Tribunal administratif N° 45716 du rôle
du Grand-Duché de Luxembourg ECLI:LU:TADM:2023:45716
4e chambre Inscrit le 1er mars 2021
Audience publique du 21 avril 2023
Recours formé par
l’association de droit autrichien ... – ..., …,
contre un courrier de la
Commission nationale pour la protection des données, Belvaux,
en matière de protection des données
___________________________________________________________________________
JUGEMENT
Vu la requête inscrite sous le numéro 45716 du rôle et déposée le 1er mars 2021 au
greffe du tribunal administratif par Maître Catherine Warin, avocat à la Cour, inscrite au
tableau de l’Ordre des avocats à Luxembourg, au nom de l’association de droit autrichien ...
– ..., établie et ayant son siège social à AT-… (Autriche), …, immatriculée au registre
autrichien des associations (Zentrales Vereinsregister) sous le numéro …, représentée par son
« Vorstandsvorsitzender » actuellement en fonctions et mandatée par Monsieur ..., demeurant
à L-…, ladite association élisant domicile à l’étude de son litismandataire située à L-2763
Luxembourg, 10, rue Sainte Zithe, tendant à la réformation, sinon à l’annulation d’une décision
ainsi qualifiée du 18 septembre 2020 de la Commission nationale pour la protection des
données (« CNPD »), établissement public, inscrit au registre de commerce et des sociétés de
Luxembourg sous le numéro J52, établie au L-4370 Belvaux, 15, boulevard du Jazz,
représentée par son collège des commissaires actuellement en fonctions, informant Monsieur
..., de son refus de poursuivre le traitement de sa réclamation du 8 juillet 2020 ;
Vu l’exploit de l’huissier de justice Carlos Calvo, demeurant à Luxembourg, du 4 mars
2021, portant signification de la prédite requête à la CNPD, préqualifiée ;
Vu la constitution d’avocat à la Cour de Maître Elisabeth Guissart, avocat à la Cour,
inscrite au tableau de l’Ordre des avocats à Luxembourg, au nom et pour le compte de la CNPD,
préqualifiée, déposée au greffe du tribunal administratif le 16 mars 2021 ;
Vu le mémoire en réponse déposé au greffe du tribunal administratif le 3 juin 2021 par
Maître Elisabeth Guissart au nom et pour le compte de la CNPD, préqualifiée ;
Vu le mémoire en réplique déposé au greffe du tribunal administratif le 2 juillet 2021
par Maître Catherine Warin au nom et pour le compte de l’association de droit autrichien ... –
..., préqualifiée ;
Vu le mémoire en duplique déposé au greffe du tribunal administratif le 28 septembre
2021 par Maître Elisabeth Guissart au nom et pour le compte de la CNPD, préqualifiée ;
Vu les pièces versées en cause et notamment l’acte critiqué ;
Le juge-rapporteur entendu en son rapport, ainsi que Maître Catherine Warin et Maître
Elisabeth Guissart en leurs plaidoiries respectives à l’audience publique du 8 novembre 2022.
1
__________________________________________________________________________
Après avoir constaté que la société de droit américain ... avait collecté des données à
caractère personnel sur sa personne afin de les commercialiser sur son site internet https://....co,
Monsieur ... contacta ladite société à ce sujet en date du 5 avril 2019 et se vit adresser par cette
dernière un courriel daté du même jour auquel une copie de ses données était jointe et
l’informant que la société ... avait supprimé les données à caractère personnel le concernant de
ses bases de données.
Toujours en date du 5 avril 2019, Monsieur ... introduisit une réclamation auprès de la
Commission nationale pour la protection des données, dénommée ci-après « la CNPD », la
priant d’intervenir auprès de la société ... afin que cette dernière donne suite à sa demande
conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril
2016 relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE
(règlement général sur la protection des données), désigné ci-après par « le RGPD ».
Par courriel du 9 avril 2019, la CNPD pria Monsieur ... de lui faire parvenir toute
correspondance avec le responsable du traitement de la société ..., notamment le courriel
contenant sa demande d’accès et d’informations spécifiques, la réponse automatique à cette
demande, ainsi que toute correspondance éventuelle postérieure à l’introduction de sa
réclamation, l’informant, par ailleurs, que le lien sur le site internet de la société ... censé
contenir ses données personnelles ne semblerait pas marcher. Par courriel du même jour,
Monsieur ... informa la CNPD que la société ... semblerait avoir supprimé l’ensemble de ses
données sur leur site internet suite à sa prise de contact avec cette dernière, mais qu’elle
continuerait de collecter et traiter les données d’autres citoyens européens.
Par courriel du 6 mars 2020, la CNPD informa Monsieur ..., après un premier examen
de sa réclamation du 5 avril 2019 et en se référant au considérant numéro (166) du RGPD, que
compte tenu de la circonstance que la société ..., le responsable du traitement des données
litigieuses, serait établie aux Etats-Unis et donc hors de l’Union européenne, il lui serait
impossible de poursuivre sa réclamation, alors que, tout en ayant la possibilité de communiquer
avec ladite société, la CNPD ne disposerait pas du pouvoir de lui imposer des actions en vue
d’améliorer ses pratiques en matière de protection des données, courriel auquel Monsieur ...
répondit en date du même jour.
Par courriel du 17 mars 2020, la CNPD lui confirma son impossibilité de poursuivre sa
réclamation, courriel auquel Monsieur ... répondit par courriels du même jour et des 28 mars
et 19 et 26 avril 2020, ainsi que par courrier recommandé du 4 mai 2020, auxquels la CNPD
répondit par courriel du 25 mai 2020 tout en y renvoyant à ses courriels des 6 et 17 mars 2020.
Par courriel du 29 mai 2020, Monsieur ... pria la CNPD de lui envoyer une décision
signée conformément aux articles 12 et 13 de son règlement d’ordre intérieur, ce que la CNPD
refusa par courriel du 8 juillet 2020.
Par courrier du 10 août 2020, Monsieur ... contacta encore la CNPD.
Par courrier du 18 septembre 2020, la CNPD informa Monsieur ... de son impossibilité
de poursuivre sa réclamation du 5 avril 2019 dans les termes suivants :
2
« (…) Monsieur ...,
La Commission nationale pour la protection des données (ci-après « CNPD ») revient
à votre courriel du 8 juillet 2020 relatif à votre réclamation du 5 avril 2019 à l'encontre de la
société ....
Concernant votre demande d'obtenir des précisions sur les raisons pour lesquelles les
articles 9 du règlement de la Commission nationale pour la protection des données (CNPD)
relatif à la procédure d'enquête (ci-après « Règlement enquêtes ») et 10 et 12 du Règlement
d'Ordre Intérieur de la CNPD (ci —après « ROI ») ne sont pas d'application dans le cas
d'espèce, nous vous informons qu'il ressort des dispositions du ROI que les dossiers d'enquêtes
et de réclamations relèvent de procédures différentes.
Le Règlement enquêtes est uniquement applicables aux dossiers d'enquête, et les
articles 10 et 12 du ROI susmentionnés sont uniquement applicables aux séances de
délibération de la CNPD, parmi lesquelles les délibérations relatives aux dossiers d'enquête.
De plus, bien que le traitement d'une réclamation puisse aboutir à la proposition et à
l'ouverture d'une enquête selon les modalités prévues à l'article 2 du Règlement enquêtes,
l'ouverture d'un dossier d'enquête à la suite d'une réclamation n'est pas systématique.
En effet, lorsqu'une réclamation est introduite, le service « réclamations » essaie de
résoudre la problématique soulevée sans ouvrir une enquête formelle au sens des articles 37 à
41 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données (ci-après : « loi du
1er août 2018 »). La plupart des réclamations peuvent être résolues et clôturées de cette
manière, après que la CNPD soit intervenue auprès du responsable du traitement concerné.
Lorsqu'il s'avère que le dossier d'une réclamation ne peut pas être instruit de cette manière, le
Collège peut décider d'ouvrir une enquête.
Il n'existe pas de critères législatifs qui définissent quand la CNPD doit ou non ouvrir
une enquête. La CNPD est une autorité de contrôle indépendante qui bénéficie du principe de
l’« opportunité d'action » (cf. Avis du Conseil d'Etat du 26 juin 2018, doc. parl. N° 7184/28).
Elle peut par ailleurs refuser de donner suite à une réclamation qui est manifestement infondée
ou excessive, conformément à l'article 57 (4) du RGPD.
Dans le cas de votre réclamation, l'ouverture d'un dossier d'enquête n'apparaît pas
pertinente, car la CNPD ne dispose d'aucun moyen d'action à l'encontre d'un responsable du
traitement établi sur le territoire des Etats-Unis d'Amérique n'ayant pas d'établissement sur le
territoire de l'Union Européenne (UE) ou n'ayant pas désigné de représentant dans l’UE en
vertu de l'article 27 du RGPD. En effet, dans ces cas, il lui est impossible de faire respecter les
dispositions du RGPD sur le territoire des Etats-Unis d'Amérique.
Considérant avoir répondu à vos questions, nous estimons que notre intervention dans
le cadre de votre réclamation est désormais terminée. (…) »
Par requête déposée au tribunal administratif le 1er mars 2021, l’association de droit
autrichien ... – ..., désignée ci-après par « l’association ... », mandatée à cette fin par Monsieur
... par une convention de représentation signée le 16 novembre 2020, a fait introduire un recours
3
tendant à la réformation sinon à l’annulation du courrier précité de la CNPD du 18 septembre
2020.
Dans son mémoire en réponse, la CNPD soulève tout d’abord l’incompétence ratione
materiae du tribunal administratif de connaître du recours introduit contre l’acte déféré, au
motif que celui-ci ne constituerait pas un acte administratif décisionnel faisant grief, Monsieur
... ne disposant, dans ce même ordre d’idées, d’aucun intérêt personnel et actuel à agir, alors
que la société ... aurait supprimé ses données personnelles de sa base de données et aurait dès
lors arrêté tout traitement de ses données.
Dans son mémoire en réplique l’association ... affirme tout d’abord que la société ...
aurait remis en ligne le profil de Monsieur ... après l’avoir supprimé.
En ce qui concerne l’intérêt à agir de Monsieur ..., l’association ... fait valoir que les
données collectées par la société ... constitueraient bien des données personnelles que le RGPD
entendrait protéger. Elle fait ensuite relever que Monsieur ... aurait eu un intérêt personnel à
introduire une réclamation portant sur le traitement de ses données personnelles et aurait ainsi
également intérêt à agir contre le courrier de la CNPD du 18 septembre 2020.
L’association ... estime, dans ce contexte et en s’emparant de l’article 78 du RGPD, que
Monsieur ... ne devrait pas avoir à démontrer les conséquences fâcheuses que le courrier de la
CNPD du 18 septembre 2020 lui aurait causé, alors que le simple fait que son droit fondamental
à la protection de ses données n’aurait pas été respecté suffirait à établir son intérêt à agir.
Elle précise ensuite que l’intérêt à agir de Monsieur ... serait tant personnel et directe
qu’effectif, né, actuel et légitime, alors que l’acte déféré le concernerait directement en ce qu’il
porterait sur sa réclamation introduite auprès de la CNPD, ladite réclamation portant sur la
violation de ses droits fondamentaux sur laquelle la CNPD refuserait d’enquêter.
Elle fait encore valoir que malgré le fait que l’ensemble des données personnelles de
Monsieur ... auraient été supprimées par la société ..., la violation du droit fondamental de ce
dernier constituerait une conséquence fâcheuse, alors qu’il suffirait sinon à un responsable de
traitement d’effacer les données litigieuses pour que « le problème disparaisse ». Or, le droit
d’accès constituerait la pierre angulaire des droits des individus, de sorte que sans un accès
complet à leurs données et aux informations qui entourent le traitement de celles-ci, il serait
impossible d’exercer l’ensemble des autres droits prévus par le RGPD, tel que le rappellerait
également l’autorité belge de protection des données dans sa décision n° 15/2021.
L’association ... estime, par ailleurs, que Monsieur ... aurait un intérêt à agir, alors qu’un
jugement par le tribunal administratif lui permettrait de rechercher ensuite la responsabilité tant
des auteurs de ces violations devant les tribunaux civils que de la CNPD.
Quant au caractère légitime de l’intérêt à agir de Monsieur ..., l’association ... précise
encore qu’il n’importerait pas que celui-ci se serait inquiété de ne pas être le seul particulier
concerné par la pratique de la société ... et qu’il ne serait pas pertinent qu’il aurait introduit
plusieurs réclamations contre plusieurs entités auprès de la CNPD.
Avant tout progrès en cause, le tribunal relève que, suite à l’abrogation de la directive
95/46/CE du Parlement européen et du Conseil du 24 octobre 1994 relative à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre
4
circulation de ces données, désignée ci-après par « la directive 95/46/CE », l’organisation de
la CNPD résulte de la loi du 1er août 2018 portant organisation de la Commission nationale
pour la protection des données et du régime général sur la protection des données, désignée ci-
après par « la loi du 1er août 2018 », adoptée sur base du RGPD, de sorte que la question de
l’applicabilité ou non du RGPD au fond de la présente affaire ne porte pas à conséquence en
ce qui concerne la compétence du tribunal de céans de connaître des décisions adoptées par la
CNPD. En effet, le RGPD, règlement communautaire par essence d’application directe en vertu
de l’article 288 du Traité sur le fonctionnement de l’Union européenne, désigné ci-après par
« le TFUE », prévoit en son article 51 la création d’autorités de contrôle dans les Etats
membres, et constitue dès lors la législation cadre, à laquelle renvoie d’ailleurs la loi du 1er août
2018, sur base de laquelle la CNPD a été organisée, de sorte que les dispositions du RGPD
relatives à l’organisation, la mission et les décisions de la CNPD sont, en tout état de cause,
applicables.
Il échet ensuite de constater qu’aux termes de l’article 55 de la loi du 1er août 2018 « Un
recours contre les décisions de la CNPD prises en application de la présente loi est ouvert
devant le Tribunal administratif qui statue comme juge du fond. », ladite disposition ne
distinguant pas le type de décisions de la CNPD susceptibles de recours et incluant dès lors a
priori toute décision émanant de cette dernière à condition de faire grief.
Il s’ensuit que le tribunal est compétent pour connaître du recours en réformation
introduit à titre principal.
Il n’y a dès lors pas lieu de statuer sur le recours subsidiaire en annulation.
La recevabilité d’un recours est conditionnée par l’existence d’un acte de nature à faire
grief et ayant produit cet effet sur la personne du demandeur. Or, pour justifier d'un intérêt à
agir il faut pouvoir se prévaloir de la lésion d'un intérêt personnel dans le sens que la
réformation ou l'annulation de l'acte attaqué confère au demandeur une satisfaction certaine et
personnelle1. Il importe donc que l’intérêt soit non pas impersonnel et général mais personnel2.
En l’espèce, il échet de constater qu’il est constant, pour ne pas être contesté par
l’association ... que tant au moment de la réclamation de Monsieur ... du 5 avril 2019 adressée
à la CNPD, qu’au moment de l’introduction du recours sous analyse, les données personnelles
de celui-ci avaient été supprimées du site internet de la société ..., étant, par ailleurs, relevé,
qu’il ne ressort d’aucune pièce versée aux débats que le traitement des données de Monsieur ...
par la société ... serait toujours d’actualité, la copie d’un profil intitulé « ...’s Email » n’étant
pas datée et ne comportant aucune référence de source. L’association reste ainsi en défaut de
prouver un traitement, tant au moment de l’introduction du recours sous analyse, qu’à l’heure
actuelle, des données de Monsieur ... par la société ..., de sorte que Monsieur ... ne saurait se
prévaloir d’un intérêt à agir du fait d’un traitement de ses données par ladite société au moment
de l’introduction de son recours emportant une violation de ses droits prévus par le RGPD.
Ce constat n’est pas énervé par les développements de l’association ... suivant lesquels
le traitement antérieur des données personnelles de Monsieur ... par la société ... constituerait
une violation de ses droits prévues au RGPD, alors que le rôle de la CNPD consiste, en
1
Trib. adm. 22 octobre 2007, n° 22489 du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 12 et les autres
références y citées.
2
Trib. adm. 7 novembre 2016, n° 36132 du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 14 et les autres
références y citées.
5
application de l’article 51, paragraphe (1) du RGPD et de l’article 4 de la loi du 1 er août 2018
en la surveillance de l’application du RGPD par les responsables de traitement, de sorte qu’elle
n’est plus appelée à intervenir à partir du moment où une éventuelle méconnaissance du RGPD
par un responsable de traitement a cessé, ce qui, à défaut d’éléments contraires, doit être retenu
en l’espèce. Force est, par ailleurs, de relever que Monsieur ... ne saurait tirer du RGPD un
droit personnel à voir sanctionner un responsable de traitement en dehors d’une action en
réparation du dommage résultant d’une violation de ses droits, droit expressément prévu par le
RGPD.
Ce constat n’est pas non plus énervé par les développements de l’association ...
relativement à l’intérêt de Monsieur ... de voir réformer ou annuler la décision déférée afin de
lui permettre d’attraire en justice la société ... en vertu de l’article 82 du RGPD. En effet, il
résulte de l’article 79, intitulé « Droit à un recours juridictionnel effectif contre un responsable
du traitement ou un sous-traitant », paragraphe (1) du RGPD que « Sans préjudice de tout
recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d'introduire une
réclamation auprès d'une autorité de contrôle au titre de l'article 77, chaque personne
concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui
confère le présent règlement ont été violés du fait d'un traitement de ses données à caractère
personnel effectué en violation du présent règlement.». Ainsi, la réparation d’un dommage
résultant, le cas échéant, d’une violation des droits à la protection des données à caractère
personnel d’une personne concernée n’est ni conditionnée par une saisine préalable de
l’autorité de contrôle compétente, tel que la CNPD, ni par une décision de cette dernière
sanctionnant une telle violation, respectivement par une décision juridictionnelle y relative, de
sorte que cet argument manque en fait.
Concernant la demande en allocation d’une indemnité de procédure formulée par la
requérante, laquelle omet de spécifier la nature des sommes exposées et non comprises dans
les dépens et ne précise pas en quoi il serait inéquitable de laisser ces frais à sa charge est à
rejeter, la simple référence à l’article de la loi applicable n’étant pas suffisante à cet égard.
Par ces motifs,
le tribunal administratif, quatrième chambre, statuant contradictoirement ;
se déclare compétent pour connaître du recours principal en réformation ;
déclare le recours principal en réformation irrecevable, partant le rejette ;
dit qu’il n’y a pas lieu de statuer sur le recours subsidiaire en annulation ;
rejette la demande en allocation d’une indemnité de procédure formulée par
l’association ... – ... ;
condamne l’association ... – ... aux frais et dépens de l’instance.
Ainsi jugé et prononcé à l’audience publique du 21 avril 2023 par :
Paul Nourrissier, vice-président,
Emilie Da Cruz De Sousa, juge,
6
Laura Urbany, juge,
en présence du greffier Marc Warken.
s.Marc Warken s.Paul Nourrissier
Reproduction certifiée conforme à l’original
Luxembourg, le 21 avril 2023
Le greffier du tribunal administratif
7