Tribunal administratif N° 45717 du rôle
du Grand-Duché de Luxembourg ECLI:LU:TADM:2023:45717
4e chambre Inscrit le 1er mars 2021
Audience publique du 21 avril 2023
Recours formé par
l’association de droit autrichien ... – ..., (…),
contre un courrier de la
Commission nationale pour la protection des données, Belvaux,
en matière de protection des données
______________________________________________________________________________
JUGEMENT
Vu la requête inscrite sous le numéro 45717 du rôle et déposée le 1er mars 2021 au greffe
du tribunal administratif par Maître Catherine Warin, avocat à la Cour, inscrite au tableau de
l’Ordre des avocats à Luxembourg, au nom de l’association de droit autrichien ... – ..., établie et
ayant son siège social à AT-… (Autriche), …, immatriculée au registre autrichien des associations
(Zentrales Vereinsregister) sous le numéro …, représentée par son « Vorstandsvorsitzender »
actuellement en fonctions et mandatée par Monsieur ..., demeurant à L-…, ladite association
élisant domicile à l’étude de son litismandataire située à L-2763 Luxembourg, 10, rue Sainte Zithe,
tendant à la réformation, sinon à l’annulation d’une décision, ainsi qualifiée, du 16 octobre 2020
de la Commission nationale pour la protection des données (« CNPD »), établissement public,
inscrit au registre de commerce et des sociétés de Luxembourg sous le numéro J52, établie au L-
4370 Belvaux, 15, boulevard du Jazz, représentée par son collège des commissaires actuellement
en fonctions, informant Monsieur ..., de son refus de poursuivre le traitement de sa réclamation du
8 juillet 2020 ;
Vu l’exploit de l’huissier de justice Carlos Calvo, demeurant à Luxembourg, du 4 mars
2021, portant signification de la prédite requête à la CNPD, préqualifiée ;
Vu la constitution d’avocat à la Cour de Maître Elisabeth Guissart, avocat à la Cour, inscrite
au tableau de l’Ordre des avocats à Luxembourg, au nom et pour le compte de la CNPD,
préqualifiée, déposée au greffe du tribunal administratif le 16 mars 2021 ;
Vu le mémoire en réponse déposé au greffe du tribunal administratif le 3 juin 2021 par
Maître Elisabeth Guissart au nom et pour le compte de la CNPD, préqualifiée ;
Vu le mémoire en réplique déposé au greffe du tribunal administratif le 2 juillet 2021 par
Maître Catherine Warin au nom et pour le compte de l’association de droit autrichien ... – ...,
préqualifiée ;
Vu le mémoire en duplique déposé au greffe du tribunal administratif le 28 septembre 2021
par Maître Elisabeth Guissart au nom et pour le compte de la CNPD, préqualifiée ;
1
Vu les pièces versées en cause et notamment l’acte critiqué ;
Le juge-rapporteur entendu en son rapport, ainsi que Maître Catherine Warin et Maître
Elisabeth Guissart en leurs plaidoiries respectives à l’audience publique du 8 novembre 2022.
__________________________________________________________________________
Après avoir constaté que la société de droit américain ..., exerçant ses activités sous la
dénomination « ... », dénommé ci-après « la société ... » avait collecté des données à caractère
personnel sur sa personne afin de les commercialiser sur son site internet https://....io, Monsieur ...
contacta ladite société à ce sujet et se vit adresser par cette dernière un courriel daté au 13 juin
2020 le priant de remplir un formulaire de vérification d’identité afin de permettre le traitement de
sa demande, tout en renvoyant également à la « Privacy Policy » dudit site internet.
En date du 8 juillet 2020, Monsieur ... introduisit une réclamation auprès de la Commission
nationale pour la protection des données, dénommée ci-après « la CNPD », la priant d’intervenir
auprès de la société ... afin que cette dernière donne suite à sa demande conformément au règlement
(UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre
circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection
des données), désigné ci-après par « le RGPD ».
Par courriel du 28 juillet 2020, la CNPD pria Monsieur ... de lui faire parvenir toute
correspondance avec le responsable du traitement de la société ..., notamment le courriel contenant
sa demande d’accès et d’informations spécifiques, la réponse automatique à cette demande, ainsi
que toute correspondance éventuelle postérieure à l’introduction de sa réclamation. Par courriel du
même jour, Monsieur ... informa la CNPD que la société ... serait une société américaine, affirma
avoir annexé les documents demandés à sa réclamation du 8 juillet 2020 et pria la CNPD d’en
vérifier la réception.
Par courriel du 1er août 2020, Monsieur ... informa encore la CNPD que la société ... n’aurait
pas nommé de représentant dans l’Union européenne, qu’il jugerait la demande de ladite société
dans leur courriel du 13 juin 2020 de signer le formulaire et de leur fournir des détails quant à
l’identification de sa personne disproportionnée et qu’il n’aurait plus eu de correspondance avec
ladite société depuis leur courriel du 13 juin 2020.
Par courriel du 13 août 2020, la CNPD informa Monsieur ..., après un premier examen de
sa réclamation du 8 juillet 2020 et en se référant au considérant numéro (166) du RGPD, que
compte tenu de la circonstance que la société ..., le responsable du traitement des données
litigieuses, serait établie aux Etats-Unis et donc hors de l’Union européenne, il lui serait impossible
de poursuivre sa réclamation, alors que, tout en ayant la possibilité de communiquer avec ladite
société, la CNPD ne disposerait pas du pouvoir de lui imposer des actions en vue d’améliorer ses
pratiques en matière de protection des données.
Par courriels des 13 et 23 août 2020, Monsieur ..., tout en indiquant que la société ... offrirait
des services via internet et qu’une simple recherche via un moteur de recherche permettrait de
trouver ses données personnels sur le site de ladite société à des fins commerciales, pria la CNPD
2
de lui « expliquer [s]es moyens d’actions », ainsi que la raison pour laquelle la CNPD serait arrivée
à la conclusion qu’elle ne disposait pas de l’autorité nécessaire pour investiguer aux Etats-Unis et
dans quelle mesure cette incapacité serait liée aux faits à la base de sa réclamation.
Par courrier du 16 octobre 2020, le chef du service réclamations de la CNPD confirma à
Monsieur ... son impossibilité de poursuivre le traitement de sa réclamation du 8 juillet 2020, ledit
courrier étant libellé comme suit :
« (…) La Commission nationale pour la protection des données (CNPD) revient à votre
réclamation du 8 juillet 2020 relative à votre demande d'accès concernant vos données à caractère
personnel traitées par le site « ....io ».
Comme indiqué dans notre précédent courrier daté du 18 septembre 2020, la CNPD a pris
contact avec le responsable du traitement en vue d'essayer de résoudre la problématique soulevée
par votre réclamation, en l'occurrence l'envoi d'un formulaire automatisé en réponse à votre
demande d'accès.
Nous vous informons que ce contact est malheureusement resté sans réponse.
Nous sommes dès lors au regret de vous informer que, sous réserve d'un éventuel retour
ultérieur du responsable du traitement dont nous vous tiendrions informé, nous considérons qu'il
nous est impossible de poursuivre de façon effective le traitement de votre réclamation.
En effet, comme déjà mentionné dans nos réponses précédentes du 13 juillet et 18
septembre 2020, la CNPD ne dispose d'aucun moyen d'action à l'encontre d'un responsable du
traitement établi sur le territoire des Etats-Unis d'Amérique n'ayant pas d'établissement sur le
territoire de l'Union Européenne (UE) ou n'ayant pas désigné de représentant dans l’UE en vertu
de l'article 27 du RGPD. En effet, dans ces cas, il lui est impossible de faire respecter les
dispositions du RGPD sur le territoire des Etats-Unis d'Amérique. (…) »
Par requête déposée au tribunal administratif le 1er mars 2021, l’association de droit
autrichien ... – ..., désignée ci-après par « l’association ... », mandatée à cette fin par Monsieur ...
par une convention de représentation signée le 16 novembre 2020, a fait introduire un recours
tendant à la réformation sinon à l’annulation du courrier précité de la CNPD du 16 octobre 2020.
Dans son mémoire en réponse, la CNPD soulève tout d’abord l’incompétence ratione
materiae du tribunal administratif de connaître du recours introduit contre l’acte déféré, au motif
que celui-ci ne constituerait pas un acte administratif décisionnel faisant grief, Monsieur ... ne
disposant, dans ce même ordre d’idées, d’aucun intérêt personnel à agir.
Dans son mémoire en réplique et en ce qui concerne la compétence ratione materiae du
tribunal administratif pour connaître du recours sous examen, l’association ... fait valoir que le
refus de la CNPD de traiter la réclamation de Monsieur ... serait d’autant plus problématique que
les violations des droits de ce dernier seraient toujours d’actualité, son profil sur le site de ladite
société étant toujours en ligne. Il serait ainsi totalement faux d’affirmer par la CNPD que sa
décision, ainsi qualifiée, de ne pas poursuivre le traitement de la demande de Monsieur ... ne ferait
3
pas de grief à celui-ci, ce dernier disposant d’un droit fondamental à la protection de ses données
et de voir sa réclamation traitée avec diligence par la CNPD. Le refus d’un tel traitement et l’acte
entrepris s’inscriraient dès lors dans le cas de figure envisagé par l’article 78 du RGPD, cette
disposition, en détaillant le droit de recours effectif déjà consacré par l’article 47 de la Charte des
droits fondamentaux de l’Union européenne, désignée ci-après par « la Charte », admettrait qu’un
tel acte ferait grief et devrait pouvoir être contesté devant les tribunaux.
Dans ce contexte, elle fait encore valoir que l’article 28, paragraphe (4) de la directive
95/46/CE du Parlement européen et du Conseil du 24 octobre 1994 relative à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre
circulation de ces données, désignée ci-après par « la directive 95/46/CE », abrogée et remplacée
par le RGPD, aurait également prévu un droit de recours juridictionnel contre « les décisions de
l’autorité de contrôle faisant grief », la formulation de l’article 78 du RGPD se voulant clairement
plus ouverte et ouvrant un recours à toute personne dont la réclamation aurait été rejetée ou refusée
par l’autorité de contrôle. L’association rappelle également que suivant le considérant numéro
(143) du RGPD, ledit règlement exigerait que le droit à un recours effectif serait matérialisé dans
un recours devant une juridiction disposant d’une pleine compétence, raison pour laquelle le
législateur luxembourgeois aurait prévu un recours en réformation contre les décisions de la
CNPD. L’association ... note également que l’arrêt de la Cour de justice de l’Union européenne du
6 octobre 2015, C-362/14, Schrems contre Data Protection Commissioner, désignées ci-après par
« la CJUE », respectivement « l’arrêt Schrems I », concernerait précisément le cas d’un individu
dont la réclamation portant sur l’arrêt du transfert par le site Facebook de ses données aux Etats-
Unis, aurait été rejetée par l’autorité de contrôle irlandaise. La personne dont les données
personnelles auraient été visées aurait fait appel de cette décision devant le juge irlandais pour
demander l’examen de son cas, lequel aurait posé une question préjudicielle à la CJUE tendant à
savoir si une personne dont la réclamation aurait été traitée et rejetée sans fondement par l’autorité
nationale de contrôle, aurait le droit de contester une telle décision devant les juridictions
nationales.
L’association ... ajoute que la thèse avancée par la CNPD serait insoutenable compte tenue
de la différence de traitement ainsi créée entre une procédure nationale et une procédure
transfrontalière, cette dernière engendrant, aux vœux des articles 56, paragraphe (1) et 60 du
RGPD, un mécanisme de coopération, lors duquel l’autorité où se situe le principal établissement
adopterait une décision s’adressant au responsable de traitement, tandis que l’autorité ayant reçu
la plainte adresserait sa décision au plaignant, la raison en étant, suivant la doctrine, qu’il s’agirait
de garantir le droit fondamental de toute personne ayant introduit une plainte auprès de son autorité
nationale de contrôle, d’introduire un recours effectif contre une décision qui ne lui donnerait pas
satisfaction. Ce droit serait, entre autres, reconnu par l’article 78 du RGPD qui prévoirait un tel
recours, l’article 60 du même règlement prévoyant la communication systématique de la décision
à l’auteur de la plainte, afin que celui-ci puisse introduire un recours juridictionnel contre la
décision de rejet total ou partiel. L’association ... en conclut dès lors que l’acte déféré ferait grief
et serait ainsi également susceptible de recours, renvoyant, dans ce contexte, par ailleurs, à ses
développements par rapport au droit à un recours effectif contenus dans sa requête introductive
d’instance.
4
Dans ce cadre, l’association ... s’empare des articles 47, paragraphe (1) et 8 de la Charte,
ainsi que de l’article 78, paragraphe (2) du RGPD, lu à la lumière du considérant (143) du RGPD,
pour conclure que toute décision adoptée par la CNPD dans l’exercice de ses pouvoirs, notamment
dans le cadre du traitement de réclamations au sens de l’article 77 du RGPD, devrait pouvoir faire
l’objet d’un recours de pleine juridiction.
Elle estime ensuite que l’arrêt de la CJUE du 16 juillet 2020, Data protection
Commissionner contre Facebook Ireland et Schrems, C-311/18, désigné ci-après par « l’arrêt
Schrems II », aurait précisé l’étendue des obligations des autorités nationales de protection des
données et aurait retenu que l’autorité de contrôle devrait procéder au traitement des réclamations
avec toute la diligence requise et que le considérant (141) du RGPD ferait référence au droit de
recours juridictionnel effectif au sens de l’article 47 de la Charte dans les cas où l’autorité de
contrôle serait restée en défaut d’agir, alors même qu’une action serait nécessaire pour protéger
les droits de la personne concernée. Ces principes seraient, par ailleurs, transposés à l’article 55 de
la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des
données et du régime général sur la protection des données, désignée ci-après par « la loi du 1er
août 2018 », qui prévoirait une voie de recours contre les décisions de la CNPD, ainsi qu’aux
articles 7 et 9 du règlement interne de la CNPD relatif aux réclamations qui prévoiraient
expressément l’obligation de cette dernière de notifier ses décisions de classement ou de clôture
au réclamant en indiquant les voies de recours en vertu de l’article 78 du RGPD et 55 de la loi du
1er août 2018.
Dans son mémoire en réplique et quant à son droit à un recours effectif contre la décision
déférée, l’association ... fait encore valoir que la CNPD elle-même annoncerait sur son site internet
que les personnes qui ne seraient pas satisfaites des suites données par celle-ci à une réclamation
lui adressée seraient en droit de saisir le tribunal administratif et qu’en vertu du principe de la
confiance légitime et au vue de la démonstration que Monsieur ... ne serait pas satisfait, en l’espèce,
des suites données par la CNPD à sa réclamation, il y aurait lieu de lui permettre d’exercer ses
droits de recours.
En ce qui concerne la position de la CNPD selon laquelle le recours serait uniquement
admissible dans l’hypothèse d’une absence de traitement de la réclamation, respectivement d’une
absence d’information du réclamant sur l’état d’avancement ou de l’issue de sa réclamation,
l’association ... fait valoir que la CNPD admettrait elle-même ne pas se prononcer sur
l’applicabilité du RGPD aux pratiques dénoncées par Monsieur ..., de sorte qu’en amont de la
question de l’obligation de la CNPD de prendre des sanctions ou mesures correctrices en cas de
violation du RGPD, il y aurait lieu de retenir que la CNPD n’aurait pas traité la réclamation de
Monsieur ....
Dans ce contexte, l’association ... relève que la CNPD invoquerait, dans l’acte déféré,
l’article 54, paragraphe (4) du RGPD pour indiquer qu’elle pourrait refuser de donner suite à une
réclamation manifestement infondée ou excessive et que, même si au stade contentieux ce ne serait
plus sur cette base que la CNPD argumente avoir clôturé son intervention, cette mention, dans la
l’acte déféré, démontrerait que la CNPD concevrait son courrier du 16 octobre 2020 comme un
refus de traiter la réclamation de Monsieur ..., de sorte à entrer dans le champ d’application de
l’article 78 du RGPD.
5
En tout état de cause, la CNPD ferait une lecture particulièrement limitée du droit à un
recours effectif consacré par l’article 47 de la Charte dans le contexte de la mise en œuvre du
RGPD, alors que les termes du considérant (143) du même règlement démontreraient que ce ne
serait pas la seule absence de traitement de la plainte, cas de figure en l’espèce, mais également le
rejet ou le refus d’une réclamation qui ouvriraient droit à un recours effectif. Une lecture différente
de cet article priverait les individus de leur droit fondamental à la protection des données et d’un
recours au sens de l’article 47 de la Charte, l’association ... estimant, dans ce contexte, qu’une telle
analyse serait, par ailleurs confirmée notamment par les arrêts Schrems I et II, ainsi que par la
doctrine.
Finalement, l’association ... propose le renvoi de deux questions préjudicielles à la CJUE
sur base de l’article 267 du Traité sur le fonctionnement de l’Union européenne, désigné ci-après
par « le TFUE », libellées comme suit : « 2.1. L’article 78 (1) et (2) du RGPD, et/ou l’article 47
de la Charte des droits fondamentaux, ouvrent-ils un recours contre une décision d’une autorité
de contrôle de ne pas se prononcer sur l’applicabilité du RGPD dans le contexte d’une
réclamation ?
2.2. L’article 78 (1) et (2) du RGPD, et/ou l’article 47 de la Charte des droits
fondamentaux, ouvrent-ils un recours contre une décision d’une autorité de contrôle de ne pas
adopter une décision contraignante suite à une plainte à l’encontre d’une entreprise soumise au
RGPD et qui n’a pas désigné de représentant au titre de l’article 27 du RGPD ni pleinement
répondu à la demande d’accès du plaignant au sens de l’article 15 du RGPD ? »
Dans son mémoire en réplique, en ce qui concerne l’intérêt à agir de Monsieur ...,
l’association ... fait encore valoir, dans le cadre de ses développements par rapport aux faits et
rétroactes à la base du litige sous examen, que Monsieur ... se serait adressé à la société ... sur base
de l’article 15 du RGPD par le biais d’un formulaire informatique sur le site internet de cette
dernière en lui demandant « de lui fournir l’ensemble des informations qu’il [serait] en droit de lui
demander en vertu de ces dispositions. », sans qu’une copie de sa demande d’accès ne lui aurait
par après été envoyée, de sorte qu’il aurait été dans l’impossibilité d’en communiquer une copie à
la CNPD, respectivement dans le cadre du recours sous examen. Elle précise, en se référant aux
courriels de Monsieur ... à la CNPD des 28 juillet et 1er août 2020, que celui-ci aurait, par ailleurs,
indiqué à la CNPD que la société ... lui aurait demandé « de signer des pièces et des détails non
proportionnels à sa demande ». En réponse, la société ... aurait envoyé un courriel avec « quelques
vagues informations » et un renvoi à sa « Privacy Policy ». L’association ... souligne encore que
la requête à la société ... n’aurait pu se faire qu’à travers l’une des deux options proposées par le
lien informatique contenu dans ledit courriel, soit l’individu pourrait s’opposer au traitement de
ses données, soit il pourrait demander l’accès à une copie de ses données, l’utilisation de ces
formulaires n’étant possible qu’à condition d’indiquer l’URL du profil professionnel sur le site de
la société ... et en entrant son adresse e-mail, démarche dont la CNPD aurait pu se rendre compte
sans devoir consulter un autre document, dès lors qu’elle se serait renseignée sur les modalités
d’exercice du droit d’accès, tel que cela ressortirait d’une pièce versée par cette dernière et intitulée
« Page « Requestion Access to Collected Data » du site internet ....io (consulté le 15 mars 2021) ».
6
La réponse automatique renvoyée par la société ... renverrait d’ailleurs à la « Privacy
Policy » que la CNPD aurait pu analyser sans devoir se rendre aux Etats-Unis.
A ce jour, Monsieur ... ne connaîtrait toujours pas l’origine exacte des données traitées à
son sujet par la société ... et considérerait toujours qu’elles seraient traitées illégalement,
l’association ... se référant, dans ce contexte à une déclaration du 8 janvier 2021 du site internet
Linkedin et intitulée « An update on report of scraped data », selon laquelle les activités de
« scraping » violeraient leurs conditions générales, de sorte que Monsieur ... émettrait l’hypothèse
raisonnable que ce serait en exploitant des informations trouvées sur ledit site internet que la
société … aurait recoupé ses données.
L’association ... précise, par ailleurs, qu’il n’aurait pas pu échapper à la CNPD que ladite
« Privacy Policy » de la société ... ne fournirait que des informations sur les données des
utilisateurs de ses services, de sorte que le renvoi à ladite « Privacy Policy » ne permettrait pas de
répondre de manière satisfaisante à la demande de Monsieur ....
En ce qui concerne l’objet de la réclamation de Monsieur ... du 8 juillet 2020 et intitulée
« Objet de la plainte », l’association ... fait valoir que celui-ci aurait indiqué à la CNPD que la
société ... ne lui aurait pas fourni les informations nécessaires relatives à un traitement des données
personnelles le concernant, n’aurait pas donné suite à sa demande d’accès à ses données
personnelles en violation des articles 12 et 15 du RGPD, aurait transmis ses données personnelles
à des tiers, aurait procédé à une collecte excessive de ses données personnelles violant le principe
de minimisation des données prévu à l’article 5, paragraphe (1), point c) du RGPD, ainsi que du
principe de légalité prévu par l’article 6 du même règlement et n’aurait pas respecté son droit
d’opposition, de sorte qu’il serait impossible de suivre l’argumentation de la CNPD visant à limiter
l’objet de la plainte de Monsieur ... à sa demande d’accès aux données et au non-respect par la
société ... de l’article 15 du RGPD.
Concernant le reproche de la CNPD que Monsieur ... n’aurait pas, tel qu’invité à ce faire,
contacté la société ..., l’association ... fait valoir qu’il ne serait pas contesté que cette invitation
n’aurait valu que pour obtenir copie des données de Monsieur ..., ce que ce dernier n’aurait pas
demandé. Il serait même « piquant » de lui reprocher un tel manque de collaboration, alors que la
société ..., en n’envoyant que des réponses automatiques, aurait clairement failli à ses obligations.
Elle fait encore valoir que bien que Monsieur ... ne serait pas un particulier infaillible, il
aurait néanmoins un droit fondamental à la protection de sa vie privée et de ses données
personnelles, étant, par ailleurs, un citoyen qui s’intéresserait à la manière dont ses données
personnelles seraient traitées et qui s’inquièterait d’une collecte et d’un traitement desdites
données contraires au RGPD par la société ..., le fait qu’il aurait porté 12 réclamations auprès de
la CNPD, ou qu’il aurait fait appel à l’Ombudsman dans une autre affaire confirmant ceci.
L’association ... s’interroge, dans ce contexte, sur ce que voudrait démontrer la CNPD en faisant
état des activités de Monsieur ... et si on lui reprocherait d’être un citoyen soucieux de la protection
de ses droits. Quant au reproche adressé à Monsieur ... de vouloir défendre à l’intérêt général,
l’association ... réplique que ce serait la mission de la CNPD de ce faire, mais qu’en trois ans
d’application du RGPD, cette dernière n’aurait adopté aucune décision à l’encontre d’une
7
organisation et que ce ne serait que récemment, au mois de juin 2021, qu’elle aurait publié 19
décisions sur son site internet.
L’association ... fait encore valoir que la CNPD semblerait reprocher à Monsieur ... d’avoir
déposé une réclamation sans avoir résolu « sa question » directement avec la société ..., alors que,
non seulement le RGPD ne conditionnerait pas le dépôt d’une plainte à une prise de contact
préalable avec le responsable de traitement, mais que ce contact aurait, en l’espèce, eu lieu. Alors
que la CNPD aurait confirmé elle-même ne pas avoir reçu de réponse de la part de la société ..., il
ne saurait pas non plus être reproché à Monsieur ... de ne pas avoir insisté davantage auprès de
cette dernière.
En tout état de cause, l’association ... critique le fait que la CNPD, après avoir tenté sans
succès d’obtenir des renseignements de la part de la société ..., n’aurait pas obtenu de réponses à
ses demandes et aurait motivé la décision déférée par une absence de « perspective de
collaboration du responsable du traitement » tout en informant Monsieur ... de son impossibilité
de « poursuivre de façon effective » le traitement de son dossier pour manquer de moyens d’actions
en raison du fait de l’absence d’un établissement dans l’Union européenne de la société ... ou de
représentant en vertu de l’article 27 du RGPD.
Après avoir cerné le contexte de la demande adressée à la société ..., ainsi que l’objet de sa
réclamation, l’association ... affirme encore, en ce qui concerne plus spécialement l’intérêt à agir
de Monsieur ... en résultant, que ce dernier aurait un intérêt personnel d’introduire une réclamation
portant sur le traitement de ses données personnelles et que, pour cette même raison, il aurait un
intérêt à agir contre la décision, ainsi qualifiée, de la CNPD refusant de donner suite à ladite
réclamation.
Dans ce contexte, elle estime que Monsieur ... ne devrait pas avoir à démontrer les
« conséquences fâcheuses » que la décision litigieuse lui aurait causées, alors qu’il serait
surprenant que la violation d’un droit fondamental ne semblerait pas constituer en soi une
conséquence fâcheuse pour la CNPD, laquelle aurait manqué à son obligation de diligence à son
égard, ce qui établirait son intérêt à agir.
Quant aux différents aspects de l’intérêt à agir de Monsieur ... de voir réformer sinon
annuler la décision déférée, l’association ... estime que ce dernier aurait un intérêt personnel et
direct, du fait que la décision déférée porterait sur une réclamation introduite par lui et serait
relative à la violation de ses droits fondamentaux. L’intérêt serait encore effectif, né et actuel, alors
que la CNPD aurait refusé de faire la lumière sur des violations de ses droits fondamentaux par la
société .... A tout le moins l’intérêt à agir de Monsieur ... consisterait dans le fait que le jugement
du tribunal administratif constatant la violation par la CNPD, respectivement par la société ... de
ses droits fondamentaux protégés par la Charte et le RGPD, lui permettrait ensuite de rechercher
la responsabilité des auteurs de ces violations devant les juridictions civiles, l’association ...
rappelant encore, dans ce cadre, que suivant l’article 82, paragraphe (1) du RGPD toute personne
ayant subi un dommage matériel ou moral du fait d’une violation dudit règlement aurait le droit
d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, la CNPD
étant, de sa part, une personne morale de droit public, susceptible de voir sa responsabilité engagée
sur le fondement de la loi modifiée du 1er septembre 1988 relative à la responsabilité civile de
8
l’Etat et des collectivités publiques. Enfin, l’intérêt à agir de Monsieur ... serait encore légitime en
ce qu’il agirait pour protéger ses droits fondamentaux consacrés par la Charte et le RGPD.
L’association souligne encore que le droit d’accès constituerait la pierre angulaire pour la
protection des droits des individus, alors que sans accès complet à leurs données et aux
informations entourant le traitement de celles-ci, il leur serait impossible d’exercer l’ensemble des
autres droits que le RGPD leur confèrerait, tel que le droit d’opposition, d’effacement, de
rectification et le droit à un dédommagement, tel qu’également rappelé par l’autorité de protection
des données belge dans une décision 15/2021 du 9 février 2021.
En s’appuyant encore sur une pièce intitulée « profil de Monsieur ... sur ... », l’association
... insiste, par ailleurs, sur le fait que les données de Monsieur ... seraient toujours traitées par la
société ..., sans base légale et sans lui fournir l’information demandée, ni au préalable,
conformément à l’article 12 du RGPD, ni à sa demande, conformément à l’article 15 du même
règlement.
En ce qui concerne plus spécialement l’intérêt à agir de Monsieur ... en relation avec le
refus de la CNPD d’enquêter contre la société ... en raison d’une violation par cette dernière de
l’article 27 du RGPD, l’association ... estime, dans son mémoire en réplique que même une
disposition d’un règlement ne prévoyant pas expressément un « droit individuel » pourrait être
invoquée par un particulier si elle était suffisamment claire et précise. En s’emparant d’un arrêt de
la CJUE du 7 juin 2016, Ghezelbash c. Staatsecretaris van Veiligheid en Justitie, C- 63/15
relatif au règlement (UE) n° 604/2013 du Parlement européen et du Conseil du 26 juin 2013
établissant les critères et mécanismes de détermination de l’Etat membre responsable de l’examen
d’une demande de protection internationale introduite dans l’un des Etats membres par un
ressortissant de pays tiers ou un apatride, elle fait valoir que les individus concernés par la mise en
œuvre des critères de détermination prévus par ledit règlement pourraient invoquer ses dispositions
règlementaires afférentes.
Il n’y aurait donc aucune raison que Monsieur ... ne pourrait pas invoquer, en l’espèce la
mauvaise application « par la CNPD » de l’article 27 du RGPD, ceci d’autant plus que Monsieur
... lui aurait demandé d’ordonner à la société ... de se conformer aux dispositions dudit article. En
raison du fait que la CNPD se cacherait derrière cette violation par le responsable du traitement
pour ne pas agir, l’association ... relève, dans ce contexte, la mauvaise foi de la CNPD qui, d’une
part, utiliserait l’absence de représentant de la société ... pour décider de ne pas traiter la
réclamation de Monsieur ..., et, d’autre part, prétendrait, dans son mémoire en réponse, que le fait
que ladite société n’aurait pas désigné de représentant n’aurait pas empêché Monsieur ... de
pouvoir efficacement communiquer avec celle-ci.
Ainsi, le but premier de Monsieur ... ne serait pas de s’assurer que la société ... désigne un
représentant en Europe, mais que cette société respecte ses droits fondamentaux, la violation de
l’article 27 RGPD, tel que l’indiquerait la CNPD même, empêchant d’atteindre cet objectif.
A titre subsidiaire, l’association ... propose de poser deux questions préjudicielles à la
CJUE sur le fondement de l’article 267 TFUE libellées comme suit : « 4.1. L’article 27 du RGPD
doit-il être interprété en ce sens qu’il permet à une autorité nationale saisie d’une réclamation
9
contre un responsable de traitement de refuser ou rejeter cette réclamation au motif que ce
responsable de traitement est dépourvu d’établissement et de représentant dans l’Union ?
4.2. L’article 27 du RGPD doit-il être interprété en ce sens qu’il est invocable par un
particulier cherchant à contester le refus ou le rejet de sa réclamation par une autorité nationale
de contrôle, lorsque le responsable de traitement est manifestement en violation de cette
disposition en ce sens qu’il est dépourvu d’établissement et de représentant sur le territoire de
l’Union ? »
Analyse du tribunal
Avant tout progrès en cause, le tribunal relève que, suite à l’abrogation de la directive
94/65/CE, l’organisation de la CNPD résulte de la loi du 1er août 2018, adoptée sur base du RGPD,
de sorte que la question de l’applicabilité ou non du RGPD au fond de la présente affaire ne porte
pas à conséquence en ce qui concerne la compétence du tribunal de céans de connaître des
décisions adoptées par la CNPD. En effet, le RGPD, règlement communautaire par essence
d’application directe en vertu de l’article 288 TFUE, prévoit en son article 51 la création d’autorités
de contrôle dans les Etats membres, et constitue dès lors la législation cadre, à laquelle renvoie
d’ailleurs la loi du 1er août 2018, sur base de laquelle la CNPD a été organisée, de sorte que les
dispositions du RGPD relatives à l’organisation, la mission et les décisions de la CNPD sont, en
tout état de cause, applicables.
Quant à la question d’une voie de recours effective offerte par le RGPD contre les différents
types de décisions, soit de refus de traitement d’une réclamation, soit de rejet de ladite réclamation,
émanant d’une autorité de contrôle nationale, telle que la CNPD, il échet de constater qu’aux
termes de l’article 55 de la loi du 1er août 2018 « Un recours contre les décisions de la CNPD
prises en application de la présente loi est ouvert devant le Tribunal administratif qui statue
comme juge du fond. », ladite disposition ne distinguant pas le type de décisions de la CNPD
susceptibles de recours et incluant dès lors a priori toute décision émanant de cette dernière à
condition de faire grief.
Il s’ensuit que le tribunal est compétent pour connaître du recours en réformation introduit
à titre principal.
Il n’y a dès lors pas lieu de statuer sur le recours subsidiaire en annulation.
Un acte administratif individuel, pour répondre au qualificatif de décision administrative
et donc pour être susceptible d’un recours devant les juridictions administratives, doit également
constituer une véritable décision de nature à faire grief, c'est-à-dire un acte susceptible de produire
par lui-même des effets juridiques affectant la situation personnelle et patrimoniale de celui qui
réclame1.
Dans ce contexte, le tribunal relève qu’afin de déterminer le caractère de faisant grief de
l’acte déféré, il y a d’abord lieu, de cerner l’objet de la réclamation adressée par Monsieur ... à la
CNPD, de la réponse de la CNPD, ainsi que du recours sous analyse.
1
Trib. Adm., 25 janvier 2010, n° 25720 du rôle, disponible sur www.ja.etat.lu
10
En ce qui concerne, tout d’abord, l’objet de la réclamation du 8 juillet 2020 introduite par
Monsieur ... auprès de la CNPD, le tribunal doit constater qu’aucun élément concret relatif à la
demande formulée auprès de la société ... de la part de Monsieur ... n’a été soumis à son analyse,
alors même que cette demande est sous-jacente aux prétendues violations du RGPD dénoncées par
Monsieur ... dans le cadre de sa réclamation auprès de la CNPD du 8 juillet 2020. L’association ...
ne verse, en effet, à l’appui de son recours que la réponse générique automatiquement envoyée à
Monsieur ... par la société ..., laissant ainsi le tribunal dans l’impossibilité de connaître le contenu
exact de la demande à laquelle elle répond.
En ce qui concerne l’objet de la réclamation de Monsieur ..., le tribunal constate encore
qu’il ressort de cette dernière, qu’il a introduit sa réclamation en date du 8 juillet 2020 dans les
termes suivants : « (…) Objet de la plainte : - ne m’a pas fourni les informations nécessaires
relatives à un traitement de données personnelles me concernant – n’a pas donné suite à ma
demande d’accès aux données personnelles me concernant – a transmis mes données personnelles
à un/des tiers – a procédé à une collecte excessive de mes données personnelles – N’a pas respecté
mon droit d’opposition (p.ex. prospection) (…) ».
En ce qui concerne la nature de l’acte déféré, le tribunal doit constater que, contrairement
aux développements de l’association ..., la CNPD n’a pas refusé de traiter la réclamation de
Monsieur ... en violation de l’article 77 du RGPD aux termes duquel « 1. Sans préjudice de tout
autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une
réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se
trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si
elle considère que le traitement de données à caractère personnel la concernant constitue une
violation du présent règlement. 2. L'autorité de contrôle auprès de laquelle la réclamation a été
introduite informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation,
y compris de la possibilité d'un recours juridictionnel en vertu de l'article 78. ».
En effet, il est constant en cause pour ressortir des pièces versées au débat et pour ne pas
être contesté par les parties, que la CNPD a, par courriel du 9 juillet 2020, accusé réception de la
réclamation de Monsieur ... du 8 juillet 2020, a, lors des échanges par courriel en date des 28 juillet
2020 et 13 août 2020, demandé des informations et documents complémentaires à ce dernier, l’a
informé qu’elle traiterait sa réclamation, et l’a, par courrier du 16 octobre 2020, informé de
l’absence de poursuite de l’examen de sa réclamation en lui fournissant des explications
circonstanciées, ce constat n’étant pas énervé par la référence, dans le courrier déféré, à l’article
54, paragraphe (4) du RGPD qui a trait au refus de traitement d’une réclamation, la CNPD ayant,
tel que relevé ci-avant, de facto traité la réclamation de Monsieur ....
Dans ce contexte, le tribunal constate également que, tel que relevé à bon droit par la
CNPD, les autorités de contrôle compétentes visées par le RGPD, ont, en vertu de l’article 57,
point f) du RGPD, ainsi que de l’article 8, point 6) de la loi du 1er août 2018, certes, pour mission
de traiter les réclamations introduites par une personne concernée, d’enquêter sur l'objet de la
réclamation, dans la mesure du nécessaire, et d’informer l'auteur de la réclamation de l'état
d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément
d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire, les pouvoirs dont
11
elle dispose à cette fin étant prévus aux articles 58 du RGPD et 12 à 14 de la loi du 1 er août 2018,
sans que pour autant il n’en résulte une obligation dans leur chef d’ouvrir une enquête ou d’user
de leurs pouvoirs contraignants contre tout responsable de traitement faisant objet d’une
réclamation, le bien-fondé de la réclamation étant par essence l’élément déclencheur de
l’utilisation des pouvoirs de la CNPD et l’acte de traitement de la demande pouvant résulter du
simple examen de la réclamation introduite.
Le tribunal relève ensuite que l’article 78 du RGPD prévoit le recours contre deux types de
décisions de l’autorité de contrôle compétente, tel qu’en l’espèce la CNPD, le paragraphe (1)
disposant que « Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute
personne physique ou morale a le droit de former un recours juridictionnel effectif contre une
décision juridiquement contraignante d'une autorité de contrôle qui la concerne.”, le paragraphe
(2) disposant que « Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute
personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de
contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou
n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de
l'issue de la réclamation qu'elle a introduite au titre de l'article 77. »
Dans la mesure où, tel que retenu ci-avant, Monsieur ... ne saurait se prévaloir d’un grief
causé par l’acte déféré dans son chef, en raison d’un refus de traitement de sa réclamation par la
CNPD en violation de l’article 77 RGPD, il s’ensuit que l’analyse du prétendu grief causé par ledit
acte doit nécessairement s’inscrire dans le cadre du paragraphe (1) de l’article 78 du RGPD, la
CNPD n’ayant pas ouvert une enquête à l’égard de la société ... suite à la réclamation de Monsieur
....
En ce qui concerne ensuite l’objet du présent recours, l’objet d’un recours étant, de manière
générale, constitué par le résultat que la partie demanderesse entend obtenir2, il échet de constater
que, suivant le dispositif de la requête introductive d’instance, l’association ... entend voir réformer
l’acte déféré afin que la CNPD poursuive l’examen de la réclamation de Monsieur ... en ce qui
concerne le non-respect par la société ... des articles 15 et 27 du RGPD, de sorte que la question
du grief causé par l’acte déféré est nécessairement limitée à cette demande, tout débat relatif à
d’autres violations éventuelles de la part de la société ..., étant dès lors sans pertinence à ce stade
dans la mesure où lesdites violations visent le fond du litige.
En l’espèce, force est de constater que le courrier de la CNPD du 16 octobre 2020 informant
Monsieur ... qu’elle n’engagerait pas des poursuites à l’encontre de la société ... n’est pas de nature
à affecter directement la situation personnelle et patrimoniale de Monsieur .... En effet, tel que
relevé ci-avant et à l’instar des développements de la CNPD, Monsieur ... est resté en défaut
d’apporter la preuve d’avoir fait valoir ses droits auprès de la société .... Face à l’impossibilité pour
la CNPD et le tribunal de vérifier l’existence d’une demande présentée par Monsieur ... à la société
..., ainsi que le caractère défectueux de la réponse y donnée par ladite société, la réclamation de
Monsieur ... du 8 juillet 2020 se résume à prier la CNPD de demander, à sa place, à la société ... la
confirmation des informations prévues à l’article 15 du RGPD.
2
Trib. Adm. 27 octobre 2004, n°17634, Pas. Adm. 2022, V° Procédure contentieuse, n°372 et les autres références y
citées
12
Ce constat n’est pas énervé par les développements de Monsieur ... tenant à établir
l’impossibilité dans son chef de produire une preuve de la demande formulée auprès de la société
… en ce qu’il n’aurait reçu aucune copie de sa demande envoyée par formulaire en ligne sur le site
….io, alors que, tel que relevé à bon droit par la CNPD, la réponse automatique envoyée par la
société ... comportait une adresse mail à laquelle Monsieur ... aurait pu envoyer sa demande au
regard de l’article 15 du RGPD et ainsi se ménager une preuve de ses propres démarches.
Si les articles 57, paragraphe (1), point a) et (4) de la loi du 1er août 2018 prévoient, certes,
que la CNPD est chargée de contrôler et de vérifier si les données soumises à un traitement sont
traitées en conformité avec le RGPD, il n’en demeure pas moins que cette habilitation pour agir
laisse intact le droit d’agir du requérant lui-même, qui n’est pas tributaire à cet égard d’une décision
de la CNPD pour user de ses droits prévus à l’article 15 du RGPD et de formuler une première
demande en ce sens auprès du responsable de traitement, de sorte que le refus de la CNPD de
formuler, à la place de Monsieur ..., une demande au sens de l’article 15 du RGPD à la société ...
n’a causé aucun grief affectant la situation personnelle de Monsieur ....
Ce constat n’est pas non plus énervé par les développements de l’association ... suivant
lesquels le RGPD ne prévoirait aucune prise d’initiative de la personne concernée auprès d’un
responsable du traitement préalablement à la saisine de l’autorité de contrôle compétente, alors
qu’il résulte, au contraire, des termes même de l’article 15 du RGPD que l’obligation y prévue
dans le chef du responsable du traitement des données consiste dans une « confirmation » des
informations y visées qui ne saurait nécessairement intervenir que sur demande expresse de la
personne concernée.
Ce constat n’est pas non plus énervé par les développements de l’association ...
relativement à l’intérêt de Monsieur ... de voir réformer ou annuler l’acte déféré afin de lui
permettre d’attraire en justice la société ... en vertu de l’article 82 du RGPD. En effet, il résulte de
l’article 79, intitulé « Droit à un recours juridictionnel effectif contre un responsable du traitement
ou un sous-traitant », paragraphe (1) du RGPD que « Sans préjudice de tout recours administratif
ou extrajudiciaire qui lui est ouvert, y compris le droit d'introduire une réclamation auprès d'une
autorité de contrôle au titre de l'article 77, chaque personne concernée a droit à un recours
juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été
violés du fait d'un traitement de ses données à caractère personnel effectué en violation du présent
règlement.». Ainsi, la réparation d’un dommage résultant, le cas échéant, d’une violation des droits
à la protection des données à caractère personnel d’une personne concernée n’est ni conditionnée
par une saisine préalable de l’autorité de contrôle compétente, tel que la CNPD, ni par une décision
de cette dernière sanctionnant une telle violation, de sorte que cet argument manque en fait.
En ce qui concerne, ensuite, l’absence de mise en œuvre de ses pouvoirs de la part de la
CNPD afin de faire cesser une éventuelle violation par la société ... de l’article 27 du RGPD, mise
à part le constat que la violation dudit article n’a pas fait objet de la réclamation de Monsieur ... du
8 juillet 2020, il échet de constater qu’en vertu dudit article un responsable de traitement qui n’est
pas établi dans l’Union européenne mais auquel le RGPD s’applique est tenu de désigner un
représentant dans l’Union européenne
13
A cet égard, le tribunal relève qu’une éventuelle violation de l’article 27 du RGPD par la
société ... ne constitue pas une violation, en tant que telle, de la protection des données à caractère
personnel de Monsieur ..., pour ne pas affecter à elle seule lesdites données. Si, en effet, une
violation de l’article 27 du RGPD de la part d’un responsable de traitement est susceptible de
constituer un obstacle pour une personne concernée à l’exercice de ses droits, il n’en demeure pas
moins que cette personne a la charge de la preuve d’établir quels droits personnels prévus au RGPD
elle aurait été empêchée de faire valoir du fait de cette violation de l’article 27 RGPD par le
responsable du traitement en question.
Or, tel que relevé ci-avant, Monsieur ... reste en défaut d’établir qu’il se serait effectivement
adressé à la société ... afin de faire valoir ses droits prévus à l’article 15 du RGPD, une violation
de ses droits y prévus n’étant dès lors pas établie, de sorte qu’il ne saurait pas non plus se prévaloir
d’un préjudice par ricochet dans son chef du fait d’une violation par la société ... de l’article 27 du
RGPD et corrélativement du fait de l’absence d’ouverture d’une enquête de la part de la CNPD en
ce sens.
Monsieur ... reste également en défaut d’établir qu’une éventuelle méconnaissance de la
part de la société ... l’aurait empêché de faire valoir ses droits au titre de l’article 15 du RGPD
directement auprès d’elle, la réponse automatique du 13 juin 2020 de celle-ci ayant en effet
comporté une adresse mail de contact en cas de toute question relative au traitement de données à
caractère personnel par cette dernière. Il s’ensuit, dans ce même ordre d’idées, que Monsieur ... ne
saurait, à ce stade, se prévaloir d’un préjudice résultant d’une éventuelle violation de l’article 27
RGPD par la société ... qui serait perpétuée par l’acte déféré en ce que la CNPD aurait refusé
d’intervenir à ce titre auprès de cette dernière.
Il s’ensuit que l’absence d’enquête de la part de la CNPD contre ladite société ne cause
aucune conséquence fâcheuse dans le chef de Monsieur ..., ni n’affecte-elle la situation personnelle
de ce dernier.
En ce qui concerne le prétendu grief causé par l’acte déféré en ce qu’il en résulterait,
toujours à l’heure actuelle, un traitement illicite par la société ... des données à caractère personnel
de Monsieur ..., le tribunal relève qu’un traitement, le cas échéant toujours à l’heure actuelle, des
données à caractère personnel de Monsieur, ne résulte, en l’absence de demande d’effacement de
ses données auprès de la société ... de la part de Monsieur ... et en l’absence d’une preuve de
l’impossibilité de ce faire de la part de ce dernier, pas de l’acte déféré, de sorte que cet argument
est à rejeter pour manquer en fait.
Au vu de tout ce qui précède, il y a lieu de considérer que le courrier de la CNPD informant
Monsieur ... du fait qu’elle ne poursuit pas le traitement de sa réclamation et qu’elle ne formulera
pas, en lieu et en place de ce dernier une demande conformément à l’article 15 du RGPD auprès
de la société ... et qu’elle ne sanctionnera pas la violation de l’article 27 RGPD par ladite société,
en l’absence d’une violation d’un droit personnel et direct du réclamant relatif à ses données prévu
au RGPD, ne constitue pas un acte de nature à faire grief, c’est-à-dire un acte susceptible de
produire par lui-même des effets juridiques affectant la situation personnelle ou patrimoniale de
Monsieur ..., de sorte que le recours introduit à son encontre est irrecevable.
14
Au regard des considérations qui précèdent, il n’y a pas lieu de poser les questions
préjudicielles à la CJUE, tel que proposées par l’association ..., alors que, d’une part, aux termes
même de l’article 78, paragraphe (1) du RGPD un droit de recours y est prévu contre les seules
décisions « juridiquement contraignantes » de l’autorité de contrôle compétente, cette notion se
couvrant avec la notion de décision « de nature à faire grief », respectivement, d’autre part,
manquent en fait et ne sont, en tout état de cause, pas pertinentes pour la solution du présent litige.
Concernant la demande en allocation d’une indemnité de procédure formulée par le
demandeur, une demande d’allocation d’une indemnité de procédure qui omet de spécifier la
nature des sommes exposées non comprises dans les dépens et qui ne précise pas en quoi il serait
inéquitable de laisser ces frais à sa charge est à rejeter, la simple référence à l’article de la loi
applicable n’étant pas suffisante à cet égard.
Par ces motifs,
le tribunal administratif, quatrième chambre, statuant contradictoirement ;
se déclare compétent pour connaître du recours principal en réformation ;
déclare le recours principal en réformation irrecevable, partant le rejette ;
dit qu’il n’y a pas lieu de statuer sur le recours subsidiaire en annulation ;
rejette la demande en allocation d’une indemnité de procédure formulée par l’association
... – ... ;
condamne l’association ... – ... aux frais et dépens de l’instance.
Ainsi jugé et prononcé à l’audience publique du 21 avril 2023 par :
Paul Nourrissier, vice-président,
Emilie Da Cruz De Sousa, juge,
Laura Urbany, juge,
en présence du greffier Marc Warken.
s. Marc Warken s.Paul Nourrissier
Reproduction certifiée conforme à l’original
Luxembourg, le 21 avril 2023
Le greffier du tribunal administratif
15