Brüksel İstinaf Mahkemesi — gdprhub/court-of-appeal-of-brussels-2023-ar-801

¶ ile paragrafa bağlantı verin veya alıntıyı künyesiyle kopyalayın. Üretilen bağlantı kimlikleri resmî paragraf numarası değildir.

![img-0.jpeg](img-0.jpeg)

Expédition

| Numéro du répertoire **2023 / 5139** |
| --- |
| Date du prononcé **28 juin 2023** |
| Numéro du rôle **2023/AR/801** |

| Délivrée à | Délivrée à | Délivrée à |
| --- | --- | --- |
| le € CIV | le € CIV | le € CIV |

☐ Enregistrable

☑ Non enregistrable

Suspension de la décision

# Cour d'appel
## Bruxelles

Section Cour des marchés
19ᵉ chambre A

## Arrêt interlocutoire

| Présenté le |
| --- |
| Non enregistrable |

ETAT BELGE/APD

COVER 01-00003382612-0001-0018-03-01-1

![img-1.jpeg](img-1.jpeg)

Cour d'appel Bruxelles – 2023/AR/801 – p. 2

# EN CAUSE DE :

1. L'ETAT BELGE, MINISTRE DES FINANCES, BCE 0308.357.753, North Galaxy Towers, 1030

BRUXELLES, Boulevard du Roi Albert II 33,

partie requérante,

ayant pour conseil Maître VAN GYSEGHEM Jean-Marc, avocat à [...]

# CONTRE :

1. L'AUTORITE DE PROTECTION DES DONNEES, BCE 0694.679.950, dont le siège est établi à 1000

BRUXELLES, Rue de la Presse 35,

partie adverse,

ayant pour conseils Maître DE SCHIETERE DE LOPHEM Evrard et Maître RYELANDT Grégoire, avocats à [...],

1. M. X, domicilié à [...],
2. L'ACCIDENTAL AMERICANS ASSOCIATION OF BELGIUM, BCE 0735.382.140, (AAAB), 1160

AUDERGHEM, Clos Albert Crommelynck 4, boîte 7,

parties intervenantes volontaires,

ayant toutes deux pour conseils Maître MOSSELMANS Jens, Maître WELLENS Vincent et Maître VANDERSTRAETEN Maxime, avocats à [...]

***

Vu les pièces de la procédure, et notamment :

- la décision quant au fond n°61/2023 rendue le 24 mai 2023 par la Chambre contentieuse de l'Autorité de protection des données (ci-après « l' APD ») dans le DOS-2023-00068 sur la « Plainte relative au transfert par le Service Public fédéral (SPF) Finances de données personnelles vers les autorités fiscales américaines en exécution de l'accord FATCA » (ci-après la « Décision attaquée ») ;

PAGE 01-00003382612-0002-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 3

- le recours en suspension et annulation contre ladite Décision déposé au greffe par l'Etat belge, Ministre des Finances, le 14 juin 2023 ;
- la requête en intervention volontaire conservatoire déposée le 27 juin 2023 par M. X et l'ASBL Accidental Americans Association of Belgium (ci-après « AAAB ») ;
- les pièces déposés pour l'Etat belge.

Entendu les conseils des parties à l'audience publique du 28 juin 2023.

# I. LA DECISION ATTAQUEE

1. Le recours porte sur la Décision attaquée, prise par la Chambre contentieuse de l'APD le 24 mai 2023 dans le DOS-2023-00068 sur la « Plainte relative au transfert par le Service Public fédéral (SPF) Finances de données personnelles vers les autorités fiscales américaines en exécution de l'accord FATCA ».

# II. LA PROCEDURE DEVANT LA COUR

2. Le recours est formé par requête déposée par l'Etat belge, Ministre des finances, au greffe de la Cour, le 14 juin 2023.

Formé endéans le délai de trente jours prévu à l'article 108 de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « loi APD »), le recours est recevable, ce qui n'est pas contesté.

3. Le 27 juin 2023, M. X et l'AAAB ont déposé une requête en intervention volontaire.
4. A l'audience d'introduction, de l'accord des parties, les débats ont été limités à la demande de suspension de la Décision attaquée, et la cause prise en délibéré sur cette seule demande.

PAGE 01-00003382612-0003-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 4

### III. LE CONTEXTE DE LA DECISION ATTAQUEE ET LA PROCEDURE DEVANT L'APD

5. Le 22 décembre 2020, M. X (identifié comme « X ») – qui se présente comme un « américain accidentel », ayant acquis la nationalité américaine en raison de sa naissance sur le sol américain, mais sans avoir d'autres liens avec ce pays - et l'ASBL Accidental Americans Association of Belgium (AAAB) introduisent auprès de l'APD une plainte$^{1}$ dénonçant le caractère illicite selon eux du transfert de données personnelles opéré par le SPF Finances vers les autorités fiscales américaines dans le contexte de l'application de l'accord intergouvernemental « FATCA » conclu entre l'Etat belge et les Etats-Unis le 23 avril 2014$^{2}$, ainsi que d'autres manquements au RGPD dans le même contexte.

La Cour se réfère à ce stade aux éléments de faits repris dans la Décision attaquée, comme suit :

« 5. Du fait de sa nationalité américaine, le premier plaignant est considéré comme soumis au contrôle des autorités fiscales américaines eu égard au régime juridique fiscal américain. Ce système est en effet fondé sur le principe de la taxation basée sur la nationalité et vise l'Américain accidentel comme tout autre contribuable installé sur le sol américain ou ayant des activités en relation avec ce pays, la circonstance que sa résidence ne soit pas établie aux Etats-Unis étant indifférente. Seules certaines exceptions valent pour les non-résidents sur le sol américain.

6. Afin de faciliter la collecte des informations pertinentes par le fisc américain (Internal Revenue Service – ci-après IRS) en vue d'une éventuelle taxation des Américains résidant à l'étranger (en ce compris les Américains accidentels tels le premier plaignant), le gouvernement américain a conclu des accords intergouvernementaux avec différents états du monde. Ces accords prévoient la communication de données relatives à ces Américains résidant à l'étranger par les institutions financières nationales (telles des banques) à l'administration fiscale nationale (telle la défenderesse), cette dernière étant ensuite tenue de transférer ces données à l'IRS.

7. C'est dans ce contexte qu'intervient l'« Agreement between the Government of the Kingdom of Belgium and the Government of the United States of America to improve International tax compliance and to implement Fatca », signé par les représentants des gouvernements du Royaume de Belgique et des Etats-Unis d'Amérique le 23 avril 2014. Cet accord est communément et ci-après appelé « l'accord FATCA ». Il donne en effet exécution au Foreign Account Tax Compliance Act américain dont l'acronyme « FATCA » est tiré. Un accord intergouvernemental bilatéral comparable a également été signé avec différents états du monde, dont les états membres de l'Union européenne (ci-après UE).

8. La Loi belge du 16 décembre 2015 réglant la communication des renseignements relatifs aux comptes financiers par les institutions financières belges et le SPF Finances, dans le cadre d'un

$^{1}$ Cette plainte (plainte n° 1) sera déclarée recevable par le Service de première ligne de l'APD en ce qu'elle est introduite par le premier plaignant, et irrecevable en ce qu'elle est introduite par le second plaignant ; celui-ci déposera une seconde plainte (plainte n° 2) explicitant son intérêt à agir, laquelle sera déclarée recevable. Par la suite, les deux plaintes ont été jointes et l'APD se réfère dans la Décision attaque aux deux plaintes, comme à « la plainte », ce que la cour fera également dans le présent arrêt.

$^{2}$ Ayant fait l'objet d'une loi d'assentiment du 22 décembre 2016.

PAGE 01-00003382612-0004-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 5

échange automatique de renseignements au niveau international et à des fins fiscales (ci-après la Loi du 16 décembre 2015) invoquée par la défenderesses sous plusieurs aspects, s'inscrit quant à elle dans le contexte plus général de l'échange de données fiscales entre états, en ce compris mais aussi au - delà des seuls échanges avec l'IRS américain en exécution de l'accord «FATCA» précité.

9. L'objet de cette législation défini en son article 1er est ainsi de régler les obligations des institutions financières belges et de la défenderesse en ce qui concerne les renseignements qui doivent être communiqués à une autorité compétente d'une autre juridiction dans le cadre

d'un échange automatique de renseignements relatifs aux comptes financiers, échange organisé conformément aux engagements pris par l'Etat belge et résultant des textes ci-après:

- La directive 2014/107/UE du Conseil du 9 décembre 2014 modifiant la directive 2011/16/UE en ce qui concerne l'échange automatique et obligatoire d'informations dans le domaine fiscal;

- La Convention conjointe OCDE/Conseil de l'Europe du 25 janvier 1988 concernant l'assistance mutuelle en matière fiscale (la Convention multilatérale ou « la Convention ») ;

- Une convention bilatérale préventive de la double imposition en matière d'impôts sur les revenus ;

- Un traité bilatéral en matière d'échange de renseignements fiscaux (tel l'accord « FATCA »).

10. La Loi du 16 décembre 2015 est entrée en vigueur le 10 janvier 2016 en ce qui concerne les renseignements destinés aux Etats-Unis (article 20).

11. Le 22 avril 2020, le premier plaignant reçoit un courrier de la banque Z auprès de laquelle il dispose de comptes bancaires. Ce courrier mentionne en objet : « Confirmation de votre statut de personne US dans le cadre de l'accord Fatca et à d'autres fins réglementaires ». Il y est demandé au plaignant de confirmer qu'il n'a ni la nationalité américaine, ni n'est résident aux Etats-Unis pour les besoins de l'application des obligations qui incombe à la banque Z en exécution de la réglementation applicable en matière d'échange automatique de données. Le plaignant est invité à compléter un formulaire spécifique émanant des autorités américaines à cet effet. La lettre expose que les objectifs poursuivis par la législation américaine sont d'une part d'identifier tous les comptes détenus par les citoyens et/ou résidents américains auprès d'institutions financières non américaines ainsi que d'autre part, d'exercer un meilleur contrôle sur les revenus et les produits de valeurs détenus par des Américains. Le courrier précise qu'à défaut de renvoi du document signé et complété, la loi contraint la banque à considérer le premier plaignant comme une « US Person » par défaut : en conséquence, ses coordonnées ainsi que les informations sur ses avoirs, revenus et produits bruts continueront à être communiquées aux autorités fiscales concernées. Enfin, ledit courrier précise que si le premier plaignant possède la nationalité américaine ou s'il réside aux Etats-Unis, il devra se rendre en agence aux fins d'effectuer les formalités nécessaires.

12. Le 12 mai 2020, le premier plaignant est informé par la banque Z que dès lors qu'il possédait plusieurs comptes bancaires en Belgique en 2019, ceux-ci sont soumis à l'obligation de déclaration à la défenderesse en exécution des obligations légales qui incombent aux institutions bancaires auprès desquelles les résidents fiscaux d'un autre pays que la Belgique possèdent, comme c'est son cas, un ou plusieurs comptes bancaires.

13. Dans ce deuxième courrier, la banque Z indique ainsi au premier plaignant être tenue de déclarer à la défenderesse les données suivantes : le nom, l'adresse, la juridiction dont la personne est un résident, le numéro d'identification fiscale (NIF) ou la date de naissance de chaque personne devant

PAGE 01-00003382612-0005-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 6

faire l'objet d'une déclaration, le ou les numéros de compte, le solde du compte ou sa valeur au 31 décembre (cas particulier : si le compte est clôturé, un montant nul est communiqué), les intérêts, les dividendes, les produits de vente, de rachats ou de remboursement d'audits financiers et les autres revenus produits par les actifs financiers détenus sur le compte.

14. La banque Z joint en annexe de ce courrier les données du premier plaignant qui seront concrètement communiquées à la défenderesse en exécution de cette obligation de déclaration.

15. Ce courrier du 12 mai 2020 ne fait aucune référence à l'accord «FATCA». Outre la liste des données citées ci-dessus et des informations sur le principe de l'échange automatique de renseignements financiers auquel la banque Z expose être soumise, le premier plaignant est, pour toute question, renvoyé à la défenderesse en ces termes : « Pour de plus amples informations sur l'échange automatique de renseignements financiers, vous pouvez consulter le site Internet du SPF Finances ou de l'OCDE. Vous pouvez également nous appeler au numéro XXX ».

16. Dans un troisième courrier du 18 mai 2020, la banque Z contacte une nouvelle fois le premier plaignant et (a) explicite cette fois en des termes généraux le principe de l'accord « FATCA », (b) liste les données à communiquer dans ce cadre et (c) indique que dès lors que le plaignant possédait un ou plusieurs comptes soumis à l'obligation de déclaration en 2019, elle est tenue de les communiquer à l'administration fiscale compétente. la banque Z mentionne que pour de plus amples informations sur l'accord « FATCA », le premier plaignant peut appeler sa banque au numéro de téléphone indiqué.

17. Le 22 décembre 2020, soit le jour même où il dépose plainte à l'APD avec la seconde plaignante (plainte n°1 - point 1), le premier plaignant sollicite de la défenderesse qu'elle efface les données à caractère personnel qu'elle a obtenues des banques en application de l'accord « FATCA » et ce, en application de l'article 17.1.d) du RGPD. Le premier plaignant sollicite également que la défenderesse prenne les mesures nécessaires pour obtenir cet effacement de la part de l'IRS ou à défaut, la limitation de leur traitement en exécution de l'article 18.1.b) du RGPD. En tout état de cause, le premier plaignant réclame l'arrêt immédiat des échanges d'informations entre la défenderesse et l'IRS ayant lieu chaque année sur la base de l'Accord « FATCA » : ce transfert impliquant des données personnelles le concernant méconnaîtrait en effet selon lui plusieurs principes clés du droit à la protection des données personnelles tel qu'applicable en Belgique et plus généralement au sein de l'UE. La seconde plaignante formule la même demande en son nom au bénéfice, conformément à son objet statutaire, des Américains accidentels belges.

18. Plus spécifiquement, les plaignants appuient leur demande sur les motifs suivants : l'illicéité du transfert des données à caractère personnel vers l'IRS en vertu de l'accord « FATCA » (en violation des articles 45, 46 et 49 du RGPD) ; le non-respect des principes de limitation des finalités (article 5.1.b) du RGPD, de proportionnalité et de minimisation des données (article 5.1.c) du RGPD et de conservation limitée (article 5.1.e) du RGPD ; le non-respect du principe de transparence (articles 12 à 14 du RGPD) et un manquement à l'obligation d'effectuer une analyse d'impact relative à la protection des données (AIPD - article 35 du RGPD). Ledit courrier détaille chacun des griefs allégués. Ceux-ci étant également à la base de la plainte déposée à l'APD, ils seront explicités ci-dessous lorsque la Chambre Contentieuse débattra du point de vue respectif des parties, dont celui des plaignants (points 54 et s.).

PAGE 01-00003382612-0006-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 7

19. Dans sa lettre de réponse du 30 mars 2021, la défenderesse refuse de faire droit à la demande des plaignants argumentant que l'illicéité alléguée ne repose sur aucun fondement. La défenderesse expose ainsi que la base légale du transfert qu'elle opère réside dans l'accord «FATCA» ainsi que dans la Loi du 16 décembre 2015. La défenderesse invoque par ailleurs l'article 96 du RGPD et conclut à son appui qu'à défaut pour les plaignants de démontrer en quoi l'accord FATCA transgresserait le droit de l'UE avant le 24 mai 2016, leurs demandes ne reposent sur aucun fondement. La défenderesse réfute également tous les autres griefs qui lui sont opposés.

20. Pour la bonne compréhension de la décision, la Chambre Contentieuse cite ici d'emblée l'article 96 du RGPD intitulé « Relations avec les accords internationaux » qui prévoit ceci:

« Les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales qui ont été conclus par les États membres avant le 24 mai 2016 et qui respectent le droit de l'Union tel qu'il est applicable avant cette date restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation ».

21. A la suite de cette réponse de la défenderesse, seul le premier plaignant renouvelle sa demande le 9 juillet 2021, soulignant que lesdits transferts de données de la défenderesse vers l'IRS sont également illégaux en vertu de la Directive 95/46/CE.

22. Par une décision du 4 octobre 2021, la défenderesse refuse de faire droit aux demandes du premier plaignant rejetant les arguments développés par ce dernier au regard des manquements dénoncés tant au RGPD qu'à la Directive 95/46/CE. Pour la bonne compréhension de la suite de sa décision, la Chambre Contentieuse précise que la défenderesse estime par ailleurs aux termes de cette décision « qu'en l'espèce, la condition d'un fondement reposant sur un motif important d'intérêt public - au sens de l'article 49.1.d) du RGPD5 ou de l'article 26.1.d)6 de la Directive 95/46/CE] - est bien remplie dès lors que la base de licéité du traitement litigieux repose sur un accord international [soit l'accord «FATCA»] et la loi du 16 décembre 2015 ».

23. Un recours en annulation devant le Conseil d'Etat (CE) a été introduit contre cette décision administrative de la défenderesse. Aux termes de leurs conclusions et au cours de l'audition qui s'est tenue devant la Chambre Contentieuse, les parties ont indiqué que ce recours était toujours pendant. Elles ont précisé que la défenderesse avait notamment plaidé que le CE attende l'issue de la procédure devant l'APD pour se prononcer. Le plaignant a pour sa part réclamé que des questions préjudicielles soient posées par le CE à la Cour de Justice de l'Union européenne (ci-après CJUE) quant au fondement légal des transferts opérés en exécution de l'accord « FATCA », quant à l'admissibilité de la mobilisation de l'article 49.1. d) du RGPD ou le cas échéant de son équivalent dans la Directive 95/46/CE en cas d'application de l'article 96 du RGPD ainsi que quant au respect des principes de transparence, de finalité, de minimisation et de conservation limitée tels que consacrés par les articles pertinents du RGPD ou leurs équivalents dans la Directive 95/46/CE si l'application de l'article 96 du RGPD devait être retenue » (Décision attaquée, pp. 5 à 9).

PAGE 01-00003382612-0007-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 8

6. Le Service d'inspection de l'APD, auquel la Chambre contentieuse demande une enquête, dépose un rapport le 26 mai 2021 qui conclut qu'il n'y a « pas de violation apparente du RGPD ».

La Chambre contentieuse sollicite un rapport complémentaire et, le 14 septembre 2021, le nouveau rapport du Service d'inspection maintient sa conclusion quant à l'absence de violation du RGPD.

7. La Chambre contentieuse rend la Décision attaquée le 24 mai 2023 dans laquelle elle retient les violations suivantes du RGPD et prend les mesures suivantes :

« 290. Sur la base des pièces du dossier et à l'issue de son analyse, la Chambre Contentieuse conclut, ainsi qu'elle l'a mentionné en conclusion du Titre II.E.1., à l'illicéité des traitements de données personnelles du premier plaignant par la défenderesse, en ce compris leur transfert vers l'IRS, dès lors que ces traitements interviennent en violation des principes de finalité, de nécessité et de minimisation/proportionnalité et des règles du Chapitre V du RGPD. La Chambre Contentieuse a démontré que cette illicéité touche non seulement le traitement des données personnelles du plaignant mais plus généralement également, celui des données à caractère personnel des Américains accidentels belges.

291. Compte tenu de cette illicéité, la Chambre Contentieuse décide d'ordonner l'interdiction des traitements de données du premier plaignant et des Américains accidentels belges opérés en exécution de l'accord « FATCA » et de la Loi du 16 décembre 2015 et ce, en application tant de l'article 100.8 de la LCA que de l'article 58.2 f) et j) du RGPD. La Chambre Contentieuse

considère que cette mesure correctrice est la seule à même de mettre un terme à l'illicéité constatée, chaque catégorie de manquement pris isolément (que ce soit le manquements aux principes de finalité et de minimisation d'une part (Titre II.E. 1.1.) ou le manquement aux règles du Chapitre V du RGPD d'autre part (Titre II.E.1.2.) justifiant cette interdiction. Cette interdiction emporte la suspension des flux des dites données vers l'IRS en exécution de l'article 100.14 de la LCA.

292. Conformément à l'arrêt Schrems II de la CJUE du 16 juillet 2020 déjà cité, la Chambre Contentieuse ajoute qu'elle est par ailleurs tenue de prononcer cette interdiction. Le dispositif de cet arrêt énonce en effet que « l'article 58, paragraphe 2, sous f) et j), du règlement 2016/679 doit être interprété en ce sens que, à moins qu'il existe une décision d'adéquation valablement adoptée par la Commission européenne, l'autorité de contrôle compétente est tenue de suspendre ou d'interdire un transfert de données vers un pays tiers fondé sur des clauses types de protection des données adoptées par la Commission, lorsque cette autorité de contrôle considère, à la lumière de l'ensemble des circonstances propres à ce transfert, que ces clauses ne sont pas ou ne peuvent pas être respectées dans ce pays tiers et que la protection des données transférées requise par le droit de l'Union, en particulier par les articles 45 et 46 de ce règlement et par la charte des droits fondamentaux, ne peut pas être assurée par d'autres moyens, à défaut pour le responsable du traitement ou son sous-traitant établis dans l'Union d'avoir lui-même suspendu le transfert ou d'avoir mis fin à celui-ci » (point 121 de l'arrêt).

PAGE 01-00003382612-0008-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 9

293. La circonstance que la CJUE exige dans cet arrêt que des clauses contractuelles types soient écartées n'est pas de nature à exclure l'obligation pour la Chambre Contentieuse d'interdire des transferts de données à opérer en vertu d'un accord international tel l'accord « FATCA »
294. En effet, le dispositif et les points 119-121 de l'arrêt consacrent plus généralement ce qui est attendu des autorités de protection des données en matière d'exercice de leurs compétences au regard de flux transfrontières de données qui interviendraient en violation du RGPD, en particulier en violation des articles 45 et 46 comme en l'espece.
295. A l'aune de l'ensemble des circonstances propres aux transferts dénoncés et des constats de violations de la Chambre Contentieuse, la protection des données transférées requise par le droit de l'UE ne peut être assurée que par l'interdiction prononcée par la Chambre Contentieuse, la défenderesse ayant par sa décision du 4 octobre 2021 refusé de suspendre

le transfert de ces données et défendu dans le cadre de la présente procédure qu'elle était autorisée à les poursuivre.

296. La Chambre Contentieuse constate que la défenderesse s'est par ailleurs rendue coupable d'une violation de l'article 14.1-2 combiné à l'article 12.1 du RGPD en ce que la défenderesse n'a pas informé de manière suffisante le premier plaignant et n'informe pas de manière suffisante les Américains accidentels belges et plus généralement les personnes concernées par les traitements de données opérés en exécution de l'accord « FATCA » (Titre II. E.2).
297. Pour ce manquement, la Chambre Contentieuse adresse à la défenderesse une réprimande sur la base de l'article 100, $5^{\circ}$ de la LCA assortie d'un ordre de mise en conformité sur la base de l'article 100, $9^{\circ}$ de la LCA visant à prévoir une information complète, claire et accessible quant au transfert des données vers l'IRS sur son site Internet.
298. La Chambre Contentieuse constate que la défenderesse s'est également rendue coupable d'une violation de l'article 35.1. du RGPD en ce que la défenderesse n'a pas réalisé d'AIPD (Titre II.E.3).
299. Pour ce manquement, la Chambre Contentieuse adresse à la défenderesse une réprimande sur la base de l'article 100.5° de la LCA assortie d'un ordre de mise en conformité sur la base de l'article 100.9° de la LCA visant à réaliser une analyse d'impact relative à la protection des données conformément à l'article 35 du RGPD. La Chambre Contentieuse est d'avis que nonobstant l'interdiction du traitement prononcée, la réalisation d'une telle analyse conserve son'utilité. Une AIPD rigoureuse devrait contribuer à la mise en place d'un futur encadrement conforme au RGPD.
300. Enfin, la Chambre Contentieuse constate que la défenderesse s'est aussi rendue coupable d'une violation des articles 5.2. et 24 du RGPD en ce que la défenderesse a manqué à son obligation de responsabilité (accountability) (titre II.E.4).
301. Pour ce manquement, la Chambre Contentieuse adresse à la défenderesse une réprimande sur la base de l'article 100. $5^{\circ}$ de la LCA assortie d'un ordre de mise en conformité constant à alerter le législateur compétent sur les manquements constatés aux termes de la presente décidion et l'interdiction des traitements prononcée $\gg$

PAGE 01-00003382612-0009-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 10---

Le dispositif de la Décision attaquée est le suivant :

# **« PAR CES MOTIFS,**

*la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération:*

- En vertu de l'article 100.8. de la LCA, d'interdire le traitement par la défenderesse des données du premier plaignant et des Américains accidentels belges en application de l'accord FATCA et de la Loi du 16 décembre 2015 réglant la communication des renseignements relatifs aux comptes financiers par les institutions financières belges et le SPF Finances, dans le cadre d'un échange automatique de renseignements au niveau international et à des fins fiscales.

- En vertu de l'article 100.5. de la LCA, de formuler une réprimande à l'égard de la défenderesse en ce qui concerne la violation de l'article 14.1-2 combiné à l'article 12.1 du RGPD assortie d'un ordre de mise en conformité sur la base de l'article 100.9. de la LCA consistant à prévoir une information conforme au RGPD sur son site Internet ;

- En vertu de l'article 100.5. de la LCA, de formuler une réprimande à l'égard de la défenderesse en ce qui concerne la violation de l'article 35.1 du RGPD assortie d'un ordre de mise en conformité sur la base de l'article 100.9. de la LCA consistant en la réalisation d'une AIPD au sens de l'article 35 du RGPD ;

- Les documents probants attestant des mises en conformité ordonnées sont à communiquer à la Chambre Contentieuse à l'adresse [email protected] dans un délai de 3 mois à dater de la notification de la présente décision ;

- En vertu de l'article 100.5. de la LCA, de formuler une réprimande à l'égard de la défenderesse en ce qui concerne la violation des articles 5.2. et 24 du RGPD ».

# **IV. OBJET DU RECOURS**

L'Etat belge sollicite par son recours :

# **« A titre principal**

1. Retenir la cause à l'audience d'introduction aux de plaider sur la suspension de la décision quant au fond n°61/2023 rendue le 24 mai 2023 par la Chambre contentieuse de l'Autorité de protection des données.

# **EN CONSEQUENCE,**

2. Après avoir déclaré le recours introduit par l'Etat belge recevable et fondé, suspendre la décision quant au fond n°61/2023 rendue le 24 mai 2023 par la Chambre contentieuse de l'Autorité de protection des données.

3. Etablir un calendrier de conclusions jusqu'à l'arrêt au fond et fixer l'audience de plaidoirie au fond.

PAGE 01-00003382612-0010-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 11

4. Statuant de pleine juridiction, dire pour droit que l'Etat belge ne viole pas le RGPD en ce qu'il transfère des données de citoyens américains à l'IRS pour une finalité de taxation dans le respect de la Convention concernant l'Assistance administrative mutuelle en matière fiscale signée à Strasbourg le 25 janvier 1988, l'accord FATCA et la loi du 16 décembre 2015.

# A titre subsidiaire

1. A la date de l'introduction de la cause, fixer le calendrier et fixer l'audience des plaidoiries au maximum un mois après la date de l'introduction eu égard aux obligations internationales de l'Etat belge en matière de transfert des données de citoyens américains à l'IRS pour une finalité de taxation dans le respect de la Convention concernant l'Assistance administrative mutuelle en matière fiscale signée à Strasbourg le 25 janvier 1988, l'accord FATCA et la loi du 16 décembre 2015.

# EN CONSEQUENCE,

2. ÀpRES avoir déclaré le recours introduit par l'Etat belge receivable et fondé, annuler la décision quant au fond n°61/2023 rendue le 24 mai 2023 par la Chambre contentieuse de l'Autorité de protection des données.
3. Statuant de pleine juridiction, dire pour droit que l'Etat belge ne viole pas le RGPD en ce qu'il transfere des données de citoyens americains à l'IRS pour une finalité de taxation dans le respect de la Convention concernant l'Assistance administrative mutuelle en matière fiscale signée à Strasbourg le 25 janvier 1988, l'accord FATCA et la loi du 16 décembre 2015.
4. Condamner l'Autorité de protection des données aux entiers dépens, en ce compris l'indemnité de procédure liquidée à la somme de 1.800,- € »

Il invoque les moyens suivants à l'appui de son recours en annulation de la Décision attaquée :

- Premier moyen : détournement de pouvoir
- Deuxieme moyen : Violation de la motivation des actes administratifs
Troisième moyen : violation de l'article 96 du RGPD
- Quatrième moyen : non fondement des griefs liés aux articles 14.1-2 combiné à l'article 12.1., 35.1, 5.2. et 24 du RGPD

A l'audience, le conseil de l'Etat belge a précisé qu'à ce stade, il ne sollicite que la suspension de la Décision attaquée (points 1 à 3 du dispositif principal repris ci-avant).

9. L'APD n'a pas déposé de conclusions. Ses conseils ont plaidé à l'audience que les conditions relatives à la suspension de la Décision attaquée n'étaient pas réunies.

PAGE 01-00003382612-0011-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 12

10. Les intervenants volontaires demandent de déclarer la demande de l'Etat belge en vue de la suspension non fondée.

# IV. CADRE JURIDIQUE APPLICABLE - SUSPENSION

11. La Cour aura notamment égard aux dispositions légales suivantes :

Loi APD

Article 108

§ 1er

La chambre contentieuse informe les parties de sa décision et de la possibilité de recours dans un délai de trente jours, à compter de la notification à la Cour des marchés.

Sauf les exceptions prévues par la loi ou sauf si la chambre contentieuse en décide autrement par décision spécialement motivée, la décision est exécutoire par provision, nonobstant recours.

La décision d'effacement des données conformément à l'article 100, § 1er, 10°, n'est pas exécutoire par provision.

(...)

RGPD³

Article 78 - Droit à un recours juridictionnel effectif contre une autorité de contrôle

1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.
2. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un-delai de trois mois, de l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77.
3. Toute action contre une autorité de contrôle est intentée devant les juridictions de l'Etat membre sur le territoire duquel l'autorité de contrôle est établie.

³ Règlement (UE) 2016/679 du 27 avril 2016 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)

PAGE 01-00003382612-0012-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 13

4. Dans le cas d'une action intentée contre une décision d'une autorité de contrôle qui a été précédée d'un avis ou d'une décision du comité dans le cadre du mécanisme de contrôle de la cohérence, l'autorité de contrôle transmet l'avis ou la décision en question à la juridiction concernée.

# Paragraphe 143 du Préambule

(...) Sans préjudice de ce droit prévu à l'article 263 du traité sur le fonctionnement de l'Union européenne, toute personne physique ou morale devrait disposer d'un recours juridictionnel effectif, devant la juridiction nationale compétente, contre une décision d'une autorité de contrôle qui produit des effets juridiques à son égard. Une telle décision concerne en particulier l'exercice, par l'autorité de contrôle, de pouvoirs d'enquête, d'adoption de mesures correctrices et d'autorisation ou le refus ou le rejet de réclamations. Toutefois, ce droit à un recours juridictionnel effectif ne couvre pas des mesures prises par les autorités de contrôle qui ne sont pas juridiquement contraignantes, telles que les avis émis ou les conseils fournis par une autorité de contrôle. Les actions contre une autorité de contrôle devraient être portées devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie et être menées conformément au droit procédural de cet État membre. Ces juridictions devraient disposer d'une compétence de pleine juridiction, ce qui devrait comprendre la compétence pour examiner toutes les questions de fait et de droit relatives au litige dont elles sont saisies. (...)

# Charte des droits fondamentaux de l'Union européenne

# Article 47 - Droit à un recours effectif et à accéder à un tribunal impartial

Toute personne dont les droits et libertés garantis par le droit de l'Union ont été violés a droit à un recours effectif devant un tribunal dans le respect des conditions prévues au présent article. Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable par un tribunal indépendant et impartial, établi préalablement par la loi. Toute personne a la possibilité de se faire conseiller, défendre et représenter. Une aide juridictionnelle est accordée à ceux qui ne disposent pas de ressources suffisantes, dans la mesure où cette aide serait nécessaire pour assurer l'effectivité de l'accès à la justice

PAGE 01-00003382612-0013-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 14

# V. DISCUSSION – DEMANDE DE SUSPENSION

12. En vertu de l'article 108, § 1, alinéa 2 de la Loi APD, la décision de la chambre contentieuse est en principe exécutoire par provision nonobstant recours.

Ceci n'enlève rien au pouvoir de la Cour des marchés de pouvoir suspendre une décision de la chambre contentieuse, lorsque cette suspension est requise pour permettre un recours effectif au requérant, la Cour étant tenue d'assurer un tel recours effectif (cfr articles 78, alinéa 1 et article 47 de la Charte des droits fondamentaux de l'Union européenne). En outre, conformément à l'article 19, alinéa 3 du Code judiciaire, la Cour peut, avant dire droit, à tout stade de la procédure, ordonner une mesure préalable destinée soit à instruire la demande ou à régler un incident portant sur une telle mesure, soit à régler provisoirement la situation des parties.

Partant, la Cour peut suspendre la décision attaquée devant elle si le requérant invoque des moyens sérieux susceptibles de justifier prima facie l'annulation sollicitée et lorsque l'exécution immédiate de celle-ci risque de causer un préjudice grave difficilement réparable. Il appartient à la Cour de réaliser la balance des intérêts entre l'exécution immédiate de la décision soumise à sa censure, et les intérêts du requérant qui la critique (cfr Cour des marchés, 8 mars 2023, RG 2023/AR/184).

13. En l'occurrence, l'Etat belge soutient que les moyens invoqués à l'appui de son recours sont suffisamment sérieux pour justifier une suspension de la Décision attaquée, ce que l'APD et les intervenants volontaires contestent.

Par ses premier et troisième moyens, l'Etat belge soutient en substance que la Décision viole l'article 96 du RGPD, qui se lit comme suit :

# « Art. 96 - Relation avec les accords conclus antérieurement

Les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales qui ont été conclus par les États membres avant le 24 mai 2016 et qui respectent le droit de l'Union tel qu'il est applicable avant cette date restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation »

Dès lors que le transfert de données personnelles des citoyens américains est exécuté par le SPF Finances en vertu de l'Accord FATCA conclu entre les Etats-Unis et la Belgique le 23 avril 2014, soit avant le 25 mai 2016 (date de l'entrée en vigueur du RGPD), l'Etat belge soutient dans son troisième moyen qu'il n'est pas régi par les dispositions du RGPD, du fait de cet article 96 ; il fait également valoir que ce transfert de données est conforme au droit de l'Union tel qu'il était en vigueur avant le RGPD, et appuie cette conclusion sur des avis rendus à l'époque (notamment les avis de la Commission de la protection de la vie privée n° 61/2014 du 17 décembre 2014 et n° 28/2015 du 1er juillet 2015).

PAGE 01-00003382612-0014-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 15

Il reproche à l'APD d'avoir, dans la Décision attaquée, pris une disposition politique et violé l'article 96 du RGPD.

L'APD conteste le sérieux des moyens invoqués par l'Etat belge, notamment dès lors qu'il ne fait que « recycler » devant la Cour les moyens qu'il a déjà fait valoir devant l'APD, et auxquels celle-ci a répondu de manière motivée et circonstanciée dans la Décision attaquée. Elle considère que son interprétation de l'article 96 du RGPD s'appuie sur une doctrine autorisée.

14. Prima facie, l'article 96 du RGPD ne prévoit pas de limite dans le temps à la validité des accords internationaux antérieurs. La motivation de la Décision attaquée, qui repose sur l'idée que « l'effet de standstill de la disposition s'amenuise avec le temps et avec l'évolution de l'interprétation du droit de l'UE » (Décision attaquée, § 156) pour ensuite considérer les dispositions du RGPD entièrement applicables aux transferts de données réalisés par l'Etat belge dans le cadre de l'Accord FATCA n'est dès lors pas, prima facie, à l'abri des critiques de l'Etat belge.

La Cour constate également que l'analyse défendue par l'Etat belge est similaire à celle adoptée par le Service d'inspection de l'APD quant à la portée de l'article 96 du RGPD, ce qui établit aussi, prima facie, le caractère sérieux de ses critiques par rapport à la légalité de la Décision attaquée.

La Cour observe finalement que le Conseil d'Etat français a, par décision du 19 juillet 2019, rejeté les recours formés par l'association des Américains accidentels, dans lesquels celle-ci faisait valoir des critiques par rapport à l'Accord FATCA conclu entre la France et les Etats-Unis au regard des dispositions légales relatives à la protection des données, en ce compris le RGPD.

Ce qui précède suffit à établir, prima facie, l'existence d'à tout le moins un moyen sérieux justifiant l'annulation de la Décision attaquée, sans qu'il soit besoin d'examiner les autres moyens de l'Etat belge, à ce stade préliminaire.

15. L'Etat belge expose d'autre part que l'Accord FATCA lui impose de communiquer aux Etats-Unis les données fiscales des clients américains pour le 30 septembre de chaque année, et que les banques belges doivent lui communiquer ces données le 30 juin de chaque année.

Si la Décision attaquée n'est pas suspendue, l'Etat belge ne pourra pas respecter ses engagements internationaux, ce qui l'expose à des risques importants : en particulier une atteinte portée à sa réputation internationale envers les Etats-Unis et le risque que ceux-ci refusent à leur tour de lui communiquer les données relatives aux citoyens belges (résidents fiscaux belges), avec pour conséquence une perte de revenus fiscaux importants. Il fait aussi valoir l'impact de la Décision attaquée sur les institutions financières belges qui n'y sont pas partie et qui demeurent tenues en principe d'assurer la transmission des données de leurs clients citoyens américains, mais qui ne pourraient plus compter sur le rôle tenu par le SPF Finances ; il est à craindre que, de ce fait, les banques préfèrent se séparer de leurs clients américains accidentels, laissant ceux-ci sans banque.

PAGE 01-00003382612-0015-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 16

L'APD minimise le risque d'atteinte à la réputation de l'Etat belge vu que celui-ci n'est pas toujours exemplaire dans le respect de ses obligations internationales. Elle considère par ailleurs que les risques évoqués ne sont pas établis ou sont exagérés (par exemple les données figurant dans les tableaux p. 44 de la requête ne sont pas objectivés et concernent selon les dires même de l'Etat belge tous les américains et pas seulement les « américains accidentels »).

16. La Cour constate, *prima facie*, que l'Etat belge se prévaut de risques réels qui apparaissent étayés.

L'article 27 de la Convention de Vienne sur le droit des traités dispose qu'une partie ne peut invoquer les dispositions de son droit interne comme justifiant la non-exécution d'un traité.

La Décision attaquée met l'Etat belge en porte-à-faux par rapport à ses obligations internationales, ce qui justifie, *prima facie*, sa suspension.

Le non-respect de l'Accord FATCA par l'Etat belge est bien de nature à porter atteinte à sa réputation et à sa fiabilité par rapport aux Etats-Unis, outre le risque que la réciprocité du mécanisme convenu n'entraîne la suspension des transferts de données par les Etats-Unis vers la Belgique.

La Cour relève aussi que, si le dispositif de la Décision attaquée se borne « à interdire le traitement par la défenderesse des données **du premier plaignant et des Américains accidentels belges** en application de l'accord FATCA » (mise en évidence de la Cour), il n'est – selon les explications données par les parties sur interpellation de la Cour - pas possible techniquement pour l'Etat belge de distinguer, au sein des données qu'il doit transmettre à l'IRS en vertu de l'Accord FATCA, qui concernent toutes les personnes de nationalité américaine, entre les données des « Américains accidentels belges » et les autres. La notion d'« Américain accidentel » n'est, selon les explications données par les parties à l'audience, pas une notion juridique.

Partant la Cour comprend, *prima facie*, que la Décision attaquée a pour effet d'empêcher tout transfert à l'IRS des données que l'Etat belge doit lui transférer en application de l'Accord FATCA.

17. Enfin, le test de la balance des intérêts conduit également à justifier *prima facie* la suspension de la Décision attaquée.

Certes, l'APD fait valoir avec raison que la suspension de sa Décision aura pour conséquence que l'Etat belge va transférer à l'IRS des données, potentiellement en violation des dispositions du RGPD (cfr son analyse, qui deviendra définitive si le recours échoue), avec des conséquences irréversibles pour les données qui seront transmises à cette occasion (les données de l'année concernée). Cependant, la Cour constate que les données des citoyens américains qui disposent d'un compte en Belgique sont transférées à l'IRS depuis l'entrée en vigueur de l'Accord FATCA, soit depuis plusieurs années, et que l'Accord FATCA repose à la fois sur la Convention concernant l'Assistance

PAGE 01-00003382612-0016-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 17

administrative mutuelle en matière fiscale signée à Strasbourg le 25 janvier 1988, et sur la loi du 16 décembre 2015 réglant la communication des renseignements relatifs aux comptes financières, par les institutions financières belges et le SPF Finances, dans le cadre d'un échange automatique de renseignements au niveau international et à des fins fiscales. L'objectif poursuivi est celui d'une prévention de la fraude fiscale, soit un objectif qui touche à l'intérêt général.

La balance des intérêts conduit dès lors à maintenir le système d'échanges des données prévu par l'Accord FATCA, le temps que la Cour statue sur le recours formé contre la Décision attaquée. Cette mesure paraît adéquate, le temps que la Cour se prononce au fond sur la contestation.

La mesure ne rend aucunement le débat sans objet, dès lors que les transferts de données sont appelés à se répéter chaque année selon l'Accord FATCA.

18. Au vu de l'ensemble de ce qui précède, il y a lieu de suspendre la Décision attaquée jusqu'à l'arrêt au fond à intervenir.

# PAR CES MOTIFS,
LA COUR,

Vu les dispositions de la loi du 15 juin 1935 sur l'emploi des langues en matière judiciaire,

Statuant contradictoirement,

Reçoit le recours,

Reçoit la requête en intervention volontaire, dans la mesure où elle tend à soutenir la position de l'APD,

Statuant avant dire droit,

Suspend l'exécution de la décision attaquée de la Chambre contentieuse de l'APD du 24 mai 2023 dans le DOS-2023-00068 sur la « Plainte relative au transfert par le Service Public fédéral (SPF) Finances de données personnelles vers les autorités fiscales américaines en exécution de l'accord FATCA », avec effet immédiat, jusqu'à ce que la Cour statue au fond sur le recours en annulation,

Fixe la cause pour les débats au fond à l'audience du 15 novembre 2023 à 14 heures pour 180 minutes.

PAGE 01-00003382612-0017-0018-03-01-4

Cour d'appel Bruxelles – 2023/AR/801 – p. 18

Dit que les conclusions devront être remises au greffe et envoyées aux autres parties aux dates suivantes :

- APD et intervenants volontaires : 15 août 2023
- Etat belge : 15 septembre 2023
- APD et intervenants volontaires : 30 septembre 2023

Réserve à statuer pour le surplus,

Ainsi jugé et prononcé à l'audience civile publique de la 19ème chambre A de la cour d'appel de Bruxelles, section Cour des marchés, le 28 juin 2023,

Où étaient présents :

- Mme A.-M. WITTERS, Conseiller ff. président,
- Mme C. VERBRUGGEN, Conseiller
- M. O. DUGARDYN, Conseiller suppléant
- Mme C. JOURDAN, Greffier

C. JOURDAN

C. VERBRUGGEN

O. DUGARDYN

A-M. WITTERS

PAGE 01-00003382612-0018-0018-03-01-4