motivée n'est-elle pas simplement une mesure de rétorsion à l'encontre d'un organe de presse qui dérange ? L'absence totale de motivation le fait craindre ».

PAGE 01-00003160840-0025-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 26

# 17. Thèse de l'APD

Les moyens 5 à 8 de l'APD répondent à la « seconde branche » du « premier grief » de ROSSEL. Ils sont libellés comme il suit :

« La critique portant sur l'absence d'indices sérieux

2.1 Moyen 5, à titre principal : La Cour est sans juridiction pour se prononcer sur la légalité des décisions du Comité de direction
2.1.1 Première branche : seules les décisions de la Chambre contentieuse sont susceptibles du recours visé à l'article 108 de la LCA
20. Selon l'article 108, § 2, de la LCA :

« Un recours peut être introduit contre les décisions de la chambre contentieuse en vertu des articles 71 et 90 devant la Cour des marchés qui traite l'affaire selon les formes du référé conformément aux articles 1035 à 1038, 1040 et 1041 du Code judiciaire ».

21. L'APD souligne par ailleurs que, de jurisprudence constante, la Cour juge que la LCA ne lui confie que le traitement des recours contre les décisions de la Chambre contentieuse, à l'exclusion des décisions des autres organes de l'APD¹⁴.

Ce n'est pas là, comme le suggère Rossel, une lecture « restrictive » de l'article 108¹⁵, mais une interprétation stricte de celui-ci.

22. Dans la mesure où Rossel critique une décision du Comité de direction, la Cour est sans juridiction pour en connaître.
23. Rossel répond que « dés l'instant où les paragraphs 63 à 75 de la décision attaquée répondent au moyen invoqué par les conclusantes et conduit à la régularité de la saisine, la Cour est en droit d'exercer son contrôle légal sur cette question »$^{16}$.

Ce raisonnement peut être suivi, mais dans une certaine mesure seulement.

Il est vrai que la Cour peut exercer son contrôle sur ce qu'a décidé la Chambre contentieuse, en ce compris en ce qu'elle répond aux critiques de Rossel.

Encore faut-il toutefois que Rossel démontre que ces critiques, visant « indirectement » la décision du Comité de direction, sont susceptibles de conduire au constat d'illégalité de la décision de la Chambre contentieuse elle-même. Sur ce point, l'APD renvoie au moyen 8 ci-dessous.

PAGE 01-00003160840-0026-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 27

2.1.2 Deuxième branche : Il n'y a pas lieu de poser une question préjudicielle à la Cour constitutionnelle ; la pertinence de celle que propose Rossel n'apparaît pas

24. Rossel suggere (alternativement) qu'une question préjudicielle soit posée à la Cour constitutionnelle$^{17}$.
25. Or la formulation de la question sugérée est surprenante : elle porte sur les articles 100 et 108 de la LCA, interprétés d'une manière qui repose sur des prémisses pour le moins discutables.

Ainsi, Rossel n'explique pas d'où viendrait cette interprétation selon laquelle la Cour ne pourrait pas vérifier la légalité de la procédure ou la compétence de l'APD. En tout cas, l'APD ne conteste pas que la compétence de la Chambre contentieuse ou la procédure menée devant celle-ci puissent faire l'objet du contrôle de la Cour.

Rossel n'explique pas non plus pourquoi cette première prémisse, à la supposer établie, impliquerait la seconde, à savoir que le responsable de traitement serait privé de tout recours.

Il y a peut-être là des questions intéressantes, mais encore faudrait-il les poser avec suffisamment de clarté pour qu'un débat contradictoire puisse avoir lieu.

L'APD n'entend pas, pour sa part, élaborer des hypothèses.

Aucun moyen n'étant formulé par Rossel sur ce point, il n'y a pas lieu d'avoir égard à cette suggestion de question préjudicielle.

26. Il appartient à la Cour de juger de l'opportunity de poser aux juridictions compétentes les questions préjudicielles qu'elle jugerait utiles. Il ne suffit pas qu'une partie souhaite susciter une jurisprudence particulière de la part de la Cour constitutionnelle (ou de la Cour de justice de l'Union europeenne) pour que cette'utilité soit presente.
27. Telle qu'elle est formulée, la question sugérée ne semble pasprésenter d'intérêt pour la résolution du present recours$^{18}$.

2.2 Moyen 6 : L'argument de Rossel basé sur le « rôle naturel » du Comité de direction manque en droit

28. En conclusion, Rossel indique que la compétence du Comité de direction de saisir le service d'inspection est « exceptionnelle » et ne correspond pas à son « role naturel »
29. L'APD peine à comprendre ce raisonnement.

Tout d'abord, Rossel n'explique pas en quoi consiste la notion de « rôle naturel » au sens de la LCA.

PAGE 01-00003160840-0027-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 28

Ensuite, Rossel n'explique pas la raison pour laquelle l'article 9 de la LCA, qui décrirait selon elle le « rôle naturel » du Comité de direction, devrait recevoir la préséance sur l'article 63 de la même loi. Chacune de ces deux dispositions assigne des missions au Comité de direction. Il s'agit de deux dispositions de même rang législatif.

Enfin, il faut constater que cette idée de « rôle naturel » n'est, statistiquement, pas exacte. Le rapport annuel 2021 de l'APD relève ainsi que le Service d'inspection a réalisé 36 inspections à la demande du Comité de direction, pour 22 de sa propre initiative$^{19}$.

# **2.3 Moyen 7, à titre subsidiaire : La saisine du Service d'inspection a été fondée sur des indices sérieux d'une pratique susceptible de donner lieu à une violation des principes fondamentaux de la protection des données à caractère personnel, au sens de l'article 63 de la LCA**

# **2.3.1 Première branche : L'article 63 de la LCA doit être interprété avec souplesse**

L'article 63 de la LCA prévoit que :

« Le service d'inspection peut être saisi :

1° lorsque le comité de direction constate qu'il existe des indices sérieux de l'existence d'une pratique susceptible de donner lieu aux principes fondamentaux de la protection des données à caractère personnel$^{[20]}$, dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel

(...)

6° de sa propre initiative, lorsqu'il constate qu'il existe des indices sérieux de l'existence d'une pratique susceptible de donner lieu à une infraction aux principes fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel ».

Dans ces deux hypothèses, c'est la notion d' « indices sérieux » qui justifie la saisine du Service d'inspection.

Ainsi que l'indique la Décision attaquée, une interprétation large de la notion d' « indices sérieux » doit être privilégiée afin de garantir l'effectivité des missions des autorités de contrôle :

« L'article 63 impose des indices sérieux de manière très large (vague) et doit être lu de manière souple et pragmatique à la lumière du RGPD en vue de garantir l'effectivité des missions et pouvoirs de l'APD, prévus dans le RGPD pour les autorités de contrôle dans les états membres. En vertu des articles 51.1, 51.2 et 52.1 du RPGD, en effet, les Etats membres sont tenus de confier à une ou plusieurs autorités publiques indépendantes la surveillance de l'application du RGPD afin de protéger les libertés et

PAGE 01-00003160840-0028-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 29

droits fondamentaux des personnes physiques à l'égard du traitement, et faciliter le libre flux des données à caractère personnel dans l'Union »²¹.

32.C'est également, et pour les mêmes raisons, une interprétation large qu'il faut favoriser à propos de la notion de « pratique », ou à tout le moins pas une interprétation restrictive.

Ainsi, une pratique n'est pas nécessairement reliée à un opérateur individuel. Elle peut concerner, comme en l'espèce, un ensemble d'opérateurs d'un secteur donné, dont on peut penser qu'ils adoptent un comportement similaire. Il n'est pas question, bien entendu, de condamner un opérateur sur la base de comportements qui ne lui sont pas imputables : mais cela, c'est la mission de la Chambre contentieuse, éclairée par l'enquête du Service d'inspection.

33.Que l'on ne se méprenne pas : dans le cadre du présent recours, il appartient à la Cour d'interpréter la loi. L'APD lui présente l'interprétation qui lui semble correcte ; elle n'essaie pas de faire dire à la loi ce qu'elle ne dit pas, ou de se défaire des exigences que formule le législateur.

Rossel n'est pas obligée de partager cette interprétation. Ce n'est pas une raison pour, en conclusion, évoquer l' « antichambre du totalitarisme » en guise de raisonnement juridique²².

34.Cette interprétation large de l'article 63 est également nécessaire pour tracer la limite entre les compétences respectives des organes de l'APD²³.

C'est le Service d'inspection qui est chargé de mener des enquêtes. Le Comité de direction n'est pas habilité à le faire. Exiger de ce dernier une démonstration précise et concrète de faits et les imputer à un responsable de traitement, alors qu'il n'en a pas les moyens, est excessif et risque de réduire à néant les hypothèses de saisine du Service d'inspection par le Comité de direction.

# 2.3.2 Deuxième branche : L'opportunité de saisir le Service d'inspection est une compétence discrétionnaire ; le contrôle de la Cour est à cet égard limité

35. A supposer que la Cour dispose du pouvoir de juridiction pour connaître d'un recours dirigé contre une décision du Comité de direction ou du Service d'inspection, encore faut-il souligner que l'étendue de ce contrôle doit être appréciée en tenant compte du caractère discrétionnaire de la compétence exercée et de la marge d'appréciation dont l'autorité dispose.

36.Renvoyant à la jurisprudence de la Cour, la Décision attaquée relève à ce propos :

« l'identification de la présence d'indice sérieux de l'existence d'une pratique susceptible de donner lieu à une infraction aux principes fondamentaux de protection des données, ressort de la compétence d'appréciation discrétionnaire de l'APD, qu'il n'appartient pas à la Cour des marchés d'évaluer, excepté en présence d'une méconnaissance flagrante des principes de bonne administration en la matière ou erreur manifeste d'appréciation, quod non en l'espèce[²⁴]. La juridiction de la Cour des marchés est en effet limitée à un contrôle de régularité et de légalité. L'APD

PAGE 01-00003160840-0029-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 30

dispose d'un large pouvoir discrétionnaire à condition d'énoncer les faits qui donnent lieu à la décision prise. Plus le pouvoir discrétionnaire est large, plus le raisonnement doit être détaillé : en l'occurrence, la justification des indices sérieux de l'existence d'une pratique attentatoire en liminaire du rapport d'Inspection constitue une justification suffisante ».

37. L'APD souligne encore que la critique de Rossel est démentie par les

faits.

La Décision attaquée l'explique :

« De plus, le Comité de Direction, dans sa note au Service d'Inspection se réfère à une plainte formelle reçue par la Chambre Contentieuse relative à l'utilisation de cookies sur le site web de la RTBF, et à des rapports d'analyse réalisés par un conseiller en sécurité de l'information qui « mettent en avant d'autres problèmes notamment le placement de cookies non essentiels avant le recueil du consentement des internautes, ou encore l'absence de possibilité (aisée) de paramétrage des cookies ». Le Comité de Direction précise que « d'autres dossiers ont montré des problèmes relatifs à l'utilisation des cookies sur d'autres médias belges ». Le Comité de Direction propose de « circonscrire l'investigation aux médias d'information belges les plus consultés en ligne ». Le Comité de Direction se réfère par ailleurs aux sites du groupe Mediahuis (Nieuwsblad, Standaard, Gazet van Antwerpen, Het Belang van Limburg) ne proposent que les titres avec un résumé si les cookies ne sont pas acceptés, ce qui diffère d'un système de paywall (« système qui sert à bloquer tout ou partie de l'accès à un site web à l'aide d'un système de paiement »). Au regard des éléments qui précèdent, le Comité de Direction a donc bien motivé l'existence d'indices d'atteinte dans sa note à l'attention du Service d'Inspection, conformément à l'exigence de l'article 63.1 de la LCA »²⁵.

Elle ajoute encore :

« La Chambre Contentieuse constate en outre que le volume des visiteurs de sites web est suffisamment indicatif d'indices d'atteinte dans la mesure où ces sites, selon leurs propres politiques de cookies, utilisent des cookies tiers susceptibles de profiler les internautes. Ces deux caractéristiques publiquement disponibles sur les sites choisis sont indicatives d'un traitement à haut risque tel que visé à l'article 35 (a) du RGPD, en ce qu'elles impliquent un grand volume de données traitées et un risque de profilage »²⁶.

PAGE 01-00003160840-0030-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 31

Et enfin :

« La décision du Comité de Direction de l'APD est quant à elle suffisamment motivée, en ce qu'elle renvoie à des problématiques de conformité au RGPD repérées sur des sites media en matière de cookie, à travers (i) les rapports d'un conseiller en sécurité de l'information de l'APD (ii) des problématiques soulevées dans la presse. La décision du Comité de Direction de l'APD renvoie en outre à l'appréciation et la future décision de l'Inspecteur général quant aux indices sérieux d'une atteinte aux principes de protection des données. Ces motifs existaient au moment de la décision du Comité de direction, laquelle a été prise, sur base de premiers indices (grande fréquentation, problèmes de placement de cookies non essentiels avant le recueil du consentement, absence de possibilité aisée de paramétrage des cookies), et sous condition que ces indices soient confirmés ou complétés par le Service d'Inspection au cours de son enquête. La présence de tels indices sérieux a donc pu être motivée de manière complémentaire et à bon droit dans le rapport d'Inspection lui-même »²⁷.

Les informations publiquement disponibles (à la seule fréquentation des sites web concernés) constituaient des indices sérieux d'une pratique potentiellement problématique.

38. Il s'agit là d'indices sérieux, même si encore vagues et à confirmer ou infirmer par une enquête poussée, ce qui est précisément le rôle du Service d'inspection.

# 2.3.4 Quatrième branche : Le Service d'inspection a été valablement saisi

39. Rossel fait grand cas de la pièce 2 du dossier de l'APD, une note dont elle estime qu'elle émane du service d'inspection et non du Comité de direction, d'une part, et qui daterait de mars 2019, soit plusieurs mois après la décision du Comité de direction de saisir le service d'inspection.
40. Il est exact que la décision attaquée create, sur ce point, une confusion28, que l'analyse du dossier administratif permet de lever, tant sur le plan factuel que procedural.
41. Le 16 janvier 2019, le Comité de direction de l'APD a decide de transmettre le dossier au service d'inspection, avec une mission précise : « een voorstel van 'thematisch onderzoek' op te makeen en voor te leggen aan beiden inspecteurs-general. Op basis van dit voorstel zullen de inspecteurs-general beslissen om al dan Niet een thematisch onderzoek op te starten »$^{29}$.

C'est à la suite de cette impulsion par le Comité de direction que la note jointe en pièce 2 a été rédigée. Elle date effectivement de mars 2019, comme l'indique Rossel³⁰.

Celle-ci a ensuite été approuvée par les Inspecteurs généraux (paraphes en tête de cette note³¹).

A ce moment, le Service d'inspection a donc été effectivement saisi.

42. Le Service d'inspection a été saisi et cette saisine a été motivée. Ce qui précède n'affecte pas cette observation.

PAGE 01-00003160840-0031-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 32

Le fait que la note produite en pièce 2 n'a pas été rédigée par le Comité de direction, mais seulement sous son impulsion, comme le soutient Rossel, cela est, en tant que tel, néanmoins sans influence sur la légalité de la saisine du Service d'inspection.

Dans tous les cas en effet, le Service d'inspection a été saisi sur la base d'indices sérieux.

S'il ne l'a pas été par le Comité de direction, il faut conclure qu'il l'a été par lui-même.
L'article 63, 6° de la LCA le permet, aux mêmes conditions, soit précisément la présence d'indices sérieux.

43. La critique de Rossel sur ce point est dès lors en toute hypothèse inopérante.

44. L'APD s'interroge sur l'impact qu'aurait le constat de l'absence d'indices sérieux lors de la saisine du Service d'inspection, sur la légalité de la décision définitive de la Chambre contentieuse.

45. La décision de saisir le Service d'inspection, un autre organe de l'APD, n'a évidemment aucune influence sur le résultat de l'enquête que celui-ci mènera. Si les « indices sérieux » identifiés pour justifier la saisine s'avèrent, en réalité, n'être révélateurs d'aucune pratique problématique, le Service d'inspection conclura son enquête sans identifier d'infraction potentielle au RGPD et donc sans saisir la Chambre Contentieuse.

A plus forte raison encore, la saisine du Service d'inspection ne peut influencer le résultat du délibéré de la Chambre contentieuse – encore un autre organe, collégial, de l'APD. Si les indices sérieux identifiés pour justifier la saisine du Service d'inspection ne se matérialisent pas dans le constat d'une infraction, le responsable du traitement poursuivi ne sera pas sanctionné par la Chambre contentieuse³².

46. En d'autres termes, le risque d' « arbitraire » qu'identifie Rossel³³ lorsque le Service d'inspection est saisi sans indices sérieux (ou sans aucun indice³⁴) est, en toute hypothèse, corrigé par l'intervention de ce même Service, d'une part, et de la Chambre contentieuse, d'autre part.

# 3. La critique portant sur la motivation de la saisine

47. Rossel développe une critique confuse, principalement sous forme de questions, à propos de la motivation de la saisine du Service d'inspection.

Rossel n'indique pas si cette critique s'identifie à la précédente ou est formulée à titre subsidiaire par rapport à la précédente. C'est la raison pour laquelle l'APD a répondu à ces critiques de manière conjointe à la section qui précède, à laquelle il est renvoyé.

PAGE 01-00003160840-0032-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 33---

*Dans ses premières conclusions, l'APD se réservait le droit de développer sa réponse lorsque cette critique aura été clarifiée et agencée sous forme de moyens. Rossel n'a pas donné suite à cette invitation ».*

## **18. Décision de la Cour des marchés**

### **18.1.**

Alors que dans certaines législations qui confèrent juridiction à la Cour des marchés, il est explicitement indiqué que la Cour statuera en pleine juridiction, cette possibilité n'est pas explicitement mentionnée en matière de protection des données. L'article 108 § 1 LCA prévoit seulement qu'un recours contre les décisions de la Chambre contentieuse peut être formé devant la Cour des marchés.

Un recours devant la Cour des marchés diffère d'un appel « ordinaire » tel que celui qui peut être introduit devant un juge d'appel de l'ordre judiciaire. L'article 6 § 1 de la CEDH dispose que « *Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil(...)* ».

En ce qui concerne le droit à un recours effectif et à un procès équitable, l'article 47 de la charte des droits fondamentaux de l'Union européenne dispose que « *toute personne dont les droits et libertés garantis par le droit de l'Union ont été violés a droit à un recours effectif devant un tribunal dans le respect des conditions prévues au présent article. Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable par un tribunal indépendant et impartial, établi préalablement par la loi. [...]*

Le législateur Européen n'a pas spécifié ce qu'il faut entendre par « *un recours effectif devant un tribunal impartial et indépendant* ».

L'article 78 du RGDP prévoit quant à lui (la Cour met en évidence):

*«Toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.*

*Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de*

PAGE 01-00003160840-0033-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 34---

*l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77.*

*Toute action contre une autorité de contrôle est intentée devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie. »*

Pour que ce recours puisse être effectif et efficace, la Cour des marchés peut - sous la forme de la pleine juridiction - non seulement annuler les décisions de l'APD, mais elle peut également substituer sa propre décision à la décision annulée (à condition que l'APD ait eu à prendre une décision et dans la mesure où une telle substitution peut être effectuée sans violer aucune règle de la procédure).

Cependant, dans l'exercice de cette pleine juridiction, la Cour des marchés doit respecter les limites du débat judiciaire. Dans les limites des règles d'ordre public et dans les limites de l'interprétation à donner aux moyens invoqués devant la Cour, celle-ci doit limiter son appréciation, c'est-à-dire qu'elle doit limiter la substitution éventuelle de sa propre décision aux motifs invoqués par le requérant et aux moyens de défense de l'autre partie.

En bref, la Cour des marchés peut substituer sa décision à la Décision Attaquée annulée par la Cour, à la condition que la Cour ne soulève pas de contestation n'ayant pas fait l'objet du débat contradictoire dans la procédure devant elle et dans la mesure où aucune décision n'est prise à l'égard des parties à la procédure et dont elles n'auraient pas pu se défendre dans la procédure devant elle.

En conséquence, la Cour des marchés a juridiction pour annuler la Décision attaquée ou, le cas échéant, la réformer, en atténuant ou en remplaçant la sanction par une autre.

## 18.2.

Il ressort de l'analyse par la Cour de la seconde branche du premier grief tel que formulé par la requérante, auquel l'APD a répondu au travers des moyens en défense évoqués ci-avant, que les griefs de la requérante au sujet de la décision du Comité de direction de saisir le Service d'inspection, et de la validité de cette saisine, sont en fait dirigés à l'encontre de la Décision attaquée, à laquelle la requérante fait reproche de ne pas avoir répondu de manière adéquatement motivée aux arguments qu'elle avait soumis à la Chambre contentieuse, notamment au sujet des décisions prises à des stades antérieures de la procédure.

PAGE 01-00003160840-0034-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 35

L'objet de la demande dont est saisie la Cour des marchés tel qu'il ressort de l'en-tête du dispositif des conclusions de la requérante ne vise nullement l'annulation d'une décision du Comité de Direction ou du Service d'inspection, mais bien la réformation de la décision prise par l'APD le 16 juin 2022, prononçant des sanctions à son égard, qui est la seule Décision attaquée :

«Dire l'appel recevable et fondé et en conséquence mettre à néant la décision attaquée et statuer à nouveau :

(...); ».

18.3.

L'article 63,1° LCA est rédigé comme il suit (la Cour souligne et met en évidence):

« Sous-section 1re. - Saisine du service d'inspection

Art. 63. Le service d'inspection peut être saisi:

18.4.

La Charte du Service d'inspection, telle qu'elle est consultable sur le site internet de l'APD¹, prévoit ce qui suit s'agissant de sa saisine (la Cour souligne et met en évidence) :

« 2.3. Quand un contrôle du Service d'Inspection est-il décidé ?

Il existe plusieurs manières de débuter une enquête par le Service d'Inspection :

• à l'initiative du Comité de direction de l'APD :

o s'il existe des indices sérieux d'une infraction (par exemple suite à un article dans la presse, certaines fuites de données graves) ;

o s'il est nécessaire de coopérer avec une autorité de protection des données étrangère ; ou

o si une demande émane d'une instance judiciaire ou d'un organe de contrôle administratif.

¹ https://www.autoriteprotectiondonnees.be/publications/charte-du-service-d-inspection.pdf

PAGE 01-00003160840-0035-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 36

• à l'initiative de la Chambre Contentieuse :

o s'il y a une plainte nécessitant une enquête (par exemple si la plainte n'est pas claire ou si des points techniques doivent être clarifiés), ou

o si une enquête complémentaire est nécessaire.

• à l'initiative du Service d'Inspection lui-même s'il existe des indices sérieux d'une infraction.

Par conséquent une enquête ne peut avoir lieu qu'après une décision motivée sur base de faits ou d'indices sérieux d'une infraction (...) ».

18.5.

Il ressort de l'examen des pièces du dossier administratif que la saisine du Service d'inspection par le Comité de Direction découle de la décision prise par le Comité de Direction le 16 janvier 2019, communiquée au Service d'inspection par courrier électronique du 8 février 2019 (pièce 1 du dossier administratif).

Ce document est rédigé comme il suit:

"Voici un extrait des (sic) Notulen van de vergadering directiecomité 2019/01 van 16/01/2019

5.3. Beslissingen directiecomité mbt actieve dossiers

B. Cookieproblematiek van mediawebsites

Beslissing directiecomité: o.b.v. artikel 63, 1° van de GBA-wet wordt het dossier overgedragen van de eerstelijnsdienst aan de inspectiedienst. De inspectiedienst dient een voorstel van 'thematisch onderzoek' op te maken en voor te leggen aan beide inspecteurs-generaal. Op basis van dit voorstel zullen de inspecteurs-generaal beslissen om al dan niet een thematisch onderzoek op te starten.

Vooraleer actie te ondernemen moet men er zich van vergewissen dat de GBA-websites 100% conform de cookiewetgeving werken".

Traduction libre :

« Voici un extrait des Minutes de la réunion du Comité de direction du 16/01/2019

5.3. Décisions du comité de direction sur les dossiers actifs

B. Problèmes de cookies sur les sites web des médias

Décision du comité de direction : conformément à l'article 63, 1° de la loi APD, le dossier est transféré du service de première ligne à l'inspection. L'inspection doit élaborer une proposition d'"enquête thématique" et la soumettre aux deux inspecteurs généraux. Sur la

PAGE 01-00003160840-0036-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 37

base de cette proposition, les inspecteurs généraux décideront de lancer ou non une enquête thématique.

Avant de prendre des mesures, ils doivent s'assurer que les sites web de l'APD fonctionnent à 100% en conformité avec la loi sur les cookies ».

18.6.

La « note datée manuscritement du 7 mars 2019 » figurant en pièce 2 du dossier administratif est une note établie par le Service d'inspection lui-même, postérieurement à sa saisine, et non par le Comité de Direction, ce qui n'est pas contesté par l'APD, qui identifie comme telle cette pièce dans l'inventaire du dossier administratif (« SI »).

Cette note ne peut donc être considérée comme une décision du Comité de Direction motivant la saisine du Service d'inspection au sens de l'article 63,1° LCA.

18.7.

Le fait que le Service d'inspection a bien été saisi uniquement par la décision du Comité de Direction du 16 janvier 2019 est par ailleurs confirmé par le rapport d'enquête du Service d'inspection établi en octobre 2020 figurant en pièce 13 du dossier administratif, dont la teneur est la suivante (la Cour souligne et met en évidence) :

| Introduction : | **Suite à la décision du Comité de Direction du 16 janvier 2019, le Service d'Inspection a été saisi du dossier.** Le Service d'Inspection constatera les faits en réclamant les informations pertinentes et en les vérifiant. |
| --- | --- |
| Conclusion : | Transmission du rapport à la Chambre Contentieuse |

(...)

Lors de sa séance 2019/01 du 16 janvier 2019, le Comité de Direction a décidé de saisir le Service d'inspection de la problématique de l'utilisation des cookies sur les sites web des médias, sur base de l'article 63. 1° de la loi APD¹ (...)».

PAGE 01-00003160840-0037-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 38

18.8.

L'exigence de motivation de l'acte administratif litigieux exige (voir article 3 de la loi du 29 juillet 1991 sur la motivation formelle des actes administratifs) que la motivation, telle qu'elle figure dans l'acte, énonce les considérations juridiques et factuelles sur lesquelles la décision est fondée et il faut que cette justification soit suffisante pour porter la décision. La motivation doit être satisfaisante.

L'obligation de motivation exige qu'il ne suffit pas de donner une motivation mais que les motifs doivent également être reflétés dans la décision elle-même.

Les administrés doivent être en mesure de prendre connaissance de la décision et des motifs sur lesquels elle se fonde.

Plus le pouvoir discrétionnaire de l'autorité administrative est large, plus le raisonnement doit être détaillé. Une autorité qui dispose d'un large pouvoir discrétionnaire doit énoncer les faits qui donnent lieu à la décision prise².

Le terme « satisfaisant » signifie que la décision doit être suffisamment étayée par le raisonnement, ce qui implique que le raisonnement doit être fondé sur des faits réels, qu'un rapport raisonnable peut être déduit du raisonnement entre la décision envisagée et le but recherché et que, selon le cas, ce raisonnement montre que les options politiques prises ont été pesées³.

L'expression « satisfaisante » signifie que la décision est étayée par la motivation⁴.

L'objet de l'obligation de motivation est de donner un tel aperçu des motifs de cette décision que la personne à l'égard de laquelle la décision a été prise est en mesure d'apprécier correctement s'il est judicieux de se défendre contre cette décision avec les moyens dont elle dispose par la loi. Quiconque qui connaît les motifs d'une décision qui doit être formellement motivée, même si cette décision n'est pas formellement motivée, ne peut utilement invoquer la violation de l'obligation de motivation car, dans un tel cas, le but de l'obligation formelle de motivation est atteint, à savoir lui faire prendre conscience des motifs de la décision⁵.

² Cass. 15 février 1999, http://www.cass.be à sa date, arrêt n° S.98.0007.F; A.J.T. 2000-01, 103, noot PUT, J.; Arr.Cass. 1999, 199.

³ Cass. 3 février 2000, http://www.cass.be à sa date, arrêt n° C.96.0380.N; A.J.T. 2000-01, 284; Amén. 2001, 324, noot PAQUES, B.; Arr.Cass. 2000, 288.

⁴ voir: Cass. 12 novembre 2015, APT 2016, 94; http://www.cass.be à sa date, arrêt n° C.13.0257.N; TBO 2016, 152; aussi: Cass. 7 septembre 2017, APT 2018, 174; http://www.cass.be à sa date, arrêt n° C.16.0360.N.

⁵ Conseil d'Etat n°. 40.442, 22 septembre 1992, Arr. R.v.St. 1992, z.p.; Pas. 1995, IV, 21; R.A.C.E. 1992, z.p.

PAGE 01-00003160840-0038-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 39

Pour atteindre l'objectif de l'obligation de motivation, la décision doit énoncer clairement et concrètement les motifs qui peuvent la justifier, il ne peut être tenu compte de l'explication fournie dans le cadre de la procédure judiciaire entamée ultérieurement⁶.

Il suffit que les motifs soient clairement, si nécessaire de manière concise, énoncés dans la décision elle-même. S'il est fait référence à des avis ou à des rapports, il suffit d'indiquer brièvement l'objet et le contenu de ces documents, sans qu'il soit nécessaire de les reproduire intégralement ou de les joindre à la décision⁷.

18.9.

En l'espèce, la Décision attaquée est motivée comme il suit en réponse à l'argument soulevé devant elle par la requérante, au sujet de l'illégalité de la saisine du Service d'Inspection (la Cour souligne et met en évidence):

« 63. La défenderesse se réfère à la décision prise par le Comité de Direction de l'APD, transférant au Service d'Inspection le dossier « cookieproblematiek van mediawebsites », laquelle prévoit que le Service d'Inspection soumettra une proposition d'enquête à l'Inspecteur général, sur base de laquelle ce dernier pourra décider de lancer ou non une enquête thématique. Le Service d'Inspection de l'APD a motivé l'enquête comme suit : « Pourquoi les sites web des media : beaucoup de visiteurs/des sites web populaires [...] ». La grande fréquentation des sites web a donc été choisie comme premier indice sérieux de l'existence d'une pratique susceptible de donner lieu aux principes fondamentaux de la protection des données à caractère personnel au sens de l'article 63.1 de la LCA (ci-après, les « indices sérieux » ou « indices sérieux d'atteinte »).

(...)

65. De plus, le Comité de Direction, dans sa note au Service d'Inspection se réfère à une plainte formelle reçue par la Chambre Contentieuse relative à l'utilisation de cookies sur le site web de la RTBF, et à des rapports d'analyse réalisés par un conseiller en sécurité de l'information qui « mettent en avant d'autres problèmes notamment le placement de cookies non essentiels avant le recueil du consentement des internautes, ou encore l'absence de possibilité (aisée) de paramétrage des cookies ». Le Comité de Direction précise que « d'autres dossiers ont montré des problèmes relatifs à l'utilisation des cookies sur d'autres médias belges ». Le Comité de Direction propose de « circonscrire l'investigation aux médias d'information belges les plus consultés en ligne ». Le Comité de Direction se réfère par ailleurs aux sites du groupe Mediahuis (Nieuwsblad, Standaard, Gazet van Antwerpen, Het Belang van Limburg) ne proposent que les titres avec un résumé si les cookies ne sont pas acceptés, ce qui diffère d'un système de paywall (« système qui sert à bloquer tout ou partie de l'accès à un site web à l'aide d'un système de paiement »). Au regard des éléments qui

⁶ Comparer avec : Conseil d'Etat., 3 juin 1993, n.v. Syndicaat Machiensteen en n.v. Swenden, nr. 43.154. Aussi : Conseil d'Etat 17 mai 1993, n° 42.968.

⁷ Conseil d'Etat n° 43.526, 29 juin 1993, Arr. R.v.St. 1993, z.p.; R.A.C.E. 1993, z.p.; TBP 1994, 225.

PAGE 01-00003160840-0039-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 40---

précédent, le Comité de Direction a donc bien motivé l'existence d'indices d'atteinte dans sa note à l'attention du Service d'Inspection, conformément à l'exigence de l'article 63.1 de la LCA.

(...)

69. La décision du Comité de Direction de l'APD est quant à elle suffisamment motivée, en ce qu'elle renvoie à des problématiques de conformité au RGPD repérées sur des sites media en matière de cookie, à travers (i) les rapports d'un conseiller en sécurité de l'information de l'APD (ii) des problématiques soulevées dans la presse. La décision du Comité de Direction de l'APD renvoie en outre à l'appréciation et la future décision de l'Inspecteur général quant aux indices sérieux d'une atteinte aux principes de protection des données. Ces motifs existaient au moment de la décision du Comité de direction, laquelle a été prise, sur base de premiers indices (grande fréquentation, problèmes de placement de cookies non essentiels avant le recueil du consentement, absence de possibilité aisée de paramétrage des cookies), et sous condition que ces indices soient confirmés ou complétés par le Service d'Inspection au cours de son enquête. La présence de tels indices sérieux a donc pu être motivée de manière complémentaire et à bon droit dans le rapport d'Inspection lui-même

71. La Chambre contentieuse estime que la saisine a été suffisamment motivée dans la décision-même du Comité de Direction.

(...) »

18.10.

L'article 63,1° LCA, sur lequel se fonde la motivation de la Décision attaquée, exige que la décision du Comité de direction de l'APD de saisir le Service d'inspection fasse mention de l'existence « d'indices sérieux » d'une pratique susceptible de donner lieu à une infraction aux principes fondamentaux de la protection des données personnelles.

Cette exigence est confirmée par la Charte du Service d'inspection de l'APD.

18.11.

Il n'appartient pas à la Cour des marchés d'évaluer l'identification de la présence de tels indices sérieux, laquelle ressort de la compétence d'appréciation discrétionnaire de l'APD, excepté en présence d'une méconnaissance flagrante des principes de bonne administration en la matière, ou d'une erreur manifeste d'appréciation.

La juridiction de la Cour des marchés est en effet limitée à un contrôle de régularité et de légalité. Ce contrôle recouvre notamment le respect de l'exigence de motivation qui vient d'être rappelé.

PAGE 01-00003160840-0040-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 41

18.12.

Dans ce cadre, la Cour des marchés relève que les éléments de la Décision attaquée mis en évidence ci-avant sont en contradiction avec la teneur des pièces du dossier administratif.

Il est en effet établi par les pièces du dossier administratif, notamment par le rapport d'enquête d'octobre 2020 (pièce 13 du dossier administratif), que la saisine du Service d'inspection s'est faite par la notification de la décision du Comité de direction du 16 janvier 2019 (pièce 1 du dossier administratif).

Cette pièce ne contient en elle-même aucune motivation spécifique quant à l'existence requise par l'article 63,1° LCA « d'indices sérieux », terme qui n'y figure d'ailleurs pas.

La note interne au Service d'inspection du 7 mars 2019 ne peut quant à elle être considérée comme étant l'acte de saisine, ce que confirme le rapport d'enquête d'octobre 2020 : le Service d'inspection a été saisi par la décision du 16 janvier 2019.

La Décision attaquée, réfutant les arguments soulevés à cet égard par la requérante, sur la base de considérations de fait contredisant ce constat, est affectée d'un défaut de motivation. C'est en effet de manière inexacte que la Décision attaquée mentionne, notamment dans ses § 63, 65, 69 et 71, mis en évidence ci-avant, que la décision du Comité de Direction contiendrait plusieurs éléments justifiant l'existence d'indices sérieux « au sens de l'article 63,1° LCA », alors que ces éléments se retrouvent uniquement dans une note interne émanant du Service d'inspection lui-même, rédigée postérieurement à la décision de saisine.

Reposant sur une motivation inexacte, la Décision attaquée doit être annulée.

18.12.

Il n'est pas nécessaire d'examiner les autres moyens ou griefs de la requérante, qui ne pourraient mener à une annulation plus complète.

# IX. Dépens

19.

Conformément à l'article 1017, alinéa 1, du Code judiciaire, la requête étant fondée, l'APD est la partie succombante et est condamnée aux dépens, liquidés par la requérante à 1.800,00 euros (indemnité de procédure – affaire non évaluable en argent).

PAGE 01-00003160840-0041-0042-01-01-4

Cour d'appel Bruxelles – 2022/AR/953 – p. 42

**PAR CES MOTIFS,**
**LA COUR,**

Vu les dispositions de la loi du 15 juin 1935 sur l'emploi des langues en matière judiciaire,

Statuant contradictoirement,

Dit le recours recevable et fondé,

Annule la Décision attaquée rendue par la Chambre Contentieuse de l'Autorité de Protection des Données le 16 juin 2022 (numéro de la décision : 103/2022, numéro du dossier : DOS-2020-02998),

Condamne l'APD aux dépens de la requérante, en ce compris l'indemnité de procédure liquidée par elle à 1.800,00 euros,

Condamne l'APD au paiement du droit de mise au rôle devant la cour d'appel (400,00 €) au SPF FINANCES, conformément à l'article 269² § 1er, du Code des droits d'enregistrement, d'hypothèque et de greffe.

Ainsi jugé et prononcé à l'audience civile publique de la 19ème chambre A de la cour d'appel de Bruxelles, section Cour des marchés, le 22 février 2023.

Où étaient présents :

- M. F. FOGLI, Conseiller ff. président,
- Mme A.-M. WITTERS, Conseiller
- M. O. DUGARDYN, Conseiller
- Mme C. JOURDAN, Greffier

C. JOURDAN

A-M. WITTERS

O. DUGARDYN
F. FOGLI

PAGE 01-00003160840-0042-0042-01-01-4

Veri koruma otoritesi kararında gerekçenin doğruluğu

Türkçe özet

Hukuki mesele

Sonuç

Karar metni