Veri Koruma Yaptırımına Karşı İdari Başvuru

Tribunal administratif N° 46578 du rôle
du Grand-Duché de Luxembourg ECLI:LU:TADM:2025:46578
4e chambre Inscrit le 15 octobre 2021

Audience publique du 18 mars 2025

Recours formé par
la société à responsabilité limitée (AA), …,
contre une décision de la Commission nationale pour la protection des données
en matière de protection des données
________________________________________________________________________

JUGEMENT

Vu la requête inscrite sous le numéro 46578 du rôle et déposée le 15 octobre 2021 au
greffe du tribunal administratif par la société en commandite simple ALLEN&OVERY SCS,
inscrite sur la liste V du Tableau de l'Ordre des Avocats à Luxembourg, établie et ayant son
siège social à L-1855 Luxembourg, 5, avenue J.F. Kennedy, immatriculée au Registre du
Commerce et des Sociétés de Luxembourg sous le numéro B178291, représentée aux fins des
présenter par Maître Thomas BERGER, avocat à la Cour, inscrit au tableau de l'Ordre des
avocats à Luxembourg, au nom de la société à responsabilité limitée (AA), établie et ayant son
siège social à L-..., immatriculée au Registre du Commerce et des Sociétés de Luxembourg
sous le numéro ..., représentée par son conseil de gérance actuellement en fonctions, tendant à
la réformation, sinon à l'annulation de la décision du 15 juillet 2021, référencée sous le n° ...,
de la Commission nationale pour la protection des données, établissement public, sis à L-4370
Belvaux, 15, boulevard du Jazz, lui ayant infligé une amende administrative de 746.000.000
euros, tout en lui imposant de procéder à des mesures correctrices dans un délai de six mois à
compter de sa notification sous peine d'une astreinte journalière de 746.000 euros ;

Vu l'exploit de l'huissier de justice Pierre BIEL, demeurant à Luxembourg, du 15
octobre 2021, portant signification du présent recours à l'établissement public Commission
nationale pour la protection des données, préqualifiée ;

Vu la constitution d'avocat à la Cour par la société à responsabilité limitée
NAUTADUTILH Avocats Luxembourg SARL, inscrite sur la liste V du Tableau de l'Ordre
des Avocats à Luxembourg, établie et ayant son siège social à L1233 Luxembourg, 2, rue Jean
Bertholet, immatriculée au Registre du Commerce et des Sociétés de Luxembourg sous le
numéro B 189.905, représentée aux fins des présentes par Maître Vincent WELLENS, avocat
à la Cour, inscrit au tableau de l'Ordre des Avocats à Luxembourg, pour l'établissement public
Commission nationale pour la protection des données, du 3 novembre 2021 ;

Vu l’ordonnance du Président du tribunal administratif du 17 décembre 2021, inscrite
sous le numéro 46630 du rôle, ayant retenu qu’il sera sursis à l’exécution de la décision du 15
juillet 2021 de la Commission nationale pour la protection des données en ce qui concerne les
mesures correctrices imposées à la société à responsabilité limitée (AA) en attendant que le
tribunal administratif se soit prononcé sur le fond du litige ;

Vu l'ordonnance rendue le 6 janvier 2022 par le président de la quatrième chambre du
tribunal administratif, recevant en la forme et déclarant justifiée la requête tendant à la

prorogation du délai pour le dépôt du mémoire en réponse introduite par la société à
responsabilité limitée de droit luxembourgeois NAUTADUTILH Avocats Luxembourg SARL
et prorogeant le délai pour déposer le mémoire en réponse au 1er février 2022, ainsi que le délai
pour déposer le mémoire en réplique au 1er avril 2022 ;

Vu le dépôt du mémoire en réponse en date du 1 er février 2022 au greffe du tribunal
administratif par la société à responsabilité limitée de droit luxembourgeois NAUTADUTILH
Avocats Luxembourg SARL, préqualifiée, au nom de la Commission nationale pour la
protection des données ;

Vu le dépôt du mémoire en réplique en date du 31 mars 2022 au greffe du tribunal
administratif par la société en commandite simple ALLEN&OVERY SCS, préqualifiée, au
nom de la société (AA);

Vu l'ordonnance rendue le 11 avril 2022 par le président de la quatrième chambre du
tribunal administratif, recevant en la forme et déclarant justifiée la requête tendant à la
prorogation du délai pour le dépôt du mémoire en duplique introduite par la société à
responsabilité limitée de droit luxembourgeois NAUTADUTILH Avocats Luxembourg SARL
et prorogeant le délai pour déposer le mémoire en duplique au 31 mai 2022 ;

Vu le dépôt du mémoire en duplique en date du 31 mai 2022 au greffe du tribunal
administratif par la société à responsabilité limitée de droit luxembourgeois NAUTADUTILH
Avocats Luxembourg SARL, préqualifiée au nom de la Commission nationale pour la
protection des données ;

Vu les pièces versées en cause et notamment la décision critiquée ;

Le juge-rapporteur entendu en son rapport, ainsi que Maître Thomas Berger, assisté de
Maître Catherine Di Lorenzo, ainsi que Maître Vincent Wellens en leurs plaidoiries respectives
à l’audience publique du 9 janvier 2024.
___________________________________________________________________________

En date du 28 mai 2018, l’association de défense française La Quadrature du Net, ci-
après désignée par « LQDN », saisit, en France, la Commission nationale de l’Informatique et
des Libertés, ci-après désignée par la « CNIL », d’une plainte par rapport à diverses pratiques
imputées aux sociétés de droit luxembourgeois (AA), (BB), (CC) et (DD), ainsi qu’à la société
de droit britannique (EE), en leurs qualités de responsables du traitement des données
personnelles traitées à travers les services du groupe (AA), en application de l’article 80 du
règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard des traitements des données à caractère personnel
et à la libre circulation des données, ci-après désigné par « le RGPD ».

Dans le cadre de la coopération européenne régie par les articles 60 à 62 du RGPD,
l’établissement public luxembourgeois Commission nationale pour la protection des données,
ci-après désigné par la « CNPD », fut identifié à travers le système européen d’échange
d’informations comme étant l’autorité de contrôle chef de file compétente conformément aux
dispositions de l’article 56 du RGPD pour traiter la prédite réclamation.

Le 5 avril 2019, la CNPD décida d’ouvrir une enquête et désigna à cette fin Monsieur
..., commissaire de la CNPD, en qualité de chef d’enquête, ci-après désigné par le « chef

d’enquête », avec pour mission de vérifier la conformité des traitements de la société (AA),
ci-après désignée par la « société (AA) », opérés à des fins de publicité comportementale, à
savoir basée sur les intérêts, ci-après désignée par la « PBI », avec le RGPD, la loi du 1er août
2018 portant organisation de la Commission nationale pour la protection des données et du
régime général sur la protection des données, ci-après désignée par « la loi du 1er août 2018 »,
ainsi qu’avec la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le
secteur des communications électroniques, ci-après désignée par « la loi du 30 mai 2005 », et
plus spécifiquement avec les dispositions liées à la base de licéité et à l’usage des témoins de
connexion, ci-après désignés par les « cookies ».

Ladite décision d’ouvrir une enquête, ensemble avec un questionnaire préliminaire, fut
formellement notifiée à la société (AA) par courrier de la CNPD du 23 avril 2019. La société
(AA) transmit le questionnaire dûment rempli, ensemble avec des annexes, à la CNPD par
courrier du 23 mai 2019.

Suite à deux entrevues entre la CNPD et la société (AA) en date des 17 juillet et 10
septembre 2019, le chef d’enquête transmit à cette dernière son rapport d’audit final le 17
février 2020.

En date du 25 juin 2020, suite à une demande d’informations complémentaires du 4
mars 2020, le chef d’enquête notifia à la société (AA) la communication des griefs, document
par rapport auquel la société (AA) prit position en date du 20 août 2020.

En date du 10 novembre 2020, la formation restreinte de la CNPD, composée de la
présidente de la CNPD, Madame ... et des commissaires Messieurs ... et ..., ci-après désignée
par « la Formation restreinte », procéda, en présence du chef d’enquête, à une audition de la
société (AA).

Par courriers électroniques des 5 et 10 juillet 2021, la société (AA) sollicita, d’une part,
l’accès à l’ensemble du dossier d’enquête de la Formation restreinte, en ce compris les
documents, la communication et les avis motivés des autres autorités de contrôle nationales,
ainsi que la réponse de la Formation Restreinte à ces éventuelles observations, et, d’autre part,
la réouverture de l’enquête pour lui permettre de présenter ses observations par rapport à ces
documents.

Le 16 juillet 2021, la Formation restreinte accorda à la société (AA) l’accès à certains
documents de son dossier, tout en lui refusant l’accès aux documents produits au cours de la
procédure de coopération avec les autres autorités de contrôle nationales, la Formation
restreinte ayant également rejeté la demande de réouverture de l’enquête.

Par décision du 15 juillet 2021, référencée sous le n° ..., la Formation restreinte infligea
une amende administrative de 746.000.000 euros à la société (AA) pour ne pas avoir respecté
les articles 6, paragraphe (1), 12, 13, 14, 15, 16, 17 et 21 du RGPD et prononça à l’encontre de
cette dernière une injonction, assortie d’une astreinte de 746.000 euros par jour de retard, de
mettre en conformité les traitements de données avec les prédites dispositions du RGPD dans
un délai de six mois suivant la notification de la décision en question et « (…) en particulier :

1. de mettre en conformité les traitements de données à caractère personnel réalisés
à des fins de publicité comportementale de façon à ce que ceux-ci reposent sur une
condition de licéité valide au sens de l’article 6.1 du RGPD ;

2. de mettre en conformité les mesures de transparence concernant les traitements de
données à caractère personnel à des finalités de la publicité comportementale avec
les articles 12, 13 et 14 du RGPD comme exposé ci-dessus ;

3. de mettre en conformité les réponses données à toute future demande d’accès, de
modification, ou d’effacement conformément aux articles 15 à 17 du RGPD comme
exposé ci-dessus ;

4. de mettre en conformité le mécanisme d’opt-out conformément à l’article 21 du
RGPD pour assurer qu’il couvre l’ensemble des traitements de données à caractère
personnel à des fins de prospection comme exposé ci-dessus ; (…) ».

La décision du 15 juillet 2021 précisa finalement qu’elle fera l’objet d’une publication
sur le site internet de la CNPD dès l’épuisement des voies de recours.

Par courrier du 20 août 2021, la société (AA) demanda à la CNPD de confirmer que la
prédite décision devait être lue en ce sens que l’amende et les mesures correctrices ne seraient
pas exécutées par la CNPD avant que toutes les voies de recours soient épuisées.

Par courrier du 22 septembre 2021, la CNPD précisa à la société (AA) que seul le
Président du tribunal administratif pourrait ordonner un sursis à l’exécution d’une décision
administrative et non une autorité administrative elle-même, de sorte à inviter cette dernière à
introduire une telle demande.

Par requête déposée au greffe du tribunal administratif le 15 octobre 2021, inscrite sous
le numéro 46578 du rôle, la société (AA) a fait introduire un recours tendant à la réformation,
sinon à l’annulation de la décision précitée de la CNPD du 15 juillet 2021, tout en sollicitant le
bénéfice de l’effet suspensif du recours pendant le délai et l’instance d’appel conformément
aux dispositions de l’article 35 de la loi modifiée du 21 juin 1999 portant règlement de
procédure devant les juridictions administratives, ci-après désignée par la « loi du 21 juin
1999 ».

Par requête séparée déposée le 29 octobre 2021, inscrite sous le numéro 46630 du rôle,
la société (AA) sollicite encore l’obtention d’un sursis à exécution par rapport à la décision de
la CNPD du 15 juillet 2021. Par ordonnance du 17 décembre 2021, le Président du tribunal
administratif ordonna, sur base de l’article 11 de la loi du 21 juin 1999, qu’il soit sursis à
l’exécution de la décision litigieuse de la CNPD du 15 juillet 2021 quant aux mesures
correctrices y imposées en attendant que le tribunal se soit prononcé au fond sur le mérite du
recours inscrit sous le numéro 46578 du rôle.

En ce qui concerne la recevabilité du recours inscrit sous le numéro 46578 du rôle, il y
a lieu de relever qu’étant donné qu’aux termes de l’article 55 de la loi du 1er août 2018 « [u]n
recours contre les décisions de la CNPD prises en application de la présente loi est ouvert
devant le Tribunal administratif qui statue comme juge du fond. », le tribunal est compétent
pour connaître du recours principal en réformation dirigé contre la décision précitée de la
CNPD du 15 juillet 2021, lequel est encore recevable pour avoir, par ailleurs, été introduit dans
les formes et délai de la loi.

Il s’ensuit qu’il n’y a pas lieu de statuer sur le recours subsidiaire en annulation introduit
par la société (AA) à l’encontre de la prédite décision.

A l’audience publique des plaidoiries et à titre liminaire, le tribunal a soulevé d’office
la question de l’admissibilité de certains documents dont se sont prévalus, d’un côté, la société
(AA), en l’occurrence la pièce n° 39 déposée au greffe du tribunal administratif le 31 mars
2022 et intitulée « Résumé des faits erronés et représentations inexactes dans le mémoire en
réponse de la CNPD », voire, d’un autre côté, la CNPD, à savoir les pièces nos 29 et 30 déposées
le 31 mai 2022 intitulées « Clarifications apportées par la CNPD en lien avec la pièce n° 39
d’Allen & Overy », respectivement « Critique de l’avis du Prof. Dr. ... (pièce n° 36 d’Allen &
Overy ) », question par rapport à laquelle les litismandataire de la société (AA), ainsi que de la
CNPD se sont rapportés à prudence de justice.

Il y a lieu de relever que les documents en question ont été établis par les parties elles-
mêmes, respectivement par leurs litismandataires, de sorte à devoir être considérés comme une
prise de position des parties respectives et partant, quant à leur nature, similaires, sinon
identiques à des mémoires. Or, dans ce contexte, mis à part la circonstance que les documents
susmentionnés sont dépourvus de signature le tribunal doit constater que, conformément à
l’article 7 de la loi du 21 juin 1999, d’une part, il ne pourra y avoir plus de deux mémoires de
la part de chaque partie, y compris la requête introductive, nombre qui est, en l’occurrence
dépassé avec le dépôt des documents litigieux, et, d’autre part, la production de mémoires
supplémentaires n’a ni été sollicitée par les parties en cause ni ne leur a a fortiori été accordée
par le tribunal.

Il s’ensuit que la pièce n° 39 déposée par la société (AA) au greffe du tribunal
administratif le 31 mars 2022 et intitulée « Résumé des faits erronés et représentations
inexactes dans le mémoire en réponse de la CNPD », ainsi que les pièces nos 29 et 30 déposées
par la CNPD le 31 mai 2022 et intitulées « Clarifications apportées par la CNPD en lien avec
la pièce n° 39 d’Allen & Overy », respectivement « Critique de l’avis du Prof. Dr. ... (pièce n°
36 d’Allen & Overy) » sont à écarter des débats et ne seront, en conséquence, pas pris en
considération par le tribunal dans le cadre du litige sous examen.

A l’appui de son recours et en fait, la demanderesse passe en revue les rétroactes, tels
que repris ci-avant, en fournissant encore des explications quant au contexte factuel relatif au
traitement de données à caractère personnel opéré à des fins de PBI.

A cet égard, la demanderesse expose, tout d’abord, que ses activités seraient
principalement celles d’un détaillant, dont l’objectif serait de proposer divers produits et
services à la vente en ligne à travers huit boutiques en ligne, ci-après désignés par les
« Boutiques (AA) ». Ainsi, d’une part, plus de 300.000 entreprises dans l'Union européenne
vendraient dans les Boutiques (AA) des centaines de millions de types de produits matériels et
numériques, ainsi que des services différents.

Elle précise encore, dans ce cadre, que pour qu’un client puisse acheter quelque chose
dans une Boutique (AA), il devrait créer un compte numérique (AA) qu’il utiliserait ensuite
pour ses achats futurs ou pour accéder à d'autres services (AA), tels que les services de vidéo
et de musique en ligne, ledit compte, accessible sur les différents appareils du client en
question, tels que notamment des ordinateurs fixes ou portables, des smartphones, des enceintes
intelligentes, des lecteurs de livres électroniques et des téléviseurs intelligents, étant la plaque

tournante de l’utilisation par ledit client de toutes les Boutiques (AA) et du contenu numérique
y proposé.

La demanderesse affirme être l'entité du groupe (AA) responsable de l'exploitation des
Boutiques (AA), ainsi que de l'affichage de la PBI dans les Boutiques (AA) et sur d'autres sites
internet dans l’Union européenne. Dans ce cadre, la demanderesse relève que la base légale de
la PBI, telle qu’opérée par ses soins, serait le critère de l’intérêt légitime, son activité
publicitaire ayant été développée dans le but de connaître les centres d'intérêt de ses clients en
matière d'achats et d'afficher des publicités pour les produits et services qu'ils pourraient
souhaiter acheter, respectivement dont ils pourraient avoir besoin. A cette fin, son activité de
PBI reposerait d'abord et avant tout sur les données collectées auprès de ses clients lors de la
consultation, par ces derniers, des Boutiques (AA) et qui seraient, par après, utilisées pour
afficher des publicités pour des produits disponibles dans lesdites boutiques. La demanderesse
précise encore ne pas utiliser des données relatives aux sites internet tiers visités par leurs
clients, voire leurs comportements de navigation sur ces sites, alors que, d’une part, leurs
clients ne s'attendraient pas à ce qu'(AA) collecterait de telles données, ainsi que, d’autre part,
de telles données seraient moins pertinentes pour comprendre les intérêts des clients en matière
d'achats.

Par ailleurs, afin de garder la confiance de ses clients et d’éviter que ces derniers
préféreraient avoir recours à d’autres magasins en ligne offrant des produits et services
comparables à ceux d’ (AA), la demanderesse fait valoir avoir mis en place plusieurs mesures
pour protéger les données des clients qu'elle utilise pour la PBI (i) en n’utilisant qu’une très
petite proportion des données dont elle disposerait ,(ii) en stockant les données utilisées dans
un système dédié et distinct, séparé des autres données clients, auquel elle appliquerait des
mesures de sécurité strictes et (iii) en pseudonymisant également les données permettant
d'identifier les personnes par le biais d’un stockage sous forme de chaînes aléatoires de chiffres
et de lettres.

Tout en précisant que plus de 75 % des revenus d'(AA) issus de la PBI en Europe
proviendraient de publicités pour des produits et des services qui pourraient être achetés dans
la Boutique (AA), la demanderesse relève qu’elle adapterait sa publicité aux intérêts de ses
clients, afin de s’assurer qu’elle soit pertinente pour ces derniers, en les regroupant dans des
groupes d’intérêt en fonction des actions effectuées par ceux-ci dans les Boutiques (AA) sur
une certaine période, chaque groupe devant comporter un certain nombre de clients.

Afin de reconnaître un client en vue de recueillir des informations sur ses interactions
avec la Boutique (AA) pour pouvoir, par la suite, déterminer les publicités pertinentes en
fonction de ses intérêts, la société (AA) utiliserait, tout en protégeant la vie privée de ses clients,
des « cookies », à savoir de petits fichiers texte stockés sur un appareil informatique ou dans
un navigateur internet. La demanderesse fait relever que, le cas échéant, elle ajouterait une
quantité limitée d'informations démographiques sur ses clients, telles que la tranche d'âge et le
sexe, obtenu de la part de fournisseurs de données tiers dans son système distinct de publicité,
afin, d’une part, de lui permettre de rendre sa PBI pertinente pour les clients, et, d’autre part,
de s'assurer de ne pas afficher de PBI à des personnes potentiellement vulnérables. Ces données
seraient également pseudonymisées et soumises aux mêmes garanties de renforcement de
protection de la vie privée que les données primaires de la Boutique (AA).

Elle précise encore que certains détaillants auraient recours, de manière importante, à
des tiers pour collecter et agréger des données sur leurs clients sur plusieurs sites, même des

sites tiers, dans l’objectif de mieux cibler leurs campagnes publicitaires, pratique à laquelle la
demanderesse n’aurait pas recours, alors qu’elle aurait investi des ressources et des efforts
substantiels dans le développement de ses propres systèmes de PBI pseudonymisés, lesquels
empêcheraient les tiers de suivre les habitudes d'achat d'un client dans la Boutique (AA).

Dans ce contexte, la société (AA) relève qu’elle indiquerait clairement à ses clients
qu'elle afficherait de la PBI et qu'elle utiliserait des cookies à cette fin, par le biais de trois
notices d'information courtes et faciles à lire, disponibles dans le pied de page de presque toutes
les pages des Boutiques (AA). Ainsi, la « Notice Protection » décrirait, de manière générale,
l’utilisation des données à caractère personnel pour afficher des publicités, tandis que l' « Avis
sur les cookies » décrirait l’utilisation des cookies et la possibilité de contrôler ladite utilisation.
Finalement, la « Notice sur les publicités basées sur les centres d'intérêt » fournirait des détails
supplémentaires sur la manière dont elle utiliserait les données personnelles pour afficher des
PBI. Par ailleurs, l’ensemble de ces documents contiendraient un lien vers sa page internet
relative aux préférences publicitaires permettant aux clients de facilement mettre fin à
l’utilisation de leurs données pour effectuer de la PBI.

La demanderesse relève encore que plus de 65% de ses revenus liés à la PBI en Europe
proviendrait de celle affichée dans les Boutiques (AA) pour les clients desdites boutiques, ce
qui s’apparenterait à un magasin proposant à ses clients réguliers de nouveaux produits
susceptibles de les intéresser. La société (AA) précise encore, dans ce cadre, ne pas partager
d'informations concernant les activités de ses clients dans les Boutiques (AA) avec des tiers.

Dans une bien moindre mesure, la demanderesse afficherait également de la PBI sur les
sites internet d'autres entreprises, cette activité représentant moins de 34 % de tous les revenus
de la société (AA) générés par la PBI en Europe. Pour diffuser de telles publicités, elle
s'appuierait sur une norme industrielle appelée « enchères en temps réel », en anglais « real
time bidding », ci-après désignée par « RTB », laquelle permettrait aux entreprises de vendre
des espaces publicitaires sur leurs sites internet pendant le temps nécessaire au chargement
d'une page du site concerné.

Elle explique, dans ce contexte, que l'opérateur du site internet, appelé éditeur, gagnerait
de l'argent en autorisant l'affichage sur son site de publicités payées par des tiers. Au fur et à
mesure que la page internet se chargerait, l'éditeur partagerait des informations relatives au
visiteur ou à son appareil avec les commerçants tiers potentiels et leur demanderait de
soumettre une offre pour cet espace publicitaire. Les informations contenues dans cette
demande d'offre seraient formatées selon une norme industrielle, les composantes de ces
informations standard étant (i) des informations contextuelles permettant à la publicité d'être
affichée au bon endroit sur le site internet et dans la bonne taille et le bon format, telles que le
nom du site internet, le modèle de l'appareil, la version du système d'exploitation utilisé sur cet
appareil, la taille de l'écran et (ii) des informations spécifiques à l'utilisateur pouvant inclure
l'adresse IP, l'année de naissance, le sexe, les intérêts de l'utilisateur et d'autres comportements
de l'utilisateur compilés par l'éditeur ou les fournisseurs de données. Ce serait l’éditeur qui
déterminerait les commerçants pouvant participer à cette vente aux enchères d'espaces
publicitaires en temps réel, les informations leurs transmises au sujet du client ou de l'appareil
visitant le site en question et le commerçant remportant la vente aux enchères.

La demanderesse précise encore que les acheteurs de ces espaces publicitaires
soumettant des offres au nom d’annonceurs seraient en mesure d'identifier l'appareil visitant le
site internet en question en utilisant leurs cookies ou en accédant aux cookies créés par d'autres

sociétés, ce processus étant désigné par les notions de « cartographie des cookies »,
respectivement de « synchronisation des cookies ». Le choix de la publicité à afficher, ainsi
que la décision de participer à une telle vente seraient effectués par les annonceurs en fonction
de l’offre et des informations personnelles associées à l'appareil visitant le site internet en
question, la société (AA) précisant que les informations personnelles prises en considération
pourraient provenir directement de la demande d’offre ou des annonceurs eux-mêmes,
respectivement de leurs agents, chaque annonceur ayant sa propre politique à ce sujet. Quant à
son intervention concrète en matière de PBI, la demanderesse précise ne participer aux ventes
aux enchères d’espaces publicitaire que de manière limitée, tout en précisant aider les éditeurs
à vendre l'espace publicitaire sur leurs sites internet. Plus précisément, les éditeurs
partageraient les demandes d'enchères avec elle, dans la mesure où elle interviendrait en tant
qu’annonceur pour diffuser ces publicités hors site. Elle vérifierait ensuite, lorsqu’elle serait
saisie d’une demande d’enchères, la présence de son cookie publicitaire ou d'un identifiant
similaire sur l'appareil pour déterminer si celui-ci appartient à l'un des groupes d'intérêt
disponibles sur (AA), en utilisant les informations pseudonymisées qu'elle possèderait déjà sur
ce client, informations essentiellement basées sur l'historique d'achat du client dans les
Boutiques (AA). Elle relève encore, dans ce cadre, que de nombreuses sociétés de technologie
publicitaire profileraient les utilisateurs en suivant les comportements de ces derniers sur
internet, en les suivant sur un nombre considérable de sites internet et dans des applications
mobiles, dans le but de collecter des données afin de cibler au mieux leurs publicités, ce qui ne
serait pas le cas pour elle, étant donné qu’avant même l'entrée en vigueur du RGPD, elle aurait
décidé de ne pas ce faire.

Après avoir expliqué le fonctionnement technique de la PBI, la demanderesse explique
les avantages de cette dernière pour les clients, les annonceurs et les éditeurs, ainsi que pour la
collectivité au sens large.

Quant aux clients, la PBI serait un des outils leur permettant de trouver efficacement
les produits ou services les intéressant, à des prix compétitifs. La demanderesse précise encore,
dans ce cadre, prendre des mesures pour limiter davantage le caractère intrusif des publicités,
en interdisant des pratiques telles que les publicités clignotantes ou les pop-ups occupant une
grande partie de l'écran d'un appareil. Par ailleurs, les clients lui feraient confiance pour leur
offrir une expérience client facile à utiliser, en raison de leur vécu d’achat auprès des Boutiques
(AA) et de leurs expériences avec les différents services (AA). La demanderesse précise
encore, dans ce contexte, relier les différents appareils utilisés par un client connecté à (AA)
pour l'aider à comprendre ses intérêts et à afficher la PBI, afin d’éviter des publicités non
pertinentes ou ennuyeuses ayant pour effet d’engendrer une moins bonne expérience pour le
client.

En ce qui concerne les entreprises tierces impliquées dans le mécanisme informatique
de la PBI, la demanderesse explique, quant aux annonceurs achetant des espaces publicitaires,
que leur avantage résultant de la PBI consisterait à atteindre et à entrer en contact avec les
clients et à augmenter leurs ventes notamment du fait de pouvoir davantage identifier les clients
potentiels et les informer, de manière plus ciblée, du lancement de nouveaux produits ou
services. Ceci vaudrait pour les petits et les grands annonceurs, les marques à prix élevé et
celles à bas prix, indépendamment de ce qu'elles vendraient, la demanderesse relevant encore
que la PBI pourrait aider les petites et moyennes entreprises à être plus compétitives, pour
s’établir par rapport aux entreprises plus importantes sans les obliger à mener de vastes et
coûteuses campagnes publicitaires touchant principalement des personnes non intéressées par
leurs produits et services. La demanderesse affirme, dans ce cadre, soutenir en Europe, plus de

185.000 petites et moyennes entreprises par le biais d'une série d'outils et de services
d'assistance pour pourvoir vendre à l'échelle mondiale depuis les Boutiques (AA).

La PBI présenterait également des avantages pour les éditeurs vendant des espaces
publicitaires sur leur site internet, lesquels seraient en mesure de générer davantage de revenus
leur permettant de financer leur activité principale, la partie demanderesse citant l’exemple
d’un éditeur allemand fournissant des informations météorologiques, qui aurait vu ses revenus
augmenter de 20% en utilisant les services publicitaires de la demanderesse pour présenter des
publicités de tiers sur les sites internet (AA).

Quant à l’intérêt découlant de la PBI pour la collectivité au sens large, la demanderesse
soutient que le mécanisme litigieux favoriserait la croissance de l'économie de l'internet, et du
commerce électronique en particulier, un objectif politique bien établi de l’Union européenne.
Elle relève ainsi plus particulièrement que chaque euro investi dans la publicité contribuerait
en moyenne à hauteur de 7 euros environ au produit intérieur brut de l'Union européenne et
que la publicité agirait comme un moteur de l'innovation pour inciter davantage les entreprises
à développer des produits et services nouveaux et différents afin de surpasser leurs concurrents,
tout en mettant en exergue que le secteur de la publicité aurait créé près de 6 millions d'emplois
dans l’Union européenne.

Ainsi, la publicité, y compris la PBI, jouerait, selon la demanderesse, un rôle important
dans le développement effectif et dans la compétitivité des places de marché locales, ainsi que
du marché unique numérique européen, l’intégration européenne et la réalisation du marché
unique pouvant être accélérées, par la nature transfrontalière du commerce électronique, lequel
aurait connu une croissance importante lors de la dernière décennie. Par ailleurs, le commerce
électronique aurait été particulièrement crucial pour les détaillants pendant la pandémie de
COVID-19, la demanderesse rappelant que la PBI serait l'un des nombreux outils des
entreprises pour atteindre leurs objectifs de prospection et de vente, de sorte à être un des
éléments à contribuer à la croissance du commerce électronique.

La société (AA) précise encore son approche en ce qui concerne la protection des
données et de la vie privée en matière de publicité, laquelle ne représenterait
qu’approximativement 4% de son revenu total en 2020, de sorte à ne pas constituer sa source
de revenus principale, contrairement aux autres entreprises affichant de la PBI sur leurs sites,
telles que les plateformes de médias sociaux ou les moteurs de recherche, dont le modèle
économique serait quasi-exclusivement axé sur la vente d’un maximum de publicité, de sorte
à vouloir cibler cette publicité au moyen d'un maximum de données à caractère personnel.

Afin de conserver la confiance et la fidélité des clients envers les Boutiques (AA), la
demanderesse se serait pleinement engagée à protéger les données à caractère personnel
conformément aux lois applicables, en particulier au RGPD.

Ainsi, elle affirme ne pas partager d'informations sur les activités de ses clients dans ses
boutiques avec des tiers dans le cadre de ses activités de PBI, contrairement à certains
détaillants qui s'appuieraient largement sur des tiers pour collecter et agréger des données sur
leurs clients sur plusieurs sites afin de cibler leur PBI.

Par ailleurs, la société (AA) aurait construit son propre système de publicité pour
pouvoir afficher des publicités pertinentes aux clients tout en mettant en oeuvre des mesures
de protection de la vie privée conformément à ses propres normes élevées, tel que la

circonstance de s'appuyer principalement sur les données collectées relatives aux interactions
des clients avec les Boutiques (AA) et les autres services (AA). Elle aurait également, avant
même l'entrée en vigueur du RGPD, examiné les dispositions de l'article 6 du RGPD et
déterminé, à la suite de cette analyse, qu'elle pourrait se fonder sur la base légale des « intérêts
légitimes » de l'article 6, paragraphe (1), f) du RGPD pour traiter les données à caractère
personnel aux fins de la PBI.

Dans un souci d’améliorer ses pratiques en vue de conserver la confiance des clients,
elle aurait, suite à son analyse des questions soulevées par le chef d'enquête, pris
volontairement et de manière proactive un certain nombre de mesures pour répondre aux
préoccupations de ce dernier et afin de protéger davantage ses clients lorsqu’elle utiliserait
leurs données.

Elle précise, dans ce contexte, fournir dorénavant plus d'informations aux clients et un
choix plus détaillé sur la façon dont elle utiliserait les cookies dans ses Boutiques et, lorsque
les clients demanderaient une copie de leurs données, elle leur transmettrait une plus grande
partie de données à caractère personnel utilisées pour afficher de la PBI.

Par ailleurs, elle aurait mis à jour ses notices de confidentialité en y incluant des
informations supplémentaires sur son traitement, aux fins de la PBI, de données à caractère
personnel.

Finalement, elle aurait cessé, dans la quasi-totalité des cas, d'afficher de la PBI sur des
sites tiers, à moins que le client n'ait, préalablement à leur affichage, donné son consentement
à de telles annonces. La demanderesse affirme utiliser dans ce contexte, afin d’obtenir ledit
consentement de ses clients, le « Transparency Consent Framework (v.2) » de l’ « Interactive
Advertising Bureau Europe », un outil standard de l'industrie fournissant une méthode
commune aux éditeurs de sites internet pour demander le consentement des personnes
concernées pour le compte de tiers et pour transmettre, à ces tiers, un fichier indiquant si la
personne concernée a donné ou non ce consentement. Ainsi, à partir de décembre 2020, 99,5%
des affichages de PBI par elle sur des sites internet tiers concerneraient des clients ayant donné
leur consentement, de sorte que pour ces publicités, la société (AA) ne s'appuierait plus, en tant
que base légale des traitements de données personnelles, sur la notion d’intérêt légitime au sens
de l’article 6, paragraphe (1), f) du RGPD.

En droit, la société (AA) argumente, à titre préliminaire, que les amendes imposées par
la CNPD seraient de nature pénale, de sorte à ce que les personnes physiques et morales
auxquelles elles seraient infligées devraient bénéficier des garanties procédurales y associées,
en l’occurrence le droit à un procès équitable, tel que prévu à l’article 6 de la Convention de
sauvegarde des droits de l’Homme et des libertés fondamentales, ci-après désignée par « la
CEDH », respectivement à l’article 47 de la Charte des droits fondamentaux de l’Union
européenne, ci-après désignée par « la Charte », les principes de culpabilité et de présomption
d’innocence, visés par les articles 48 de la Charte et 6, paragraphe (2) de la CEDH, ainsi que
le principe de légalité des infractions et des sanctions garanties par les articles 14 de la
Constitution, 49 de la Charte et 7 de la CEDH.

La partie demanderesse explique encore, dans ce cadre, que la qualification d’une
sanction comme étant de nature « pénale » dépendrait de la nature de la conduite à laquelle la
sanction s'appliquerait, respectivement de la nature et de la sévérité de la sanction prévue.

Ainsi, en ce qui concerne la nature de la conduite à laquelle la sanction s'applique, une
sanction serait de nature pénale lorsque la loi appliquée serait de nature générale et ne viserait
pas seulement un groupe de personnes ayant un statut particulier, lorsque la loi serait punitive
ou servirait à dissuader toute infraction future et lorsque l'imposition d'une sanction dépendrait
d'une appréciation de culpabilité.

Quant à la nature de la sanction, la partie demanderesse précise qu’une sanction serait
de nature pénale dès qu’elle serait « sévère » compte tenu de la peine maximale possible et du
montant de la peine effectivement infligée.

Ces critères seraient remplis en l’espèce, alors que l’article 83 du RGPD serait
d’application générale pour viser tout responsable de traitement et contiendrait les « conditions
générales pour imposer des amendes administratives », constat qui serait clairement établi en
l’occurrence du fait de l’imposition, en l’espèce, d’une amende de 746 millions d’euros au lieu
d’une réprimande, respectivement de l’exigence de corriger les infractions constatées au
RGPD. Par ailleurs, l'article 83 du RGPD exigerait une constatation de culpabilité et de
responsabilité de la part de la partie sanctionnée, la partie demanderesse relevant encore, dans
ce cadre, que dans la fixation du montant total de l'amende, il y aurait lieu de tenir compte du
fait que ledit montant ne devrait pas excéder le montant fixé pour l'infraction la plus grave si
un responsable du traitement ou un sous-traitant avait enfreint « délibérément ou par
négligence » plusieurs dispositions du RGPD.

Quant à la nature de la sanction, la société (AA) estime sévère tant la sanction maximale
possible, soit plus particulièrement 4% du chiffre d'affaires annuel mondial total d'une
« entreprise », que la sanction effectivement imposée, en l’occurrence 746 millions d’euros, ce
qui constituerait la plus importante amende imposée sur base du RGPD.

La partie demanderesse en conclut que l'amende lui infligée devrait être considérée
comme étant de nature pénale et qu’elle aurait dû bénéficier de toutes les « garanties du droit
pénal » et non seulement de celles du droit administratif. En outre, elle aurait encore dû
bénéficier, devant la CNPD, de toutes les garanties du droit pénal, non seulement en raison de
la circonstance que l'amende serait de nature pénale, mais aussi à cause du fait que la CNPD
devrait être considérée comme un « tribunal » au sens de l'article 6, paragraphe (1) de la CEDH,
conformément, d’une part, à la jurisprudence de la Cour européenne des droits de l’Homme,
ci-après désignée par la « CourEDH », laquelle aurait reconnu un tel statut à des autorités
administratives remplissant des rôles similaires à ceux de la CNPD, respectivement, d’autre
part, aux travaux parlementaires relatives à la loi du 1er août 2018.

Or, la demanderesse estime ne pas avoir bénéficié de toutes les garanties du droit pénal
tout au long de la procédure ayant mené à la décision litigieuse, dans la mesure où son affaire
aurait été marquée par de nombreux vices de procédure, la décision finale serait insuffisamment
motivée, sa culpabilité ne serait pas établie de manière indiscutable et, dans la mesure où la
sanction retenue n’aurait été ni prévisible ni proportionnée, tous ces éléments devant conduire,
selon la demanderesse, dans le cadre du recours en réformation sous examen, à l’annulation de
la décision déférée.

La demanderesse se prévaut ainsi, dans un premier temps, de vices affectant la
procédure ayant conduit à l’adoption de la décision litigieuse.

Sur base de l’article 17 de la loi du 1er août 2018, la demanderesse argumente, tout
d’abord, que la Formation restreinte aurait été irrégulièrement composée du fait que le mandat
d’un de ses membres aurait dépassé la durée maximale légalement autorisée.

La demanderesse précise, dans ce contexte que la Formation restreinte devrait,
conformément à l'article 16 de la loi du 1er août 2018, être composée de quatre membres
effectifs, appelés commissaires, et de quatre membres suppléants, la durée du mandat desdites
personnes étant limitée à six ans, avec la possibilité d'un seul renouvellement. Une telle
limitation du mandat des commissaires aurait déjà existé sous le régime de la loi modifiée du
2 août 2002 relative à la protection des personnes à l'égard du traitement des données à
caractère personnel, ci-après désignée par « la loi du 2 août 2002 », la demanderesse relevant
encore qu’en vertu de l'article 74 de la loi du 1er août 2018, les mandats effectués avant ou
pendant l'année où le RGPD serait pleinement entré en vigueur, en l’occurrence en 2018,
compteraient dans la limite des mandats.

Or, en l’espèce Monsieur ... aurait été assermenté en tant que nouveau membre effectif
de la CNPD en date du 18 octobre 2005 et par arrêté grand-ducal du 7 octobre 2008, son mandat
aurait été renouvelé une première fois pour une période de six années jusqu'en 2014, de sorte
que son mandat aurait donc dû prendre fin en 2014, à la fin de son mandat renouvelé,
respectivement en 2017, soit après 12 années d'exercice. Cependant, son mandat aurait été
renouvelé une deuxième fois par arrêtés grand-ducaux des 21, 23 et 30 novembre 2014 pour
une période additionnelle de six années, puis une troisième fois par arrêté grand-ducal du 1er
juillet 2020, et ce en violation tant de la loi du 2 août 2002 que de la loi du 1er août 2018, alors
qu’à la fin de son mandat actuel en 2026, il aurait été commissaire au sein de la CNPD pendant
21 ans au lieu de la période maximale de 12 ans autorisée par la loi.

Ainsi, du fait de sa composition incorrecte en raison de la durée illégale du mandat de
Monsieur ..., mandat qui n’aurait, de ce chef, plus été valable, la Formation restreinte n'aurait
pas été compétente pour prendre la décision litigieuse, respectivement aurait rendu cette
dernière illégale.

La partie demanderesse fait encore valoir, dans ce contexte, que la présence de
Monsieur ... au sein de la CNPD aurait constitué une « usurpation de pouvoir », laquelle serait
établie lorsqu'une personne en position d'autorité continuerait à prendre des décisions alors
même qu'elle aurait cessé, par révocation ou expiration de son mandat ou de toute autre
manière, d'exercer les pouvoirs lui conférés, tout en relevant que les actes ainsi pris ne seraient
pas seulement annulables, mais inexistants et que les mesures d'exécution desdits actes
pourraient, dans certains cas, constituer des voies de fait engageant la responsabilité
personnelle de leur auteur.

Sur base de la considération que la limitation du mandat des commissaires à une durée
totale de 12 ans serait un moyen de contribuer à assurer l’indépendance de la CNPD, ancrée
aux articles 52, paragraphe (1) du RGPD, 16 de la loi du 1er août 2018, 6, paragraphe (1) de la
CEDH et 47 de la Charte, ainsi qu’à l’article 2 du règlement d’ordre intérieur de la CNPD, la
partie demanderesse soutient encore que la circonstance qu’un commissaire de la CNPD
resterait en fonction au-delà de la durée légale autorisée constituerait non seulement une
violation de la loi, mais porterait également atteinte à l'indépendance de l'institution.

Finalement, du fait de la durée excessive du mandat de Monsieur ... ayant eu comme
effet une composition irrégulière de la Formation restreinte ayant adoptée la décision litigieuse,

la partie demanderesse argumente que ses droits de la défense auraient été violées, en ce qu’elle
aurait été privée de l'assurance d’avoir été jugée par une entité administrative respectant les
lois procédurales applicables. Dans la mesure où le tribunal administratif, dans un jugement du
20 janvier 2003, inscrit sous le numéro 15054 du rôle, aurait déjà retenu que la composition
irrégulière d’une commission dont l’avis à rendre n’aurait pas été contraignant, aurait été de
nature à vicier l’ensemble de la procédure décisionnelle administrative, la composition
irrégulière d'un organe de décision, tel qu’en l’occurrence la Formation restreinte devrait
également conduire, dans le cadre du recours en réformation sous examen, à l’annulation de la
décision litigieuse.

Dans son mémoire en réplique, la partie demanderesse réitère son argumentation
relative à l’irrégularité de la composition de la Formation restreinte ayant pris la décision
litigieuse sur base de la circonstance que le mandat d’un des commissaires ayant siégé dans
ladite formation aurait dépassé la durée maximale de 12 ans, telle que fixée à l’article 17 de la
loi du 1er août 2018.

Elle réfute, dans ce cadre, les développements de la CNPD basés sur l’article 74 de la
loi du 1er août 2018, en faisant valoir que ladite disposition n’aurait pas pour objet de
réinitialiser la durée des mandats des commissaires de la CNPD, respectivement la date de
début du mandat en cours au jour de l’entrée en vigueur de ladite loi, mais que l’objectif du
prédit article aurait été de garantir que la durée maximale de 12 ans du mandat des
commissaires pourrait effectivement être respectée. Il ressortirait également des avis du
Conseil d’Etat, respectivement de la CNPD émis dans le cadre de l’adoption de la loi du 1er
août 2018 que l’article 74 de ladite loi viserait à maintenir la continuité des mandats des
commissaires pendant le passage de la loi du 2 août 2002 à celle du 1er août 2018 et de maintenir
leurs droits acquis, sans réinitialiser le nombre, respectivement la durée totale des mandats
accumulés par lesdits commissaires.

Finalement, la partie demanderesse donne à considérer que l’interprétation de l’article
74 de la loi du 1er août 2018, telle qu’effectuée par la CNPD, serait incompatible avec l’objectif
de ce dernier consistant à assurer l’indépendance de la CNPD, indépendance qui serait acquise
à travers la limitation du nombre de mandats des commissaires laquelle aurait initialement été
prévue dans la loi du 2 août 2002, avant d’être supprimée en 2011 pour être finalement
réintroduite par la loi du 1er août 2018. Ainsi, il ressortirait clairement de l’intention du
législateur que l’indépendance de la CNPD ne pourrait être garantie sans limites strictes au
renouvellement des mandats des commissaires, ce qui aurait clairement impliqué que tout
renouvellement du mandat d'un commissaire après l'entrée en vigueur de la loi du 1er août 2018
devrait tenir compte de la durée totale du mandat du commissaire.

Ainsi, en raison du dépassement, dans le chef de Monsieur ..., de la durée limite des
mandats de commissaires autorisée en vertu de l’article 17 de la loi du 1er août 2018, la décision
déférée devrait, dans le cadre du recours en réformation sous examen, encourir l’annulation,
alors que l'indépendance de la CNPD aurait été remise en cause et que la Formation restreinte
lorsqu'elle aurait pris ladite décision aurait été irrégulièrement composée aurait, par extension,
privé la partie demanderesse tant de son droit d'être entendue par un tribunal indépendant que
de ses droits de défense.

La CNPD conclut, à juste titre, au rejet du moyen relatif à l’irrégularité de la
composition de la Formation restreinte du fait de la durée totale des mandats d’un de ses
commissaires.

Force est, tout d’abord, au tribunal de relever qu’en vertu de l’article 17 de la loi du 1er
août 2018 « Les membres du collège et membres suppléants sont nommés et révoqués par le
Grand-Duc sur proposition du Conseil de gouvernement. Le président est désigné par le
Grand-Duc. Les membres du collège et membres suppléants sont nommés pour un terme de six
ans, renouvelable une fois. (…) ».

Bien que l’article 17 de la loi du 1er août 2018 prévoit actuellement une limitation du
nombre de mandats d’un commissaire à deux et partant une limitation de la durée totale desdits
mandats à 12 ans, le tribunal doit relever que le commissaire dont tant le nombre que la durée
totale des mandats auraient, selon la partie demanderesse, été dépassés au moment de la prise
de la décision déférée, en l’occurrence Monsieur ..., a été assermenté, en tant que commissaire
non pas sous l’égide de la prédite loi, mais, tel que cela ressort explicitement de l’arrêté grand-
ducal du 7 octobre 2005, sur base de la loi du 2 août 2002. Il y a encore lieu de préciser que le
premier mandat de Monsieur ... n’a eu qu’une durée de trois ans en raison de la circonstance
qu’il a terminé le mandat d’un commissaire démissionnaire.

Dans ce cadre, force est de constater qu’encore que l’article 34, paragraphe (2) de la loi
du 2 août 2002, dans sa version initiale, telle qu’applicable au jour de la première nomination
de Monsieur ... en date du 13 octobre 2005, limitait la durée des mandats des commissaires à 6
ans et le nombre de mandats à deux dans les termes suivants, « La Commission nationale est
composée de trois membres effectifs et de trois membres suppléants nommés et révoqués par
le Grand-Duc sur proposition du Gouvernement en conseil. Le président est désigné par le
Grand-Duc. Les membres sont nommés pour un terme de six ans, renouvelable une fois. », ledit
article fit l’objet d’une modification à travers l’article 8 de la loi du 28 juillet 2011 portant
modification 1) de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée
dans le secteur des communications électroniques ; 2) de la loi modifiée du 2 août 2002 relative
à la protection des personnes à l'égard du traitement des données à caractère personnel ; 3) de
la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat ; 4)
du Code de la consommation, ci-après désignée par « la loi du 28 juillet 2011 », qui supprima
les mots « une fois », de sorte que le nombre de mandats des commissaires n’était plus limité,
l’objectif du législateur ayant été « (…) de garantir une stabilité élémentaire dans l’exercice
de mandat des membres de la Commission nationale. Par référence à d’autres établissements
publics, il est proposé de prévoir au niveau du renouvellement du mandat la possibilité d’un
renouvellement répété, ce qui est d’ailleurs aussi prévu pour les membres de la direction
d’autres établissements publics, comme la CSSF, la Banque Centrale et le Commissariat aux
Assurances. (…) »1.

Ainsi, le mandat initial de commissaire de Monsieur ..., tel que lui conféré par l’arrêté
grand-ducal du 7 octobre 2005, a valablement pu être renouvelé par arrêté grand-ducal du 7
octobre 2008 pour une nouvelle durée de six, puis, après la suppression de la limitation du
nombre de mandats à travers l’article 8, précité, de la loi du 28 juillet 2011, pour une nouvelle
durée de six ans par arrêté grand-ducal du 23 octobre 2014.

En ce qui concerne le troisième renouvellement du mandat de Monsieur ... pour une
nouvelle durée de 6 ans, opéré par le biais de l’arrêté grand-ducal du 1er juillet 2020, mandat
lors duquel la décision litigieuse du 15 juillet 2021 a été prise, le tribunal doit constater que
ledit renouvellement s’est effectué sur base de l’article 17, précité, de la loi du 1er août 2018

1
Travaux parlementaires n° 6243, page 8.

qui a réinstauré la limitation du nombre de mandats et partant de la durée maximale du mandat
de commissaire, le législateur ayant opté de prioriser à nouveau l’indépendance de la CNPD
par rapport à l’objectif de stabilité préconisée par la loi du 28 juillet 2011.

Dans ce contexte, il y a encore lieu de se référer à l’article 74 de la loi du 1er août 2018
en vertu duquel « La durée du mandat des membres du collège et des membres suppléants,
nommés avant l’entrée en vigueur de la présente loi, est calculée à partir de la date de
nomination de leur mandat en cours lors de l’entrée en vigueur de la présente loi. »

Ainsi, contrairement à l’argumentation de la partie demanderesse, l’article 17 de la loi
du 1 août 2018 n’a pas eu pour effet de limiter, de manière générale, le nombre des mandats
er

des commissaires à deux et la durée maximale desdits mandats à 12 ans, en prenant en
considération l’ensemble des mandats octroyés avant l’entrée en vigueur de ladite loi, sous
peine de violer le principe de non-rétroactivité de la loi, mais de restreindre le nombre desdits
mandats à deux en prenant en compte, conformément à l’article 74 de la loi du 1er août 2018,
la durée du mandat en cours lors de l’entrée en vigueur de ladite loi.

Il y a ainsi lieu de retenir que le mandat de Monsieur ..., au moment de la prise de la
décision déférée, était valable, pour n’avoir été renouvelé qu’une seule fois, sous l’égide de la
loi du 1er août 2018, conformément aux articles 17 et 74 de ladite loi, de sorte que le moyen
afférent de la partie demanderesse, ensemble avec les reproches tirés de l’incompétence de la
CNPD, ainsi que de la violation de son droit d'être entendue par un tribunal indépendant et de
ses droits de défense doit encourir le rejet pour manquer de fondement.

La partie demanderesse soulève ensuite le non-respect par la CNPD, en sa qualité
d'administration indépendante exerçant un pouvoir de sanction, du principe général
d’impartialité consacré aux articles 6, paragraphe (1) de la CEDH et 47 de la Charte et ce tant
d’un point de vue objectif, découlant des conditions structurelles ou organisationnelles de la
CNPD, que d’un point de vue subjectif. La demanderesse fait encore valoir, dans ce cadre, que
la CNPD n’aurait pas mené son enquête à charge et à décharge, en violation de l’article 39 de
la loi du 1er août 2018.

En ce qui concerne, tout d’abord, l’impartialité objective de la CNPD, la partie
demanderesse argumente que les règles permettant à la CNPD d'exercer les fonctions de
saisine, d'enquête et de jugement ne seraient pas de nature à éviter tout soupçon de partialité.

Ainsi, sur base de la jurisprudence de la CourEDH, la partie demanderesse argumente
que l’organe chargé de juger une affaire, en l'occurrence la Formation restreinte, devrait offrir,
notamment par sa composition, des garanties suffisantes pour exclure tout doute légitime quant
à son impartialité, de sorte qu'il aurait incombé à la CNPD de s'assurer qu'il n'existerait pas
d’éléments qui feraient naître des soupçons à l'encontre de son impartialité, en ayant
notamment une séparation claire et étanche entre les organes de contrôle, d'enquête et de
poursuite, d'une part, et l'organe de jugement, d'autre part.

Dans ce contexte, la partie demanderesse fait valoir que le règlement relatif à la
procédure d'enquête de la CNPD, ci-après désigné par « le Règlement de Procédure », ne ferait
pas de distinction structurelle entre les rôles des quatre commissaires de la CNPD dans la
détermination de l'ouverture d'une enquête et le jugement du résultat de cette dernière. Ainsi,
d’une part, lorsque les commissaires décideraient d'ouvrir une enquête, l'un de ces
commissaires serait désigné comme chef d'enquête et participerait donc à la décision qui mène

à sa propre nomination, et, d’autre part, du fait qu’un commissaire serait désigné comme chef
d'enquête ou membre de la Formation restreinte pour chaque affaire, un même commissaire
devrait donc exercer en parallèle des fonctions d'enquête et de jugement sur différents dossiers,
sans qu'aucune séparation organique entre ces différentes fonctions n'existerait ou ne serait
visible au sein de la CNPD.

En relevant que les règles internes applicables à la CNPD imposeraient seulement aux
commissaires l'obligation de prêter serment et interdiraient seulement au chef d'enquête de
siéger ou de délibérer au sein de la Formation restreinte dans une affaire donnée, la partie
demanderesse considère que l'impartialité de la CNPD ne serait pas suffisamment garantie,
d'autant plus que le chef d'enquête dans une affaire serait membre de la Formation restreinte
dans toutes les affaires où il n’assumerait pas la fonction de chef d'enquête.

Par ailleurs, selon la jurisprudence de la CourEDH, l'existence d'un lien hiérarchique
entre le juge et les autres acteurs de la procédure suffirait à justifier objectivement des doutes
quant à l'impartialité de l'organe chargé de juger, et donc à porter atteinte à l'exigence
d'impartialité objective nécessaire pour garantir le droit à un procès équitable, ce qui serait le
cas, en l’espèce, dans la mesure où l'un des commissaires serait le président de la CNPD tandis
que les trois autres commissaires seraient soumis à l'autorité du président pour l'instruction des
infractions alléguées, ainsi que pour le jugement de ces infractions. Ainsi, le chef d'enquête
dans l’affaire sous examen - l'un des quatre commissaires de la CNPD - serait donc sous
l'autorité hiérarchique directe de la présidente de la CNPD, membre de la Formation restreinte,
de sorte que l'existence de ce lien hiérarchique entre le chef d'enquête et l'organe de jugement
ne garantirait pas, selon la demanderesse, une impartialité objective.

La partie demanderesse se prévaut encore, en ce qui concerne le manque d’impartialité
objective de la CNPD, de l'existence de relations étroites entre le chef d'enquête et les membres
de l'organe de jugement en faisant valoir, sur base de la jurisprudence de la CourEDH, qu’une
juridiction ne satisferait pas au critère d'impartialité objective si l'un de ses membres serait
susceptible de favoriser, même inconsciemment, l'un ou l'autre des acteurs de la procédure,
notamment en raison d'une relation étroite qu'il pourrait avoir avec cette personne, ce qui serait
le cas en l’espèce en raison de la relation étroite entre le chef d'enquête et les membres de la
Formation restreinte, dont les rôles seraient interchangeables dans les dossiers traités par la
CNPD.

Ainsi, dans d'autres affaires, le chef d'enquête siègerait à la Formation restreinte avec
les commissaires qui auraient examiné les résultats de son enquête dans cette affaire, une telle
relation étroite plaçant nécessairement les membres de la Formation restreinte dans une
situation délicate, dans la mesure où le fait de ne pas être d'accord avec les conclusions du chef
d’enquête créerait inévitablement des tensions professionnelles. Par opposition, les membres
de la Formation restreinte n'auraient pas de telles relations étroites similaires avec la partie qui
ferait l’objet de l’enquête et un désaccord avec l'évaluation du dossier telle qu’effectuée par
cette dernière ne créerait pas de telles tensions.

La demanderesse fait finalement valoir, en tant qu’élément mettant en doute
l’impartialité objective de la CNPD, que bien que le Règlement de Procédure interdirait au chef
d'enquête de siéger à la Formation restreinte, ce dernier aurait cependant participé, dans
l’affaire sous examen, au jugement sur les pratiques litigieuses de la société (AA) en
recommandant des sanctions et des mesures correctrices spécifiques, recommandation qui ne
serait requise par aucune disposition du Règlement de Procédure. Cet élément permettrait

d’arriver à la conclusion que les mêmes personnes enquêteraient et détermineraient les
infractions à retenir, ainsi que les sanctions à imposer, ce qui porterait atteinte à la séparation
structurelle entre le rôle de l'enquêteur et celui du juge, en violation du droit à un procès
équitable de l'article 6, paragraphe (1) de la CEDH.

Sur base de l’ensemble de ces éléments, la demanderesse considère qu’il existerait un
manque d'impartialité objective au sein de la CNPD ou, à tout le moins, une apparence de
partialité découlant de sa structure et de ses règles de procédure internes devant conduire, dans
le cadre du recours en réformation sous examen, à l'annulation de la décision déférée.

Selon la demanderesse, outre le prédit constat quant à l’absence d’impartialité
objective dans le chef de la CNPD, le chef d’enquête aurait, dans le cadre de l’affaire sous
examen, également manqué d’impartialité subjective.

Ainsi, la communication des griefs de la part du chef d’enquête ne constituerait pas
une présentation objective de ses conclusions sur l'enquête menée contre elle, mais une
déclaration préalable de son opinion selon laquelle la société (AA) aurait enfreint le RGPD,
dans la mesure où, dans le cadre de la communication des griefs, il aurait expressément
recommandé des mesures correctrices, ainsi qu’une amende administrative de 400.000.000
euros pour manquement aux obligations découlant du RGPD en relation avec les traitements
de données personnelles dans le cadre de la publicité comportementale, alors même qu’en vertu
de l'article 39 de la loi du 1er août 2018, l'enquête aurait dû se faire à charge et à décharge,
requérant du chef d'enquête d’examiner à la fois les faits indiquant que le RGPD aurait été
enfreint et ceux où il aurait été respecté.

Or, en l’espèce le chef d'enquête serait allé au-delà de ce qu'il aurait été tenu de faire
en recommandant des mesures correctrices et des sanctions spécifiques qu'il aurait jugé
appropriées, ceci en violation de l'article 39 de la loi du 1er août 2018 et sans base légale, alors
que selon l’article 8, paragraphe (3) du Règlement de Procédure, la communication des griefs
devrait se limiter à préciser « (…) que les manquements relevés sont susceptibles de faire l'objet
d'une décision par la Commission nationale siégeant en formation restreinte conformément à
l'article 41 de la loi du 1er août 2018 relative au régime général sur la protection des
données (…) » et que ladite formation serait chargée de prononcer, « (…) le cas échéant, des
mesures correctrices et/ou sanctions à l'égard du contrôlé (…) », une proposition d’une
sanction, respectivement de mesures correctrices de la part du chef d’enquête n’étant pas
prévue dans la communication des griefs. Ainsi, le chef d'enquête devrait, selon la
demanderesse, uniquement identifier les infractions présumées au RGPD, en tenant compte à
la fois des éléments à charge et à décharge relatifs à la constatation d'une infraction, position
qui serait confirmée par la jurisprudence de la CourEDH selon laquelle, lorsqu'une autorité
chargée de l'enquête émettrait un jugement sur la culpabilité ou non de la partie faisant l'objet
de l'enquête, ladite autorité irait au-delà de son rôle d'enquêteur.

Du fait d’avoir expressément déclaré, dans la communication des griefs, que la société
(AA) aurait enfreint, de manière grave, le RGPD, ainsi que d’avoir proposé à la Formation
restreinte des mesures correctrices, ainsi que des sanctions, le chef d’enquête aurait violé le
principe d’impartialité subjective.

Dans son mémoire en réplique, la demanderesse réfute encore l’argumentation de la
CNPD selon laquelle le droit luxembourgeois lui permettrait de combiner les fonctions

d'enquête et de décision, alors qu’en tant qu’autorité administrative indépendante, cette
dernière devrait exercer ses compétences avec la plus grande objectivité et impartialité.

La demanderesse se prévaut, dans ce cadre, de l’avis du Conseil d’Etat de 2010
concernant le projet de loi sur la concurrence, dans lequel ce dernier aurait condamné la
suppression de l'Inspection de la concurrence et l'attribution de ses fonctions au Conseil de la
concurrence, au motif qu’un tel arrangement créerait une absence de séparation structurelle
non conforme au principe d'impartialité garanti par la CEDH, position qui serait ipso facto
applicable à la CNPD, la société (AA) précisant encore qu’une telle séparation entre les
autorités chargées des enquêtes et celles devant prendre les décisions à la suite de ces enquêtes
existerait, en ce qui concerne la matière de la protection des données, tant en Belgique qu’en
France.

Son argumentation ne serait, par ailleurs, pas contredite par la jurisprudence des
juridictions administratives concernant la Commission de surveillance du Secteur financier,
ci-après désignée par la « CSSF », respectivement concernant le Conseil de discipline des
fonctionnaires de l’Etat, dans la mesure où lesdites entités ne seraient, contrairement à la
CNPD, pas des autorités administratives indépendantes, lesquelles seraient, selon la
demanderesse, par nature soumises à un devoir d'impartialité plus élevé.

La demanderesse argumente encore, dans ce cadre, que s’il ressortirait de la
jurisprudence de la CJUE, de la CourEDH et de la Cour de justice de l'Association européenne
de libre-échange que la Commission européenne pourrait combiner les fonctions d'enquête et
de prise de décision tout en restant impartiale alors que la partie concernée par une décision de
ladite commission pourrait saisir le Tribunal de l'Union européenne, ci-après désigné par le
« TUE », une telle conclusion ne saurait être retenue pour la CNPD, dans la mesure où la
Commission européenne ne serait pas à considérer, contrairement à la CNPD comme une
autorité administrative indépendante.

Sur base de la prémisse que la CNPD serait à qualifier de tribunal en vertu de l'article
6 de la CEDH et 47 de la Charte et devrait, de ce chef, séparer ses fonctions d'enquête et de
prise de décision, la partie demanderesse fait valoir qu’un tribunal se caractériserait, selon la
jurisprudence de la CourEDH, au sens matériel, par son rôle juridictionnel de trancher, sur la
base de normes de droit et à l'issue d'une procédure organisée, toute question relevant de sa
compétence, tout en devant remplir une série d'autres conditions, à savoir l’indépendance,
notamment à l'égard du pouvoir exécutif, l’impartialité, la durée du mandat des membres et les
garanties offertes par la procédure. La demanderesse relève encore, dans ce contexte, que le
Conseil d'Etat français aurait également adopté cette approche à l'égard de la CNIL, laquelle
exercerait exactement les mêmes pouvoirs d'enquête et de sanction que la CNPD.

Sur base de l’arrêt du 11 septembre 2009 de la CourEDH, dans une affaire DUBUS
SA c/ France, ayant retenu que les tribunaux, confondant les fonctions d'enquête et de
poursuite, violeraient l'article 6 de la CEDH, dans la mesure où l'indépendance et l'impartialité
desdits tribunaux pourraient être mises en doute, ce qui serait également le cas pour la CNPD,
alors que ses conditions structurelles et organisationnelles permettraient à un commissaire (i)
de proposer une enquête, ce qui témoignerait d’un préjugé défavorable à l’encontre de la
personne concernée par ladite enquête, et (ii) d’être ensuite nommé pour la diriger, tout en
participant à la décision de sa nomination. La demanderesse en conclut que la décision déférée
devrait partant, dans le cadre du recours en réformation, encourir l’annulation.

Dans son mémoire en réplique et quant au reproche d’une partialité subjective dans le
chef de la CNPD, la demanderesse réitère son argumentation selon laquelle il n’aurait pas
appartenu au chef d’enquête de proposer une sanction, respectivement des mesures
correctrices, alors qu’en ce faisant, il aurait outrepassé son rôle d’enquêteur en ayant préjugé
de la culpabilité de la personne visée par ladite enquête.

Elle réfute encore, dans ce contexte, l’argumentation de la CNPD selon laquelle, d’une
part, il s'agirait d'une « pratique commune », - ce qui ne constituerait ni une excuse ni une
justification de cette pratique illégale - et, d’autre part, ladite pratique serait basée sur l'article
9 du règlement grand-ducal du 8 juin 1979 relatif à la procédure à suivre par les administrations
relevant de l'Etat et des communes, ci-après désigné par le « règlement grand-ducal du 8 juin
1979 », alors que ledit article ne viserait, tout au plus, que la Formation restreinte et que si le
chef d'enquête devait être concerné par ladite disposition, il devrait se limiter à communiquer
à la partie concernée « les éléments de fait et de droit qui l'amènent à agir », et non la sanction
exacte. Une telle approche garantirait à l'accusé de pouvoir prendre position sur les faits sous-
jacents et de formuler une défense contre une sanction potentielle avant que celle-ci ne soit
proposée.

Elle conteste finalement l’affirmation de la CNPD selon laquelle la Formation
restreinte aurait fait « sa propre appréciation des faits » sans avoir été influencée par la
recommandation du chef d'enquête, alors que celle-ci aurait imposé une amende représentant
exactement la même proportion du chiffre d'affaires annuel mondial de la société américaine
(FF) que l'amende recommandée par le chef d'enquête, le seul changement ayant été l'année de
référence pour le calcul de ladite amende. Ainsi, loin de procéder à sa propre analyse, la
Formation restreinte aurait simplement suivi l'analyse du chef d'enquête.

La demanderesse en conclut que la décision déférée, en raison du manque
d'impartialité objective et subjective de la CNPD, violerait tant le principe d'impartialité que
l'article 39 de la loi du 1er août 2018 exigeant que les enquêtes devraient être menées à charge
et à décharge, de sorte à devoir encourir, dans le cadre du recours en réformation sous analyse,
à l'annulation.

C’est à bon droit que la CNPD conclut au rejet du moyen de la demanderesse tiré d’une
violation du principe d’impartialité pour manquer de fondement.

Aux termes de l’article 6 de la CEDH « 1. Toute personne a droit à ce que sa cause soit
entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal
indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et
obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée
contre elle.

Le jugement doit être rendu publiquement, mais l’accès de la salle d’audience peut être
interdit à la presse et au public pendant la totalité ou une partie du procès dans l’intérêt de la
moralité, de l’ordre public ou de la sécurité nationale dans une société démocratique, lorsque
les intérêts des mineurs ou la protection de la vie privée des parties au procès l’exigent, ou
dans la mesure jugée strictement nécessaire par le tribunal, lorsque dans des circonstances
spéciales la publicité serait de nature à porter atteinte aux intérêts de la justice.

2. Toute personne accusée d’une infraction est présumée innocente jusqu’à ce que sa
culpabilité ait été légalement établie.

3. Tout accusé a droit notamment à :
a) être informé, dans le plus court délai, dans une langue qu’il comprend et d’une
manière détaillée, de la nature et de la cause de l’accusation portée contre lui ;
b) disposer du temps et des facilités nécessaires à la préparation de sa défense ;
c) se défendre lui-même ou avoir l’assistance d’un défenseur de son choix et, s’il n’a
pas les moyens de rémunérer un défenseur, pouvoir être assisté gratuitement par un avocat
d’office, lorsque les intérêts de la justice l’exigent ;
d) interroger ou faire interroger les témoins à charge et obtenir la convocation et
l’interrogation des témoins à décharge dans les mêmes conditions que les témoins à charge ;
e) se faire assister gratuitement d’un interprète, s’il ne comprend pas ou ne parle pas
la langue employée à l’audience. »

En vertu de l’article 47 de la Charte, applicable lorsqu’il y a mise en œuvre du droit
européen, tel qu’en l’occurrence le RGPD, « Toute personne dont les droits et libertés garantis
par le droit de l'Union ont été violés a droit à un recours effectif devant un tribunal dans le
respect des conditions prévues au présent article.

Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et
dans un délai raisonnable par un tribunal indépendant et impartial, établi préalablement par
la loi. Toute personne a la possibilité de se faire conseiller, défendre et représenter. (…) ».

En ce qui concerne les garanties applicables en matière de sanctions administratives,
force est de relever que la CNPD, en droit national, ne constitue pas une juridiction au sens de
l’article 6 de la CEDH, alors qu’il s’agit, conformément à l’article 3 de la loi du 1er août 2018,
d’« un établissement public indépendant doté de la personnalité juridique. »

En effet, il a été jugé, par rapport à une autre autorité administrative, en l’occurrence
le Conseil de discipline des fonctionnaires de l’Etat, autorité administrative pouvant également
prononcer des sanctions à l’égard des administrés tombant dans son champ de compétence que
si l’article 6 de la CEDH impose certes des impératifs à respecter en matière de procès
équitable, les garanties afférentes n’ont néanmoins pas pour autant vocation à s’appliquer au
niveau d’une procédure disciplinaire purement administrative, en ce qu’elles n’entrent en ligne
de compte qu’à un stade ultérieur, au niveau de l’instance juridictionnelle compétente pour
connaître du recours dirigé contre la décision administrative traduisant l’aboutissement de
ladite procédure disciplinaire2.

Ainsi, dans la mesure où l’intéressé trouve à sa disposition au niveau contentieux un
double degré de juridiction avec des organes juridictionnels répondant aux exigences de
l’article 6 de la CEDH, celles-ci ne sauraient être appliquées avec la même rigueur à l’encontre
d’organes siégeant au niveau précontentieux, à savoir au niveau administratif3.

Cette conclusion -, qui a également été retenue en ce qui concerne la CSSF4, laquelle
est également un établissement public, comme la CNPD - devant s’appliquer mutatis mutandis
à la CNPD, lorsqu’elle prononce des amendes administratives, n’est pas énervée par les

2
Par analogie : Cour adm. 14 juillet 2016, n° 37460C du rôle, Pas. adm. 2023, V° Fonction publique, n° 249 et
les autres références y citées.
3
Par analogie : Cour adm. 17 décembre 2009, n° 25839C du rôle, Pas. adm. 2023, V° Fonction publique, n° 294
et les autres références y citées.
4
V. notamment trib. adm. 21 novembre 2023, n° 40877 du rôle, disponible sous www.jurad.etat.lu

enseignements de la CourEDH dans son arrêt DUBUS SA c/ France, alors que cet arrêt ne
permet pas de tirer des conclusions par rapport au présent cas d’espèce, alors qu’outre le fait
qu’il y avait été constaté, à l’époque des faits, l’absencede double degré de juridiction, mais
seulement un recours « en cassation » devant le Conseil d’Etat français, ladite commission
bancaire était d’ores et déjà considérée, en droit interne, par la jurisprudence nationale
française, comme une juridiction au sens de l’article 6 de la CEDH, tel que cela ressort des
considérations de l’arrêt DUBUs SA c/ France et notamment sous les points 205, 266, 557 et
708, ce qui n’est pas le cas en l’espèce de la CNPD.

En ce qui concerne l’application des critères dits « Engel », tel que dégagés par l’arrêt
de la CourEDH dans l’affaire Engel et autres c. Pays-Bas, du 8 juin 1976, (Requêtes 5100/71;
5101/71; 5102/71; 5354/72; 5370/72), force est de relever que la qualification juridique de
l’infraction litigieuse en droit interne, provenant plus particulièrement en l’occurrence du droit
communautaire, en l’espèce le RGPD, correspond bien à une violation de type administratif,
alors que punissable d’une amende d’ordre. Par ailleurs, la nature même de la violation est
clairement administrative, étant donné qu’il s’agit de sanctionner un comportement de non-
respect des règles du RGPD, en l’occurrence des articles 6, 12, 13, 14, 15, 16, 17 et 21 dudit
règlement communautaire. Finalement, le degré de sévérité de la sanction possible, excluant
toute peine privative de liberté et se limitant à une amende pécuniaire allant jusqu’à 20.000.000
euros, respectivement, dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel
mondial total de l'exercice précédent, conformément à l’article 83, paragraphe (5) du RGPD,
lorsqu’une violation des articles 5, 6, 7, 9, ainsi que 12 à 22 du RGPD est retenue, est encore à
considérer, somme toute, comme étant assez faible. En effet, même si à première vue le
montant de 20.000.000 euros, respectivement de 4% du chiffre d’affaires peut paraître élevé,
il s’agit de l’apprécier dans le contexte général de la violation commise, l’autorité ayant
prononcé ladite sanction devant prendre en considération toute une série d’éléments,
conformément à l’article 83, paragraphe (2) du RGPD9. Il s’ensuit que l’analyse des critères

5
« 20. Par un arrêt du 30 juillet 2003, le Conseil d’Etat rejeta ce pourvoi, notamment aux motifs suivants (…)
« la décision est prise, ainsi que le prévoit la loi, dans l’exercice d’un pouvoir juridictionnel » ».
6
« 26. Selon le Conseil d’Etat, les sanctions prononcées par la Commission bancaire ont le caractère de décisions
juridictionnelles. ».
7
« 55. La Cour observe que la Commission bancaire exerce deux types de fonctions. (…) La seconde est
disciplinaire et la Commission bancaire exerce son pouvoir de sanction en agissant à ce titre comme une
« juridiction administrative » ».
8
« 70. Quant à la deuxième partie du grief, la Cour observe que lorsque la Commission bancaire statue en
application de l’article L. 613-21, elle est une juridiction administrative. ».
9
En vertu de l’article 83, paragraphe (2) du RGPD, en ce qui concerne le principe, ainsi que le quantum de
l’amende administrative à prononcer, l’autorité compétente doit prendre en considération « a) la nature, la gravité
et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi
que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les
personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures
techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les
éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure,
le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du
responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;

dits « Engel » n’est pas non plus de nature à plaider en faveur de la thèse présentée par la partie
demanderesse d’avoir été confrontée à une sanction de nature pénale10.

Pour ce qui est ensuite des critiques dirigées à l’encontre de la CNPD en ce qu’elle ne
répondrait pas aux garanties d’impartialité requises, le tribunal doit relever, par analogie à un
arrêt de la Cour administrative du 19 juillet 2023, inscrit sous le numéro 48647C du rôle dans
le cadre d’une sanction administrative prononcée par la CSSF, qu’un éventuel non-respect du
principe d’impartialité au cours de la procédure administrative au niveau de l’organisation
d’une autorité administrative ayant prononcé une sanction administrative, que ce soit au regard
des dispositions supranationales ou que ce soit en tant que principe général du droit, ne conduit
pas à la réformation de la sanction prononcée du moment que l’administré concerné avait à sa
disposition un recours en réformation dans le cadre duquel les juridictions administratives ont
pu analyser le bien-fondé des reproches retenus à son encontre et auraient pu redresser un vice
éventuel affectant la décision si la mesure prise par l’autorité compétente était empreinte de
partialité, à condition que l’appelant leur demande d’opérer ce contrôle11.

En effet, tel que retenu ci-avant la CNPD ne correspond pas, selon le droit
luxembourgeois, à une instance juridictionnelle, et ne doit d’ailleurs pas l’être dans la mesure
où, même à supposer que les sanctions qu’elle prononce aient un caractère pénal ou une
« coloration pénale », la CourEDH a décidé, dans son arrêt du 4 mars 2014, Affaire GRANDE
STEVENS et autres c/ Italie, requêtes n° 18640/10 et al., à propos de l’article 6, paragraphe
(1), de la CEDH12 que rien ne s’oppose à ce qu’une sanction administrative répondant aux
critères ENGEL soit prononcée par une autorité administrative du moment que l’administré
auquel la sanction est appliquée dispose d’un recours contentieux devant un tribunal répondant
aux conditions de l’article 6, paragraphe (1) de la CEDH13. L’arrêt GRANDE STEVENS se
trouve dans la lignée de la jurisprudence de la CourEDH, de même que de celle de la CJUE,
qui contrôlent le respect de l’article 6 de la CEDH non pas de façon isolée, mais par rapport à
la procédure dans son ensemble, y compris le volet contentieux14.

La CourEDH a retenu, après avoir constaté que les sanctions litigieuses dans cette
affaire n’avaient pas été infligées par un juge à l’issue d’une procédure judiciaire
contradictoire, mais par une autorité administrative, que le fait de confier à de telles autorités
la tâche de poursuivre et de réprimer les contraventions n’est pas incompatible avec la CEDH,
à condition que l’administré ait le droit de déférer toute décision prise à son encontre devant
un tribunal offrant les garanties de l’article 6 de la CEDH15. La CourEDH en a conclu que le
respect de l’article 6, paragraphe (1) de la CEDH n’excluait ainsi pas que dans une procédure
de nature administrative, une « peine » soit imposée d’abord par une autorité administrative,
mais qu’il faudrait cependant que la décision d’une autorité administrative ne remplissant pas
elle-même les conditions de l’article 6, précité, subisse le contrôle ultérieur d’un organe

j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification
approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les
avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. »
10
v. par analogie trib. adm. 23 novembre 2021, n° 43856 du rôle, disponible sur www.jurad.etat.lu
11
Cour adm. 19 juillet 2023, n° 48647C du rôle.
12
Affaire GRANDE STEVENS, points 138 et 139.
13
Cour adm. 19 juillet 2023, numéro 48647C du rôle.
14
CourEDH, 21 février 1984, ÖZTÜRK c. Allemagne, point n° 56 ; CourEDH, 26 octobre 2009, CHAUDET c.
France, points 36-38 ; CJUE, 9 septembre 2010 (T-17/08 P).
15
Affaire GRANDE STEVENS, point 138.

judiciaire de pleine juridiction ayant en l’occurrence le pouvoir de réformer en tous points en
fait et en droit la décision entreprise16.

La CourEDH a encore retenu dans cette même affaire, concernant une situation dans
laquelle l’article 6, paragraphe (1) de la CEDH a trouvé application, que les constats faits par
elle dans cette affaire quant à un manque d’impartialité objective dans le chef de la
Commission nationale des sociétés et de la bourse italienne en raison de l’exercice consécutif
de fonctions d’enquête et de jugement au sein d’une même institution, étaient à eux seuls
insuffisants pour conclure à une violation de l’article 6, paragraphe (1) de la CEDH, mais elle
a examiné l’existence d’un contrôle ultérieur par un organe judiciaire de pleine juridiction17.

Il s’ensuit que conformément aux enseignements à tirer de l’arrêt précité de la
CourEDH, la circonstance qu’une autorité administrative qui prononce une mesure telle que
celle en cause et qui, le cas échéant, ne répond pas elle-même à toutes les conditions de l’article
6, paragraphe (1), de la CEDH, n’est pas incompatible avec le respect de cette disposition - ni
d’ailleurs avec le principe d’impartialité en tant que principe général du droit -, du moment
qu’un contrôle ultérieur de la mesure a pu être fait par un organe judiciaire de pleine juridiction.

A partir de cette jurisprudence de la CourEDH, le constat s’impose qu’en l’espèce,
indépendamment de la question de la qualification de la mesure litigieuse en tant que sanction
pénale, et même à admettre, comme l’entend la demanderesse, que la CNPD ne répondrait
elle-même pas aux garanties d’impartialité requises, en tout état de cause la conséquence n’en
est pas pour autant l’annulation de l’amende litigieuse pour vice de procédure, tel que sollicitée
par la demanderesse, mais il importe de vérifier si celle-ci a eu in fine à sa disposition un
recours juridictionnel répondant aux conditions de l’article 6, paragraphe (1) de la CEDH, ce
qui implique qu’il y a lieu de prendre en compte l’ensemble de la procédure ayant abouti à la
sanction administrative critiquée, y compris la procédure contentieuse 18.

Dans la mesure où la demanderesse, dans la présente matière, dispose d’un double
degré de juridiction devant les juridictions administratives statuant au fond, à savoir devant le
tribunal administratif et devant la Cour administrative, dont il n’est pas remis en cause qu’ils
répondent aux exigences de l’article 6, paragraphe (1) de la CEDH, en ce qu’ils sont investis
tous les deux d’un pouvoir de pleine juridiction en application de l’article 55 de la loi du 1er
août 2018 et partant chargés non seulement d’un contrôle de légalité de la décision ayant
prononcé la sanction administrative, mais pouvant aussi se substituer à l’administration à
travers une nouvelle appréciation en fait et en droit, la conclusion s’impose que la
demanderesse a pu porter les reproches soulevés à son égard et tenant au non-respect des
dispositions du RGPD devant un tribunal indépendant et impartial à la suite d’une procédure
administrative.

Il s’ensuit que les critiques formulées par la demanderesse à l’adresse de la CNPD ne
sont, en tout état de cause, pas de nature à emporter l’annulation de la décision de prononcer
une amende à son encontre, et ce indépendamment de la question du caractère justifié de ces
reproches, un vice éventuel au niveau du requis d’impartialité pouvant être purgé par les
juridictions administratives statuant dans le cadre d’un recours de pleine juridiction, en ce
qu’elles peuvent revoir la sanction en fait et en droit lorsqu’elle n’aurait pas été prise dans le
respect des requis d’impartialité.
16
Ibidem, points 139 et 161.
17
Ibidem, point 139.
18
Cour adm. 19 juillet 2023, n° 48647C du rôle.

Il suit de l’ensemble des considérations qui précèdent que le reproche d’une violation
du principe d’impartialité, que ce soit sur base des articles 6, paragraphe (1) de la CEDH et 47
de la Charte ou que ce soit en tant que principe général du droit, n’est pas fondé.

Le moyen afférent est partant à rejeter pour manquer de fondement, sans que le tribunal
ne doit procéder à une analyse de l’argumentation de la demanderesse quant à une violation de
l’article 39 de la loi du 1er août 2018, argumentation mise en avant, non pas en tant que moyen
autonome, mais uniquement en tant qu’élément de nature à établir, dans le chef de la CNPD,
un manque d’impartialité subjective.

La demanderesse fait ensuite valoir que la décision déférée devrait, dans le cadre du
recours en réformation, être annulée pour violation des articles 2 et 7 du Règlement de
Procédure, ainsi que du droit à un procès équitable, et plus particulièrement du principe de
l’égalité des armes et des droits de la défense, en ce que tant le chef d’enquête que la Formation
restreinte auraient illégalement étendu la portée de l’enquête telle que définie initialement dans
la lettre de mission de la CNPD du 23 avril 2019, ladite enquête ayant, selon la société (AA),
été limité à deux volets, en l’occurrence « la base de licéité (pour le traitement des données à
caractère personnel) et les cookies ».

Elle précise tout d’abord, dans ce contexte, que la plainte introduite à son encontre par
LQDN devant la CNIL le 28 mai 2018 aurait uniquement concernée la question de la validité
de sa base légale valable pour traiter les données à caractère personnel en vertu de l'article 6 du
RGPD en ce qui concerne la PBI. Sur base de cette plainte, le procès-verbal de la séance
plénière de la CNPD du 5 avril 2019, ayant retenu l’ouverture d’une enquête à son encontre et
ayant désigné un chef d’enquête, aurait circonscrit l’objet de ladite enquête à 2 volets, à savoir
« cookies et base de licéité », objet encore repris dans l’ordre de mission du chef d’enquête du
23 avril 2019, ainsi que dans le courrier de la CNPD du même jour informant la demanderesse
de l’ouverture d’une enquête à son encontre.

Malgré cette limitation précise et claire de l'objet initial de l'enquête diligentée à
l’encontre de la demanderesse, le chef d'enquête aurait, par la suite et par le biais de question
supplémentaires, étendu, à plusieurs reprises, le périmètre de son enquête, sans lui notifier, de
façon appropriée, cette extension de l'objet de l'enquête.

Ainsi, lors de la phase d'enquête, la demanderesse relève que le questionnaire lui envoyé
le 23 avril 2019 aurait inclut des questions sur sa conformité en ce qui concerne le droit
d'opposition en vertu de l'article 21 du RGPD et le droit d'accès aux données à caractère
personnel en vertu de l'article 15 du RGPD, ainsi que sur le respect par elle des obligations de
transparence en vertu de l'article 5, paragraphe (3) de la directive 2002/58/CE du Parlement
européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère
personnel et la protection de la vie privée dans le secteur des communications électroniques
(directive vie privée et communications électroniques), ci-après désignée par la « directive
ePrivacy ». Ensuite, lors de la réunion du 17 juillet 2019, des questions sur le respect, par elle,
du droit à l'effacement en vertu de l'article 17 du RGPD auraient été soulevées pour la première
fois. Selon la demanderesse, le chef d'enquête, en soulevant ces questions en tant qu’éléments
pertinents dans son analyse quant à la base légale valable pour son traitement de données
personnelles en vertu de l'article 6 du RGPD, aurait élargi l'objet de son investigation à une
évaluation indépendante de la conformité de la société à tous les articles précités du RGPD.

Par ailleurs, dans le cadre du résumé des faits par le chef d’enquête, ce dernier, tout en
précisant que les sept objectifs du contrôle opéré ne concerneraient que l'évaluation de la base
de licéité du traitement en vertu de l'article 6 du RGPD et sa conformité aux règles relatives
aux cookies, aurait utilisé, par l’emploi du terme « notamment », une formulation ambiguë
suggérant que les questions de la licéité du traitement et de l'utilisation de cookies n'auraient
pas été le seul objet de l'enquête, d’autant plus que le document en question aurait, dans des
sections spécifiques, décrit l'approche de la demanderesse en matière de respect des obligations
de transparence, ainsi qu’en matière des droits d'accès et d'effacement des personnes
concernées.

La demanderesse relève encore, dans ce contexte, que, dans le cadre de la
communication des griefs, l'objet de l'enquête aurait été décrit comme visant la vérification de
sa conformité avec le RGPD, la loi du 1er août 2018, ainsi que la loi du 30 mai 2005 « et plus
spécifiquement avec les dispositions liées à la base de licéité et l'utilisation des cookies », de
sorte qu’elle aurait été visée, en réalité, par une large enquête sur le respect général des
exigences de protection des données en général, dont les volets concernant la base de licéité
des traitements opérés et les cookies n'auraient été que deux éléments. Ainsi, la communication
des griefs aurait comporté, d’une part, une section sur le recours, par la demanderesse, à l'intérêt
légitime comme base légale du traitement litigieux, recours que le chef d’enquête aurait
considéré comme non justifié, puis, d’autre part, trois sections sur le respect par la société (AA)
des obligations de transparence prévues par le RGPD et une section sur les droits d'accès,
d'effacement et de rectification, ce dernier volet n’ayant, pour le surplus, pas été mentionné par
le chef d’enquête dans son résumé des faits.

Cette extension erronée de l'objet de l'enquête par le chef d'enquête aurait eu, selon la
demanderesse, un impact important sur la communication des griefs, laquelle aurait
recommandé à la Formation restreinte de lui imposer, d’une part, des mesures correctrices non
seulement en ce qui concerne la problématique de la base légale des traitements de données
litigieux, ainsi que de son utilisation des cookies, mais également quant à son obligation de
transparence, respectivement en matière de droits d'accès, d'effacement, de rectification et
d'opposition, et, d’autre part, une amende de 400 millions d'euros, montant ayant pris en
considération la violation desdits droits et obligations.

Ces erreurs se seraient également répercutées dans la décision déférée qui aurait en effet
repris, dans sa description du périmètre de l’enquête, l’extension litigieuse de l’objet de
l’enquête, telle que formulée dans le cadre de la communication des griefs, et aurait retenu une
amende de 746 millions, ainsi que des mesures correctrices par rapport à tous les points
défaillants relevés par la communication des griefs concernant les questions tant de la base
légale des traitements de données litigieux que de l’obligation de transparence, respectivement
en matière de droits d'accès, d'effacement, de rectification et d'opposition.

La demanderesse relève encore que la décision déférée aurait également procédé à une
extension de l’objet de l’enquête en ce qui concerne les activités de traitement analysées,
activités limitées initialement à la PBI, ainsi qu’aux cookies, mais étendues, par après dans la
communication des griefs, aux recommandations personnalisées envoyées à ses clients. Le chef
d’enquête aurait ainsi, à tort, retenu, dans le cadre de son analyse du mécanisme d’opt-out
proposé par la demanderesse pour la PBI, que ces recommandations seraient considérées
comme de la publicité comportementale en ligne, amalgame incorrect repris par la décision
déférée, sans qu’elle n’ait été sollicitée, préalablement afin de fournir des explications à ce
sujet en vue de lui permettre de corriger une telle erreur de raisonnement.

Or, les recommandations personnalisées seraient générées à partir de données
différentes de celles de la PBI et ne permettraient pas à des tiers d'acheter de l'espace pour
présenter leurs produits, de même qu’elles ne seraient affichées que dans les Boutiques (AA),
tout en étant contrôlées, quant à leur type, via un mécanisme d’options proposé aux clients, de
sorte que lesdites recommandations ne pourraient pas être considérées comme de la PBI.

La demanderesse en conclut, dans le cadre du recours en réformation sous examen, à
l’annulation de la décision déférée pour violation des articles 2 et 7 du Règlement de Procédure
exigeant la précision notamment de l’objet de l’enquête, lorsque la CNPD déciderait d'ouvrir
une enquête, respectivement lorsque le chef d’enquête rédigerait l'ordre de mission.

Ainsi, la CNPD, en ayant élargi l’objet de l’enquête à travers la communication des
griefs, ainsi qu’à travers la décision déférée, au-delà de l’objet initialement limité à « la base
de licéité et à l'utilisation des cookies », pour y inclure l’analyse du respect, par la société (AA),
de ses obligations de transparence, ainsi que des droits d'accès, de rectification, d'effacement
et d’opposition, aurait, dans les faits, mené une enquête distincte de celle ouverte par la décision
d'avril 2019, ainsi que par l’ordre de mission du 23 avril 2019, qui n’aurait jamais fait l’objet
d’une décision d’ouverture d’enquête, respectivement d’un ordre de mission reprenant les
éléments requis par les articles 2, respectivement 7 du Règlement de Procédure.

La demanderesse fait encore valoir, dans ce cadre, que la CNPD, consciente de
l’extension de l’objet de l’enquête à l’analyse du respect des obligations de transparence, ainsi
que des droits d'accès, de rectification, d'effacement et d’opposition, aurait tenté de masquer
cette irrégularité procédurale en incluant ces éléments dans son examen de la base légale
invoquée par la société (AA) pour justifier les traitements de données personnelles litigieuses,
lors du test de mise en balance des intérêts du responsable du traitement, ainsi que de ceux des
personnes concernées par les traitements de données litigieux. Or, une telle démarche ne serait
cependant pas logique, dans la mesure où les responsables du traitement auraient dû effectuer
ce test de mise en balance avant de commencer les activités de traitement concernées, en partant
de la prémisse que lesdits traitements seraient conformes aux obligations découlant du RGPD.

La demanderesse donne en outre à considérer, dans ce contexte, que le fait de ne pas
mettre en œuvre les articles 12 à 17 et 21 du RGPD de la manière précise telle qu’envisagée
par la CNPD, ne saurait invalider l'ensemble du test de mise en balance, surtout en l’espèce, où
la CNPD l’aurait sanctionnée sur base d’une interprétation erronée de ses notices d’information
et en rejetant, à tort, son argumentation basée sur l’article 11 du RGPD l’autorisant à utiliser
les données litigieuses en raison de leur pseudonymisation, opération l’empêchant d’identifier
les personnes concernées.

Tout en admettant que les orientations des autorités de contrôle expliqueraient que les
« garanties supplémentaires » mises en place par le responsable du traitement influenceraient
la balance des intérêts et pourraient contribuer à « faire pencher la balance » en faveur du
recours au critère des intérêts légitimes, la demanderesse soutient que le fait de ne pas mettre
en oeuvre ces mesures de protection supplémentaires ne devrait pas nécessairement faire
pencher la balance en défaveur du recours au critère des intérêts légitimes, tel que l’aurait
cependant erronément retenu la CNPD dans la décision déférée, alors que le test de mise en
balance requis pour la poursuite d'un intérêt légitime serait entièrement distinct de l'obligation
du responsable du traitement de respecter les droits des personnes concernées par le traitement
de leurs données à caractère personnel.

Elle en conclut qu’au regard du fait que l'objet de l'enquête litigieuse du chef d'enquête
aurait été limité à l’analyse de la base légale invoquée pour justifier les traitements des données
litigieux, ainsi que des exigences relatives à l'utilisation des cookies, ladite enquête n’aurait pas
dû couvrir, de manière autonome, l’examen de son respect des obligations de transparence et
des droits des personnes concernées par les traitements de données litigieux. Même à admettre
que l’analyse de la conformité aux exigences du RGPD relatives à la transparence et aux droits
des personnes concernées pourrait être pertinente pour l’évaluation de la base légale invoquée
pour justifier les traitements de données litigieux, la CNPD aurait toujours été tenue de
respecter les articles 2 et 7 du Règlement de Procédure et aurait dû se limiter, dans son analyse
de conformité au RGPD, à ce qui aurait été nécessaire pour évaluer la validité de sa base de
licéité et sa conformité aux règles relatives aux cookies, et non pas procéder à une évaluation
complète de sa conformité au RGPD.

Cette extension tant de l'objet que de la portée de l'enquête aurait violé, selon la
demanderesse, son droit à un procès équitable au sens de l’article 6 de la CEDH et de l’article
47 de la Charte et plus particulièrement le principe de l'égalité des armes entre deux parties au
procès et ses droits de défense. La demanderesse précise encore, dans ce cadre, que la
jurisprudence des juridictions administratives aurait également considéré le principe de l'égalité
des armes comme un principe général du droit. Par ailleurs, la CourEDH aurait retenu qu’afin
de garantir l'équité de la procédure, une personne accusée d'une infraction pénale devrait être
activement informée, par l’autorité de poursuite, dans le plus court délai et de manière détaillée
de la nature et des motifs de l'accusation portée contre elle, ainsi que de toute modification des
motifs d’accusation et aurait le droit de disposer du temps et des moyens nécessaires à la
préparation de sa défense. Or, en l’espèce, la CNPD aurait étendu l’objet et la portée de
l’enquête d’une manière à avoir nui à la capacité de la demanderesse d’organiser sa défense,
ce qui aurait conféré un avantage déloyal à la CNPD, avantage qui aurait été encore plus
flagrant en raison de la circonstance que la CNPD aurait ouvert une enquête distincte sur le
respect par la société (AA) du droit d'accès des personnes concernées et des règles connexes
de transparence, enquête dont cette dernière aurait été informée par un courrier du 6 février
2020, de sorte qu’elle aurait raisonnablement pu considérer que l'enquête litigieuse sous
examen aurait été limitée aux questions de licéité et d'utilisation des cookies en relation avec
la PBI.

La décision déférée, en ayant ordonné une amende et en lui ayant imposé des mesures
correctrices à cause du non-respect par elle des obligations de transparence et d’information
prévues aux articles 12 à 14 du RGPD, respectivement des droits des personnes concernées
prévus aux articles 15 à 17 et 21 du RGPD, devrait partant encourir, dans le cadre du recours
en réformation sous examen, l’annulation pour avoir violé son droit à un procès équitable,
sinon, à titre subsidiaire, être réformée de sorte à ne devoir porter que sur les charges de la
Formation Restreinte concernant le non-respect par la société (AA) de l'obligation, en vertu de
l'article 6 du RGPD, d'avoir une base légale valable pour le traitement des données à caractère
personnel et l'utilisation de cookies aux fins de PIB, sans prendre en considération, tant au
niveau de l’amende que des mesures correctrices, les prédites violations des articles 12 à 17 et
21 du RGPD.

Dans son mémoire en réplique, la demanderesse réitère son moyen relatif à l’extension
illégale de l’objet de l’enquête pour inclure une prétendue violation des articles 12 à 17 et 21
du RGPD, tout en réfutant l’argumentation de la CNPD selon laquelle l’objet principal de
l’enquête aurait été « la licéité du traitement et l’utilisation de cookies », mais sans avoir été

circonscrit à ces deux points. La demanderesse soutient, dans ce contexte, qu’il aurait appartenu
à la CNPD, au cas où l’enquête aurait été plus large pour englober un examen de conformité
de la PBI à d’autres aspects du RGPD, de le préciser dès le début en vertu du principe de bonne
administration, sous peine de porter, sinon, atteinte à ses droits de la défense et à son droit à un
procès équitable.

Elle conteste encore l’affirmation de la CNPD selon laquelle l’analyse du respect des
articles 12 à 17 et 21 du RGPD aurait été pertinente afin de déterminer si elle avait disposé
d’une base légale valide en vertu de l’article 6, paragraphe (1), f) du RGPD. Elle explique, dans
ce cadre, que l’avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du
traitement des données au sens de l’article 7 de la directive 95/46/CE du Parlement européen
et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du
traitement des données à caractère personnel et à la libre circulation de ces données, ci-après
désignée par « la directive 95/46/CE », du groupe de travail « article 29 » sur la protection des
données, ci-après désignés par « l’avis 06/2014 », respectivement « le groupe article 29 », tel
qu’invoqué par la CNPD, ne mentionnerait que la pertinence du respect des « obligations
générales » pour l'évaluation des intérêts légitimes, sans retenir que le respect de tous les droits
consacrés par les articles 12 à 17 et 21 du RGPD serait nécessaire ou approprié pour ledit
contrôle. Elle soutient encore que le Comité européen de la protection des données, ci-après
désigné par « le CEPD », organisme ayant remplacé le groupe article 29 lors de l'entrée en
vigueur du RGPD, d’une part, n’aurait pas approuvé l’avis 06/2014, alors qu’il l’aurait fait
pour d’autres avis du groupe article 29, et, d’autre part, aurait publié de nouvelles lignes
directrices, tel que les lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux,
ayant clairement indiqué que le respect des articles 12 à 17 et 21 du RGPD ne serait pas
pertinent pour le test de la mise en balance des intérêts légitimes, alors qu’il s’agirait de deux
ensembles d'obligations différents, de même que le respect des articles 13 et 14 du RGPD ne
constituerait pas une mesure de transparence à prendre en considération pour la mise en balance
des intérêts conformément à l'article 6, paragraphe 1), f) du RGPD.

La demanderesse argumente encore, dans ce contexte, que le respect des articles 15 à
17 et 21 du RGPD ne serait, par ailleurs, pas pertinent pour l'évaluation des intérêts légitimes,
pour ne créer des obligations dans le chef des responsables du traitement que lorsqu'une
personne concernée en aurait fait la demande, soit après le début du traitement des données en
question, - demande qui pourrait nécessiter une analyse au cas par cas - tandis qu’un
responsable du traitement devrait procéder à l'évaluation des intérêts légitimes avant le début
du traitement.

La société (AA) relève ensuite qu'aucune des autres autorités de contrôle de l'UE, ayant
eu à évaluer si un responsable du traitement pouvait se prévaloir de la base juridique des intérêts
légitimes en vertu du RGPD, n'aurait mené une analyse détaillée de la conformité aux articles
12 à 17 et 21 du RGPD dans le cadre de cette évaluation.

Quant aux arguments de la CNPD selon lesquels (i) l’extension du périmètre de
l'enquête aurait été justifiée par des informations découvertes au cours de celle-ci, (ii) une telle
extension ne serait pas allée au-delà de l'évaluation de la manière dont elle poursuivrait des
activités de PBI et (iii) la CNPD n'aurait procédé qu'à une analyse des conséquences juridiques
de ces faits, la société (AA) fait valoir qu’il aurait toujours fallu avoir, dans ce contexte, une
décision formelle d’extension ce qui n’aurait pas été le cas en l’espèce, et ce, en violation du
droit à un procès équitable, ainsi que des articles 2 et 7 du Règlement de Procédure. La
demanderesse conclut encore au rejet de la jurisprudence invoquée par la CNPD pour viser le

droit de la concurrence, respectivement la législation relative aux marchés publics, soit des
réglementations spécifiques et étrangères à la présente matière.

Tout en affirmant que, l'extension de l'objet de l'enquête serait allée bien au-delà d'une
simple requalification des faits faisant l'objet de l'enquête, la demanderesse insiste sur le fait
qu’en l’espèce la CNPD aurait enquêté sur des faits sans aucun rapport avec l'objet de l'enquête.

Sur base de toutes ces considérations, la demanderesse conclut que la décision déférée
devrait, dans le cadre du recours en réformation, à titre principal, faire l’objet d’une annulation,
sinon, à titre subsidiaire, être réformée afin d'exclure les articles 12 à 17 et 21 du RGPD de son
champ d'application.

La CNPD conclut au rejet du moyen de la demanderesse basé sur l’extension illégale
de l’objet, ainsi que de la portée de l’enquête litigieuse pour manquer de fondement.

Il y a, tout d’abord, lieu de relever qu’une autorité administrative susceptible de
prononcer des sanctions administratives n’est pas saisie de la qualification juridique de faits,
tel qu’opérée à travers une plainte, mais des faits à la base dudit acte et qu’il appartient à
l’autorité administrative, compétente d’élucider la réalité des faits reprochés à l’entité juridique
soumise à son contrôle, pour ensuite procéder à la qualification juridique desdits faits en
fonction de la législation leur applicable, avant de se prononcer sur les mesures juridiques à
adopter, le cas échéant, telles qu’en l’occurrence le prononcé d’une amende administrative,
ainsi que l’adoption de mesures correctrices19.

Dans ce cadre, bien que la plainte de LQDN adressée à la CNIL le 28 mai 2018, vise
expressément à dénoncer la base légale invoquée par la demanderesse afin d’opérer les
traitements de données personnelles litigieuses à des fins de PBI, en l’occurrence l’existence
d’intérêts légitimes au sens de l’article 6, paragraphe (1), f) du RGPD, en présentant son analyse
juridique des dispositions communautaires pertinentes, il échet de constater que l’objet
factuelle de la plainte dont la CNPD, en tant qu’autorité de contrôle chef de file, en vertu de la
coopération européenne régie par les articles 60 à 62 du RGPD, se trouve au final saisie,
consiste à mettre en cause les traitements de données personnelles à des fins de PBI tels
qu’opérés par la société (AA).

Ainsi, le courrier du 23 avril 2019 du chef d’enquête informa la demanderesse de la
décision de la CNPD « (…) d'ouvrir une enquête concernant votre organisation ayant comme
objectif de vérifier la conformité aux obligations du RGPD en ce qui concerne les activités de
traitement à des fins de publicité comportementale (…) », en précisant, entre parenthèses, viser
notamment les notions de « base de licéité et utilisation de cookies », tout en sollicitant, dans
le cadre du questionnaire soumis à cette occasion à la demanderesse, de lui fournir des
informations complémentaire sur ses activités relatives à la PBI et notamment « (…) Quelles
sont les conséquences pour les utilisateurs sur les services rendus par (AA), en cas d’exercice
de leur droit d’opt-out ? En cas d’exercice de son droit d’opt-out par un utilisateur, quelles
sont les actions entreprises par (AA) auprès des éventuels destinataires des données ? [et]
Veuillez indiquer si les personnes concernées peuvent accéder aux données traitées par (AA)
dans le cadre des activités de traitement à des fins de publicité comportementale dans le cadre

19
Par analogie : trib. adm. 12 juillet 2019, nos 40837 et 41256 du rôle, Pas. adm. 2023, V° Fonction publique, n°
261, ainsi que trib. adm. 27 juin 2016, n os 35997 du rôle, Pas. adm. 2023, V° Fonction publique, n° 262.

d’une demande d’accès (article 15 du RGPD). Si c’est le cas, quelle est l’ampleur des données
fournies par (AA) en réponse à une demande d’accès. (…) »20.

Dans son rapport d’audit du 17 février 2020, la CNPD précisa également, en vue de
cerner précisément la plainte de LQDN, le contexte factuel de l’enquête litigieuse sous l’intitulé
« 2.2 Scope of the audit » en expliquant que « (…) the following personal data processing
activities, as carried out by (AA) for OBA [online behavioral-advertising] purposes at the
moment of the complaint made by LQDN, are at the core of that complaint and should therefore
be covered by the present audit: (…) »21. Le tribunal doit encore constater que sous l’intitulé
« 3.1 Main purpose of the audit and list of control objectives », le chef d’enquête releva que
« (…) The main purpose of the audit is to ensure that the investigation is in compliance with
the requirements of the GDPR, Directive 2002/28/EC (ePrivacy Directive) and the Member
State laws implementing the ePrivacy Directive, in particular with regards to the legal basis
(Article 6 GDPR) to process personal data for OBA purposes and with the rules governing the
use of cookies. (…) »22, ledit rapport notant, par ailleurs, l’absence d’accès des personnes
concernées aux données personnelles traitées dans le cadre de la PBI, l’absence de possibilité
de faire effacer celles-ci23, ainsi que l’absence d’information des personnes concernées quant
à la base légale du traitement de données opéré dans le cadre de la PBI24.

Il échet encore de relever que dans le cadre de la communication des griefs du 25 juin
2020, le chef d’enquête releva, pour décrire l’objectif de l’enquête, que celui-ci consista à
vérifier la conformité du traitement de données personnelles dans le cadre de la PBI avec le
RGPD, la loi du 1er août 2018, la loi du 30 mai 2005 et plus spécifiquement avec les
dispositions liées à la base de licéité et l’utilisation des cookies25, tout en soumettant à la
demanderesse ses observations relatives au défaut de respect, par cette dernière, des
dispositions du RGPD relatives à l’obligation de transparence, ainsi qu’aux droits d’accès, de
rectification, d’effacement et d’opposition des personnes concernées par les traitements de
données personnelles litigieuses en relation avec la PBI.

Plus particulièrement, le chef d’enquête a relevé ces violations, dans le cadre de son
analyse de la base légale invoquée par la société (AA) pour justifier les traitements de données
personnelles en matière de PBI, lors de l’examen des mesures additionnelles mises en place
par cette dernière dans l’intérêt des personnes concernées, et plus particulièrement le
mécanisme de la pseudonymisation.26

Ainsi, il y a, en effet, lieu de constater que le champ de l’enquête menée à l’encontre de
la société (AA) a valablement pu englober les articles 12 à 17 et 21 du RGPD dans le cadre de
l’analyse du respect de l’article 6, paragraphe (1), f) du RGPD, étant encore relevé, dans ce
cadre, que l’avis 06/2014 valide expressément l’approche de la CNPD de prendre en compte
les droits découlant des prédites dispositions lors de la 3e étape de l’analyse à effectuer dans le
contexte de l’article 6, paragraphe (1), f) du RGPD. Ainsi, bien que l’avis 06/2014 a été adopté
par le groupe article 29 sur base des dispositions de l’article 7, f) de la directive 95/46/CE, ledit
avis demeure pertinent en l’espèce, dans la mesure où les articles 7, f) de la prédite directive et

20
Page 7 du questionnaire soumis à la demanderesse en date du 23 avril 2019.
21
Page 7 du rapport d’audit du 17 février 2020.
22
Page 9 du rapport d’audit du 17 février 2020.
23
Page 24 du rapport d’audit du 17 février 2020.
24
Page 37 du rapport d’audit du 17 février 2020.
25
Page 1 de la communication des griefs du 25 juin 2020.
26
Pages 27, 28, 32, ainsi que 34 à 59 de la communication des griefs du 25 juin 2020.

6, paragraphe (1), f) du RGPD sont identiques, sinon quasi-identiques, quant aux principes et
modalités régissant le cas de recours à la notion d’« intérêts légitimes » en tant que base légale
d’un traitement de données personnelles. Le tribunal doit encore relever, dans ce cadre, que la
demanderesse se prévaut elle-même, à de nombreuses reprises, dans son recours, ainsi que dans
son mémoire en réplique, des développements de l’avis 06/2014 du groupe article 29.

Cette conclusion n’est pas remise en cause par l’argumentation de la demanderesse
relative à la circonstance que le CEPD n’aurait pas expressément repris ledit avis, alors que la
demanderesse reste en défaut d’invoquer une quelconque disposition légale selon laquelle des
avis du groupe article 29 seraient abrogés si le CEPD est resté en défaut de les approuver27.

Le constat du tribunal selon lequel le champ de l’enquête menée à l’encontre de la
société (AA) a pu valablement englober les articles 12 à 17 et 21 du RGPD n’est pas non plus
invalidé par les développements de la demanderesse selon laquelle le CEPD aurait émis un
avis, en l’occurrence les lignes directrices 08/2020 sur le ciblage des utilisateurs de médias
sociaux, ayant retenu que les articles 13 et 14 du RGPD, d’un côté, et l’article 6, paragraphe
(1), f) du RGPD, d’un autre côté, seraient des ensembles d’obligations distinctes et que le
respect des articles 13 à 14 du RGPD ne serait pas une mesure de transparence à prendre en
compte dans le cadre de l’article 6, paragraphe (1), f) du RGPD, et plus particulièrement dans
le contexte de la 3e étape de la mise en balance des intérêts.

Il échet, en effet, de relever que l’avis en question ne fait que retenir que le simple
respect des articles 13 et 14 du RGPD n’est pas à qualifier de mesure additionnelle faisant
pencher la balance des intérêts en faveur de l’entité procédant au traitement de données
personnelles litigieux, de sorte à ne pas exclure que les modalités concrètes mises en place par
les entités procédant à des traitements de données personnelles par rapport aux articles 12 à 17
et 21 du RGPD, tant en ce qui concerne leur éventuelle violation, telle que retenue en l’espèce
par la CNPD, qu’en ce qui concerne l’éventuel surplus de garanties offertes aux personnes dont
les données personnelles sont traitées, sont à prendre en considération dans le cadre de l’analyse
à effectuer quant à la validité du recours à la notion d’« intérêts légitimes » de l’article 6,
paragraphe (1), f) du RGPD, au titre des mesures additionnelles.

Il y a finalement lieu de relever que le tribunal n’est pas lié par des décisions émanant
d’autorités administratives étrangères, respectivement de juridictions d’autres pays.

Le tribunal doit encore rejeter, dans ce contexte, l’argumentation de la société (AA)
selon laquelle l’enquête aurait été, de manière illégale, étendue aux recommandations
personnalisées adressées aux personnes faisant l’objet d’un traitement de leurs données
personnelles, alors que ni le chef d’enquête ni la Formation restreinte n’ont procédé à une
analyse de la conformité dudit procédé au RGPD pour en tirer une quelconque sanction à
l’égard de la demanderesse, mais ont uniquement constaté, dans le cadre de l’analyse du
mécanisme d’opposition à la PBI mis en place par la demanderesse, que l’exercice dudit
mécanisme n’aurait pas pour conséquence de faire cesser l’envoi de ces recommandations
publicitaires, lesquelles seraient également à qualifier de PBI, étant relevé que la conclusion de
qualifier le droit d’opposition, tel que mis en place par la demanderesse, comme insuffisant
pour constituer une mesure supplémentaire et de constater, de ce chef, une violation de l’article

27
A titre anecdotique, le tribunal doit relever que le CEPD a adopté des lignes directrices reprenant, sur le point
litigieux, la méthode préconisée par le groupe article 29, en l’occurrence les « Guidelines 1/2024 on processing
of personal data based on Article 6(1)(f) GDPR », document que le tribunal ne prendra cependant pas en
considération dans le cadre du recours sous examen pour être postérieur à la prise en délibéré de l’affaire.

21 du RGPD, repose en tout sur 6 points, dont la considération relative aux recommandations
personnalisées fait partie28.

A ce premier constat, selon lequel la CNPD n’a pas procédé à une extension illégale de
l’enquête, dans le cadre de sa vérification de la base légale invoquée par la demanderesse, en
l’occurrence celle de l’intérêt légitime, conformément à l’article 6, paragraphe (1), f) du RGPD,
de sorte que les moyens relatifs à une violation des articles 2 et 7 du Règlement de Procédure
encourent le rejet pour manquer en fait, s’ajoute la circonstance que la CNPD, tout au long de
l’enquête, tant à travers le questionnaire du 23 avril 2019, qu’à travers le rapport d’audit du 17
février 2020 et la communication des griefs du 25 juin 2020, a soumis à la demanderesse les
éléments nécessaires pour permettre à cette dernière de pouvoir utilement prendre position
quant à la violation lui reprochée des articles 12 à 17 et 21 du RGPD avant la prise de la décision
déférée du 15 juillet 2021, ce que la société (AA) fit, par ailleurs, effectivement, de manière
circonstanciée, à travers son courrier de prise de position du 20 août 202029.

Sur base de l’ensemble des considérations qui précèdent, il y a lieu de rejeter le moyen
de la demanderesse fondé sur une violation des articles 2 et 7 du Règlement de Procédure pour
manquer en fait , ainsi que sur une violation de son droit à un procès équitable, et plus
particulièrement en ce qui concerne le principe d’égalité des armes, ainsi que le respect des
droits de la défense au sens des articles 6 de la CEDH et 47 de la Charte.

La société (AA) critique ensuite la CNPD pour ne pas avoir fait droit à sa demande du
10 juillet 2021 d’accéder à l’ensemble des documents composant le dossier de la Formation
Restreinte, y compris tous les documents, communications et objections pertinentes et
motivées d'autres autorités de contrôle de la protection des données formulées en vertu de
l'article 60 du RGPD, ainsi que les réponses y relatives de la part de la Formation Restreinte,
la demande afférente de la société (AA) ayant été motivée par la circonstance de pouvoir
efficacement exercer ses droits de la défense.

Elle précise, dans ce cadre, qu’à travers le courrier du 16 juillet 2021, la CNPD ne lui
aurait accordé que l'accès à certains documents contenus dans le dossier d'enquête, mais non
pas aux documents échangés entre les différentes autorités nationales de contrôle de la
protection des données en vertu de l'article 60 du RGPD, au motif, d’une part, qu’une
communication desdites informations serait constitutive d’une violation de l'obligation de
secret professionnel à laquelle la CNPD serait tenue, et, d’autre part, qu’aucun nouvel élément
justifiant la réouverture de l'enquête et sur lequel la société (AA) n'aurait pas encore été
entendue n'aurait été ajouté au dossier.

Sur base de l’article 60 du RGPD régissant le mécanisme de la coopération entre la
CNPD et les autres autorités de contrôle concernées lorsqu'elle enquête sur un traitement
transfrontalier en tant qu'autorité chef de file, la demanderesse explique n'avoir reçu aucune
information sur une telle coopération entre la CNPD et les autres autorités de contrôle
concernées, ces dernières étant celles situées dans les États membres où le responsable du
traitement, faisant l'objet d'une enquête, aurait un établissement ou dans lesquels se trouveraient
les personnes concernées par le traitement de données personnelles litigieux.

28
Page 22 et 23 du rapport d’audit du 17 février 2020 et page 70 de la décision déférée du 15 juillet 2021.
29
Pages 31 et 32, ainsi que 50 à 63 du courrier de la société (AA) du 20 août 2020.

Tout en relevant que ni le RGPD en général, ni l'article 60 dudit règlement en
particulier, n'interdiraient à une autorité de contrôle de partager ces documents avec le
responsable du traitement faisant l'objet de la procédure, elle soutient n’avoir pratiquement
reçu aucune information sur une quelconque coopération entre la CNPD et les autres autorités
de contrôle concernées, la demanderesse affirmant, dans ce cadre, ignorer l’identité des autres
autorités de contrôle concernées, ainsi que l'existence, respectivement le contenu de toute
objection pertinente ou motivée formulée par rapport au projet de décision de la Formation
Restreinte en vertu de l'article 60, paragraphe (3) du RGPD.

Le refus opposé par la CNPD à sa demande d’avoir accès à l’ensemble du dossier ayant
mené à la prise de la décision litigieuse serait, selon la demanderesse, constitutive d’une
violation de son droit à un procès équitable, droit lui conféré à travers les articles 6 de la CEDH
et 47 de la Charte, et plus particulièrement des principes selon lesquels les parties à un procès
auraient droit à l'égalité des armes et à une procédure contradictoire.

Ainsi, en ce qui concerne tout d’abord la violation, en l’espèce, du principe d'égalité
des armes, ledit principe imposerait qu’elle ne pourrait pas être désavantagée lors de l'enquête
menée à son encontre, que ce soit par rapport à la Formation Restreinte ou par rapport aux
autres autorités de contrôle concernées, participant à la procédure de coopération en vertu de
l'article 60 du RGPD. Ainsi, la demanderesse estime avoir été désavantagée pour avoir été
laissée dans l’ignorance des observations présentées à la CNPD par les autres autorités de
contrôle par rapport à l’amende lui imposée et pour ne pas avoir pu elle-même prendre position
par rapport auxdites observations, tout en précisant que l’amende finalement retenue par la
CNPD dans la décision déférée aurait presqu’été, sans autre explication, portée au double des
400 millions d’euros recommandés dans la communication des griefs, et ce, sans avoir tenu
compte de la violation alléguée de l'article 4, paragraphe (3), (e) de la loi du 30 mai 2005
concernant l'utilisation de cookies. Selon la demanderesse, cette augmentation conséquente de
l’amende n’aurait pu provenir que de documents ou observations supplémentaires que le chef
d'enquête n'aurait pas pris en compte lors de la préparation de la communication des griefs et
auxquels elle n’aurait jamais eu accès, ce qui la placerait dans une situation désavantageuse par
rapport à la Formation Restreinte.

Par ailleurs, la demanderesse estime avoir été désavantagée dans la mesure où elle
n’aurait pas pu vérifier si les membres de la Formation Restreinte avaient respecté leur
obligation de rester indépendants pendant la procédure. Elle explique, dans ce contexte, que
selon les informations à sa disposition, la CNIL aurait activement participé à la procédure
devant la CNPD, pour avoir étroitement coopéré avec cette dernière tout au long de la
procédure, dans le cadre de contrôles et de l'analyse des preuves obtenues, puis, lors de
l'examen du projet de décision, sans que la demanderesse connaîtrait les modalités et
implications exactes de cette coopération. Elle aurait dès lors été dans l’impossibilité de
vérifier si la CNPD était restée indépendante et plus particulièrement libre de toute influence
extérieure.

Tout en relevant les trois aspects de la coopération de la CNIL avec le chef d'enquête,
à savoir (i) sa présence lors des réunions avec la demanderesse des 17 juillet 2019 et 10
septembre 2019, (ii) la demande d'assistance mutuelle en application de l'article 61 du RGPD,
dans le cadre de laquelle la CNIL aurait ouvert sa propre enquête indépendante sur les pratiques
de la société (AA) et dont les résultats auraient été consignés dans un rapport lui communiqué
le 13 décembre 2019, et (iii) la mention dudit rapport dans le rapport d’audit du 17 février 2020,
la demanderesse explique encore que la décision litigieuse ferait également référence à de

multiples reprises à des lignes directrices publiées par la CNIL, sans mentionner une autre
autorité nationale de contrôle et sans que la communication des griefs ne contiendrait une
quelconque référence de ce type.

Ainsi, il serait évident que la CNIL aurait fait des suggestions à la Formation
Restreinte, sur base de ses propres lignes directrices, au cours du processus de l'article 60 du
RGPD, sans que la demanderesse ne soit en mesure, faute d’avoir accès aux documents et
observations échangés en l’espèce entre la CNIL et la CNPD, de vérifier si la Formation
Restreinte a respecté son obligation de rester indépendante.

Par ailleurs, en plus du travail que la CNIL aurait entrepris en fournissant une
assistance à la CNPD, cette première aurait également ouvert sa propre enquête sur les
pratiques de la société (AA) en matière de cookies, enquête ayant abouti à l'imposition d'une
amende administrative de 35 millions d'euros et d'une injonction de mettre ses mécanismes de
cookies en conformité avec la transposition française de l'article 5, paragraphe (3) de la
Directive ePrivacy. La demanderesse précise, dans ce contexte, qu’au regard du fait que la
décision de la CNIL aurait été prononcée le 7 décembre 2020, après l’audience de la CNPD du
10 novembre 2020 et avant la décision litigieuse du 15 juillet 2021, dans le cadre de laquelle
cette dernière aurait choisi de n'imposer aucune sanction à la société (AA) quant à l'utilisation
de cookies, démontrerait l’influence de la CNIL sur la CNPD, constat qui serait
particulièrement pertinent pour elle, du fait qu’elle considérerait que l'enquête parallèle de la
CNIL violerait le principe ne bis in idem.

Le refus d’accès à l’ensemble des documents à la base de la décision déférée
constituerait également une violation du droit de la société (AA) à une procédure
contradictoire, alors qu’en vertu de l’article 6 de la CEDH et de l’article 47 de la Charte, ainsi
que de la jurisprudence y relative de la CourEDH et de la CJUE, elle aurait dû avoir le droit de
prendre connaissance de toutes les pièces ou observations présentées à la CNPD en vue de lui
permettre d'influer sur sa décision et de les discuter, en l’occurrence les observations et
objections soumises à la CNPD par les autorités de contrôle dans le cadre de la procédure de
coopération de l'article 60 du RGPD, soit des éléments dont la CNPD aurait dû tenir compte,
conformément à l'article 60, paragraphe (3) du RGPD. La demanderesse s’empare encore, dans
ce cadre de l'article 58, paragraphe (4) du RGPD, exigeant que l'exercice des pouvoirs des
autorités de contrôle soit soumis à des « garanties appropriées », y compris le droit à un procès
équitable. La demanderesse invoque encore, toujours dans ce contexte, une affaire relative au
RGPD devant le commissaire irlandais à la protection des données et impliquant la société
WHATSAPP Ireland Limited, ci-après désignée par « WHATSAPP », où cette dernière aurait
effectivement obtenu accès aux documents relatifs à la procédure de coopération du CEPD, ce
qui n’aurait pas été le cas en l’espèce. Ainsi, non seulement la CNPD n'aurait pas veillé à ce
que son approche de la mise en œuvre du RGPD ait été cohérente avec celle des autres autorités
de contrôle de la protection des données, mais elle n'aurait pas non plus suivi l'approche qu'elle
aurait approuvée en tant que membre du CEPD.

La demanderesse s’empare encore, en ce qui concerne le refus de la CNPD de lui
donner accès à l’ensemble des documents à la base de la décision déférée et plus
particulièrement aux documents relatifs au mécanisme de coopération en vertu de l'article 60
du RGPD, des articles 11 et 12 du règlement grand-ducal du 8 juin 1979, tout en précisant que
l’article 8, paragraphe (4) du Règlement de Procédure permettant de refuser la communication
de certains documents et notamment d'autres autorités nationales de contrôle de la protection
des données, ne s’appliquerait plus après la phase d’enquête suite à la transmission du dossier

à la Formation restreinte, ledit article ne pouvant, pour le surplus, pas déroger au règlement
grand-ducal du 8 juin 1979 pour ne pas prévoir des garanties au moins équivalentes à celles
dudit règlement. Par ailleurs, l’article 13 du règlement grand-ducal du 8 juin 1979, en tant que
base légale pour justifier le refus de communiquer des documents, serait à interpréter de
manière stricte, de sorte que le principe de transparence devrait prévaloir. De plus, la CNPD
n’aurait pas été fondée à invoquer le secret professionnel, dont le but aurait été de protéger
notamment les personnes physiques déposant une plainte auprès d'une autorité de contrôle, tels
que des lanceurs d'alerte, par rapport aux régulateurs eux-mêmes. Sur base des articles 6 de la
CEDH et 47 de la Charte, la demanderesse fait encore valoir que l'utilisation du secret
professionnel ne saurait avoir pour effet d’empêcher les responsables du traitement, faisant
l'objet d'enquêtes de la part d'une autorité de contrôle, d'exercer leurs droits à un procès
équitable, position qui serait en outre confirmée par la jurisprudence de la Cour administrative.
Par ailleurs, ni la Commission irlandaise de protection des données, ni le CEPD, dont la CNPD
serait membre, n'auraient considéré que la communication de documents à une partie concernée
par une enquête en matière de protection des données personnelles constituerait une violation
du secret professionnel, la demanderesse relevant encore, dans ce cadre, que la CNPD n'aurait
pas identifié d'autres intérêts publics ou privés s’opposant à la communication des documents
et observations litigieux.

Sur base de l’ensemble de ces considérations, la demanderesse, à titre principal, conclut
à l’annulation, dans le cadre du recours en réformation sous examen, de la décision déférée
pour violation de l'article 8, paragraphe (4) du Règlement de Procédure et des articles 11 et 12
du règlement grand-ducal du 8 juin 1979, sinon, à titre subsidiaire, demande au tribunal
administratif d’ordonner à la CNPD de lui communiquer tous les documents et observations, y
compris ceux des autres autorités de contrôle, en relation avec le mécanisme de coopération en
vertu de l'article 60 du RGPD, respectivement une description écrite du contenu essentiel de
ces documents et observations, voire une version résumée ou agrégée de ces derniers, sur le
fondement de l’article 13 du règlement grand-ducal du 8 juin 1979, sinon de l’article 42 de la
loi du 1er août 2018, afin de lui permettre de les examiner et fournir ses observations avant la
prise d’une nouvelle décision.

La demanderesse propose finalement de soumettre une question préjudicielle à la
CJUE sur base de l'article 267 du traité sur le fonctionnement de l'Union européenne, ci-après
désigné par le « TFUE », libellée dans les termes suivants :

« Au regard du droit à un procès équitable de l'article 47 de la Charte des droits
fondamentaux de l'Union européenne et des principes de bonne administration, l'article 58(4)
du Règlement (UE) 2016/679 doit-il être interprété :

(i) comme exigeant qu'une autorité de contrôle donne, à la demande du
responsable du traitement faisant l'objet d'une enquête, accès aux documents
et observations pertinents échangés conformément à la procédure de
coopération prévue à l'article 60 du Règlement (UE) 2016/679 entre l'autorité
de contrôle chef de file et les autorités de contrôle concernées au sujet du projet
de décision de l'autorité de contrôle chef de file ?

(ii) comme accordant au responsable du traitement faisant l'objet d'une enquête le
droit d'être entendu sur les avis des autorités de contrôle concernées, en

particulier lorsque ces avis altèrent sensiblement le projet de décision de
l'autorité de contrôle chef de file ? ».

Dans son mémoire en réplique, la demanderesse réfute l’argumentation de la CNPD
selon laquelle elle aurait dû introduire une demande distincte en annulation en ce qui concerne
le refus de lui accorder l’accès au dossier complet à la base de la décision déférée, alors que ce
refus ne serait pas à considérer comme une décision distincte, mais comme un acte préparatoire
de la décision litigieuse, dont elle pourrait invoquer l’illégalité de manière incidente. Par
ailleurs, l’existence d’une voie de recours distincte contre le prédit refus d’accès serait
inefficace et illogique, dans la mesure où les deux demandes seraient fondées sur le même
dossier d'enquête.

Sur base de la considération que les éléments du dossier auxquels la demanderesse
n'aurait pas eu accès auraient eu une incidence sur la décision déférée, notamment presque une
augmentation de l’amende du double initialement projeté, la société (AA) soutient qu’elle
aurait dû avoir le droit d'être entendue sur ces éléments. Elle rejette encore l’argumentation de
la CNPD selon laquelle une telle augmentation de la sanction n’aurait pas été motivée par les
commentaires et objections de ses homologues européens, mais par la décision de la CEPD,
dans l’affaire WHATSAPP, selon laquelle il faudrait retenir en tant qu'année de référence pour
le calcul de l'amende, celle précédant l'année de la décision. La demanderesse donne encore à
considérer, dans ce cadre, que la sanction recommandée par le chef d'enquête aurait en plus
visé une violation présumée des règles sur les cookies, violation par rapport à laquelle la CNPD
aurait finalement conclu ne pas pouvoir infliger une amende, de sorte qu’elle serait toujours
dans l’impossibilité, sur base de la décision, ainsi que des explications fournies par la CNPD
dans son mémoire en réponse, de comprendre le doublement du montant de l’amende, malgré
la circonstance que le champ des faits pris en considération aurait, quant à lui, été rétréci. La
société (AA) argumente encore, d’une part, ne pas tomber dans un des cas de figure de l’article
13 du règlement grand-ducal du 8 juin 1979 permettant de refuser la communication de certains
documents faisant partie du dossier administratif et, d’autre part, sur base du même article,
avoir dû au moins recevoir une description du contenu essentiel du dossier relatif à son affaire
et l'occasion de présenter ses observations. Par ailleurs, même si la CNPD avait décidé
d'augmenter l'amende sur base de la seule décision de la CEPD dans l’affaire WHATSAPP, le
refus de la CNPD de lui accorder accès à l’ensemble du dossier ne serait toujours pas justifié,
alors qu’elle n’aurait jamais été informée de la raison de l'augmentation du montant de l'amende
retenu à son encontre et n’aurait dès lors pas eu la possibilité d'être entendue sur cette décision,
de sorte à avoir été désavantagée par rapport à la CNPD et d’avoir ainsi été privée du droit à
un procès équitable, de même qu’elle aurait été confrontée à une violation de son droit à une
bonne administration consacré à l'article 41 de la Charte. La demanderesse propose encore,
dans ce cadre, de soumettre la question préjudicielle suivante à la CJUE :

« Au regard du droit à un procès équitable et des principes de bonne administration
énoncés aux articles 41 et 47 de la Charte des droits fondamentaux de l'Union européenne,
l'article 58, paragraphe 4, du règlement (UE) 2016/679 doit-il être interprété :

a) comme exigeant qu'une autorité de contrôle donne, à la demande du responsable
du traitement faisant l'objet de l'enquête, accès aux documents et observations
pertinents échangés conformément à la procédure de coopération prévue à
l'article 60 du règlement (UE) 2016/679 entre l'autorité de contrôle chef de file et
les autorités de contrôle concernées au sujet du projet de décision de l'autorité de
contrôle chef de file?

b) comme accordant au responsable du traitement faisant l'objet d'une enquête le
droit d'être entendu sur les avis des autorités de contrôle concernées, en particulier
lorsque ces avis altèrent sensiblement le projet de décision de l'autorité de contrôle
chef de file? ».

La demanderesse fait finalement valoir que la CNPD ne pourrait pas se prévaloir de
ses obligations de secret professionnel pour lui refuser l'accès au dossier, sur base de l’article
42 de la loi du 1er août 2018, ainsi que de l’article 8, paragraphe (4) du Règlement de Procédure,
dans la mesure où l’objectif de l'obligation de secret professionnel de la CNPD serait de
protéger les personnes déposant une plainte, ainsi que les entités surveillées et non pas les
autorités de contrôle elles-mêmes, la demanderesse réfutant encore, dans ce cadre,
l’argumentation de la CNPD selon laquelle son approche, quant au refus de donner accès à des
documents, serait identique à celle des autorités compétentes en droit de la concurrence, pour
défaut de pertinence, en ce que la procédure en matière du droit de la concurrence ne serait
aucunement comparable et en ce que les garanties prévues par le règlement grand-ducal du 8
juin 1979 ne s'appliqueraient pas aux affaires de droit de la concurrence, contrairement au
présent cas d’espèce.

La CNPD conclut au rejet du moyen de la société (AA) relatif au refus d’accès à
certains documents et tiré d’une violation des articles 6 de la CEDH, 41 et 47 de la Charte, 8,
paragraphe (4) du Règlement de Procédure, ainsi que des articles 11 à 13 du règlement grand-
ducal du 8 juin 1979.

Il est constant en cause pour ressortir des éléments soumis à l’analyse du tribunal par
les parties, et plus particulièrement du courrier électronique de la société (AA) adressé le 5
juillet 2021 à la CNPD, que la demanderesse a expressément sollicité la communication des
documents et observations motivées de la part des autres autorités de contrôle nationales dans
le cadre de l’article 60 du RGPD, tout en sollicitant la réouverture de l’enquête diligentée à son
encontre afin de pouvoir prendre position sur les nouveaux éléments dont elle estimait ainsi
recevoir communication.

Par courrier électronique du 16 juillet 2021, la CNPD refusa de rouvrir l’enquête
menée à son encontre au motif qu’aucun élément nouveau n’aurait été ajouté au dossier suite à
l’audience devant la CNPD du 10 novembre 2020 par rapport auquel la demanderesse ait dû
prendre position, tout en l’informant de la communication, par la remise d’un support
numérique, de tout élément reçu après le 2 juillet 2020, relevant que le dossier lui ainsi
communiqué n’incluait pas les documents sollicités et provenant des autres autorités de
contrôle nationales au motif que ceci « (…) would violate the obligation of professional secrecy
to which all persons exercising or having exercised an activity for the CNPD are bound or
their internal rules of the CNPD, which includes inter alia internal information and documents
of the EDPB or other national supervisory authorities (…) », de sorte à avoir explicitement
opposé à la société (AA) un refus de lui communiquer les documents échangés entre les
autorités nationales dans le cadre de l’affaire sous examen en vertu de l’article 60 du RGPD.

Or, les décisions refusant de faire droit à des demandes d’accès au dossier administratif
adressées à l’administration au cours d’une phase précontentieuse, demandes se basant, tel que
c’est le cas en l’espèce, sur l’article 11 du règlement grand-ducal du 8 juin 1979, sont des actes

décisionnels attaquables de manière autonome, de sorte qu’en présence d’une décision de refus
explicite, telle qu’en l’occurrence la décision de la CNPD du 16 juillet 2021, il aurait appartenu
à la société (AA) de déférer directement ladite décision au tribunal, dans le cadre d’un recours
en annulation fondée sur l’article 2 de la loi modifiée du 7 novembre 1996 portant organisation
des juridictions de l’ordre administratif.

Il suit des considérations qui précèdent et sans qu’il n’y ait lieu de poser à la CJUE les
questions préjudicielles proposées par la demanderesse, que les moyens de la demanderesse en
relation avec le défaut de communication des documents et observations motivées de la part
des autres autorités de contrôle nationales dans le cadre de l’article 60 du RGPD sont à rejeter
pour viser une décision de la CNPD, en l’occurrence celle du 16 juillet 2021, dont le tribunal
n'est pas saisi.

Au-delà de la circonstance que la demanderesse n’a pas directement déféré au tribunal
le refus de la CNPD de lui communiquer les documents confidentiels des autres autorités
nationales de contrôle échangés en vertu de l’article 60 du RGPD, le tribunal doit encore
relever, en tout état de cause, tel que l’a explicitement précisé la CNPD dans le cadre de son
mémoire en réponse, que les observations de la part des autres autorités nationales de contrôle
en relation avec le projet initial de la décision litigieuse du 15 juillet 2021 ont eu pour seule
conséquence non pas que la CNPD ait modifié sa décision en ce qui concerne l’analyse des
griefs retenus à charge de la demanderesse, mais que la CNPD (i) a fourni, dans la décision
litigieuse, davantage de précisions concernant sa qualité d’autorité chef de file, qualité non
remise en cause par la demanderesse ni dans le cadre de sa prise de position du 20 août 2020
par rapport à la communication des griefs ni dans le cadre du recours contentieux sous examen,
et (ii) a précisé le chiffre d’affaires à prendre en considération dans le cadre de la détermination
du montant de l’amende à retenir, tout en fournissant des explications quant au caractère
effectif, proportionné et dissuasif de l’amende retenue, ces éléments étant des explications
juridiques lesquelles ne visent pas les griefs reprochés à la demanderesse par rapport auxquels
cette dernière pouvait légitimement exiger de pouvoir prendre position avant la prise de
décision.

Il y a finalement lieu de relever que la société (AA), à travers sa prise de position du
20 août 2020 par rapport à la communication des griefs du 25 juin 2020, a, par ailleurs, pris,
de manière extensive, position sur le caractère proportionné, dissuasif et effectif de l’amende30,
ainsi que sur la notion d’entité dont le chiffre d’affaires est à prendre en considération pour la
détermination de l’amende à prononcer à son encontre en faisant notamment valoir que seule
la société visée par l’enquête, à l’exclusion du groupe dont celle-ci pourrait, le cas échéant,
faire partie, serait pertinente31.

Sur base de ces constatations, aucune violation, dans le chef de la demanderesse, de
son droit à un procès équitable, et plus particulièrement des principes selon lesquels les parties
à un procès ont droit à l'égalité des armes et à une procédure contradictoire au sens des articles
41 et 47 de la Charte, 6 de la CEDH et 11 à 13 du règlement grand-ducal du 8 juin 1979 ne
saurait, en l’espèce, être valablement retenue.

La demanderesse reproche ensuite à la décision déférée d’être fondamentalement
viciée pour être motivée de manière insuffisante, de sorte à devoir encourir, dans le cadre du
30
Pages 87 à 90 et 92 à 94 de la prise de position de la société (AA) du 20 août 2020.
31
Pages 90 à 92 de la prise de position de la société (AA) du 20 août 2020.

recours en réformation sous examen, l’annulation sur base de l’article 6 du règlement grand-
ducal du 8 juin 1979. Elle argumente, dans ce cadre, que les organes administratifs devraient
s'assurer que leurs décisions seraient retraçables afin de permettre tant à la juridiction saisie
qu’au destinataire de la décision, de comprendre les motifs et de les vérifier, obligation qui
existerait également en droit communautaire, dans la mesure où la CJUE aurait jugé que
l'obligation de l'administration de motiver ses décisions serait un principe général du droit de
l'Union européenne en ce sens qu'elle serait comprise dans le droit à une bonne administration
et serait le corollaire du principe du respect des droits de la défense. La demanderesse s’empare
encore du considérant n°129 du RGPD en vertu duquel « toute mesure juridiquement
contraignante prise par l'autorité de contrôle devrait être présentée par écrit, être claire et
dénuée d'ambiguïté [et] exposer les motifs qui sous-tendent la mesure ».

Or, en l’espèce, la CNPD ne parviendrait pas à justifier ses conclusions sur base de
preuves concrètes et réelles, de sorte à ne contenir que des formules générales et abstraites
équivalant à une absence de motivation. La demanderesse relève plus particulièrement qu’elle
aurait, à l'appui de ses arguments, fourni diverses études empiriques sur l'utilité de la PBI et les
attentes des personnes concernées, éléments dont la décision déférée n’aurait pas tenu compte
et qu’elle aurait remplacé par des affirmations subjectives, ainsi que des spéculations. A titre
d’exemple, la demanderesse cite l’argumentation de la CNPD relative à la possibilité d’une
erreur de profilage dans le cadre de laquelle celle-ci aurait notamment utilisé les notions
« envisageable », respectivement de mise « en doute », tout en étant restée en défaut, selon la
société (AA), de préciser concrètement dans son cas d’espèce les raisons factuelles permettant
de justifier sa décision.

Ainsi, la décision litigieuse serait en grande partie fondée sur des hypothèses abstraites
et des spéculations non étayées, sans analyser les faits spécifiques de l'affaire et en
méconnaissance des acteurs économiques que la CNPD devrait pourtant réglementer et par
rapport auxquels cette dernière, conformément à l'article 57, paragraphe (1), (i) du RGPD serait
obligée de suivre « les évolutions pertinentes, dans la mesure où elles ont une incidence sur la
protection des données à caractère personnel, notamment dans le domaine des technologies
de l'information et de la communication et des pratiques commerciales ».

La demanderesse relève finalement que la décision déférée serait insuffisamment
motivée, dans la mesure où ladite décision n’établirait pas qu’elle aurait agi avec négligence,
ce qui serait pourtant une condition obligatoire pour imposer une amende de nature pénale, tout
en ne justifiant ni le choix des mesures correctrices retenues par rapport aux autres mesures
correctrices disponibles en vertu du RGPD, ni le montant de l'amende et de l'astreinte
journalière, ni sa publication conformément aux exigences de la loi du 1er août 2018.

Sur base de la considération que ni le mémoire en réponse de la CNPD ni le tribunal
ne sauraient remédier au manquement de la CNPD à motiver sa décision, sous peine de vider
de sa substance l'obligation des autorités administratives de fournir une motivation suffisante
à la base de leurs décisions permettant aux personnes concernées d'évaluer les chances de
succès d'un éventuel recours en justice, ainsi que sous peine de violer le droit à un recours
effectif garanti par l'article 13 de la CEDH et l'article 47 de la Charte, la demanderesse conclut
que la décision litigieuse de la CNPD du 15 juillet 2021 devrait, dans le cadre du recours en
réformation sous examen, principalement être annulée, sinon à titre subsidiaire être réformée.

Dans son mémoire en réplique, la demanderesse, tout en réitérant son argumentation
relative à un défaut de motivation de la décision déférée, ainsi qu’à l’impossibilité pour la

CNPD de compléter, à travers ses mémoires en réponse et en duplique, la motivation à la base
de ladite décision, critique encore la CNPD d’avoir affirmé qu’il aurait suffi, pour la Formation
restreinte, d’avoir fait preuve de bon sens pour évaluer l’impact des activités de traitement
litigieuses, alors que cette notion « de bon sens » ne serait de nature ni à contredire les preuves
empiriques, telles que les études scientifiques versées par elle, ni à constituer une norme
appropriée pour pouvoir imposer une amende de 746 millions d’euros. La demanderesse
affirme encore que la CNPD, consciente du manque de motivation de la décision litigieuse,
aurait encore proposé des motifs entièrement nouveaux, alors que selon les termes de la
décision « les faits et le manquement constaté ne traduisent pas une intention délibérée de
violer le RGPD », tandis que, dans son mémoire en réponse, la CNPD affirmerait soudainement
qu’elle aurait fait « (…) preuve d'une négligence certaine s'agissant des principes
fondamentaux du RGPD (…) ». Or, selon la demanderesse, la décision déférée aurait dû être
motivée dès le départ, afin de lui permettre de comprendre le raisonnement sous-tendant la
sanction lui infligée, ainsi que de planifier et d’élaborer une action judiciaire, de sorte que les
nouveaux éléments mis en avant par la CNPD, dans le cadre de la procédure contentieuse,
devraient être écartés. La demanderesse insiste finalement, dans ce cadre, sur la circonstance
que la décision litigieuse serait soumise à la procédure de coopération de l'article 60 du RGPD,
imposant à la CNPD de coopérer avec les autres autorités de contrôle concernées dans l'Union
européenne, en leur soumettant son projet de décision afin d'obtenir leur avis et de dûment tenir
compte de leur point de vue, de sorte que la CNPD ne pourrait adopter la décision finale qu'une
fois que la procédure de coopération de l'article 60 du RGPD aurait été suivie. Ainsi, permettre
à la CNPD de fournir de nouveaux motifs au cours de la procédure contentieuse devant les
juridictions administratives, aurait pour effet de contourner et de violer l’article 60 du RGPD
en ce que les autres autorités de contrôle concernées n'auraient pas la possibilité de donner leur
avis ou d'exprimer une « objection pertinente et motivée » par rapport à cette motivation
complémentaire.

La CNPD conclut au rejet du moyen tiré d’un défaut de motivation de la décision
déférée pour manquer de fondement.

En vertu de l’article 6 du règlement grand-ducal du 8 juin 1979 « Toute décision
administrative doit baser sur des motifs légaux.

La décision doit formellement indiquer les motifs par l’énoncé au moins sommaire de
la cause juridique qui lui sert de fondement et des circonstances de fait à sa base, lorsqu’elle :

- refuse de faire droit à la demande de l’intéressé ;
- révoque ou modifie une décision antérieure, sauf si elle intervient à la demande de
l’intéressé et qu’elle y fait droit ;
- intervient sur recours gracieux, hiérarchique ou de tutelle ;
- intervient après procédure consultative, lorsqu’elle diffère de l’avis émis par
l’organisme consultatif ou lorsqu’elle accorde une dérogation à une règle
générale. (…) ».

Or, force est d’emblée au tribunal de constater que le cas sous examen ne tombe dans
aucune des hypothèses énumérées à l’alinéa 2 de l’article 6 précité, de sorte que l’obligation
selon laquelle les catégories de décisions y énumérées doivent formellement indiquer les motifs
par l’énoncé au moins sommaire de la cause juridique qui leur sert de fondement et des
circonstances de fait à leur base, ne trouve pas application en l’espèce.

Il convient encore d’ajouter, qu’en ce qui concerne les conclusions de la demanderesse
tendant à l’annulation pure et simple de la décision déférée du fait de l’insuffisance de
motivation alléguée, la sanction de l’obligation de motiver une décision administrative consiste
dans la suspension des délais de recours, de sorte que celle-ci reste a priori valable,
l’administration pouvant, de manière générale, produire ou compléter les motifs
postérieurement et même pour la première fois au cours de la phase contentieuse pour permettre
à l’administré de prendre position et à la juridiction administrative d’exercer son contrôle32.

En l’espèce et en tout état de cause, le tribunal doit encore constater que la CNPD, à
travers la décision déférée, a indiqué tant les motifs en fait qu’en droit sur lesquels repose sa
décision du 15 juillet 2021, la CNPD ayant pris position, de manière extensive sur 127 pages,
sur les violations du RGPD retenues à l’encontre de la société (AA), ainsi que sur l’amende,
les mesures correctrices et la nécessité de publier sa décision.

Ainsi, la CNPD a explicitement précisé les fondements juridiques de la décision déférée
en se référant, dans un premier temps, à l’article 6, paragraphe (1), f), du RGPD, tout en
relevant, ensuite, que son analyse juridique et factuelle aurait été effectuée, conformément au
considérant 47 du RGPD, à la jurisprudence de la CJUE et à l’avis 06/2014 du groupe article
29.

Par ailleurs, dans le cadre de la vérification des mesures additionnelles mises en place
par la demanderesse dans un souci de protéger davantage les personnes dont les données
personnelles sont traitées à des fins de PBI, analyse qui est à effectuer dans le cadre de la 3e
étape de l’examen visant à déterminer si la société (AA) avait valablement pu se fonder sur
l’existence d’un intérêt légitime, conformément à l’article 6, paragraphe (1), f) du RGPD pour
opérer les traitements de données litigieux à des fins de PBI, la CNPD a retenu une violation
des articles 12 à 17 et 21 du RGPD, après avoir analysé en détail les éléments factuels produits
par la société (AA), et plus particulièrement les mécanismes informatiques mis en place par
cette dernière, ainsi que les notices d’informations accessibles aux personnes concernées.

Sur base de ces considérations, le tribunal doit rejeter le moyen de la demanderesse tiré
d’un défaut de motivation de la décision déférée du 15 juillet 2021, étant cependant précisé que
le bien-fondé de la motivation de la décision déférée du 15 juillet 2021 est analysé ci-après
dans le cadre des moyens au fond soulevés par la société (AA).

Cette conclusion n’est pas remise en cause par l’argumentation de la demanderesse
selon laquelle la CNPD n’aurait pas pu fournir de motivation complémentaire en cours de
procédure contentieuse, sous peine de violer l’article 60 du RGPD du fait de ne pas avoir
soumis cette motivation complémentaire pour recueillir d’avis des autorités nationales de
contrôle concernées, dans le cadre de la procédure de coopération.

Le tribunal doit en effet constater que la demanderesse, afin d’étayer le moyen afférent
en ce que la CNPD aurait retenu, aux pages 117 et 118 de la décision déférée, qu’elle n’aurait
pas agi avec une intention délibérée de violer le RGPD, tandis que, dans le cadre de son
mémoire en réponse, elle lui aurait reproché une négligence certaine quant au respect des
principes fondamentaux du RGPD, est loin de constituer une motivation complémentaire quant

32
Trib. adm., 26 avril 2004, n° 17153 du rôle, Pas. adm. 2023, V° Procédure administrative non contentieuse, n°
90 (1er volet) et les autres références y citées.

au principe et quant au quantum de l’amende retenue à l’encontre de la demanderesse, alors
que la CNPD, dans le cadre de son mémoire en réponse, n’a fait que reprendre, de manière
synthétique, son argumentation développée dans le cadre de la décision, sans cependant la
compléter.

En effet, selon l’article 83, paragraphe (2), b) du RGPD, une violation a été commise
soit délibérément, donc intentionnellement, soit de manière non délibérée, et donc par
négligence, de sorte qu’en ayant retenu l’absence d’intention dans le chef de la société (AA),
la CNPD avait, dès le début, nécessairement et implicitement retenu que les violations des
dispositions du RGPD avaient été commises par négligence.

En tout état de cause, le tribunal doit relever que la CNPD, dans ses mémoires déposés
dans le cadre de l’affaire sous examen, n’a pas remis en cause le constat, retenu dans la décision
litigieuse, selon lequel les agissements fautifs de la demanderesse n’avaient pas été commis
intentionnellement par cette dernière.

Il y a finalement lieu de relever qu’il ressort explicitement de la décision litigieuse que
« (…) la Formation Restreinte considère que les activités de traitement à des fins de publicité
comportementales, telles qu'actuellement mises en œuvre par (AA), ne reposent sur aucune
condition de licéité valide, que les mesures de transparence ne sont pas conformes aux
exigences des articles 12 à 14 du RGPD et que les droits prévus aux articles 15 (accès), 16
(rectification), 17 (effacement) et 21 (opposition) du RGPD ne sont pas respectés par (AA) [,
que] la Formation Restreinte relève que le manquement à l'article 6.1 du RGPD (absence de
base de licéité) est constitutif d'un manquement à l'un des principes fondateurs du RGPD (et
du droit de la protection des données en général) [et que quant] aux manquements aux articles
12, 13, 14, 15, 16, 17 et 21 du RGPD, la Formation Restreinte estime que les droits des
personnes concernées font partie de l'essence du RGPD (…) »33, de sorte à avoir ainsi
nécessairement déjà estimé que la société (AA) aurait « (…) fait preuve d’une négligence
certaine s’agissant des principes fondamentaux du RGPD (…) », alors même qu’elle n’a
effectivement pas repris cette affirmation à l’endroit de la décision où elle a pris position sur
l’article 83, paragraphe (2), b) du RGPD34.

Au vu de ces considérations, le moyen tiré d’un défaut de motivation laisse d’être fondé
sous tous les aspects développés par la demanderesse.

Quant au fond, la demanderesse fait valoir que la décision déférée serait à réformer,
respectivement à annuler pour avoir retenu qu’elle ne se serait pas conformée à l’article 6 du
RGPD, lequel exigerait qu'une entité responsable du traitement des données à caractère
personnel devrait disposer d'une base légale pour procéder audit traitement des données. Elle
explique, dans ce cadre, que l’article 6, paragraphe (1) du RGPD prévoirait une liste de six
bases légales différentes pour justifier le traitement de données personnelles, tout en précisant
qu’elle aurait opté pour le critère des « intérêts légitimes », lui permettant, au sens de l’article
6, paragraphe (1), f) du RGPD, de traiter des données à caractère personnel aux « fins des
intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne
prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui
exigent une protection des données à caractère personnel, notamment lorsque la personne
concernée est un enfant ».

33
Pages 114 et 115 de la décision déférée du 15 juillet 2021.
34
Pages 117 et 118 de la décision déférée du 15 juillet 2021.

A titre liminaire, il échet au tribunal de souligner que c’est à juste titre que la
demanderesse explique, dans ce contexte, qu’un responsable du traitement doit procéder à une
analyse en trois étapes avant de pouvoir déterminer s’il peut valablement se fonder sur la base
légale des intérêts légitimes pour opérer les traitements de données personnelles projetés.

Ainsi, conformément à la jurisprudence de la CJUE35, trois conditions cumulatives
doivent être remplies, à savoir : i) la poursuite d’un intérêt légitime par le responsable du
traitement ou par le ou les tiers auxquels les données sont communiquées, ii) la nécessité du
traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi,
et iii) la condition que les droits et les libertés fondamentaux de la personne concernée par la
protection des données ne prévalent pas.

En ce qui concerne la première étape de l’évaluation à opérer, laquelle consiste à
identifier un ou plusieurs intérêts légitimes découlant du traitement de données personnelles,
c’est à bon droit que la demanderesse expose que la notion d’« intérêts » est un terme large
couvrant les intérêts juridiques, les intérêts commerciaux, ainsi que les intérêts sociétaux tant
du responsable du traitement que des tiers, conformément à l’avis 06/2024. Dans ce contexte,
la société (AA) a encore valablement relevé que, conformément au considérant 47 du RGPD,
le traitement de données à caractère personnel à des fins de prospection, dont la PBI fait partie,
peut être considéré comme étant réalisé pour répondre à un intérêt légitime. De plus, un intérêt
est considéré comme légitime s'il est licite, formulé en termes clairs, ainsi que réel, présent et
non hypothétique

Le tribunal doit encore relever, dans le cadre de la première étape de l’évaluation à
mener dans le contexte de l’article 6, paragraphe (1), f) du RGPD, que les parties sont d’accord
à reconnaître trois intérêts légitimes dans les activités de traitement relatives à la PBI, les trois
étant de nature économique, et plus particulièrement (i) l'intérêt propre de la demanderesse à
fournir des publicités utiles et adaptées à ses clients leur permettant de naviguer dans le vaste
catalogue des Boutiques (AA), (ii) l’intérêt des marques, fabricants, vendeurs et autres
entreprises comptant sur la demanderesse pour faire la publicité de leurs produits en ligne et
finalement (iii) l’intérêt des éditeurs de sites internet comptant sur la demanderesse pour
générer des revenus grâce à la vente de leur espace publicitaire aux annonceurs et autres
acheteurs intéressés. Le tribunal retiendra également ces trois intérêts, dans le cadre de son
analyse de l’article 6, paragraphe (1), f) du RGPD, étant précisé que le caractère licite desdits
intérêts est, en l’espèce, également à retenir pour ne pas avoir été remis en cause.

Quant au dernier intérêt mis en avant par la demanderesse, en l’occurrence, l’intérêt de
la collectivité européenne au sens large, matérialisé, selon elle, par la croissance de l'économie
de l'internet dans l'Union Européenne stimulée par la PBI et par la création de nombreux
emplois, tant dans le secteur de la publicité dans l’Union européenne qu'en dehors de celui-ci,
il échet de retenir que c’est à bon droit que la CNPD a refusé de prendre en considération ledit
intérêt en distinguant entre la PBI et la publicité au sens traditionnel, tout en ne reconnaissant
qu’à cette dernière les effets bénéfiques de la stimulation de la concurrence et de la
compétitivité, ainsi que de la possible limitation des abus de position dominante et de
l’encouragement de l'innovation dans le marché intérieur.

35
Arrêt C-40/17 de la CJUE du 29 juillet 2019, Fashion ID.

En effet, la CNPD a précisé à juste titre avoir refusé de prendre en compte des intérêts
légitimes de la collectivité au sens large, au motif que la demanderesse est restée en défaut
d’individualiser suffisamment les bienfaits de la PBI par rapport à la publicité de manière
générale, de sorte à avoir ainsi omis d’établir que les intérêts ainsi invoqués seraient réels,
présents et non hypothétiques. A l’instar de la CNPD, il y a encore lieu de relever, dans ce
cadre, que la demanderesse, à la page 17 de ses réponses du 23 mai 2019 au questionnaire lui
soumis dans le cadre de l’enquête, n’a pas invoqué d’intérêt sociétal, mais a uniquement fait
valoir sous l’intitulé « Interests of the Wider Community » que « These legitimate interests
align with the interests of the wider community in an accessible and innovative internet
economy. WP29 has noted, “[o]nline advertising is a key source of income for a wide range of
online services and is an important factor in the growth and expansion of the internet
economy.” The wider community have benefited from the innovation and creativity in online
services and the ability to make such online services available to all. Organizations have been
able to make their services accessible without a fee or at reduced pricing structures by
monetizing their sites through digital advertising. If organizations are forced to change their
business models, they may be forced to adjust their fee structure, potentially limiting access to
the economically vulnerable, or may cease to continue operating or restrict access of users in
the EU. ». La demanderesse critique, dans ce contexte, la décision déférée pour ne pas avoir
tenu compte des preuves empiriques qu’elle aurait fournies et pour ne pas avoir fourni de
preuves factuelles à la base de ses conclusions.

C’est dès lors à tort que la demanderesse a insisté, dans son mémoire en réplique, sur
l’impact sociétal de la PBI, laquelle soutiendrait les intérêts de la collectivité au sens large,
matérialisés par l’intérêt des éditeurs à partager et du public à recevoir du contenu d’intérêt
public gratuit, en précisant que cela inclurait également l'intérêt de la collectivité dans la
croissance de l'économie digitale globale, alors qu’un marché digital européen fort serait
essentiel au succès économique et à la résilience de l'UE. Il en va de même en ce qui concerne
l’argumentation selon laquelle la PBI, telle qu’opérée par elle serait plus efficace que d'autres
types de publicité, les impacts positifs d'une telle publicité pour la collectivité au sens large
seraient renforcés, ce qui inclurait les éditeurs, les internautes et les annonceurs, alors même
qu’elle se prévaut, dans ce contexte, de l'avis indépendant du Dr. ... qui démontrerait
précisément la valeur pour la collectivité de sa PBI, en soulignant que le contenu ciblé
génèrerait plus d'engagement de la part des individus, en particulier lorsque ce ciblage serait
dérivé d'informations sur les intérêts d'un client, ce qui créerait plus de valeur pour les éditeurs
et l'économie dans son ensemble et démontrerait que les Boutiques (AA) auraient contribué à
la croissance du commerce électronique, en partie par des campagnes de marketing numérique
axées sur les données, y compris la PBI, cette dernière étant, selon la jurisprudence de la CJUE,
une activité inhérente et naturelle des détaillants en ligne et des fournisseurs de services.

Si elle conteste finalement l’argumentation de la CNPD de ne pas avoir suffisamment
individualisé les bienfaits de la PBI, spécifiquement pour la collectivité au sens large, comparé
à la publicité en général, et ainsi de ne pas avoir démontré que ces intérêts seraient « réels,
présents et non hypothétiques », alors qu’elle aurait clairement articulé les intérêts de la
collectivité au sens large dans son recours, tout en fournissant des preuves claires quant à
l’efficacité de la PBI par rapport à d'autres types de publicité, le tribunal doit cependant retenir
que la demanderesse ne peut pas se prévaloir, en tant qu’intérêt légitime pour réaliser ses
traitements de données personnelles en matière de PBI, sur l’existence d’un intérêt sociétal,
alors que l’ensemble des explications fournies par cette dernière ne sont pas de nature à
individualiser, de manière claire, réelle, actuelle et non hypothétique, un tel intérêt. Il échet en
effet de constater que l’argumentation de la demanderesse ne consiste qu’à mettre en avant les

intérêts économiques importants découlant de la PBI pour elle-même, les clients, les éditeurs
et les annonceurs, en appuyant son argumentation par des avis scientifiques unilatéraux, de
sorte à n’avoir fait, en ce qui concerne l’intérêt sociétal invoqué, qu’un amalgame,
respectivement l’addition, sous un seul titre, des autres intérêts économiques précédemment
mis en avant de manière isolée.

De plus, il y a lieu de relever que la demanderesse est restée en défaut de démontrer,
dans le cadre du recours sous examen, que la PBI remplit le même rôle de stimulation de la
concurrence et de la compétitivité, de possible limitation des abus de position dominante et
d’encouragement de l'innovation, tel que reconnu, de manière générale, à la publicité, étant
précisé que le mode de fonctionnement de la PBI, dont l’objectif est de cibler, de manière
individuelle, les internautes en fonction des préférences leur attribuées par le biais de la collecte
d’informations à leur sujet, afin de ne leur proposer que des produits et services isolées
susceptibles de les intéresser, est ainsi fondamentalement distincte de la publicité traditionnelle
consistant à porter à la connaissance d’un public plus ou moins large des produits,
respectivement des services lui a priori inconnus afin de l’inciter, en cas d’intérêt de sa part, à
les acquérir, voire consommer. De plus, une éventuelle mise en concurrence des sociétés
proposant leurs produits et services par le biais de la PBI ne s’effectue qu’au niveau de
l’enchérissement de l’espace publicitaire, sans que la personne visée par ladite PBI ne soit
informée des différentes sociétés rivalisant pour obtenir son attention, empêchant ainsi toute
comparaison entre les différents produits et services proposés, lesquels ne sont pas
nécessairement de même nature, tandis qu’en ce qui concerne la publicité traditionnelle, la
personne visée peut se voir confrontée, par le biais d’un média, à des produits et services
similaires qu’elle peut, dans ces circonstances, comparer, ce qui stimule ainsi directement tant
la compétitivité que l’innovation en raison de la nécessité de démarquer ses produits et services
par rapport à ceux de ses concurrents directs.

En ce qui concerne la deuxième étape de l’évaluation à opérer, dans le cadre de l’article
6, paragraphe (1), f) du RGPD, consistant à analyser si le traitement de données personnelles
litigieux est strictement nécessaire à l’accomplissement de la finalité poursuivie,
respectivement s’il existe d’autres moyens moins attentatoires à la vie privée des personnes
dont les données personnelles sont traitées, permettant de réaliser aussi efficacement les intérêts
légitimes identifiés, la demanderesse fait valoir s’être assurée que son traitement de données
serait le minimum nécessaire à la réalisation des intérêts légitimes poursuivis, ce que la décision
aurait d’ailleurs reconnu. Ainsi, la société (AA) estime avoir soigneusement évalué si chacun
des intérêts légitimes identifiés pouvait raisonnablement être atteint de manière aussi efficace
par des moyens moins attentatoires aux droits des personnes, et aurait déterminé que lesdits
intérêts ne le pourraient pas.

Ainsi, la demanderesse aurait, à juste titre, retenu, après une évaluation de la quantité
de données requises pour atteindre ses intérêts, que les données utilisées représenteraient le
minimum nécessaire pour réaliser la PBI. Dans ce contexte, la demanderesse met en avant sa
décision de limiter le périmètre des données utilisées aux fins de la PBI en se concentrant sur
les informations relatives aux activités d'achat de ses clients dans ses propres boutiques,
contrairement à de nombreux annonceurs en ligne ciblant leurs clients également sur d’autres
sites que les leurs.

La demanderesse soutient encore, dans ce contexte, avoir décidé de n’utiliser qu'une
infime partie des données potentiellement disponibles sur les achats dans ses boutiques en
s’imposant de nombreuses limites par rapport à ses propres opérations de collecte et de

traitement des données et en ayant adopté de multiples mesures de protection pour ces
opérations, allant au-delà de ce qui serait le standard dans l’industrie, en l’occurrence (i)
l’option de retrait permettant aux personnes visées de refuser la PBI, option facilement
accessible à tout moment à partir de tous les sites du groupe (AA) et de tous les sites affichant
de la PBI à partir du procédé informatique mis en place à cet effet par la demanderesse, (ii) la
pseudonymisation des données personnelles collectées, dans le but d’atténuer les risques de
dommages pour les personnes concernées en cas de violation de leurs données, (iii) la mise à
disposition de notices d’information concises, intelligibles, transparentes et facilement
accessibles, dont notamment une notice générale sur la protection de la vie privée, ainsi qu’une
notice distincte intitulée « Publicités basées sur vos centres d’intérêts », disponibles sur
presque toutes les pages internet des Boutiques (AA), (iv) la limitation de traitement de
certaines catégories particulières de données personnelles révélant l’origine raciale ou
ethnique, les opinions politiques et sociales, les croyances religieuses ou philosophiques, les
données médicales, ainsi que visant le potentiel de gain futur, voire rapide, respectivement
concernant les destinations de voyage, ainsi que l’emploi de différentes formes de publicité
ayant pour effet de détourner l’attention du site internet consulté vers l’espace publicitaire y
affiché (v) de courtes durées de conservation des données personnelles collectées d’un
maximum de 13 mois, la demanderesse précisant que les adresses web de tiers lui soumises
dans le cadre du RTB ne seraient tout au plus gardées que 90 jours, (vi) des restrictions dans
les contrats conclus avec des tiers, tels que notamment les éditeurs et les fournisseurs de
données démographiques, pour afficher de la PBI, lui permettant de s’assurer du respect des
protections mises en place et (vii) le plafonnement des fréquences auxquelles une personne
serait exposée à une publicité déterminée. Sur base de ces éléments, la demanderesse affirme
avoir, à juste titre, pu déterminer qu’il n'y aurait pas eu de moyens moins intrusifs afin
d'atteindre aussi efficacement les intérêts légitimes.

Dans le cadre de cette deuxième étape d’évaluation du critère de l’intérêt légitime, la
demanderesse critique encore la décision déférée pour ne pas avoir tenu compte, à sa juste
valeur, de la circonstance selon laquelle elle n’aurait utilisé que le minimum de données pour
son activité de traitement dans le contexte de la PBI, la société (AA) expliquant éliminer plus
de 99% des informations disponibles sur les comportements d'achat de ses clients et de
n'intégrer que le pourcent restant dans les profils pseudonymisés de ciblage de PBI. Elle
soutient encore, dans ce contexte, que la CNPD, bien qu’ayant accepté que le traitement de
données litigieux aurait été nécessaire, de sorte à avoir validé la deuxième étape, se serait quasi-
exclusivement appuyée sur des spéculations génériques et hypothétiques, lesquelles ne
sauraient cependant suffire pour conclure à une violation, dans son chef, de l'article 6,
paragraphe (1), (f) du RGPD.

Dans un même ordre d’idées, la demanderesse critique la CNPD de ne pas être au
courant des pratiques largement répandues dans le secteur de la PBI, dont les informations
seraient disponibles au public, alors même qu’en vertu de l’article 57, paragraphe (1), (i) du
RGPD, cette dernière aurait dû suivre les évolutions pertinentes ayant une incidence sur la
protection des données à caractère personnel, notamment dans le domaine des technologies de
l'information et de la communication et des pratiques commerciales, carence qui ne pourrait
pas préjudicier la société (AA).

La demanderesse réfute encore l’affirmation de la CNPD selon laquelle la poursuite
d'un intérêt économique du responsable du traitement semblerait rarement passer avec succès
le test de nécessité et de proportionnalité lors de la mise en balance avec un droit fondamental,
tel que le droit au respect de la vie privée ou à la protection des données personnelles, dans la

mesure où une telle jurisprudence substantielle de la CJUE n’existerait pas et que cette dernière,
dans un arrêt C-597/19 du 17 juin 2021 dans une affaire M.I.C.M., aurait même expressément
relevé que la protection de la propriété intellectuelle, et donc un intérêt commercial, pourrait
satisfaire à la condition de nécessité. Dans ce cadre, la demanderesse fait, par ailleurs, valoir
que l’analyse, dans le cadre de l’article 6, paragraphe (1), f) du RGPD devrait, conformément
à la jurisprudence de la CJUE, se faire au cas par cas en fonction des circonstances particulières
de celui-ci.

Le tribunal doit d’emblée rejeter cette argumentation de la demanderesse quant à l’arrêt
C-597/19 du 17 juin 2021 M.I.C.M., précité, de la CJUE, alors qu’il ressort expressément dudit
arrêt que n’y était pas visée la protection de la propriété intellectuelle en tant qu’intérêt
commercial pouvant être considéré comme étant un intérêt légitime au sens de l’article 6,
paragraphe (1), f) du RGPD, mais le recouvrement de créances en bonne et due forme, le litige
soumis à la CJUE ayant porté sur la communication, par le fournisseur d’accès à internet, des
coordonnées devant permettre l’identification d’internautes dont les connexions internet
avaient été utilisés pour le téléversement d’œuvres protégés sur des réseaux de pair à pair afin
de leur réclamer, en justice, la réparation du préjudice ainsi accru.

La société (AA) critique finalement la décision déférée pour avoir, tout d’abord, d’un
côté, retenu que les limitations et les garanties mises en place ne seraient pas à prendre en
compte dans le cadre de l’analyse de la nécessité du traitement de données personnelles telles
qu’opérées en l’espèce, mais lors de la troisième étape consistant à vérifier si les intérêts
légitimes invoqués par la demanderesse ne créeraient pas de déséquilibre au détriment des
droits et intérêts des personnes dont les données seraient traitées, pour ensuite, d’un autre côté,
cependant ignorer, lors de cette dernière étape, certaines des garanties et limitations appliquées.

Dans son mémoire en réplique, la demanderesse insiste sur la circonstance d’avoir
rapporté la preuve de la nécessité de son traitement des données personnelles litigieux dans le
cadre de la PBI, en soutenant avoir évalué tant les types de données que la manière dont celles-
ci seraient traitées pour en conclure que l'intérêt légitime poursuivi ne pourrait raisonnablement
être atteint de manière aussi efficace par d'autres moyens moins attentatoires aux droits des
personnes concernées. Elle critique, dans ce contexte, l’argumentation de la CNPD, mise en
avant pour la première fois dans le cadre du mémoire en réponse de cette dernière, consistant
à faire valoir qu’elle n’aurait pas suffisamment démontré que son traitement serait nécessaire,
dans la mesure où la CNPD ne devrait pas être autorisée à introduire, dans le cadre de la
procédure contentieuse, de nouveaux motifs, alors que ces derniers n’auraient, dans un tel cas
de figure, pas fait l’objet de la coopération entre l'autorité de contrôle chef de file et les autres
autorités de contrôle concernées.

Même si la CNPD avait été en droit de compléter, à travers ses mémoires, la motivation
de la décision déférée, la demanderesse critique la CNPD de s’être concentrée sur une seule
catégorie de données à caractère personnel traitées, en l’occurrence les données
démographiques, et d’en avoir tiré la conclusion que le traitement global tel qu’opéré par la
société (AA) ne répondrait pas au critère de nécessité.

Par ailleurs, il serait faux de retenir l’absence de nécessité des données démographiques
collectées sur base de la seule considération que lesdites données ne seraient pas disponibles
dans tous les Etats membres, alors que la seule conclusion à tirer de cette circonstance aurait
dû être que dans les pays en question, la poursuite des intérêts légitimes en relation avec la PBI
ne pourrait pas être opérée de manière aussi efficace. L’utilisation desdites données ne devrait,

en l’espèce, pas non plus être considérée comme particulièrement intrusive, alors que cette
affirmation de la part de la CNPD ne serait étayée par aucune preuve et ne correspondrait, pour
le surplus, pas à la réalité surtout qu’elle ne se servirait que d’un sous-ensemble limité de ces
données.

La demanderesse réitère encore son argumentation relative à la pertinence des
limitations et garanties mises en œuvre, en particulier la pseudonymisation, garanties qui
seraient essentielles, d’une part, pour s'assurer qu'il n'existerait pas de moyens « moins
attentatoires » afin de réaliser ses intérêts légitimes poursuivis, et, d’autre part, pour démontrer
qu'elle aurait choisi, malgré le fait d’avoir à sa disposition d’autres moyens, l'approche ayant
le moins d'impact sur les droits des personnes concernées. La société (AA) soulève finalement
que la CNPD serait restée en défaut de tenir compte des pratiques actuelles du marché, malgré
d’affirmer le contraire dans son mémoire en réponse.

Force est au tribunal de relever que la CNPD, dans le cadre de ses mémoires en réponse
et en duplique, conclut, à juste titre, que la société (AA) serait restée en défaut d’établir la
nécessité de son traitement de données à caractère personnel litigieux par rapport aux intérêts
légitimes poursuivis, tels que retenus ci-avant.

Le tribunal doit, dans ce contexte, d’emblée relever que la CNPD, dans la décision
litigieuse déférée, a, contrairement à l’affirmation de la demanderesse, retenu, de manière
explicite, que la condition relative à la nécessité du traitement de données personnelles, tel
qu’opéré en l’espèce par la société (AA), n’était pas établi.

Il ressort en effet de la décision précitée que la CNPD a, tout d’abord, réitéré le constat
du chef d’enquête selon lequel la demanderesse était restée en défaut de fournir la preuve de la
nécessité des activités de traitement à des fins de PBI, respectivement d’effectuer une analyse
concernant l’existence de mesures moins attentatoires à la vie privée pour réaliser ces
traitements.

La CNPD a ensuite rappelé que la deuxième étape concernant le principe de nécessité
du traitement devait se faire conformément au principe de minimisation des données ancré à
l’article 5, paragraphe (1), c) du RGPD et a rejeté, dans ce cadre, les arguments mis en avant
par la demanderesse pour justifier le respect dudit principe, en retenant, dans la décision
déférée, d’une part, la possibilité de collecter et d’utiliser toujours davantage de données afin
de mieux cibler les publicités par rapport au profil des clients, et, d’autre part, que les pratiques
d’autres acteurs du marché non autrement spécifiés par la société (AA) ne lui auraient pas
permis d’apprécier si les traitements opérés par la demanderesse respectaient le principe de
minimisation.

Ce constat selon lequel la CNPD avait, dans la décision litigieuse, directement retenu,
dans le chef de la partie demanderesse, un défaut de respect de la condition de nécessité de ses
activités de traitement à des fins de PBI est encore corroboré par les précisions fournies dans
son mémoire en réponse, lorsqu’elle indique qu’il « (…) est manifeste qu’à aucun moment [la
demanderesse] n’a démontré en quoi toutes les données traitées dans le cadre de la PBI, à
savoir les données contenues dans les profils constitués (…) ne sont pas seulement utiles à la
PBI déployée [par la société (AA)] mais aussi réellement « nécessaires » à celle-ci.(…) »36 et
qu’elle « (…) aurait pu s’arrêter là [à savoir à l’analyse de la deuxième condition] et déjà

36
Paragraphe 100, page 65 du mémoire en réponse de la CNPD.

refuser la PBI déployée par [la société (AA)] sur cette seule base sans même devoir analyser
la troisième condition. En procédant à l’analyse de la troisième étape, la CNPD a voulu
renforcer son argumentation selon laquelle l’intérêt légitime ne peut pas être invoqué et ne
saurait nullement être considéré comme une admission que la deuxième condition de la
« nécessité » a été respectée. (…) »37. La CNPD réitère finalement sa position dans son
mémoire en duplique où elle précise, sans équivoque, qu’elle « (…) a toujours soutenu qu[e la
demanderesse] n’avait jamais cherché à démontrer la nécessité de son traitement au regard
des intérêts légitimes poursuivis et que c’était donc à titre superfétatoire qu’elle procédait à
l’examen de la troisième condition du test. »38.

Il s’ensuit que l’argumentation y relative tenant à un manque de respect de la procédure
de collaboration avec les autres autorités nationales de contrôle est également à rejeter pour
manquer en fait.

Il échet ensuite de relever que dans le cadre de l’examen de la deuxième condition
visant à examiner la nécessité du traitement de données à caractère personnel opéré, il y a lieu
de vérifier, conformément à la jurisprudence de la CJUE, et plus particulièrement l’arrêt
C-708/18 du 11 décembre 2019 Asociaţia de Proprietari bloc M5A-ScaraA, ayant été rendu
sur base de la directive 95/46/CE entretemps abrogée par le RGPD, mais dont les principes ont
intégralement été repris en ce qui concerne le recours à l’intérêt légitime comme base légale
pour opérer un traitement de données à caractère personnel, ainsi qu’à l’arrêt C-252/21 du 4
juillet 2023 Meta v. Bundeskartellamt, selon lequel l'intérêt légitime du traitement des données
poursuivi ne peut raisonnablement être atteint de manière aussi efficace par d'autres moyens
moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, en
particulier aux droits au respect de la vie privée et à la protection des données à caractère
personnel garantis par les articles 7 et 8 de la Charte. En outre, la condition tenant à la nécessité
du traitement doit être examinée conjointement avec le principe dit de la « minimisation des
données » consacré à l’article 5, paragraphe (1), c) du RGPD selon lequel les données à
caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au
regard des finalités pour lesquelles elles sont traitées ».

Le tribunal doit, dans ce contexte, tout d’abord, constater que la demanderesse, dans le
cadre de son activité de PBI, procède à la collecte d’un nombre important de données, dont elle
a précisé la nature, dans son analyse d’impact de mai 2019, comme suit :

« (…) • Search for products or services ;

• Place an order through (CC) ;

• Download, stream, view or use content on a device, or through a service or
application on a device ;

• Configure settings on, provide data access permissions for, or interact with a device
or another (CC) ;

• User’s name, address and phone number, payment information, age, location
information ;
37
Paragraphe 105, page 66 du mémoire en réponse de la CNPD.
38
Paragraphe 73, page 45 du mémoire en duplique de la CNPD.

• The Internet Protocol (IP) address used to connect the user’s computer to the
Internet ;

• Email address ;

• The location of the user’s device or computer ;

• Content interaction information, such as content downloads, streams, and playback
details including duration and number of simultaneous streams and downloads, and
network details for streaming and download quality, including information about the
user’s internet service provider ;

• Purchase and content use history ;

• The full Uniform Resource Locators (URL) clickstream to, through and from our
website (including date and time); cookie number, products and/or content the user
viewed or searched for; and

• Account information, purchase or redemption information and page-view information
search results and links.

Some third parties may provide (AA) non-personally identifiable information about users
(such as demographic information or sites where the user has been shown ads) from offline and
online sources. (…) ». En ce qui concerne encore les données utilisées par la demanderesse et
lui fournies par des entités tierces, en l’occurrence les sociétés (GG) et (HH), il ressort des
documents soumis à l’analyse du tribunal, et plus particulièrement du rapport d’audit de la
CNPD du 17 février 2020, non remis en cause par la demanderesse, que cette dernière reçoit
les données personnelles suivantes, en fonction de leur disponibilité dans les différents Etats-
membres, respectivement en Grand-Bretagne :

«• Age ranges (excluding less than 18 and older than 65) ((HH): [Royaume-Uni,
Allemagne, France, Italie et Espagne], (GG): [France, Italie, Espagne])
• Gender ((HH): [Royaume-Uni, Allemagne, France, Italie et Espagne])
• Relationship ((HH): [Royaume-Uni, Allemagne, France, Italie et Espagne])
• Occupation (excluding low income professions) ((HH): [Royaume-Uni,
Allemagne, France])
• Income (excluding low income) ((HH): [Royaume-Uni, Allemagne, France])
• Number of adults ((HH): [Royaume-Uni, Allemagne])
• Presence of children ((HH): [Royaume-Uni, Allemagne])
• Number of children ((HH): [Royaume-Uni, France])
• Age ranges of children ((HH): [Royaume-Uni])
• Education ((HH): [Italie])
• Property ownership ((HH): [Royaume-Uni, Allemagne, France, Italie et
Espagne])
• Property gas access ((HH): [Royaume-Uni, Allemagne])
• Property residency ((HH): [Royaume-Uni, Allemagne])
• Property value ((HH): [Royaume-Uni])
• Directorship ((HH): [Royaume-Uni])
• Affluence ((HH): [Royaume-Uni, Allemagne])

• Home office ((HH): [Royaume-Uni]) (…) ».

Par ailleurs, la demanderesse a encore relevé39, sans que la CNPD n’ait remis en cause la
position de la société (AA) sur ce point, qu’elle ne cible pas les personnes sur base des données
ayant trait à :

«• Financial distress (e.g., debt, bankruptcy, credit problems, etc.)
• Gambling (e.g., online poker, lotteries)
• Health and Medical Conditions
• Illegal activities or interests
• Individuals under 18 years of age
• Political affiliation or political views
• Race or ethnic origin
• Religious affiliations or beliefs
• Sexual health products or sexual aid devices
• Sexual orientation or sex life
• Sexually explicit content
• Trade union membership (…) ».

La demanderesse affirme encore exclure, des données collectées, (i) les données
relatives au revenu des personnes dont les données personnelles sont traitées à partir du
moment où le revenu en question est inférieur au seuil de pauvreté défini pour chaque pays où
des données sont collectées, et, (ii) les données relatives à l’âge des personnes concernées si
elles sont âgées de moins de 18, respectivement de plus de 65 ans40, tout en ne reprenant pas
l’intégralité de certaines données, respectivement en en limitant la précision, telles que les
adresses IP, ainsi que les données de géolocalisation41. Par ailleurs, dans le cadre de sa prise de
position du 20 août 2020, la demanderesse a encore précisé interdire l’utilisation de catégories
de données relatives aux attitudes et opinions sociales, au potentiel des gains futurs,
respectivement aux destinations de voyage42.

Il ressort encore des explications de la demanderesse, dans le cadre de sa prise de
position du 20 août 2020 par rapport à la communication des griefs de la CNPD du 25 juin
2020, qu’elle « (…) élimine plus de 99% des informations disponibles sur les comportements
d’achat des clients d’(AA) en magasin afin d’intégrer les 1% restants dans un profil
pseudonymisé de ciblage de publicités basées sur les centres d’intérêt. (…) »43.

Dans ce cadre, il y a encore lieu de préciser que la demanderesse procède à une collecte
des données personnelles susmentionnées, d’une part, par le biais de différents sites internet du
groupe (AA), ainsi que par le biais de divers autres services fournis par ledit groupe, tels que
notamment …, …, , … respectivement …, et, d’autre part, par le biais des différents
équipements terminaux que les personnes dont les données personnelles sont collectées,
utilisent pour accéder aux sites internet et services mentionnés ci-avant, de sorte à se
concrétiser, tel que relevé à juste titre par la CNPD, en un suivi régulier des personnes

39
Page 24 de la réponse de la demanderesse du 23 mai 2019 au questionnaire de la CNPD ;
40
Page 25 de la réponse de la demanderesse du 23 mai 2019 au questionnaire de la CNPD ;
41
Page 8 de l’analyse d’impact, dans sa version de mai 2019 et intitulé « Interest-Based Advertising, Data
Protection Impact Assessment, May 2019 ».
42
Page 33, paragraphe (83), d) de la prise de position de la société (AA) du 20 août 2020.
43
Page 26, paragraphe (69) de la prise de position de la société (AA) du 20 août 2020.

concernées, sur tous les appareils concernés, de leurs activités quotidiennes sur internet et en
relation avec les prédits services.

Quant à la durée de conservation des données à caractère personnel collectées, la
demanderesse a précisé, dans le cadre sa réponse du 23 mai 2019 au questionnaire de la CNPD,
reprenant ses explications fournies dans son analyse d’impact, dans sa version de mai 2019,
que « (…) Data within our interest-based ads profiles are retained for no more than 13 months.
We also follow the data minimization principle where data is only retained for the duration
that is required. Some of our systems retain data for only a few days, others for 1-3 months as
required. As an example, when advertisers bring their audience lists, we delete the matching
data soon after the match has occurred. (…)».44

Il faut encore relever que la demanderesse a, sur base de ces données, constitué un
nombre particulièrement élevé de profils visés par sa PBI, - les profils ne correspondant, selon
les explications de la demanderesse, pas à un utilisateur, personne physique, mais à un
équipement terminal -, alors qu’il est constant en cause, pour ne pas être contesté par les parties,
que la demanderesse détient, selon ses propres déclarations, telles que fournies dans sa réponse
du 23 mai 2019 au questionnaire lui soumis par la CNPD et tel que retenues par le rapport
d’audit de cette dernière du 17 février 2020, (i) 560.300.000 de profils publicitaires européens
actifs liés à un équipement terminal associé à une visite authentifiée sur un site (AA), auxquels
il y a lieu de rajouter 317.900.000 profils inactifs depuis 9 mois, (ii) 1.591.000.000 de tels
profils actifs concernant une visite non authentifiée sur un site (AA), auxquels il y a lieu de
rajouter 979.300.000 profils inactifs depuis 9 mois, et (iii) 5.786.600.000 profils actifs établis
sur base d’un équipement terminal non authentifié, n’ayant pas visité de site (AA) et ayant
navigué sur un site internet présentant de la PBI fournie à travers le système informatique mis
en place par la demanderesse, nombre auquel il y a lieu de rajouter 7.813.900.000 profils
inactifs depuis 9 mois45.

Par rapport à la nature, au volume et à la durée de conservation des données à caractère
personnel collectées et traitées par la demanderesse, le tribunal doit relever que cette dernière
est restée en défaut d’établir la nécessité du traitement desdites données personnelles, tel
qu’elle l’opère de manière concrète, dans le cadre de la PBI.

Force est, tout d’abord, de constater que ni dans son analyse d’impact, dans sa version
de mai 2019, ni dans sa réponse du 23 mai 2019 au questionnaire de la CNPD, la demanderesse
ne procède à une analyse concrète de ladite condition, si ce n’est d’affirmer, dans le cadre de
son analyse d’impact, sous l’intitulé « (c) Data minimization » que « (…) The personal data
processed in this case meet [the] requirements [that the processing is adequate, relevant and
limited to what is necessary in relation to the purposes for which the data are processed] »46,
tout en précisant, de manière sommaire, employer la pratique de pseudonymisation des données
collectées, ne pas faire usage de mécanismes techniques de reconnaissance trop persistants et
invasifs, respectivement de limiter l’ampleur de, voire d’interdire la collecte de certaines
catégories de données personnelles collectées et d’avoir mis en œuvre « (…) a retention policy
based on data minimization principles (…) » tout en renvoyant, à l’annexe 2 dudit document,
aux différentes mesures additionnelles mises en place par ses soins et concernant les données

44
Page 21 de la réponse de la société (AA) du 23 mai 2019 et page 14 de l’analyse d’impact, dans sa version de
mai 2019 et intitulé « Interest-Based Advertising, Data Protection Impact Assessment, May 2019 ».
45
Pages 8 et 9 de la réponse d’ (AA) du 23 mai 2019.
46
Page 8 de l’analyse d’impact, dans sa version de mai 2019 et intitulé « Interest-Based Advertising, Data
Protection Impact Assessment, May 2019 ».

personnelles collectées et traitées en vue de la PBI afin de protéger les intérêts et droits
fondamentaux des personnes concernées, annexe dans le cadre de laquelle la demanderesse ne
fournit toujours qu’une description générale desdites mesures, sans explication technique
précise, circonstanciée et détaillée.

Le même constat s’impose quant à l’absence d’informations détaillées et précises y
relatives fournies par la demanderesse, dans le cadre de sa prise de position du 20 août 2020
suite à la communication des griefs de la part de la CNPD en date du 25 juin 2020, dans laquelle
cette dernière se limite à affirmer, après avoir rappelé les principes juridiques pertinents, que
« (…) Ici encore, [elle] a fait ce qu'exige la loi. Elle a soigneusement évalué si chacun des
intérêts légitimes identifiés à la première étape pouvaient « raisonnablement être atteint de
manière aussi efficace par d'autres moyens moins attentatoires aux libertés et aux droits
fondamentaux des personnes concernées » et a déterminé de bonne foi qu'ils ne le pouvaient
pas. Cette conclusion est fermement ancrée dans des données empiriques. Par exemple, les
recherches montrent que les clients préfèrent de loin les annonces basées sur les intérêts aux
autres types d'annonces. Les recherches confirment que les publicités non personnalisées sont
beaucoup moins efficaces que les publicités basées sur les intérêts pour mettre les gens en
relation avec des produits correspondant à leurs intérêts. (…) »47, respectivement qu’elle
« (…) a également analysé si des alternatives efficaces seraient moins restrictives pour les
droits des personnes concernées. Comme nous l'avons déjà indiqué, (AA) impose de
nombreuses limitations à ses propres opérations de collecte et de traitement des données et a
adopté de multiples garanties sur ces opérations [tel que le tribunal les a résumées ci-avant].
En raison de ces limitations et garanties - qui vont bien au-delà de ce qui est la norme dans
l'industrie – [la société (AA)] a déterminé qu'il n'y avait pas de moyen moins intrusif pour
répondre aussi efficacement aux intérêts légitimes [de la société (AA)], des éditeurs, des
entreprises tierces et de la collectivité (…) »48, tout en mettant en avant les pratiques
prétendument plus intrusives et plus larges d’autres sociétés actives dans le domaine de la PBI,
concernant le périmètre des données collectées (la demanderesse affirmant se limiter à ses
propres sites internet), ainsi que l’ampleur des données utilisées, et en contestant la manière
dont la CNPD aurait déterminé et apprécié cette condition de nécessité, et plus particulièrement
quant à la notion de l’existence de moyens moins intrusifs pour atteindre aussi efficacement
les intérêts légitimes poursuivis.

Ainsi, il y a lieu de constater que la demanderesse se limite à mettre en avant
uniquement les avantages de sa méthode de collecte et de traitement des données à caractère
personnel, à savoir un ciblage a priori de plus en plus précis des personnes dont les données
personnelles sont traitées avec de la PBI davantage susceptible de les intéresser et de les inciter
à la consommation des produits et services leur ainsi proposés, sans en établir, de manière
détaillée, la nécessité.

La demanderesse se contente en effet d’avoir, tant au stade précontentieux qu’au cours
de la procédure devant le tribunal, une approche purement descriptive des données collectées,
ainsi que des traitements opérés, en énonçant, sans fournir le moindre élément de preuve à cet
égard, - tel que des explications techniques et factuelles précises et détaillées, ainsi qu’une
analyse quant à la nécessité, notamment (i) quant aux différentes données personnelles
collectées49, (ii) quant à la composition des profils, respectivement (iii) quant aux différentes

47
Page 25, paragraphe (67) de la prise de position de la société (AA) du 20 août 2020.
48
Page 26, paragraphe (70) de la prise de position de la société (AA) du 20 août 2020.
49
Le tribunal est ainsi, à titre d’exemple non-exhaustif, dans l’impossibilité de pouvoir vérifier, et a fortiori
d’effectuer une quelconque appréciation de la nécessité de collecter et des traiter les données personnelles en

durées de conservation - que son approche quant à la collecte et quant au traitement des données
personnelles litigieux serait le minimum nécessaire et qu’il ne lui serait pas possible d’atteindre
aussi efficacement les intérêts légitimes retenus ci-avant par le biais d’une manière de faire
moins intrusive notamment au regard du grand nombre de données collectées dans un premier
temps et que la demanderesse n’utiliserait finalement pas (99% des données collectées),
approche qui doit être qualifiée de manifestement insuffisante, alors qu’elle met le tribunal
dans l’impossibilité de procéder à une pondération des intérêts opposés en cause.

Cette conclusion n’est pas remise en cause par les pièces soumises à l’analyse du
tribunal dans ce contexte, et plus particulièrement l’avis du professeur Dr. ... du 30 mars 2022
et intitulé « Rechtmäβigkeit der Datenverarbeitung aufgrund einer Interessenabwägung (Art.
6 Abs. 1 UAbs. 1 lit. F DSGVO) », lequel ne fournit qu’une analyse juridique générale quant à
la notion et quant aux conditions de l’intérêt légitime en tant que base légale d’un traitement
de données à caractère personnel de l’article 6, paragraphe (1), f) du RGPD, sans prendre
position par rapport aux éléments du traitement concrètement opéré par la demanderesse en
matière de PBI. Ainsi, ledit avis ne fournit aucune argumentation concrète relative à la
nécessité des activités de traitement de la société (AA) à des fins de PBI, respectivement à
l’existence de mesures moins attentatoires à la vie privée pour réaliser ces traitements.

Le même constat doit s’imposer par rapport à l’avis du Dr.... de la société … du 21
février 2022 et intitulé « Expert Opinion » par rapport à la décision litigieuse de la CNPD, dans
la mesure où ledit document, mis à part la circonstance qu’il a été directement commandité par
la demanderesse, ce qui remet en cause sa force probante, se concentre quasi-exclusivement
sur l’utilité du traitement de données à caractère personnel litigieux, tel qu’opéré par cette
dernière, en prenant encore plus particulièrement position sur le bénéfice des données
démographiques utilisées dans le cadre de l’établissement des profils afin d’évaluer le revenu
des personnes concernées en vue de peaufiner le ciblage publicitaire en fonction. Ainsi, ledit
avis ne fournit pas non plus d’argumentation concrète relative, d’une part, à la nécessité des
activités de traitement de la société (AA) à des fins de PBI, ainsi que, d’autre part, à l’existence
de mesures moins attentatoires à la vie privée pour réaliser ces traitements.

Quant à l’argumentation de la société (AA) selon laquelle la CNPD serait contrevenue
à son obligation, en tant qu’autorité de contrôle, de devoir suivre les évolutions pertinentes
ayant une incidence sur la protection des données à caractère personnel, notamment dans le
domaine des technologies de l'information et de la communication et des pratiques
commerciales, conformément à l’article 57, paragraphe (1), i) du RGPD, celle-ci est également
à rejeter, dans la mesure où il ne saurait être reproché à la CNPD de ne pas avoir pu comparer
le mode de fonctionnement de la demanderesse avec les pratiques d’autres entités actives en
matière de PBI faute pour la demanderesse de lui avoir soumis un quelconque élément probant
à ce sujet, constat qui doit être réitéré au niveau de la phase contentieuse du litige sous examen.

Le tribunal doit plus particulièrement relever, dans ce cadre, que la demanderesse ne
soumet aucun document à l’analyse du tribunal quant aux pratiques d’autres entités en matière
de PBI. Le seul élément que le tribunal a pu déceler, dans ce contexte, est la référence, faite

question, sur base de la seule affirmation de la société (AA) selon laquelle elle « (…) élimine[rait] plus de 99%
des informations disponibles sur les comportements d'achat des clients d'(AA) en magasin avant d'intégrer les 1%
restants dans un profil pseudonymisé de ciblage de publicités basées sur les centres d'intérêt (…) » (page 26,
paragraphe (69) de la prise de position de la demanderesse du 20 août 2020), alors qu’aucune indication n’est
fournie par la demanderesse quant aux données finalement retenues dans l’établissement des profils et quant à la
nécessité de ces dernières pour atteindre les intérêt légitimes poursuivies.

par la demanderesse dans sa prise de position du 20 août 2020, à l’article de presse publié le
21 octobre 2016 sur le site internet de l’organisation Propublica et intitulé « Google Has
Quietly Dropped Ban on Personally Identifiable Web Tracking », article qui n’a pas été versé
dans le cadre de la présente instance et qui, pour le surplus, doit être considéré comme trop
éloigné dans le temps pour pouvoir refléter les pratiques actuelles en matière de PBI50. Il échet
finalement de constater que la demanderesse est restée en défaut d’affirmer et a fortiori
d’établir que d’autres entités actives en matière de PBI fondent leurs traitements de données à
caractère personnel sur la même base légale qu’elle, en l’occurrence l’intérêt légitime
conformément à l’article 6, paragraphe (1), f) du RGPD, de sorte à rendre ainsi toute
comparaison éventuelle des pratiques de ces entités avec celles de la société (AA) impossible.

Il suit de l’ensemble des considérations qui précèdent que la CNPD a valablement pu,
déjà à ce stade, retenir la conclusion que la société (AA) ne pouvait pas se fonder sur la notion
de l’intérêt légitime, au sens de l’article 6, paragraphe (1), f) du RGPD en tant que base légale
justifiant le traitement des données personnelles litigieux, dans la mesure où le respect d’une
des conditions cumulatives n’est pas établie.

Cette conclusion quant à la violation de l’article 6, paragraphe (1), f) du RGPD persiste
encore selon le dernier état des conclusions, malgré la circonstance que la demanderesse
indique avoir opéré, avant la prise de la décision déférée, respectivement depuis, des
modifications quant à la base légale fondant ses traitements de données personnelles litigieux,
en ayant plus particulièrement recours au consentement des personnes concernées, telle que
prévue à l’article 6, paragraphe (1), a) du RGPD. En effet, il y a lieu de relever, dans ce cadre,
qu’il ressort des propres affirmations de la demanderesse qu’elle se fonderait, afin d’afficher
de la PBI sur des sites tiers, sur la base légale du consentement de la personne concernée, dans
la « quasi-totalité des cas », respectivement pour « 99,5% des affichages de PBI »51, de sorte
à amener au constat que pour certains traitements, que le tribunal n’est pas en mesure de
déterminer faute de précisions fournies à ce sujet par la société (AA), la demanderesse continue
de se baser sur la base légale de l’intérêt légitime, pour laquelle les critiques ci-avant retenues
persistent partant toujours à l’heure actuelle. Il faut finalement encore mentionner que les
notices de la demanderesse concernant la protection des informations personnelles traitées,
analysées plus précisément ci-dessous dans le cadre de la violation des articles 12 à 14 du
RGPD telle que reprochée à la demanderesse, font également toujours état de l’intérêt légitime.

Le tribunal doit encore relever que le fait que la CNPD a néanmoins poursuivi son
analyse en examinant encore la dernière étape, - en l’occurrence la mise en balance, d’un côté,
des intérêts légitimes valablement identifiés de la part de la demanderesse, et, d’un autre côté,
des droits et intérêts des personnes dont les données personnelles ont fait l’objet d’un
traitement, tout en prenant en considération les mesures additionnelles mises en place par le
responsable du traitement afin de limiter les impacts dudit traitement - n’emporte cependant
aucune conséquence quant à la légalité de la décision déférée.

50
La demanderesse cite encore, dans le même contexte, citation qu’elle reprend dans le cadre de son recours (page
72, paragraphe 354 de son recours) un autre document qu’elle désigne comme « Oracle, Submission to the
Australian Competition and Consumer Commission », sans verser ledit document au tribunal et sans fournir les
références exactes lui permettant de le retrouver, démarche qu’il n’appartient, par ailleurs, pas au tribunal de faire,
alors que les parties doivent elles-mêmes (i) formuler clairement et de manière précise les moyens factuels et
juridiques et (ii) soumettre directement à la juridiction saisie les documents dont elles veulent se prévaloir.
51
Page 24, paragraphe (23) de la requête introductive d’instance.

En effet, force est, dans ce cadre, de rappeler que l’objet de l’enquête de la CNPD ne
se limitait pas, tel que retenu ci-avant, à l’examen de la base légale de l’intérêt légitime
invoquée par la demanderesse pour fonder ses traitements de données personnelles en matière
de PBI, mais visait à vérifier la conformité des activités de traitement de la société (AA) à des
fins de publicité comportementale aux obligations du RGPD, de sorte qu’aucun reproche ne
saurait être adressé à la CNPD d’avoir voulu effectuer, dans la mesure du possible, un examen
exhaustif du dossier lui soumis en relation avec le traitement des données et d’avoir procédé à
l’analyse de la précitée mise en balance et d’avoir ainsi découvert d’autres violations du RGPD,
en l’occurrence des articles 12 à 17 et 21 du RGPD.

Au regard du fait que les conditions de l’article 6, paragraphe (1), f du RGPD sont
cumulatives et que le tribunal vient de retenir que la demanderesse n’a pas établi avoir respecté
la condition relative à la nécessité de son traitement de données à caractère personnel en matière
de PBI, de sorte à avoir violé le prédit article, l’analyse du tribunal se limitera, par la suite, à la
violation reprochée des articles 12 à 17 et 21 du RGPD, tel que retenu par la décision déférée
dans le chef de la société (AA), un examen de la mise en balance entre, d’un côté, les intérêts
légitimes valablement identifiés de la part de la demanderesse, et, d’un autre côté, les droits et
intérêts des personnes dont les données personnelles ont fait l’objet d’un traitement étant
devenu surabondant, tout comme les questions préjudicielles que les parties souhaitent voir
soumises à la CJUE dans ce contexte.

En ce qui concerne, tout d’abord, les manquements reprochés à la demanderesse aux
obligations de transparence, telles que visées par les articles 12 à 14 du RGPD, la société (AA)
fait valoir, dans le cadre de son recours, qu’elle fournirait aux personnes concernées divers
éléments d'information sur son traitement des données à caractère personnel « d'une façon
concise, transparente, compréhensible et aisément accessible », par le biais d’une notice
générale sur la protection de la vie privée, ainsi que d’une notice « Publicités basées sur vos
centres d'intérêt » distincte, disponible sur presque toutes les pages des Boutiques (AA).

Elle critique, dans ce cadre, la décision de la CNPD d’avoir exigé de sa part, de devoir
mettre à disposition des personnes concernées toutes les informations de transparence requises
dans un document unique, alors qu’une telle exigence ne découlerait pas du RGPD. Elle précise
avoir choisi de se conformer à cette exigence d’accès aux informations en fournissant plusieurs
politiques plus courtes, dans le but d'éviter d'inonder les consommateurs d'informations et de
faciliter la compréhension desdites informations en les divisant en plusieurs parties distinctes,
surtout qu’il résulterait d’une enquête Eurobaromètre de 2015, que deux tiers des personnes
concernées auraient déclaré ne pas lire les politiques de confidentialité parce qu'elles seraient
trop longues.

Elle conteste encore ne pas avoir fourni suffisamment d'informations (i) sur le fait
qu'elle se serait fondée sur ses intérêts légitimes comme base légale des traitements de données
personnelles litigieux, (ii) sur les intérêts légitimes précis qu'elle poursuivrait, ainsi que (iii)
sur le test de mise en balance effectué, y compris des informations sur les garanties mises en
œuvre, par ses soins, alors qu’il ressortirait clairement de sa notice sur les publicités basées sur
les centres d'intérêts qu'elle diffuserait des annonces sur la base des intérêts des clients, et que
« les annonceurs tiers ou les sociétés de publicité ... peuvent ... mesurer l'efficacité de leurs
publicités, vous montrer un contenu publicitaire plus pertinent, et fournir des services au nom
d'(AA) », le terme technique « intérêts légitimes » n'étant, selon la demanderesse pas
« compréhensible » pour la majorité des clients. Ladite notice fournirait, par ailleurs, des
informations sur les garanties mises en place pour protéger la vie privée des personnes

concernées, et partant sur des éléments cruciaux du test de mise en balance, telles que « Nous
n'utilisons pas des informations identifiant des personnes physiques, comme le nom ou l'email,
afin de présenter des publicités basées sur vos centres d'intérêt », que « nous ne conservons ...
que les informations recueillies tant qu'elles s'imposent pour que nous puissions vous fournir
nos services publicitaires » et que « si nous connaissons les publicités qui ont été présentées
sur votre navigateur, nous pouvons veiller à ne pas montrer systématiquement les mêmes
publicités ».

Aucun reproche ne pourrait, de plus, lui être adressé du fait d’avoir fait référence à la
base légale des intérêts légitimes dans une mise à jour de ses notices, dans la mesure où ses
pratiques ne seraient pas statiques et qu’elle apprécierait les commentaires reçus de la part des
régulateurs, ladite mise à jour ayant été effectuée en réponse à sa compréhension des attentes
du chef d'enquête suite à la communication des griefs de la part de la CNPD. En aucun cas, ses
efforts pour coopérer avec la CNPD ne devraient cependant justifier une quelconque sanction.

Elle réfute ensuite la conclusion de la CNPD selon laquelle sa notice sur les publicités
basées sur les centres d'intérêts pourrait amener les personnes concernées à croire qu'elle ne
traiterait aucune donnée personnelle et ne les partagerait pas avec des tiers. En effet, la notice
litigieuse fournirait des indications claires sur les types de données qu’elle utiliserait (utilisation
des sites, du contenu ou des services d'(AA)), respectivement n’utiliserait pas (nom et email),
et indiquerait, de manière transparente qu'elle travaillerait avec des tiers (des annonceurs, des
éditeurs, des réseaux sociaux, des moteurs de recherche et des sociétés de publication
d'annonces, des sociétés publicitaires intervenant en leur nom propre pour améliorer la
pertinence des publicités présentées) pouvant utiliser des cookies afin d’obtenir l'adresse IP
d'un client.

Contrairement à l’affirmation contenue dans la décision déférée du 15 juillet 2021,
selon laquelle elle n'aurait pas fourni suffisamment d'informations sur la logique sous-tendant
son utilisation des données à caractère personnel pour afficher des PBI et sur les conséquences
de ce traitement, la demanderesse affirme fournir des informations claires afin que les clients
ne seraient pas « pris par surprise », alors que sa notice sur les publicités basées sur les centres
d'intérêts indiquerait expressément qu’elle évaluerait les types de produits ou de services qu'un
client visite et lui présenterait des annonces pour des produits similaires ou liées à ces produits
ou services. Par ailleurs, il ne serait pas clair quelles informations supplémentaires la CNPD
attendrait qu'elle devrait inclure dans ses notices, surtout qu’en vertu de l’article 14 du RGPD
de telles informations ne seraient à fournir que lorsque les données ne seraient pas collectées
auprès de la personne concernée, ce qui ne serait pas le cas en l’espèce.

Quant au reproche selon lequel elle n'informerait pas les personnes concernées sur les
catégories de tiers recevant des données dans le cadre du processus RTB et sur les
conséquences pour lesdites personnes, de sorte qu’il lui appartiendrait d’expliquer ledit
processus afin de s'assurer que les personnes concernées ne seraient pas surprises par le
traitement en question, la société (AA) se réfère encore à sa notice sur les publicités basées sur
les centres d'intérêt qui préciserait expressément, d’une part, qu'elle travaillerait avec « des
tiers, comme des annonceurs, des éditeurs, des réseaux sociaux, des moteurs de recherche et
des sociétés de publication d'annonces, mais également avec des sociétés publicitaires
intervenant en leur nom propre pour améliorer la pertinence des publicités que nous
présentons » et, d’autre part, que lesdits tiers pourraient des fois utiliser des cookies « lorsqu'ils
livrent un contenu, incluant des publicités, directement dans votre navigateur ou appareil et,
dans ce cas, ils peuvent automatiquement recevoir votre adresse IP. Ils peuvent également

utiliser des cookies pour mesurer l'efficacité de leurs publicités, vous montrer un contenu
publicitaire plus pertinent et fournir des services au nom d'(AA). ». La demanderesse en conclut
que les catégories de tiers recevant des données à caractère personnel dans le cadre de la PBI
seraient décrites dans un langage transparent, concis, simple et compréhensible, de sorte à
éviter toute surprise dans le chef des personnes concernées et sans qu’il ne soit nécessaire
d’utiliser des termes techniques pour expliquer le mécanisme de la PBI et plus particulièrement
du RTB.

Par ailleurs, la demanderesse critique encore la décision litigieuse pour avoir exigé que
ses notices d'information devraient fournir davantage de détails sur les transferts des données
à caractère personnel à des tiers situés en dehors de l'Union européenne, y compris des détails
sur les destinataires, les pays de destination, les garanties appropriées en place et la manière
d'en obtenir une copie, alors que les informations requises seraient clairement fournies dans
lesdites notices. De plus, le RGPD n’exigerait pas des responsables du traitement d’identifier
chaque destinataire de données à caractère personnel situé en dehors de l'espace économique
européen, ni les pays de destination, mais uniquement d’indiquer leur intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale et de se référer soit aux décisions d'adéquation de la Commission européenne,
soit aux garanties appropriées ou adaptées, ainsi que les moyens d'en obtenir une copie ou
l'endroit où elles auraient été mises à disposition, informations que la demanderesse fournirait.
La société (AA) insiste encore sur la circonstance que ses clients pourraient, en tout état de
cause, s'opposer complètement aux transferts de données à caractère personnel à des fins de
PBI en utilisant le mécanisme d'opt-out mis à leur disposition.

En ce qui concerne le reproche retenu dans la décision litigieuse au sujet des durées de
conservation pour les données à caractère personnel traitées par la demanderesse, cette dernière
argumente que puisqu’elle fournirait régulièrement des services nouveaux et mis à jour et que
les durées de conservation varieraient en fonction du service et de la fonctionnalité spécifiques,
il serait impossible et peu utile pour les clients de se voir fournir des détails sur les durées de
conservation pour chaque élément de données traité pour chacune des finalités énoncées dans
la notice « protection de vos informations personnelles ». Ainsi, la demanderesse estime qu'il
aurait été plus approprié de fournir, dans ladite notice, des détails sur les critères utilisés pour
déterminer les durées de conservation pertinentes, conformément à l'article 13, paragraphe (2),
a) du RGPD.

Quant à l’exigence pour les responsables du traitement de fournir aux clients des
informations sur les « catégories » de données à caractère personnel obtenues de sources autres
que directement auprès des personnes concernées, la demanderesse soutient que l’article 14,
paragraphe (1), d) du RGPD n'exigerait pas la fourniture d’un inventaire de chaque élément de
données, liste qui serait, par ailleurs, dans son cas concret, impossible à consulter facilement
par les clients et ne répondrait partant pas à l'exigence primordiale de concision.

La demanderesse fait finalement valoir qu’elle indiquerait, de manière suffisante au
sens de l’article 14, paragraphe (2), f) du RGPD, les sources des données à caractère personnel,
alors que ses notices d’information préciseraient qu’elle obtiendrait de telles données auprès
de tiers. Sur base de la prémisse que les informations à fournir aux personnes concernées par
le traitement de leurs données personnelles devraient être présentées de manière concise,
transparente et compréhensible, dans un langage clair et simple, la demanderesse aurait estimé
qu'il ne serait pas utile pour les personnes concernées de voir une liste de noms de tiers, laquelle

pourrait par ailleurs, prêter à confusion. Ainsi, la CNPD n’aurait pas valablement pu exiger
qu’elle identifierait ses sources de manière spécifique dans ses notices d'information.

Dans son mémoire en réplique, la société (AA), tout en réfutant l’analyse opérée par la
CNPD dans le cadre de son mémoire en réponse qui ne ferait que reprendre en grande partie
les allégations de la décision déférée, insiste sur la circonstance que ses notices d’information
seraient concises, compréhensibles, transparentes et aisément accessibles à partir du pied de
page de presque toutes les pages des Boutiques (AA). Elle en conclut qu’aucune violation des
articles 12 à 14 du RGPD ne saurait lui être reprochée, de sorte que la décision litigieuse serait
à réformer de ce chef.

La CNPD conclut au rejet de l’argumentation de la demanderesse relative à l’absence
de violation, dans son chef, des articles 12 à 14 du RGPD et sollicite que la décision déférée
soit confirmée sur ce point.

Le tribunal doit, tout d’abord, relever qu’en vertu de l’article 12 du RGPD, « Le
responsable du traitement prend des mesures appropriées pour fournir toute information visée
aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à
22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon
concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples,
en particulier pour toute information destinée spécifiquement à un enfant. Les informations
sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie
électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être
fournies oralement, à condition que l'identité de la personne concernée soit démontrée par
d'autres moyens. »

Aux termes de l’article 13 du RGPD « 1. Lorsque des données à caractère personnel
relatives à une personne concernée sont collectées auprès de cette personne, le responsable du
traitement lui fournit, au moment où les données en question sont obtenues, toutes les
informations suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel
ainsi que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts
légitimes poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère
personnel, s'ils existent ; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par
la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article
49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou
adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à
disposition.

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit
à la personne concernée, au moment où les données à caractère personnel sont obtenues, les

informations complémentaires suivantes qui sont nécessaires pour garantir un traitement
équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;
b) l'existence du droit de demander au responsable du traitement l'accès aux données
à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation
du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement
et du droit à la portabilité des données ;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article
9, paragraphe 2, point a), l'existence du droit de retirer son consentement à tout
moment, sans porter atteinte à la licéité du traitement fondé sur le consentement
effectué avant le retrait de celui-ci ;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle
conditionne la conclusion d'un contrat et si la personne concernée est tenue de
fournir les données à caractère personnel, ainsi que sur les conséquences
éventuelles de la non-fourniture de ces données ;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à
l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles
concernant la logique sous-jacente, ainsi que l'importance et les conséquences
prévues de ce traitement pour la personne concernée.

3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont
été collectées, le responsable du traitement fournit au préalable à la personne concernée des
informations au sujet de cette autre finalité et toute autre information pertinente visée au
paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la
personne concernée dispose déjà de ces informations. ».

Finalement, l’article 14 du RGPD dispose que « 1. Lorsque les données à caractère
personnel n'ont pas été collectées auprès de la personne concernée, le responsable du
traitement fournit à celle-ci toutes les informations suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel
ainsi que la base juridique du traitement ;
d) les catégories de données à caractère personnel concernées ;
e) le cas échéant, les destinataires ou les catégories de destinataires des données à
caractère personnel ;
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel à un destinataire dans un pays tiers ou
une organisation internationale, et l'existence ou l'absence d'une décision
d'adéquation rendue par la Commission ou, dans le cas des transferts visés à
l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence

aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou
l'endroit où elles ont été mises à disposition.

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit
à la personne concernée les informations suivantes nécessaires pour garantir un traitement
équitable et transparent à l'égard de la personne concernée :

a) la durée pendant laquelle les données à caractère personnel seront conservées ou,
lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
b) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts
légitimes poursuivis par le responsable du traitement ou par un tiers ;
c) l'existence du droit de demander au responsable du traitement l'accès aux données
à caractère personnel, la rectification ou l'effacement de celles-ci, ou une
limitation du traitement relatif à la personne concernée, ainsi que du droit de
s'opposer au traitement et du droit à la portabilité des données ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur
l'article 9, paragraphe 2, point a), l'existence du droit de retirer le consentement à
tout moment, sans porter atteinte à la licéité du traitement fondé sur le
consentement effectué avant le retrait de celui-ci ;
e) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
f) la source d'où proviennent les données à caractère personnel et, le cas échéant,
une mention indiquant qu'elles sont issues ou non de sources accessibles au
public ;
g) l'existence d'une prise de décision automatisée, y compris un profilage, visée à
l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles
concernant la logique sous-jacente, ainsi que l'importance et les conséquences
prévues de ce traitement pour la personne concernée. (…) ».

Il ressort des dispositions légales qui précèdent que le responsable du traitement doit
fournir aux personnes dont les données à caractère personnel sont collectées et traitées un
certain nombre d’informations, et ce de manière concise, transparente, compréhensible et
aisément accessible, tant lorsque les données sont collectées directement auprès desdites
personnes que lorsque elles ne le sont pas, obligations qui, tel que relevé à juste titre par la
CNPD et, par ailleurs, précisé dans l’avis WP260 du groupe article 29 portant sur la
transparence au sens du RGPD, adopté le 29 novembre 2017 et approuvé par le CEPD le 25
mai 2018, ci-après désigné par « l’avis WP260 », s’intègrent dans le principe plus général de
loyauté et de transparence de l’article 5 du RGPD, respectivement dans celui d’équité de
l’article 8 de la Charte.

Il y a encore lieu de relever que le RGPD précise, dans ses considérants n° 58 et 60 que
« Le principe de transparence exige que toute information adressée au public ou à la personne
concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes
clairs et simples et, en outre, lorsqu'il y a lieu, illustrée à l'aide d'éléments visuels. Ces
informations pourraient être fournies sous forme électronique, par exemple via un site internet
lorsqu'elles s'adressent au public. Ceci vaut tout particulièrement dans des situations où la
multiplication des acteurs et la complexité des technologies utilisées font en sorte qu'il est
difficile pour la personne concernée de savoir et de comprendre si des données à caractère
personnel la concernant sont collectées, par qui et à quelle fin, comme dans le cas de la
publicité en ligne. (…) », respectivement que « Le principe de traitement loyal et transparent
exige que la personne concernée soit informée de l'existence de l'opération de traitement et de

ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre
information nécessaire pour garantir un traitement équitable et transparent, compte tenu des
circonstances particulières et du contexte dans lesquels les données à caractère personnel sont
traitées. En outre, la personne concernée devrait être informée de l'existence d'un profilage et
des conséquences de celui-ci. Lorsque les données à caractère personnel sont collectées auprès
de la personne concernée, il importe que celle-ci sache également si elle est obligée de fournir
ces données à caractère personnel et soit informée des conséquences auxquelles elle s'expose
si elle ne les fournit pas. Ces informations peuvent être fournies accompagnées d'icônes
normalisées afin d'offrir une bonne vue d'ensemble, facilement visible, compréhensible et
clairement lisible, du traitement prévu. Lorsque les icônes sont présentées par voie
électronique, elles devraient être lisibles par machine. ».

Le tribunal doit, tout d’abord, constater que la CNPD, dans le cadre de la décision
litigieuse, s’est fondée sur les documents suivants, dans leur version en vigueur le 9 octobre
2018, afin d’examiner si les informations fournies par la société (AA) aux personnes dont elle
traite les données à caractère personnel répondent aux exigences des articles 12 à 14 du RGPD :

− La page « Notice : Protection de vos informations personnelles » ;
− La page « Cookies »;
− La page « Annonces basées sur vos centres d'intérêt » ;
− La page « Préférences pour les publicités sur (AA) » ;
− La rubrique d'aide et service client « sécurité et confidentialité » ;
− La page « Cookies des tiers ».

Or, la demanderesse n’a soumis à l’analyse du tribunal que les pièces suivantes, et plus
particulièrement (i) un document intitulé « (AA).fr Notice : Protection de vos informations
personnelles 2018.05.22 », (ii) un document intitulé « (AA).fr Notice : Protection de vos
informations personnelles 2021.02-24 », (iii) un document intitulé « (AA).fr Cookies
2018.05.23 », (iv) un document intitulé « (AA).fr Cookies 2020.09.09 », ainsi que (v) un
document intitulé « (AA).fr Annonces basées sur vos centres d’intérêt 2018.05.23 », étant
encore précisé que les documents (iii) et (iv) relatifs aux cookies ne sont pas à prendre en
considération dans le cadre du présent litige, alors que la question relative au procédé
informatique des cookies a été expressément exclue du champ de la décision déférée du 15
juillet 2021, de sorte à ne pas faire l’objet du recours sous examen.

Il y a finalement lieu de rappeler que dans le cadre d'un recours en réformation, le
tribunal est amené à considérer les éléments de fait et de droit de la cause au moment où il
statue, en tenant compte des changements intervenus depuis la décision litigieuse52.

Il échet ensuite de relever que la société (AA) a finalement déposé le 21 décembre 2023
au greffe du tribunal administratif un document établi par ses propres soins et intitulé
« Récapitulatif des modifications apportées au traitement de données à caractère personnel
par (AA) (« (AA) ») à des fins de publicité basée sur les intérêts (« PBI ») », dans le cadre
duquel elle indique qu’à partir de « Décembre 2020 : (AA) met à jour sa notice d'information
pour indiquer plus clairement qu'(AA) s'appuie sur ses intérêts commerciaux légitimes et sur
les intérêts de ses clients pour afficher de la PBI. La notice d'information (telle qu'applicable
aujourd'hui) est disponible à l'adresse

52
Trib. adm., 15 juillet 2004, n° 18353 du rôle, Pas. adm. 2023, V° Recours en reformation, n° 19 et les autres
références y citées.

https://www.(AA).fr/gp/help/customer/display.html?nodeId=201909010&ref=footer_privacy.
», étant précisé, d’une part, que la note de bas de page n°3 y indiqué fait référence au document
intitulé « (AA).fr Notice : Protection de vos informations personnelles 2021.02 24 », ainsi
qu’aux paragraphes 93 du recours, ainsi que 306 et 307 du mémoire en réplique, et, d’autre
part, que la demanderesse n’a pas directement soumis au tribunal la prédite notice, de sorte à
mettre ce dernier dans l’impossibilité de pouvoir en déterminer avec exactitude la version
temporellement applicable, de même qu’elle n’a pas pris position, d’une quelconque manière,
par rapport à celle-ci dans le cadre de son recours, respectivement dans le cadre de son mémoire
en réplique, voire lors de l’audience des plaidoiries. Il s’ensuit que le tribunal ne prendra pas
en considération cet élément, lequel n’a, pour le surplus, pas fait l’objet d’un quelconque débat
contradictoire, alors qu’il doit être considéré comme étant simplement suggéré sans être
effectivement soutenu, étant rappelé qu’il n’appartient pas au tribunal de suppléer la carence
des parties en recherchant lui-même les moyens juridiques et factuels qui auraient pu se trouver
à la base de leurs conclusions.

Le tribunal doit ensuite constater que la CNPD, tant dans le cadre de la décision déférée
du 15 juillet 2021 que dans son mémoire en réponse, a, de manière précise, circonstanciée et
exhaustive, décrit les manquements de la société (AA), en ce qui concerne ses obligations
découlant des articles 12 à 14 du RGPD, en détaillant pour chaque type de manquement les
articles du RGPD correspondant, ainsi que les passages pertinents de l’avis WP260, tout en
prenant également en considération les modifications apportées par la demanderesse à ses
notices en cours de procédure, modifications qu’elle qualifia cependant, à bon droit,
d’insuffisantes pour pouvoir retenir, en l’espèce, le respect des articles, précités, du RGPD.

Ainsi, le tribunal doit plus particulièrement constater, en ce qui concerne, tout d’abord,
le reproche relatif au format choisi des notices d’informations, que la CNPD a, à bon droit,
retenu que lesdites notices ne sont pas conformes aux exigences de l’article 12 du RGPD, dans
la mesure où elles ne sont pas accessibles, dans un endroit unique, respectivement, dans un
document unique,53 alors que les internautes se trouvent confrontés à au moins trois documents
distincts, en l’occurrence des notices sur la protection des informations personnelles, sur les
cookies, ainsi que sur les annonces basées sur les centres d’intérêts, sans qu’il ne ressort des
éléments valablement soumis à l’analyse du tribunal que lesdites notices aient été,
respectivement soient actuellement consultables directement sur une seule page internet, tel
que notamment par le biais d’une notice présentant plusieurs niveaux (« layered privacy
statements/notices »54).

La demanderesse reste pareillement en défaut d’indiquer, dans ses notices, que la
collecte et le traitement de données à caractère personnel tels qu’elle les effectue dans le cadre
de la PBI, ont pour base légale l’intérêt légitime au sens de l’article 6, paragraphe (1), f) du
RGPD, et d’en préciser la teneur exacte, la simple indication que « les annonceurs tiers ou les
sociétés de publicité ... peuvent ... mesurer l'efficacité de leurs publicités, vous montrer un
contenu publicitaire plus pertinent, et fournir des services au nom d'(AA) » étant insuffisante
pour renverser ce constat, dans la mesure où elle ne précise pas les différents intérêts légitimes
en cause, tels que le tribunal vient de les retenir dans le cadre de la première étape d’évaluation
des conditions de l’article 6, paragraphe (1), f) du RGPD. Le même constat doit s’imposer
concernant la mise à jour de la notice : Protection de vos informations personnelles, dans sa
version du 24 février 2021, qui ne fait que mentionner, sans autre précision, « nos intérêts

53
Paragraphe 17 de l’avis WP260.
54
Paragraphes 17 et 35 à 37 de l’avis WP260.

commerciaux légitimes et les intérêts de nos clients (…) lorsque nous vous fournissons des
publicités basées sur vos centres d’intérêts ». La CNPD a partant, à bon droit, pu retenir une
violation des articles 13, paragraphe (1) d), ainsi que 14, paragraphe (2), b) du RGPD.

Le tribunal doit encore constater, nonobstant le constat que la formulation de certains
passages55 de la notice relative à la PBI peuvent amener à la conclusion que la demanderesse
ne traite pas de données à caractère personnelle, que la demanderesse reste en défaut de fournir,
dans ses notices, des informations claires et précises quant à l’opération de profilage des
personnes dont elle collecte et traite les données à caractère personnel, respectivement quant
aux conséquences de ce traitement, alors même que le groupe article 29, aux paragraphes 10 et
43 de son avis WP260, a expressément précisé la nécessité de fournir de telles indications dans
le cadre des obligations pesant sur le responsable du traitement en vertu des articles 13 et 14
du RGPD.

Dans un même ordre d’idées, les notices soumises à l’analyse du tribunal ne fournissent
aucune indication précise quant aux destinataires ou les catégories de destinataires des données
à caractère personnel, dans le cadre du RTB, - mécanisme dont le fonctionnement ne fait pas
non plus l’objet d’une quelconque mention, voire description dans les prédites notices - alors
même qu’une telle obligation pèse sur la société (AA) en vertu des articles 13, paragraphe (1),
e) et 14, paragraphe (1), e) du RGPD et que l’avis WP260 précise expressément à ce sujet que
« (…) The actual (named) recipients of the personal data, or the categories of recipients, must
be provided. In accordance with the principle of fairness, controllers must provide information
on the recipients that is most meaningful for data subjects. In practice, this will generally be
the named recipients, so that data subjects know exactly who has their personal data. If
controllers opt to provide the categories of recipients, the information should be as specific as
possible by indicating the type of recipient (i.e. by reference to the activities it carries out), the
industry, sector and sub-sector and the location of the recipients. (…) »56, l’indication selon
laquelle les données personnelles sont transmises à des annonceurs, des éditeurs, des réseaux
sociaux, des moteurs de recherche, des sociétés de publication d’annonces, respectivement à
des sociétés publicitaires intervenant en leur nom propre étant manifestement insuffisante à cet
égard.

La même conclusion est à retenir quant à la mention relative au transfert des données
personnelles à des tiers situés en dehors de l’espace économique européen, obligations issues
des articles 13, paragraphe (1), f) et 14, paragraphe (1), f) du RGPD, dans la mesure où la
société (AA) se limite à s’assurer « (…) que ces informations sont transférées en conformité
avec la présente Notice et en application des lois applicables à la protection des données
personnelles »57, alors même que l’avis WP260 précise notamment que « (…) In accordance
with the principle of fairness, the information provided on transfers to third countries should

55
Page 1 de la notice « Annonces basées sur vos centres d’intérêt 2018.05.23 » : « (…) Nous n’utilisons pas des
informations identifiant des personnes physiques, comme le nom ou l’email, afin de présenter des annonces
basées sur vos centres d’intérêt (…) », respectivement « (…) nous ne fournissons pas d’informations identifiant
personnellement des personnes physiques aux annonceurs, ni aux sites tiers qui affichent nos annonces basées
sur vos centres d’intérêt. (…) ».
56
Page 37 de l’avis WP260.
57
Page 4 du document intitulé « (AA).fr Notice : Protection de vos informations personnelles 2018.05.22 », Page
5 du document intitulé « (AA).fr Notice : Protection de vos informations personnelles 2021.02.24 », lequel précise
encore que la demanderesse s’appuie sur les décisions de la Commission européenne en matière d’adéquation,
respectivement sur des contrats assortis de garanties standard publiés par cette dernière.

be as meaningful as possible to date subjects; this will generally mean that the third countries
be named. (…) ».58

Le même constat s’impose encore au tribunal en ce qui concerne l’indication des durées
de conservation des données personnelles collectées et traitées, respectivement des critères
retenus pour déterminer lesdites durées, conformément aux articles 13, paragraphe (2), a) et
14, paragraphe (2), a) du RGPD, étant donné que la seule mention faite par la demanderesse
dans ses notices « Protection de vos informations personnelles 2018.05.22 » et « Protection de
vos informations personnelles 2021.02.24 » consiste à affirmer que les données sont
conservées pour « une durée nécessaire à la réalisation » des finalités pertinentes dans les
conditions décrites dans les prédites notices, respectivement d’obligations légales, formulation
qui est expressément exclue par l’avis WP26059 et qui ne permet, en aucune manière, aux
personnes concernées de déterminer de manière précise une quelconque durée.

Le tribunal doit finalement encore constater, en ce qui concerne les obligations de
l’article 14, paragraphe (1), d) du RGPD quant à l’identification des catégories de données et
qui n’ont pas été collectées auprès de la personne concernée et des sources, que la
demanderesse se limite à indiquer, de manière sommaire, dans sa notice « Annonces basées sur
vos centres d’intérêt 2018.05.23 », collecter des données démographiques auprès de tiers, sans
fournir une quelconque précision quant aux différentes données ainsi concernées et quant aux
tiers concernés. Dans ce contexte, le tribunal doit encore rejeter l’affirmation de la
demanderesse selon laquelle une telle liste serait impossible à consulter facilement, alors que
la société (AA) a pu fournir, à un stade précontentieux, tel que précisé dans le rapport d’audit
du 17 février 2020, de manière précise et concise tant les différentes données démographiques
que les sociétés qui les lui ont transmises.

Il suit de l’ensemble des considérations qui précèdent que l’ensemble de
l’argumentation de la demanderesse relative à la violation retenue dans son chef des articles 12
à 14 du RGPD encourt le rejet pour manquer de fondement, violation qui subsiste toujours à
l’heure actuelle.

En ce qui concerne la violation des articles 15 à 17 du RGPD relatifs au droit d’accès,
au droit de rectification, respectivement au droit d’effacement, la demanderesse argumente que
la CNPD, dans la décision litigieuse, n’aurait pas correctement pris en compte les intérêts et
les risques en cause. La société (AA) insiste, dans ce contexte, sur le fait qu’elle procéderait à
une pseudonymisation de tous les profils publicitaires afin d’empêcher une identification
directe d’une personne. Pour retourner ou modifier ces données, elle devrait les réidentifier, ce
qui serait susceptible de créer un risque pour la vie privée et les intérêts en matière de sécurité
de tous ses clients d'(AA). Elle se prévaut, dans ce contexte, d’une part, de la jurisprudence de
la CJUE, selon laquelle il pourrait être approprié de limiter les droits d'une partie en matière de
protection des données et de la vie privée pour « la protection des droits et libertés d'autrui. »,
et, d’autre part, de l'article 11 du RGPD, selon lequel les responsables du traitement ne seraient
pas tenus de traiter des données à caractère personnel supplémentaires si la seule finalité de ce
traitement serait d'identifier une personne aux fins de répondre à une demande d'accès. Ainsi,
la demanderesse aurait raisonnablement pu considérer qu'elle ne serait pas tenue de procéder à
un tel traitement supplémentaire qu'elle aurait dû faire uniquement pour honorer une telle
demande. Par ailleurs, dans la mesure où elle aurait toujours fourni des attributs clés, tels que

58
Page 38 de l’avis WP260.
59
Ibidem.

notamment les achats récents, les recherches de produits et les informations sur les applications
(AA) téléchargées, utilisés pour afficher des PBI, éléments qu'elle traiterait également dans
d'autres systèmes, elle aurait valablement pu conclure que l'impact réel sur les personnes se
voyant refuser la communication des données restantes pseudonymisées serait faible et serait
en plus justifié par l'importance d'assurer un très haut niveau de sécurité pour les données à
caractère personnel concernées.

La demanderesse réfute encore l’analyse de la CNPD selon laquelle elle serait
susceptible de fournir des informations sur les personnes à d'autres personnes utilisant le même
appareil, conduisant ainsi à une violation des obligations de sécurité, alors que l’argumentation
de la CNPD se baserait sur le droit à la portabilité des données et serait en contradiction avec
l'article 15, paragraphe (4) du RGPD, en vertu duquel le droit d'obtenir une copie des données
personnelles ne devrait pas porter atteinte aux droits et libertés d'autrui. Par ailleurs, l’analyse
de la CNPD suggèrerait également que la nature des données en question ne serait pas
particulièrement sensible ou intrusive, alors qu’il serait, dans le cas contraire, étrange d'exiger
de sa part de fournir des informations d'une personne à une autre.

La société (AA) fait finalement valoir que l’affirmation de la CNPD selon laquelle les
réidentifications suite à une demande d'accès devraient être considérées comme occasionnelles,
de sorte à ce que ce procédé ne saurait être qualifié de systématique et à grande échelle de
manière à mettre en péril le mécanisme de protection de la pseudonymisation, devrait avoir
pour conséquence que le non-respect allégué des demandes de réidentification ne devrait, en
l’espèce, avoir aucune incidence, sinon qu’une très faible incidence.

Dans son mémoire en réplique, la société (AA) insiste sur le caractère erroné de
l’affirmation de la CNPD selon laquelle l'amélioration de la sécurité des données ne saurait
justifier d'empêcher les personnes concernées d'exercer leurs droits, alors que la CJUE aurait
expressément confirmé que le droit à la protection des données, y compris le droit d'accès,
pourrait être limité pour la protection des droits et libertés d'autrui, ce qui inclurait la protection
de leurs droits à la vie privée et la protection des données à caractère personnel en vertu des
articles 7 et 8 de la Charte.

En ce qui concerne encore la question de l’effacement des données pseudonymisées, la
demanderesse explique ne conserver les données à caractère personnel utilisées pour afficher
de la PBI que pendant une durée maximale de 13 mois à compter d'un opt-out. Une telle durée,
conforme aux exigences du principe de limitation de la conservation de l'article 5, paragraphe
(1), (e) du RGPD, n'aurait pas d'incidence substantielle sur les droits, libertés et intérêts des
personnes concernées, alors que le risque de préjudice serait très faible, sinon quasi-nul en
raison de la pseudonymisation des données.

En ce qui concerne la violation de l’article 21 du RGPD relatif à l’insuffisance du
mécanisme d’opt-out, tel que mis en place par la demanderesse, cette dernière fait valoir que
ledit mécanisme serait, au contraire fort et favorable au consommateur, alors que si une
personne refuserait les PBI, celles-ci ne lui seraient plus montrées, ce qui annulerait tous les
impacts négatifs allégués par la CNPD, tel que la circonstance qu'une personne pourrait
autocensurer son comportement par crainte de PBI sur un appareil partagé.

Quant aux critiques plus spécifiques retenues par la CNPD à l'égard des mécanismes
d'opt-out de la demanderesse, tels que plus particulièrement (i) la circonstance que ledit
mécanisme ne couvrirait pas certains traitements, en l’occurrence les recommandations

personnalisées, (ii) le fait que l’exercice du droit d'opposition en matière de PBI ne devrait pas
uniquement se limiter à l'arrêt de tout traitement de données de la personne concernée pour des
finalités de publicité et, (iii) le fait que le mécanisme de l'opt-out devrait être fourni avant que
le traitement n'ait lieu, la demanderesse soutient, tout d’abord, que l’article 21, paragraphes (2)
et (5) du RGPD n'exigerait pas, de sa part, de fournir un seul « interrupteur » général pour tous
les opérations de traitement et couvrant les e-mails marketing, les recommandations
personnalisées, le courrier postal et la PBI, tout en précisant que ses « opt-out granulaires »
seraient plus respectueux des choix et désirs du consommateur qui pourrait ainsi opter de ne
recevoir que certains types de publicité.

Quant à la critique de la CNPD selon laquelle le droit d'opposition à recevoir de la
publicité comportementale devrait pouvoir être exercé avant que le traitement n'ait lieu, la
demanderesse insiste sur le fait que l'article 21 du RGPD n’exigerait qu'une mise à disposition
de l'opt-out « à tout moment », ce qui serait le cas en l’espèce, alors que l'opt-out se trouverait
sur son site internet public, accessible indifféremment aux clients et aux non-clients avant,
pendant et après la création d’un compte (AA). Par ailleurs, chaque publicité de sa part affichée
sur les sites d'éditeurs tiers, serait accompagnée d'une icône « AdChoices » permettant (i)
d’accéder à son mécanisme d'opt-out, (ii) de garantir sa transparence quant à l'identité de la
personne affichant la publicité en question et (ii) de fournir ses informations de transparence
directement à ses clients, contrairement à ce que feraient d’autres sociétés renvoyant à une page
générique leur permettant de refuser la PBI de diverses entreprises.

La demanderesse fait finalement valoir que son mécanisme d'opt-out serait
concrètement plus facile d'accès et plus complet que ceux d'autres fournisseurs, alors qu’il
suffirait de deux clics pour y accéder à partir de presque toutes les pages de ses boutiques.

Dans son mémoire en réplique, la société (AA), tout en réitérant son argumentation
relative à l’absence d’exigence, de la part de l’article 21 du RGPD, d’un seul « interrupteur »
pour tous les types de marketing direct, respectivement de proposer un opt-out avant que le
traitement n'ait lieu, soutient encore honorer le choix de l'opt-out d'un client lorsqu'elle aurait
pu reconnaître un appareil comme étant lié à un compte pour lequel un client connecté aurait
utilisé l'opt-out et s’assurer que sa page Préférences Publicitaires reflèterait ce choix concernant
l'opt-out qu'un client a effectué lorsqu'il était connecté. Elle réfute ainsi la critique de la CNPD
selon laquelle la page Préférences Publicitaires pourrait indiquer qu'un client resterait inscrit à
la PBI dans le cas où il aurait utilisé l'opt-out, puis se connecterait à partir d'un nouvel appareil
ou du même appareil après avoir supprimé les cookies du navigateur.

Tout en rappelant le fait que ne pas supprimer les données immédiatement après un
opt-out n'aurait pas d'impact tangible sur les personnes concernées, respectivement qu’elle
s'appuierait, en tant que base légale, sur le consentement de la personne concernée pour afficher
de la PBI sur des sites tiers dans quasiment tous les cas, la demanderesse insiste finalement sur
la circonstance qu’elle n'afficherait pas de PBI sur base des données relatives aux clients qu'elle
aurait collectées sur des sites de médias sociaux tiers ou des moteurs de recherche, lorsque les
clients se seraient opposés à l'affichage de PBI sur la page des Préférences Publicitaires, opt-out
qui s’imposerait également à ses sous-traitants, en l’occurrence les fournisseurs de médias
sociaux et de moteurs de recherche, en vertu de leurs obligations contractuelles.

La CNPD conclut au rejet des moyens de la demanderesse en ce qui concerne la
violation des articles 15 à 17 et 21 du RGPD retenue dans le chef de cette dernière, pour
manquer de fondement.

Il y a, tout d’abord, lieu de relever que le droit d’accès des personnes concernées à leurs
données à caractère personnel collectées et traitées par le responsable du traitement découle de
l’article 15 du RGPD en vertu duquel « 1. La personne concernée a le droit d'obtenir du
responsable du traitement la confirmation que des données à caractère personnel la
concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à
caractère personnel ainsi que les informations suivantes :
a) les finalités du traitement
b) les catégories de données à caractère personnel concernées ;
c) les destinataires ou catégories de destinataires auxquels les données à
caractère personnel ont été ou seront communiquées, en particulier les
destinataires qui sont établis dans des pays tiers ou les organisations
internationales ;
d) lorsque cela est possible, la durée de conservation des données à caractère
personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour
déterminer cette durée ;
e) l'existence du droit de demander au responsable du traitement la rectification
ou l'effacement de données à caractère personnel, ou une limitation du
traitement des données à caractère personnel relatives à la personne concernée,
ou du droit de s'opposer à ce traitement ;
f) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
g) lorsque les données à caractère personnel ne sont pas collectées auprès de la
personne concernée, toute information disponible quant à leur source ;
h) l'existence d'une prise de décision automatisée, y compris un profilage, visée à
l'article 22, paragraphes 9 et 4, et, au moins en pareils cas, des informations
utiles concernant la logique sous-jacente, ainsi que l'importance et les
conséquences prévues de ce traitement pour la personne concernée.

2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à
une organisation internationale, la personne concernée a le droit d'être informée des garanties
appropriées, en vertu de l'article 46, en ce qui concerne ce transfert.

3. Le responsable du traitement fournit une copie des données à caractère personnel
faisant l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de frais
raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par
la personne concernée. Lorsque la personne concernée présente sa demande par voie
électronique, les informations sont fournies sous une forme électronique d'usage courant, à
moins que la personne concernée ne demande qu'il en soit autrement.

4. Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et
libertés d'autrui. »

Dans ce contexte, il y a encore lieu de se référer au considérant 63 du RGPD qui précise
qu' « une personne concernée devrait avoir le droit d'accéder aux données à caractère
personnel qui ont été collectées à son sujet et d'exercer ce droit facilement et à des intervalles
raisonnables, afin de prendre connaissance du traitement et d'en vérifier la licéité. (...) En
conséquence, toute personne concernée devrait avoir le droit de connaître et de se faire
communiquer, en particulier, les finalités du traitement des données à caractère personnel, si
possible la durée du traitement de ces données à caractère personnel, l'identité des
destinataires de ces données à caractère personnel, la logique qui sous-tend leur éventuel

traitement automatisé et les conséquences que ce traitement pourrait avoir, au moins en cas
de profilage. Lorsque c'est possible, le responsable du traitement devrait pouvoir donner
l'accès à distance à un système sécurisé permettant à la personne concernée d'accéder
directement aux données à caractère personnel la concernant. (...). »

Force est au tribunal de constater que la société (AA) a, dans un premier temps, refusé
de réserver une suite aux demandes d’accès lui adressées au motif qu’elle aurait protégé des
données personnelles collectées et traitées dans le cadre de la PBI par le biais de leur
pseudonymisation et qu’une réidentification desdites données ainsi protégées nécessiterait le
traitement d’informations supplémentaires, ce qui se heurterait à l’article 11, paragraphe (1) du
RGPD aux termes duquel « Si les finalités pour lesquelles des données à caractère personnel
sont traitées n'imposent pas ou n'imposent plus au responsable du traitement d'identifier une
personne concernée, celui-ci n'est pas tenu de conserver, d'obtenir ou de traiter des
informations supplémentaires pour identifier la personne concernée à la seule fin de respecter
le présent règlement. ». Or, tel que relevé à juste titre par la CNPD, le procédé de la PBI impose
nécessairement une identification continue des équipements terminaux afin de pouvoir les
cibler avec des offres publicitaires personnalisées, de sorte que la demanderesse ne pouvait pas
valablement se baser sur l’article 11, paragraphe (1) du RGPD, lequel pose comme prémisse
de base l’absence de nécessité d’identifier une personne concernée, pour refuser, d’une part,
de procéder à une réidentification des données personnelles pseudonymisées et, d’autre part,
de faire suite à une demande d’accès des personnes concernées à leur profil publicitaire.

Le constat de la violation de l’article 15 du RGPD n’est pas remis en cause par
l’approche de la demanderesse consistant à ne fournir que certains attributs-clés, suite à une
demande d'accès aux données. Ainsi, la demanderesse a précisé, dans le cadre de sa prise de
position du 20 août 2020, que « (…) notre système centralisé de demande d'accès des
personnes concernées collecte les données personnelles des systèmes, bases de données et
services d'(AA) pour y répondre. Ce faisant, le système s'appuie sur de nombreux services et
activités sur lesquels le profil publicitaire est construit. (...) En outre, la plupart des
informations que nous utilisons pour créer ou améliorer un profil d'annonce sont également
disponibles pour les clients instantanément, à la demande (et ce depuis de nombreuses années)
via la fonction « Mon compte » des paramètres de leur compte (AA) en ligne. Les clients
peuvent afficher les articles de leur historique de commandes via les paramètres de leur
compte (…) »60, ce qui est insuffisant pour conclure au respect, par la société (AA), de l’article
15, précité, du RGPD qui exige la communication de l’ensemble des données à caractère
personnel collectées et traitées, ainsi que notamment les finalités du traitement, les destinataires
ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront
communiquées et la durée de conservation desdites données.

Bien que la société (AA) ait adopté des mesures complémentaires lors de la procédure
précontentieuse en qui concerne le droit d’accès aux profils établis à des fins de PBI, en
l’occurrence de communiquer les données correspondantes aux équipements terminaux
authentifiées, le tribunal doit constater que la demanderesse reste toujours en défaut de se
conformer aux obligations s’imposant à elle en vertu de l’article 15 du RGPD, alors qu’il est
constant en cause pour ne pas être contesté par les parties que la société (AA) reste toujours en
défaut de réserver une suite aux demandes d’accès lui adressées par des équipements terminaux
non authentifiées, alors même qu’il ressort des explications circonstanciées de la cause et non
remis en doute par la demanderesse, qu’une identification de tels équipements est possible, et

60
Paragraphes 161 et 163 de la prise de position de la société (AA) du 20 août 2020.

est, par ailleurs, effectuée par la société (AA) alors qu’elle cible lesdits équipements avec de la
PBI sur base de profils publicitaires établies avec les données ainsi collectées par le biais du
procédé technique des cookies, lequel constitue notamment un élément d’identification d’un
équipement terminal.

Il suit des considérations qui précèdent que la CNPD a, à juste titre, pu retenir une
violation, dans le chef de la société (AA), de l’article 15 du RGPD, ainsi que, corrélativement,
de l’article 16 du RGPD relatif au droit de rectification aux termes duquel « La personne
concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la
rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu
des finalités du traitement, la personne concernée a le droit d'obtenir que les données à
caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration
complémentaire. », dans la mesure où la demanderesse, en ne permettant pas d’accès aux
données personnelles collectées et traitées dans le cadre de la PBI conforme à l’article 15 du
RGPD, empêche les personnes concernées de connaître avec précision et exactitude lesdites
données et le contenu du profil publicitaire établi sur base de ces dernières, de sorte à les mettre
nécessairement dans l’impossibilité de solliciter une quelconque rectification d’éléments leurs
inconnus.

Il y a finalement lieu de relever que la violation de l’article 16 du RGPD subsiste
toujours à l’heure actuelle, alors qu’il ressort des éléments soumis à l’analyse du tribunal, et
plus particulièrement du document déposé par la société (AA) au greffe du tribunal
administratif le 21 décembre 2023 et intitulé « Récapitulatif des modifications apportées au
traitement de données à caractère personnel par (AA) (« (AA) ») à des fins de publicité basée
sur les intérêts (« PBI ») », dans le cadre duquel elle indique qu’à partir de juillet 2023 elle
aurait permis à ses « (…) clients d’influencer les publicités qu’ils voient en mettant à jour
(c’est-à-dire en rectifiant) leurs intérêts ainsi que d’autres information », tout en fournissant
une capture d’écran y relative, que les possibilités pour les personnes concernées de modifier
les données collectées et traitées dans le cadre de la PBI se limitent à leurs « centres
d’intérêts », bien qu’il soit précisé dans la capture d’écran versée par la demanderesse que
lesdites personnes pourraient mettre « (…) à jour les paramètres concernant vos centres
d’intérêts et vos informations démographiques. (…) ». Il échet en effet de constater que sur la
page internet ayant fait l’objet de la prédite capture d’écran, ne figure aucune rubrique relative
à des données démographiques par rapport auxquelles les personnes concernées pourraient
exercer leur droit de rectification.

En ce qui concerne les défaillances reprochées à la demanderesse quant au droit
d’opposition, ainsi que quant au droit à l’effacement dans le chef des personnes dont elle
collecte et traite les données à caractère personnel, il y a, tout d’abord, lieu de relever qu’en
vertu de l’article 21 du RGPD « 1. La personne concernée a le droit de s'opposer à tout
moment, pour des raisons tenant à sa situation particulière, à un traitement des données à
caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris
un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données
à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux
pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne
concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.

2. Lorsque les données à caractère personnel sont traitées à des fins de prospection, la
personne concernée a le droit de s'opposer à tout moment au traitement des données à

caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans
la mesure où il est lié à une telle prospection.

3. Lorsque la personne concernée s'oppose au traitement à des fins de prospection, les
données à caractère personnel ne sont plus traitées à ces fins. », et qu’aux termes de l’article
17 du RGPD « 1. La personne concernée a le droit d'obtenir du responsable du traitement
l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le
responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les
meilleurs délais, lorsque l'un des motifs suivants s'applique : (…)

c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1,
et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée
s'oppose au traitement en vertu de l'article 21, paragraphe 2 ;

2. Lorsqu'il a rendu publiques les données à caractère personnel et qu'il est tenu de les
effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies
disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d'ordre
technique, pour informer les responsables du traitement qui traitent ces données à caractère
personnel que la personne concernée a demandé l'effacement par ces responsables du
traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou
reproduction de celles-ci.

3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est
nécessaire :

a) à l'exercice du droit à la liberté d'expression et d'information ;

b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de
l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis, ou
pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont
est investi le responsable du traitement ;

c) pour des motifs d'intérêt public dans le domaine de la santé publique, conformément
à l'article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3;

d) à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou
historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, dans la mesure
où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre
gravement la réalisation des objectifs dudit traitement; ou

e) à la constatation, à l'exercice ou à la défense de droits en justice. ».

Il y a, tout d’abord, lieu de rappeler qu’un acte administratif individuel, et plus
particulièrement celui qui est de nature à faire grief soit à son destinataire soit à de tierces
personnes, bénéficie de la présomption de légalité ainsi que de conformité par rapport aux
objectifs de la loi sur base de laquelle il a été pris, de sorte qu'il appartient à celui qui prétend
subir un préjudice ou des inconvénients non justifiés du fait de l'acte administratif en question,
et qui partant souhaite le voir réformer ou annuler en vue d'obtenir une situation de fait qui lui
est plus favorable, d'établir concrètement en quoi l'acte administratif en question viole une règle

fixée par une loi ou un règlement grand-ducal d'application61, respectivement en l’occurrence
d’un règlement communautaire, de sorte qu’il appartient, en l’espèce, à la partie demanderesse
de rapporter la preuve concrète que les mécanismes informatiques mises en place par ses soins
sont conformes aux exigences des articles 17 et 21 du RGPD, étant rappelé qu’il n’appartient
pas au tribunal de pallier la carence des plaideurs dans la présentations de leurs moyens.

Sur base de cette considération, le tribunal doit constater que la demanderesse s’est
limitée à réfuter, sans fournir la moindre explication, respectivement le moindre élément
probant dans ce contexte, la critique de la CNPD selon laquelle le mécanisme d’opt-out, tel que
mis en place par ses soins, ne retient pas le choix de l’opt-out exercé par la personne concernée,
dans la mesure où si cette dernière exerce ledit droit, puis se déconnecte et se reconnecte sur
un autre dispositif ou se reconnecte sur le même dispositif après avoir supprimé les cookies
existants, la page internet « Préférences pour les publicités sur (AA) » de la personne en
question indique à nouveau que celle-ci souhaite recevoir de la PBI.

La partie demanderesse ne doit finalement pas être suivie dans son argumentation, non
autrement étayée par des éléments probants soumis à l’analyse du tribunal, que son mécanisme
d’opt-out mis à disposition - tant directement à travers sa page internet relative aux préférences
publicitaires que par le biais de l’icône « AdChoices » figurant sur les espaces publicitaires
utilisés pour afficher sa PBI et renvoyant à la prédite page internet - des personnes dont les
données personnelles sont collectées et traitées pour leur présenter de la PBI serait « fort et
favorable » pour ces dernières, respectivement qu’elles pourraient davantage profiter de
mécanismes « d’opt-out granulaires », plus respectueux de leurs choix et désirs qu’un
« interrupteur général ». Dans ce contexte, la CNPD a valablement pu faire valoir que
l’accessibilité du mécanisme d’opt-out par le biais de l’icône « AdChoices » ne répond pas aux
exigences de l’article 21 du RGPD62, dans la mesure où, mis à part la circonstance que ladite
icône est de taille très réduite, elle ne renseigne pas, à première vue, sur la possibilité d’accéder
à la page internet permettant d’exercer son droit d’opposition.

De plus, il y a lieu de constater que l’exercice de l’opt-out par le biais de la page internet
de la demanderesse relative aux préférences publicitaires n’a pas une portée générale en ce
qu’il ne concerne pas les recommandations personnalisées pour lesquelles davantage de
démarches doivent être effectuées63.

Il faut, dans ce contexte, rappeler, tel que retenu ci-avant par le tribunal, que la CNPD
a pu prendre en considération les pratiques de la demanderesse en matière de droit d’opposition
en ce qui concerne les recommandations personnalisées en tant qu’élément factuel pour
apprécier la conformité du mécanisme mis en place par la société (AA) par rapport à l’article
21 du RGPD, sans procéder, de manière illégale, à une extension de l’objet de l’enquête.

61
Trib. adm. 16 juillet 2003, n° 15207 du rôle, Pas. adm. 2023, V° Actes administratifs, n° 158 et les autres
références y citées.
62
Le tribunal doit encore relever que ledit mécanisme ne respecte pas non plus les dispositions de l’article 12,
paragraphe (2) du RGPD imposant au responsable du traitement de faciliter l’exercice des droits conférées à la
personne concernée au titre des articles 15 à 22 du RGPD, ce qui englobe partant également l’exercice du droit
d’opposition.
63
Selon les indications de la CNPD non remises en cause par la société (AA), les personnes souhaitant voir arrêter
le traitement de leurs données personnelles à des fins de recevoir des recommandations personnalisées doivent
accéder aux paramètres de son compte informatique, respectivement de leur historique de navigation afin d’y
exprimer leur choix.

Le tribunal doit confirmer la position de la CNPD selon laquelle l’exercice du droit
d’opposition par le biais de la page internet de la demanderesse relative aux préférences
publicitaires n’est pas conforme à l’article 15 du RGPD, alors que les personnes concernées
doivent, afin de faire cesser le traitement de leurs données personnelles à des fins de PBI
accomplir plusieurs démarches à travers plusieurs pages internet. En effet, bien que l’article 15
du RGPD n’exige pas « d’interrupteur général » pour l’exercice du droit d’opposition, la
circonstance que la demanderesse a mis en place plusieurs procédés sur des pages internet
distincts, loin d’être plus respectueuse du choix et des désirs des personnes concernées,
complique outre mesure l’exercice dudit droit, contrairement aux exigences de l’article 12,
paragraphe (2) du RGPD, alors qu’il serait nettement plus utile de différencier, sur une seule
page internet, les différentes formes de publicité numérique par rapport auxquels la personne
concernée puisse ainsi, de manière individuelle, exprimer son droit d’option.

Dans un même ordre d’idées, il échet de relever que la demanderesse n’affirme et a
fortiori n’établit pas procéder à la suppression des données personnelles litigieuses dans les
meilleurs délais suite à l’exercice de l’opt-out par la personne dont les données sont collectées
et traitées dans le contexte de la PBI, ses explications se résumant, en effet, à faire valoir, d’une
part, qu’une telle suppression n’aurait pas d’impact tangible pour les personnes concernées,
respectivement, d’autre part, qu’elle ne fournirait plus de PBI après l’exercice du droit
d’opposition, ce qui n’est pas pertinent en matière de droit à l’effacement. Dans ce cadre, il
faut encore relever que la violation de l’article 17 du RGPD de la part de la société (AA)
subsiste toujours à l’heure actuelle, alors qu’il ne ressort pas du document déposé au greffe du
tribunal administratif le 21 décembre 2023 et intitulé « Récapitulatif des modifications
apportées au traitement de données à caractère personnel par (AA) (« (AA) ») à des fins de
publicité basée sur les intérêts (« PBI ») », dans le cadre duquel la demanderesse indique qu’à
partir de novembre 2022 elle aurait permis à ses « (…) clients de demander la suppression des
données à caractère personnel des systèmes publicitaires d’(AA), indépendamment de la
fermeture de leur compte (AA)», tout en fournissant une capture d’écran y relative, dans quel(s)
délai(s) les données litigieux sont effectivement supprimées, de sorte que le tribunal est dans
l’impossibilité de pouvoir apprécier si l’effacement est effectué « dans les meilleurs délais »,
surtout que dans le cadre du litige sous examen la demanderesse a toujours affirmé conserver,
de manière générale, les données personnelles litigieuses pour une durée maximale de 13 mois
après l’opt-out, tel qu’il vient d’être constaté dans le cadre de l’analyse du tribunal de l’article
6, paragraphe (1), f) du RGPD.

Au regard de l’ensemble des considérations qui précèdent, la CNPD a valablement pu
retenir, dans le chef de la demanderesse, une violation des articles 6, 12 à 17 et 21 du RGPD,
violations qui persistent, tel que le tribunal vient de le retenir ci-avant sur base de l’ensemble
des éléments lui valablement soumis, toujours selon le dernier état des conclusions. Le tribunal
doit finalement relever, dans ce cadre, que la mention faite par la demanderesse, à différents
endroits de son recours, respectivement de son mémoire en réplique, qu’elle utiliserait le
« Transparency and Consent Framework » de l’ « Interactive Advertising Bureau » n’est pas
de nature à invalider le constat ci-avant opéré d’une violation des prédites dispositions du
RGPD, dans la mesure où la demanderesse est restée en défaut d’expliquer concrètement le
mode de fonctionnement dudit dispositif informatique, ainsi que de verser des documents
soutenant ses explications, de sorte que l’invocation dudit dispositif doit être qualifié de
simplement suggéré et ne peut partant pas invalider le constat de la CNPD des violations par
la société (AA) des dispositions pertinentes du RGPD.

A ce stade, le tribunal doit encore relever qu’il n’est pas tenu par l’ordre des moyens,
tel que présenté par les parties, mais détient la faculté de les toiser suivant une bonne
administration de la justice et l’effet utile s’en dégageant, de sorte qu’en ce qui concerne les
moyens de la demanderesse visant les sanctions et mesures adoptées par la CNPD suite au
constat d’une violation, dans le chef de la société (AA), des articles 6, 12 à 17 et 21 du RGPD,
il y a, tout d’abord, lieu d’analyser les moyens de la société (AA) tirés d’une violation des
droits fondamentaux issus de la Charte, ainsi que de la CEDH, mis à part le moyen tiré d’une
violation du droit de la demanderesse à un procès équitable en relation avec le montant tant de
l’amende que de l’astreinte que le tribunal va toiser, après avoir examiné les moyens relatifs à
un détournement, respectivement à un excès de pouvoir dans le chef de la CNPD, ainsi que les
moyens relatifs à une violation des articles du RGPD et de la loi du 1er août 2018, ainsi que
relatifs à une violation du principe de proportionnalité en relation avec les sanctions retenues à
l’encontre de la demanderesse.

Ainsi, la demanderesse conclut à la réformation de la décision déférée pour violation
du principe de légalité, tel que consacré par les articles 49, paragraphe (1) de la Charte et 7,
paragraphe (1) de la CEDH et tel que précisé par la jurisprudence de la CJUE, ainsi que par
celle de la Cour constitutionnelle, selon lequel les infractions et les peines devraient être
clairement définies par la loi afin de permettre au justiciable de connaître les actes et omissions
engageant sa responsabilité pénale.

Or, d’après la partie demanderesse, la sanction lui imposée à travers la décision
litigieuse, n’aurait pas été fondée sur la loi, alors que CNPD aurait retenu une violation de
l’article 6, paragraphe (1), f) du RGPD pour ne pas avoir été d’accord avec son test de mise en
balance. Dans ce cadre, la société (AA) relève encore que la méthodologie générale du test de
mise en balance, tel que requis des responsables du traitement en vertu de l’article 6, paragraphe
(1), f) du RGPD, résulterait de la jurisprudence de la CJUE, de sorte que seul le prédit article
du RGPD, ensemble la jurisprudence y relative de la part de la CJUE, seraient les normes
pertinentes afin de déterminer si un comportement serait autorisé ou non et afin de pouvoir, le
cas échéant, prononcer des sanctions. La CNPD se serait cependant, dans le cadre de la décision
litigieuse, dans une large mesure, fondée sur les lignes directrices du groupe article 29, dans le
cadre de la décision litigieuse, lesquelles ne sauraient cependant être qualifiées de loi,
conformément à la jurisprudence de la CourEDH, tant qu’elles ne seraient pas sanctionnées par
une juridiction, respectivement inscrites dans une loi. Par ailleurs, le fait pour la CNPD de
devoir s'appuyer sur des lignes directrices publiées avant l'entrée en vigueur du RGPD
démontrerait également que les règles du RGPD, en elles-mêmes, ne seraient pas suffisamment
développées, précises et prévisibles pour servir de base à l'imposition de sanctions de nature
pénale.

La demanderesse critique encore, toujours dans le contexte d’une violation des articles
49, paragraphe (1) de la Charte et 7, paragraphe (1) de la CEDH, la prévisibilité des sanctions
lui imposées, en donnant à considérer que l’article 48 de la loi du 1er août 2018 ne poserait que
le principe pour la CNPD de pouvoir imposer une amende, respectivement que l’article 83 du
RGPD ne déterminerait qu’une large fourchette entre le montant minimum et le montant
maximum des amendes possibles, tout en définissant de manière très vaste quelles infractions
pourraient entraîner quel niveau d’amende. Ainsi, en l’absence de jurisprudence ou de lignes
directrices précises permettant de calculer le montant des amendes, la demanderesse considère
que les articles 48 de la loi du 1er août 2018 et 83 du RGPD seraient insuffisantes pour permettre
aux responsables du traitement d’évaluer les sanctions susceptibles de découler de leur

comportement, de sorte que lesdites sanctions ne pourraient pas être considérées comme étant
prévisibles.

Dans son mémoire en réplique, la demanderesse, tout en insistant sur le caractère pénal
de la sanction retenue à son encontre dans la décision déférée du 15 juillet 2021 et de
l’obligation de devoir bénéficier des garanties afférentes, maintient son argumentation relative
à la violation du principe de légalité, en ce qu’en l’absence d’orientations lui fournies par la
CNPD à travers la décision litigieuse, ainsi que de précisions de la part du RGPD et de la loi
du 1er août 2018, les responsables du traitement ignoreraient, d’une part, quel comportement
adopter pour se conformer à la loi, et, d’autre part, quel comportement entraînerait une amende
de 746 millions d’euros. Le même constat devrait être fait, en l’espèce, quant à l’injonction de
mise en conformité sous peine d’une astreinte journalière de 746.000 euros.

En ce qui concerne l’amende retenue à son encontre, la demanderesse fait, tout d’abord,
valoir que l'article 6, paragraphe (1), f) du RGPD ne donnerait aucune indication sur le
comportement nécessaire pour éviter les sanctions lors du traitement de données à caractère
personnel à des fins de PBI, tout en précisant qu’il n’existerait aucune jurisprudence de la
CJUE, ni de lignes directrices rendant les sanctions en question plus prévisibles. Sur base des
affirmations de la CNPD, selon laquelle la PBI serait « controversée » et que son choix d'utiliser
l'intérêt légitime comme base juridique aurait été risqué, la société (AA), tout en réfutant ladite
argumentation, soutient que les déclarations de la CNPD démontreraient que les exigences
relatives à l'utilisation de la base juridique des intérêts légitimes aux fins de PBI ne seraient pas
claires et nécessiteraient dès lors des précisions supplémentaires que la CNPD serait restée en
défaut de fournir, en violation du principe de légalité et de prévisibilité.

Dans un même ordre d’idées, la décision déférée ne fournirait pas d'orientation claire
sur la façon de mettre en œuvre, dans la pratique, l'injonction de conformité, mesures qui
seraient indéterminées et indéterminables, et ce, même si elles étaient lues et interprétées à la
lumière des motifs de la décision, tel que cela aurait été retenu dans l’ordonnance présidentielle,
précitée, du 17 décembre 2021. Partant l’injonction de mise en conformité violerait également
le principe de légalité.

La CNPD conclut au rejet du moyen tiré d’une violation du principe de légalité pour
manquer de fondement.

Quant à la violation du principe de la légalité des peines, tel qu’il est notamment énoncé
par l’article 7 de la CEDH disposant que « 1. Nul ne peut être condamné pour une action ou
une omission qui, au moment où elle a été commise, ne constituait pas une infraction d’après
le droit national ou international. De même il n’est infligé aucune peine plus forte que celle
qui était applicable au moment où l’infraction a été commise. (…) », par l’article 49,
paragraphe (1) de la Charte aux termes duquel « Nul ne peut être condamné pour une action
ou une omission qui, au moment où elle a été commise, ne constituait pas une infraction d'après
le droit national ou le droit international. De même, il n'est infligé aucune peine plus forte que
celle qui était applicable au moment où l'infraction a été commise. Si, postérieurement à cette
infraction, la loi prévoit une peine plus légère, celle-ci doit être appliquée », ainsi
qu’anciennement par l’article 14 de la Constitution disposant que : « Nulle peine ne peut être
établie ni appliquée qu’en vertu de la loi. », disposition figurant actuellement à l’article 19 de
la Constitution, force est de relever que dans la matière du droit disciplinaire des fonctionnaires
de l’Etat, relevant également de la matière des sanctions administratives, la Cour
constitutionnelle a déjà retenu, dans un arrêt du 22 mars 2002, que le principe de la légalité des

peines inscrit à l'ancien article 14 de la Constitution suit les principes généraux du droit pénal
et elle a formulé l'exigence que le droit disciplinaire observe les mêmes exigences
constitutionnelles de base64, relevant, à propos de l'incrimination d'une sanction disciplinaire,
« la nécessité de définir les infractions en termes suffisamment clairs et précis pour en exclure
l'arbitraire et permettre aux intéressés de mesurer exactement la nature et le type des
agissements sanctionnables. »65, jurisprudence toujours pertinente au regard de l’actuel article
19 de la Constitution.

Dans la mesure où le régime de la sanction administrative s’apparente quant aux formes
et au fond à la matière pénale, les principes précités s’appliquent en matière de sanction
administrative et partant à l’article 12 de la loi du 1er août 2018, ayant conféré le pouvoir
d’adopter les sanctions administratives précitées de l’article 58, paragraphe (2) du RGPD à la
CNPD, ledit article disposant en effet que « Dans le cadre des missions de l’article 7, la CNPD
dispose des pouvoirs tels que prévus à l’article 58 du règlement (UE) 2016/679. », tandis que
les articles 48 et 49, paragraphe (1) de ladite loi permettent, de manière plus spécifique, à ladite
autorité d’imposer des amendes administratives conformément à l’article 83 du RGPD,
respectivement d’imposer « (…) des astreintes jusqu’à concurrence de 5 pour cent du chiffre
d’affaires journalier moyen réalisé au cours de l’exercice social précédent, ou au cours du
dernier exercice social clos, par jour de retard à compter de la date qu’il fixe dans sa décision,
pour le contraindre : (…)
2° à respecter une mesure correctrice que la CNPD a adoptée en vertu de l’article 58,
paragraphe 2, lettres c), d), e), f), g), h) et j) du règlement (UE) 2016/679. »

En vertu de l’article 58, paragraphe (2) du RGPD « 2. Chaque autorité de contrôle
dispose du pouvoir d'adopter toutes les mesures correctrices suivantes:

a) avertir un responsable du traitement ou un sous-traitant du fait que les
opérations de traitement envisagées sont susceptibles de violer les dispositions
du présent règlement;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent
règlement;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux
demandes présentées par la personne concernée en vue d'exercer ses droits en
application du présent règlement;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les
opérations de traitement en conformité avec les dispositions du présent
règlement, le cas échéant, de manière spécifique et dans un délai déterminé;
e) ordonner au responsable du traitement de communiquer à la personne
concernée une violation de données à caractère personnel;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du
traitement;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou
la limitation du traitement en application des articles 16, 17 et 18 et la
notification de ces mesures aux destinataires auxquels les données à caractère
personnel ont été divulguées en application de l'article 17, paragraphe 2, et de
l'article 19;

64
Cour const. 22 mars 2002, n° 12/02, disponible sous www.justice.public.lu
65
Ibidem.

h) retirer une certification ou ordonner à l'organisme de certification de retirer
une certification délivrée en application des articles 42 et 43, ou ordonner à
l'organisme de certification de ne pas délivrer de certification si les exigences
applicables à la certification ne sont pas ou plus satisfaites;
i) imposer une amende administrative en application de l'article 83, en
complément ou à la place des mesures visées au présent paragraphe, en
fonction des caractéristiques propres à chaque cas;
j) ordonner la suspension des flux de données adressés à un destinataire situé
dans un pays tiers ou à une organisation internationale. »

En ce qui concerne encore plus particulièrement les amendes pouvant être imposées par
la CNPD, il y a lieu de relever qu’aux termes de l’article 83 du RGPD « 1. Chaque autorité de
contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour
des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas,
effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points
a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du
montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des
éléments suivants :

a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la
portée ou de la finalité du traitement concerné, ainsi que du nombre de
personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour
atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant,
compte tenu des mesures techniques et organisationnelles qu'ils ont mises en
œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du
traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à
la violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation,
notamment si, et dans quelle mesure, le responsable du traitement ou le sous-
traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant
concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou
de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux
circonstances de l'espèce, telle que les avantages financiers obtenus ou les
pertes évitées, directement ou indirectement, du fait de la violation.

3. Si un responsable du traitement ou un sous-traitant viole délibérément ou par
négligence plusieurs dispositions du présent règlement, dans le cadre de la même opération de

traitement ou d'opérations de traitement liées, le montant total de l'amende administrative ne
peut pas excéder le montant fixé pour la violation la plus grave.

(…) 5. Les violations des dispositions suivantes font l'objet, conformément au
paragraphe 2, d'amendes administratives pouvant s'élever jusqu'à 20 000 000 EUR ou, dans
le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice
précédent, le montant le plus élevé étant retenu:

a) les principes de base d'un traitement, y compris les conditions applicables au
consentement en vertu des articles 5, 6, 7 et 9;
b) les droits dont bénéficient les personnes concernées en vertu des articles 12 à
22
c) les transferts de données à caractère personnel à un destinataire situé dans un
pays tiers ou à une organisation internationale en vertu des articles 44 à 49;
d) toutes les obligations découlant du droit des États membres adoptées en vertu
du chapitre IX;
e) le non-respect d'une injonction, d'une limitation temporaire ou définitive du
traitement ou de la suspension des flux de données ordonnée par l'autorité de
contrôle en vertu de l'article 58, paragraphe 2, ou le fait de ne pas accorder
l'accès prévu, en violation de l'article 58, paragraphe 1.

6. Le non-respect d'une injonction émise par l'autorité de contrôle en vertu de l'article
58, paragraphe 2, fait l'objet, conformément au paragraphe 2 du présent article, d'amendes
administratives pouvant s'élever jusqu'à 20 000 000 EUR ou, dans le cas d'une entreprise,
jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le
plus élevé étant retenu.

7. Sans préjudice des pouvoirs dont les autorités de contrôle disposent en matière
d'adoption de mesures correctrices en vertu de l'article 58, paragraphe 2, chaque État membre
peut établir les règles déterminant si et dans quelle mesure des amendes administratives
peuvent être imposées à des autorités publiques et à des organismes publics établis sur son
territoire. (…) ».

Si les articles 58 et 83 du RGPD ne fournissent certes pas de liste exhaustive et
limitative de tout comportement susceptible d’être sanctionné par une amende administrative
et si ce dernier article se limite à fournir pour ces amendes une échelle allant de 20.000.000
euros ou, dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de
l'exercice précédent, en ce qui concerne la violation des articles 5, 6, 7 et 9, respectivement des
articles 12 à 22, de sorte à laisser ainsi une certaine latitude à la CNPD dans la fixation du
montant de l’amende, d’une part, l’article 58, paragraphe (2), a) à j) du RGPD prévoit une
graduation des mesures susceptibles d’être prononcées par la CNPD, en l’occurrence
notamment l’injonction de mise en conformité, ainsi que l’amende administrative, et, d’autre
part, l’article 83, paragraphe (2) du RGPD énumère les circonstances à prendre en compte par
la CNPD pour déterminer tant le principe que le montant de l’amende.

Le tribunal doit d’abord rejeter, dans ce contexte, l’argumentation de la partie
demanderesse selon laquelle le constat par la CNPD de la violation de l’article 6, paragraphe
(1), f) du RGPD dans son chef n’aurait pas été fondé sur la « loi », mais essentiellement sur les
lignes directrices, alors qu’au contraire, la CNPD s’est basée, en tant que fondement juridique
de son analyse, tant sur la prédite disposition communautaire, tout en invoquant le considérant

47 du RGPD, que sur la jurisprudence pertinente de la CJUE ayant précisé les différentes
conditions à analyser pour apprécier le respect de l’article 6, paragraphe (1), f) du RGPD, les
références par la CNPD aux lignes directrices n’ayant été effectuées qu’afin d’expliquer
certains éléments de son analyse factuelle, mais non pas en tant que fondement juridique de sa
décision.

Ainsi, ces éléments ne sont pas de nature à violer les articles 7 de la CEDH, 49,
paragraphe (1) de la Charte, respectivement l’ancien article 14, actuellement l’article 19 de la
Constitution.

En outre, il y a lieu de constater que l’article 58, paragraphe (2) du RGPD, cité ci-avant,
au-delà du constat qu’il précise clairement les personnes concernées par ses dispositions, en
l’occurrence les responsables du traitement, tel que la demanderesse, et leurs sous-traitants,
érige, par référence à l’article 83 du RGPD, en tant qu’infraction administrative certaines
obligations nommément désignées résultant du RGPD, tel que plus particulièrement celles dont
le non-respect est reproché à la société demanderesse, à savoir le non-respect de la base de
licéité de son traitement de données à caractère personnel de l’article 6, paragraphe (1), f) du
RGPD, le non-respect de l’obligation de transparence de l’article 12 du RGPD, le non-respect
de l’obligation de fournir des informations aux personnes concernées par le traitement de leurs
données personnelles des articles 13 et 14 du RGPD, la violation du droit d’accès desdites
personnes, tel que figurant à l’article 15 du RGPD, la violation du droit de rectification et du
droit à l’effacement prévus aux articles 16 et 17 du RGPD, ainsi que la violation du droit à
l’opposition, tel que prévu à l’article 21 du RGPD. Il échet de préciser, dans ce contexte, que
l’article 83, paragraphe (5) du RGPD prévoit, par ailleurs, expressément une majoration de
l’amende encourue lorsque les violations constatées concernent les articles 6, respectivement
12 à 17 et 21 du RGPD.

A ce sujet, il a déjà été retenu par la Cour constitutionnelle, dans un arrêt du 12
décembre 201466, après avoir rappelé que le principe de la spécification de l’incrimination est
le corollaire de celui de la légalité de la peine consacrée par l’ancien article 14 de la
Constitution, que le droit disciplinaire tolère, dans la formulation des comportements illicites,
une marge d’indétermination sans que le principe de la spécification de l’incrimination n’en
soit affecté, si des critères logiques techniques et d’expérience professionnelle permettent de
prévoir de manière suffisamment certaine la conduite à sanctionner, ce qui est avéré en l’espèce
au vu des obligations clairement définies dans le RGPD, et, par ailleurs, explicité tant par la
jurisprudence, précitée de la CJUE, que par les différentes lignes directrices précitées du groupe
article 29, d’autant plus qu’il résulte d’un autre arrêt de la Cour constitutionnelle du 14
décembre 200767 que le principe de la légalité des peines ne fait pas obstacle à ce qu’en matière
disciplinaire les infractions soient définies par référence aux obligations légales et
réglementaires auxquelles est soumise une personne en raison des fonctions qu’elle exerce, de
la profession à laquelle elle appartient ou de l’institution dont elle relève.

Quant au caractère prévisible de la sévérité des sanctions, force est de relever que si la
Cour constitutionnelle a retenu que les sanctions doivent être raisonnablement évaluables quant
à leur niveau de sévérité68, le fait pour l’article 58 du RGPD de prévoir plusieurs sanctions,
parmi lesquelles des amendes administratives, ainsi que des mesures de mise en conformité, de

66
Cour constitutionnelle, 12 décembre 2014, n° 115/14, disponible sous www.justice.public.lu
67
Cour constitutionnelle, 14 décembre 2007, n° 41/07, disponible sous www.justice.public.lu
68
Ibidem.

même que le fait, pour l’article 83 du RGPD, de prévoir, dans son paragraphe (5), une limite
maximale concernant le montant de l’amende encourue, tout en précisant, dans son paragraphe
(2), les circonstances à prendre en considération, suffit amplement à l’exigence de la légalité
des peines, étant relevé que la nécessité de prévoir une disposition spécifique permettant de
guider l’autorité administrative dans le choix de la sanction à prononcer, n’est exigée par la
Cour constitutionnelle, dans l’arrêt précité du 14 décembre 200769, que dans le cas de
l’existence d’un « éventail très large de celles-ci » ne permettant pas l’exercice efficace des
droits de la défense.

Le même constat du respect du principe de légalité doit également être retenu en ce qui
concerne les quatre mesures de mise en conformité, telles que prononcées par la CNPD, en
relation avec les articles 6, paragraphe (1), 12 à 17 et 21 du RGPD, dans la mesure où lesdites
mesures se fondent, en tant que base légale, d’une part, sur l’article, précité, 58, paragraphe
(2), d) du RGPD aux termes duquel l’autorité de contrôle, en l’occurrence la CNPD, est en
droit d’ordonner « (…) au responsable du traitement ou au sous-traitant de mettre les
opérations de traitement en conformité avec les dispositions du présent règlement, le cas
échéant, de manière spécifique et dans un délai déterminé », et d’autre part, sur l’article,
précité, 49, paragraphe (1) de la loi du 1er août 2018, lui permettant d’assortir les mesures
correctrices d’une astreinte, étant relevé que la spécificité des mesures correctrices résulte, en
l’espèce, de la référence effectuée par la CNPD aux dispositions communautaires dont la
violation a été, à juste titre, retenue dans le chef de la société (AA), à savoir en l’occurrence les
articles 6, paragraphe (1), 12 à 17 et 21 du RGPD, de sorte que le principe de légalité a
également été respecté par rapport auxdites mesures correctrices.

Dans ce contexte, le tribunal doit encore rejeter l’argumentation de la demanderesse
reprochant à la décision déférée une imprécision quant aux mesures correctrices lui imposées.
En effet, en ce qui concerne plus particulièrement la violation de la base de licéité du traitement
de données personnelles litigieux, le tribunal doit relever que l’article 6, paragraphe (1) prévoit
six bases différentes et il appartient au responsable du traitement de choisir celle qui correspond
le mieux à ses activités dans le respect du RGPD et non pas à la CNPD de lui en imposer une
de ses six bases, sous peine de s’immiscer dans la gestion et l’organisation technique du
responsable du traitement.

Par ailleurs, la CNPD a, de manière détaillée, précisé les éléments l’ayant amenée à la
conclusion que la demanderesse ne pouvait pas se fonder sur l’article 6, paragraphe (1), f) du
RGPD, et ce en analysant, de manière circonstanciée, les trois conditions cumulatives à remplir,
et en retenant que tant la condition relative à la nécessité du traitement de données à caractère
personnel que la condition relative à la mise en balance des intérêts invoqués par la
demanderesse avec les droits et intérêts des personnes concernées n’avaient pas été respectées
par la société (AA), de sorte que le tribunal doit retenir que, dans l’hypothèse où la
demanderesse souhaite maintenir l’article 6, paragraphe (1), f) du RGPD en tant que base de
licéité de ses traitements de données personnelles dans le cadre de la PBI, cette dernière dispose
de tous les éléments nécessaires afin de pouvoir adopter les mesures correctrices s’imposant à
elle en relation avec le prédit article, éléments ayant encore été affinés dans le cadre du présent
jugement. Ce constat quant à la fourniture, par la décision déférée, de suffisamment de
précisions afin que le responsable du traitement puisse connaître les mesures à adopter, est
également à réitérer quant aux mesures correctrices visant le respect des articles 12 à 17 et 21
du RGPD, alors que la CNPD a, à suffisance, précisé les défaillances de la société (AA) quant

69
Ibidem.

aux obligations de transparence et d’information, ainsi que quant aux droits d’accès, de
rectification, à l’effacement et à l’opposition, de sorte que l’argumentation afférente de la
demanderesse doit être rejetée.

Le tribunal doit finalement relever que le montant de l’amende ne saurait être critiqué,
sous l’optique du respect du principe de légalité et de prévisibilité des sanctions, dans la mesure
où l’article 83, paragraphe (5) du RGPD a expressément fixé un montant maximal en cas de
violation notamment des articles 6, 12 à 17 et 21 du RGPD et dans la mesure où le considérant
150 du RGPD a précisément cerné la notion d’ « entreprise » dont le chiffre d’affaires est à
prendre en considération pour la fixation du montant de l’amende, par référence aux articles
101 et 102 du TFUE, notion par ailleurs précisée par la jurisprudence de la CJUE afférente aux
prédits articles.

Il faut, dans ce cadre, encore se référer à l’article 83, paragraphe (1) du RGPD qui exige,
de la part des autorités de contrôle, de veiller à prononcer des amendes administratives qui
soient, dans chaque cas, « effectives, proportionnées et dissuasives », de sorte à prévoir
expressément une marge d’appréciation certaine du montant de l’amende à retenir, sous réserve
de respecter le montant maximal fixé directement par le RGPD70.

Il suit de ce qui précède que le moyen tiré de la violation du principe de légalité des
peines encourt le rejet dans tous ses volets pour manquer de fondement.

La société (AA) critique ensuite la décision déférée pour avoir violé le principe selon
lequel des sanctions ne pourraient être imposées qu’après la preuve de la culpabilité,
conformément aux articles 48, paragraphe (1) de la Charte, et 6, paragraphe (2) de la CEDH.

Dans ce cadre, la demanderesse argumente que la notion de culpabilité exigerait la
détermination du degré de culpabilité - intention, imprudence ou négligence – en précisant
qu’un comportement n'atteignant ou ne dépassant pas la barre la plus basse de la négligence ne
pourrait servir de base à une amende pénale. Or, en l’espèce, la société (AA) soutient, sur base
de l’article 83, paragraphe (2), b) du RGPD obligeant l’autorité de contrôle à examiner si
l'infraction était fondée sur un comportement intentionnel ou négligent, que la décision déférée
n'aurait pas établi qu’elle aurait enfreint le RGPD de manière coupable, intentionnelle ou
négligente, alors que ladite décision aurait expressément reconnu qu’elle aurait réalisé son
exercice de balance en conformité avec le principe de responsabilité et que les faits et le
manquement constaté ne traduiraient pas une intention délibérée dans son chef de violer le
RGPD.

Elle relève encore, dans ce cadre, que conformément à la jurisprudence de la CJUE, la
négligence impliquerait « une action ou omission involontaire par laquelle la personne
responsable viole, d'une manière caractérisée, l'obligation de diligence [duty of care] qu'elle
aurait dû et aurait pu respecter compte tenu de ses qualités, de ses connaissances [et] de ses
aptitudes », ce qui ne serait pas le cas en l’espèce, dans la mesure où la législation en matière

70
Il y a encore lieu de relever, par analogie, que « le fait qu’un opérateur ne puisse, à l’avance, connaître avec
précision le niveau des amendes que la Commission infligera dans chaque espèce ne saurait constituer une
violation du principe de légalité des peines, compte tenu de ce que, en raison de la gravité des infractions que la
Commission est appelée à sanctionner, les objectifs de répression et de dissuasion justifient d’éviter que les
entreprises soient en mesure d’évaluer les bénéfices qu’elles retireraient de leur participation à une infraction en
tenant compte, par avance, du montant de l’amende qui leur serait infligée en raison de ce comportement illicite »
TPI, 5 avril 2006, Degussa c. Commission, aff. T-279/02, pt 70.

de protection des données personnelles, en elle-même et à ce stade, n'aurait pas été
suffisamment développée et précise et aurait laissé une marge d'interprétation considérable.

Ainsi, dans la mesure où elle aurait soigneusement examiné les exigences légales
énoncées dans le RGPD, en tenant compte de la jurisprudence disponible, voire même des
lignes directrices non légalement contraignantes, et dans la mesure où elle aurait procédé, de
manière approfondie, au test de mise en balance pour s'assurer que la vie privée et les droits
fondamentaux des personnes concernées resteraient protégés, la société (AA) estime avoir agi
de bonne foi, conformément au principe de responsabilité, sans négligence et de manière non-
intentionnelle, de sorte qu’aucune sanction n’aurait pu lui être imposée par la CNPD.

Dans son mémoire en réplique, la demanderesse fait encore valoir que la charge de
prouver qu’elle aurait enfreint le RGPD et qu’elle serait coupable d’une quelconque infraction
incomberait à la CNPD, et que soutenir le contraire, tel que le ferait cependant la CNPD,
violerait l’article 48, paragraphe (1) de la Charte.

Par ailleurs, sur base du même article de la Charte, ainsi que de l’article 7 de la CEDH,
la demanderesse réfute l’argumentation de la CNPD selon laquelle elle aurait fait preuve d’une
négligence certaine s’agissant des principes fondamentaux du RGPD, alors qu’il aurait
appartenu à la CNPD de démontrer que son comportement, entraînant des sanctions pénales,
aurait pu être évité si elle avait correctement mis en oeuvre des garanties appropriées à la
lumière des orientations disponibles au moment de son évaluation. En plus du problème de la
prévisibilité des comportements donnant lieu à des sanctions en vertu du RGPD, la
demanderesse fait valoir que la CNPD aurait été tenue de démontrer qu’elle aurait violé le
RGPD et qu’elle aurait été coupable de cette violation, preuves que la CNPD serait cependant
restée en défaut de rapporter. La société (AA) affirme devoir également bénéficier du doute,
en relevant qu’elle aurait soigneusement effectué l’analyse des intérêts légitimes pour arriver
à la conclusion qu’elle aurait valablement pu se fonder sur l’article 6, paragraphe (1), f) du
RGPD et que la circonstance selon laquelle la CNPD aurait effectué sa propre mise en balance
des intérêts pour en conclure le contraire ne prouverait pas d’agissements fautifs dans son chef,
respectivement qu’il aurait été déraisonnable pour elle de se fonder sur l’article 6, paragraphe
(1), f) du RGPD à la lumière de la jurisprudence applicable.

La CNPD conclut au rejet de ce moyen pour manquer de fondement.

A titre liminaire, le tribunal doit relever que la demanderesse, lors de l’audience
publique des plaidoiries a renoncé aux questions préjudicielles qu’elle a proposé de soumettre
à la CJUE en relation avec son argumentation relative au principe de culpabilité, de sorte que
le tribunal ne les prendra pas en considération.

Il y a encore lieu de rappeler qu’en vertu de la présomption de légalité des actes
administratifs, il incombe à l’administré qui entend faire annuler un acte administratif de
rapporter la preuve de son illégalité. La partie demanderesse doit exposer en quoi consiste
l’illégalité qu’elle soupçonne. La charge de la preuve implique qu’elle fournit des éléments
concrets sur lesquels elle se base aux fins de voir établir l'illégalité qu’elle allègue.

Le tribunal doit encore réitérer, à ce stade, ses conclusions ci-avant retenues en ce qui
concerne la violation des articles 6, paragraphe (1), f), 12 à 17 et 21 du RGPD, violations que
la CNPD a valablement pu constater dans le chef de la société (AA).

Dans ce cadre, il y a encore lieu de rejeter l’argumentation de la demanderesse selon
laquelle elle aurait procédé à une analyse exhaustive des conditions de l’article 6, paragraphe
(1), f) du RGPD et selon laquelle le seul constat effectué par la CNPD, contraire au sien, au
niveau de la 3e condition dudit article relative à la mise en balance des intérêts légitimes du
responsable du traitement et des droits et intérêts des personnes concernées, ne saurait établir
sa culpabilité.

Il échet en effet de constater que la CNPD n’a pas uniquement eu une appréciation
contraire à celle de la demanderesse quant au critère de la mise en balance de l’article 6,
paragraphe (1), f) du RGPD, mais a également, à bon droit, tel que le tribunal vient de le retenir
ci-avant, fait état du défaut de la demanderesse d’avoir établi la nécessité du traitement de
données à caractère personnel litigieux, de sorte à avoir également établi une violation de la
société (AA) au niveau de la 2e condition du prédit article.

Il échet encore de relever, dans ce contexte, que la CNPD a retenu une violation des
articles 6, paragraphe (1), f), 12 à 17 et 21 du RGPD, après un examen approfondi et précis des
dispositions pertinentes, en s’appuyant également sur la jurisprudence pertinente en la matière
de la CJUE, tout en prenant en considération les précisions ressortant des lignes directrices
appropriés du groupe article 29, cadre juridique que le tribunal vient de retenir ci-avant comme
respectant le principe de légalité et de prévisibilité.

Ce constat d’une violation des prédites dispositions communautaires confirme encore
l’analyse de la CNPD selon laquelle la société (AA) a agi avec une négligence certaine, - le
caractère intentionnel desdites violations ayant, à bon droit, été écarté par la CNPD, alors qu’il
ne ressort d’aucun élément soumis à l’analyse du tribunal que les violations retenues dans le
chef de la société (AA) aient été commises de manière délibérée par cette dernière -, dans la
mesure où la demanderesse a manifestement omis d’accorder aux personnes concernées les
droits élémentaires et fondamentaux leur garantis par le RGPD, tel que précisé ci-avant et
visant les obligations de transparence et de fournir des informations, ainsi que les droits
d’accès, de rectification, à l’effacement et à l’opposition.

Aucun reproche ne saurait partant être dirigé à l’encontre de la CNPD quant à la preuve
juridique et factuelle des éléments à la base des sanctions retenues à l’encontre de la société
(AA).

Il suit de l’ensemble des considérations qui précèdent que le moyen de la demanderesse
fondé sur une violation du principe de culpabilité encourt le rejet dans tous ses volets.

La société (AA) affirme ensuite que la décision déférée violerait son droit à un procès
équitable, consacré aux articles 41, paragraphe (2), c) et 47 de la Charte, ainsi qu’à l’article 6,
paragraphe (1) de la CEDH, en ce que la CNPD serait restée en défaut de motiver la décision
litigieuse, dans la mesure où elle n’aurait pas établi, au-delà de tout doute raisonnable, tous les
éléments du « crime administratif » retenu à sa charge et n’aurait pas fourni de conclusions
claires et précises lui permettant de comprendre et de contester cette imputation de
responsabilité.

Dans son mémoire en réplique, la demanderesse réitère son argumentation relative à la
violation de son droit à un recours effectif, tout en mettant encore en avant l’imprécision des
injonctions de mise en conformité lui imposées à travers la décision litigieuse laquelle violerait

ainsi son droit à un recours juridictionnel effectif, dans la mesure où elle mettrait le tribunal
dans l’impossibilité de pouvoir apprécier la légalité de la décision déférée.

La CNPD conclut au rejet du moyen tiré d’une violation du droit à un procès équitable,
en ce qui concerne les violations du RGPD retenues dans le chef de la demanderesse, pour
manquer de fondement.

Le tribunal doit d’emblée rejeter le moyen de la demanderesse, en ce qu’il table sur
l’article 41 de la Charte, aux termes duquel « (…) Toute personne a le droit de voir ses affaires
traitées impartialement, équitablement et dans un délai raisonnable par les institutions et
organes de l’Union. (…) », étant donné que ledit article n’est pas directement invocable devant
les juridictions nationales, la CJUE ayant effectivement retenu à cet égard qu’il résultait
clairement du libellé de l’article 41 de la Charte que celui-ci s’adresse non pas aux Etats
membres, mais uniquement aux institutions, aux organes et aux organismes de l’Union71.

Sur base des conclusions ci-avant retenues selon lesquelles (i) la CNPD n’est pas à
qualifier de juridiction au sens de l’article 6 de la CEDH, raisonnement qui doit s’appliquer,
par analogie, en ce qui concerne l’article 47 de la Charte, (ii) le principe de légalité est
respectée, en l’espèce, (iii) la CNPD a respecté le principe de culpabilité et (iv) la décision
déférée est suffisamment motivée, tant en ce qui concerne les violations des articles 6, 12 à 17
et 21 du RGPD, violations que le tribunal vient de confirmer intégralement, que quant aux
mesures correctrices imposées sous astreinte à la société (AA), le tribunal doit rejeter le moyen
de la demanderesse basé sur une violation du droit à un procès équitable dans ce contexte.

Cette conclusion n’est pas remise en cause par l’argumentation de la demanderesse
selon laquelle qu’elle n’aurait pas été en mesure de comprendre et de contester les éléments
retenus à sa charge en raison de l’absence de développements clairs et précis y relatifs de la
CNPD dans la décision déférée, alors qu’il échet, au contraire, de constater que la
demanderesse a pris position, de manière circonstanciée et extensive, sur toutes les violations
du RGPD lui reprochées, à travers sa requête introductive d’instance, ainsi qu’à travers son
mémoire en réplique, les deux actes totalisant plus de 200 pages. Le tribunal doit finalement
rejeter l’affirmation de la demanderesse quant à la prétendue imprécision des mesures de mise
en conformité prononcées à son égard par la CNPD, en réitérant le constat opéré ci-avant quant
au respect du principe de légalité concernant lesdites mesures.

La société (AA) reproche encore à la CNPD d’avoir détourné et excédé ses pouvoirs en
imposant une amende sans précédent, ainsi qu’une série d’injonctions soumises à des astreintes
journalières supplémentaires pour tout retard, tout en ordonnant la publication de sa décision,
sans même envisager d’autres mesures correctrices, violant de cette sorte tant l’article 58 du
RGPD que les principes fondamentaux du droit de l’Union européenne.

Dans ce contexte, la demanderesse argumente, tout d’abord, qu’en vertu de l’article 58,
paragraphe (2) du RGPD, les autorités nationales de protection des données, telles que la
CNPD, disposeraient d’un pouvoir discrétionnaire de choisir entre les 10 mesures proposées
par le prédit article. Ainsi, l’imposition d’une amende administrative pourrait se faire « en
complément ou à la place » des autres mesures visées par l’article 58, paragraphe (2) du RGPD,
et devrait dépendre des caractéristiques propres à chaque cas. Par ailleurs, en vertu de l’article

71
CJUE, 17 juillet 2014, YS c. Minister voor Immigratie, Integratie en Asiel et Minister voor Immigratie,
Integratie en Asiel c. M, S, affaires jointes C-372/12 et C-141/12, point 67.

83, paragraphe (2) du RGPD, il appartiendrait aux autorités de contrôle de décider non
seulement du montant des amendes administratives, mais aussi de décider « s’il y a lieu
d’imposer une amende administrative », ce qui ressortirait également du considérant 148 du
RGPD, ainsi que de l’avis WP253 du groupe article 29 concernant les lignes directrices sur
l’application et la fixation des amendes administratives aux fins du RGPD. Par ailleurs, la loi
du 1er août 2018 ferait également état d’un pouvoir d’appréciation de la CNPD concernant les
mesures correctrices, ladite loi complétant les pouvoirs de la CNPD en la matière en lui
conférant le pouvoir, sous certaines conditions, (i) d’assortir une mesure correctrice d’une
astreinte journalière et (ii) d’ordonner la publication intégrale, sinon par extraits, de ses
décisions.

Sur base de ces considérations, la demanderesse argumente que la CNPD aurait violé
l’article 58 du RGPD en imposant directement une amende sans exercer son pouvoir
d’appréciation quant au choix de la mesure appropriée à adopter. Ainsi, lorsque la CNPD aurait
constaté une violation, dans le chef de la demanderesse, des différentes obligations précisées ci-
avant du RGPD, elle lui aurait directement imposé, tout en faisant références à certains critères
de l’article 83, paragraphe (2) du RGPD, une amende sans prendre une décision explicité,
raisonnée, motivée et transparente relative à son choix parmi les différentes mesures à sa
disposition en vertu de l'article 58 du RGPD, ce qui serait constitutif d’une erreur manifeste
d’appréciation, tant en vertu du droit national luxembourgeois qu’en vertu du droit de l’Union
européenne, selon lequel le droit à une bonne administration comprendrait l’obligation pour
l’administration de motiver ses décisions, conformément à l’article 41, paragraphe (2), c) de la
Charte et à la jurisprudence de la CJUE. Ainsi, l’objectif de l’obligation de motivation serait
de permettre un contrôle de la légalité de la décision, la demanderesse précisant encore, dans
ce cadre, que la portée et l’étendue de la motivation dépendrait de la nature de l’acte et du
contexte dans lequel ce dernier serait adopté, de sorte que les exigences d’une motivation
appropriée augmenteraient avec la gravité de l’acte en question et de son contexte. Or, en
l’espèce, au regard des conséquences dramatiques découlant de la décision déférée pour elle,
en l’occurrence des préjudices financiers, commerciaux et réputationnels, la demanderesse
estime qu’il aurait appartenu à la CNPD de fournir des détails substantiels et de mener une
analyse motivée sur les raisons pour lesquelles une amende de 746 millions d'euros aurait été
nécessaire et appropriée, ce qu’elle n’aurait cependant pas fait. Une telle manière de faire
montrerait clairement que la CNPD, en ne motivant pas son choix d’imposer une amende,
n’aurait pas envisagé d’autres mesures moins légères, respectivement aurait imposé une
amende administrative de façon automatique, de sorte à avoir violé l’article 58 du RGPD en
n’exerçant pas son pouvoir d’appréciation afférent. La demanderesse se prévaut encore, dans
ce cadre, de la décision de l’autorité de contrôle irlandaise ayant également imposée une
amende importante, laquelle, contrairement à la CNPD, aurait motivée ce choix sur plus de 33
pages de sa décision.

Sur base d’un jugement du tribunal administratif du 22 janvier 2019, inscrit sous le
numéro 41999 du rôle, la demanderesse argumente encore qu’en droit national
luxembourgeois, un pouvoir discrétionnaire, tel que celui de la CNPD, ne devrait pas
s’entendre comme un pouvoir absolu, inconditionné ou à tout égard arbitraire, mais devrait être
imposé dans le cadre des lois et serait subordonné à des garanties appropriées, ce qui n’aurait
cependant pas été le cas en l’espèce lorsque la CNPD aurait exercé son pouvoir discrétionnaire
de choisir entre les différentes mesures correctrices de l’article 58, paragraphe (2) du RGPD.

Par ailleurs, la CNPD aurait, en l’espèce, commis un détournement de ses pouvoirs à
des fins non prévues par le RGPD, de sorte que la décision litigieuse devrait encourir

l’annulation, dans le cadre du recours sous examen. Ainsi, la société (AA) argumente que la
CNPD aurait illégalement cherché à la sanctionner au lieu de viser à assurer la protection des
données à caractère personnel par le biais de mesures correctrices moins onéreuses qu’une
amende de 746 millions d’euros, une série d’injonctions soumises à une astreinte journalière
de 746.000 euros, ainsi que la publication de la décision litigieuse. La demanderesse se prévaut
encore, dans ce contexte, d’une part, du considérant 129 du RGPD selon lequel « (…) toute
mesure [correctrice] devrait notamment être appropriée, nécessaire et proportionnée en vue
de garantir le respect du présent règlement, compte tenu des circonstances de l'espèce », ainsi
que, d’autre part, d’un arrêt n°2021/AR/163 du 26 mai 2021 de la 19e chambre de la Cour
d’appel de Bruxelles, ayant également retenu que le but fondamental de la législation
européenne serait non pas de sanctionner, en infligeant des amendes, mais d’assurer la
protection des données. Sur base de la considération que la CNPD serait restée en défaut de
fournir un quelconque motif justifiant les injonctions de mise en conformité, ainsi que
l’astreinte journalière, mis à part d’affirmer que l’amende administrative serait efficace au
regard du caractère très sérieux des infractions constatées, ainsi que de la circonstance qu’elle
aurait coopéré avec la CNPD au cours de l’enquête et mis en œuvre, de manière proactive, de
nombreuses mesures afin de répondre aux préoccupations de celle-ci, la demanderesse estime
que la décision aurait eu pour objectif premier de la sanctionner au lieu de promouvoir la
conformité avec le RGPD, ce qui constituerait un détournement de pouvoir dans le chef de la
CNPD. La Cour d’appel de Bruxelles, dans son arrêt précité, serait arrivée à la même
conclusion dans l’affaire dont celle-ci aurait été saisie.

La décision litigieuse irait également à l'encontre de l'objectif consistant à garantir une
mise en œuvre harmonisée du RGPD dans l'ensemble de l'Union européenne, alors qu’imposer
une amende administrative substantielle en premier recours ne correspondrait pas à la pratique
des autres autorités de contrôle, lesquelles auraient, dans des affaires concernant également la
publicité sur internet, uniquement mis en demeure les sociétés concernées de se conformer au
RGPD, respectivement leurs auraient fait signer des engagements, pour ensuite clôturer les
dossiers lorsqu’elles auraient réservées les suites nécessaires auxdites injonctions.

La société (AA) fait encore valoir, dans ce contexte, que le pouvoir de la CNPD de
combiner une injonction avec une astreinte journalière, sur base de l'article 49 de la loi du 1er
août 2018 ne serait pas conforme au RGPD. En effet, la CNPD aurait, en l’espèce, complété
les mesures correctrices prononcées avec une astreinte journalière comme un outil afin de la
sanctionner pour des infractions déjà sanctionnées par des amendes administratives en vertu de
l'article 83 du RGPD. Or, conformément à l’article 84, paragraphe (1) du RGPD, les pouvoirs
supplémentaires créés par les États membres ne pourraient être imposés que pour les infractions
qui ne seraient pas déjà soumises à des amendes administratives en vertu de l'article 83 du
RGPD. Faire le contraire, tel que cela aurait été le cas en l’espèce, porterait atteinte à
l’application uniforme du droit communautaire, ainsi qu’au principe d’égalité consacré
notamment par les articles 20 et 21 de la Charte, en aboutissant à un risque de traitement
différencié des responsables de traitement et de leurs sous-traitants selon l’Etat membre de leur
principal établissement. L’avis de la Chambre de commerce du Luxembourg par rapport au
projet de loi portant organisation de la CNPD et la mise en œuvre du RGPD aurait déjà relevé
l'incompatibilité entre l'astreinte journalière prévue par la loi du 1er août 2018 et l'article 84,
paragraphe (1) du RGPD. Finalement, la mise en œuvre pratique de l'astreinte journalière ne
serait pas conforme au RGPD, alors que, d’une part, la combinaison d’une amende
administrative avec une astreinte journalière pourrait conduire à un montant supérieur au
montant maximal prévu par l’article 83, dans ses paragraphes (3) et (5) du RGPD, et, d’autre
part, la décision de la CNPD relative au respect ou non de l’injonction échapperait au

mécanisme de coopération de l’article 60 du RGPD pour être basée sur une disposition
nationale et non pas le RGPD, ce qui nuirait également à l’application uniforme du RGPD dans
l’ensemble de l’Union européenne.

La demanderesse fait encore valoir que la CNPD aurait excédé son pouvoir
discrétionnaire en vertu de l'article 58, paragraphe (2) du RGPD en imposant une sanction qui
violerait le principe de proportionnalité, principe prévu tant par le droit luxembourgeois que
par le droit communautaire, lequel exigerait en l’occurrence de la CNPD de choisir une mesure
appropriée pour assurer le respect du RGPD et qui n’irait pas au-delà de ce qui serait nécessaire
pour atteindre cet objectif. Or, sur base de la considération que l’article 58, paragraphe (2) du
RGPD prévoirait essentiellement trois niveaux de gravité des mesures correctrices, la
demanderesse estime, d’une part, qu’imposer une amende servirait de mesure de dernier
recours pour sanctionner une infraction au RGPD pour laquelle l’article 83, paragraphe (2), b)
du RGPD exigerait la prise en compte du caractère intentionnel ou négligent des agissements
du responsable du traitement, respectivement de son sous-traitant, et, d’autre part, que
l'imposition combinée d'une injonction et d'une amende administrative devrait donc être
principalement destinée aux infractions intentionnelles tandis qu’un simple comportement
négligent ne devrait être sanctionné par une amende que dans des circonstances aggravantes
exceptionnelles, circonstances qui ne seraient pas données en l’espèce. Ainsi la société (AA)
considère que la décision déférée violerait le principe de proportionnalité et constituerait
partant un excès de pouvoir dans le chef de la CNPD, une conclusion similaire ayant également
été retenue par la Cour d’appel de Bruxelles, dans son arrêt, précité du 26 mai 2021.

Par ailleurs, la situation juridique dans l’affaire sous examen serait très complexe, dans
la mesure où le RGPD définirait un ensemble large et ouvert de principes qui ne pourraient pas
être appliqués de manière linéaire, mais devraient être mis en pratique dans le cadre d'un
processus coopératif et itératif entre les régulateurs et les entités contrôlées, de sorte qu’il aurait
été inadéquat de la part de la CNPD d'avoir, en l’espèce, imposé une amende à un responsable
du traitement comme sanction immédiate et primaire, surtout si le responsable du traitement
aurait agi de bonne foi au cours de son évaluation et si la CNPD aurait expressément reconnu
l’absence de violation intentionnelle des dispositions pertinentes du RGPD. Ainsi, le fait de
passer directement à une amende, sans d'abord fournir au responsable du traitement des lignes
directrices pour se mettre en conformité, va définitivement à l'encontre du principe de légalité de
l'ancien article 14 de la Constitution luxembourgeoise et du principe général de sécurité juridique
exigeant que les infractions seraient définies en termes suffisamment clairs et précis pour en
exclure l'arbitraire et permettre aux intéressés de mesurer exactement la nature et le type des
agissements sanctionnables.

La demanderesse en conclut que le détournement et l'excès de pouvoir dans le chef de la
CNPD ne pourraient pas être corrigés par le tribunal, dans la mesure où le choix entre les
différentes mesures correctrices prévues par l'article 58, paragraphe (2) du RGPD serait
éminemment politique, domaine qui ne relèverait pas de la compétence des juridictions
administratives, alors que ces dernières ne sauraient étendre leur contrôle de l'opportunité de
manière à empiéter sur le terrain des choix de politique générale, tout en risquant, pour le
surplus, de prendre, par le biais de leur pouvoir de réformation, une décision échappant au
mécanisme de coopération de l’article 60 du RGPD.

Dans son mémoire en réplique, la demanderesse réitère ses considérations relatives à
une violation, par la CNPD, de l’article 58, paragraphe (2) du RGPD en lui imposant
directement une amende administrative, entraînant, en l’espèce, un détournement de pouvoir,

ainsi qu’une violation du principe de proportionnalité, tout en relevant que contrairement à
l’argumentation de la CNPD, cette dernière disposerait d’autres moyens afin de faire respecter
ses injonctions, sans recours à des astreintes journalières, alors que l’article 83, paragraphe (6)
du RGPD lui permettrait de prononcer des amendes en cas de non-respect de ses injonctions.
Dans le cadre de son argumentation relative à la violation des principes de proportionnalité et
d’effectivité, la demanderesse s’empare finalement de l’ordonnance présidentielle du 17
décembre 2021, inscrite sous le numéro 46630 du rôle, pour affirmer que la CNPD aurait pu
constater qu'il existerait des mesures moins onéreuses et plus efficaces pour assurer la
protection des données à caractère personnel. Ainsi, la CNPD aurait pu (i) lui imposer
uniquement une injonction de mise en conformité précisant les mesures qu’elle aurait dû
prendre pour se conformer au RGPD, respectivement (ii) lui ordonner d'identifier des mesures
correctrices et, ensuite, une fois qu'elle aurait avalisé ces mesures, lui imposer une injonction
de mise en conformité desdites mesures.

La demanderesse propose finalement de soumettre les deux questions préjudicielles
suivantes à la CJUE, son litismandataire ayant confirmé à l’audience publique des plaidoiries
renoncer à la troisième question préjudicielle formulée :

(i) « À la lumière des principes généraux du droit de l'Union du respect des droits
de la défense et du droit à une bonne administration, si une autorité de contrôle
ne motive pas sa décision d'exercer son pouvoir d'adopter des mesures
correctrices spécifiques plutôt que d'autres en vertu de l'article 58(2) du
Règlement (UE) 2016/679, cela constitue-t-il une erreur d'appréciation au
regard du droit de l'Union dans le sens qu’il convient de supposer que cette
autorité de contrôle n'a pas exercé son pouvoir d'appréciation pour sélectionner
une mesure correctrice effective et proportionnée en vertu dudit article 58(2)
du Règlement (UE) 2016/679? » et

(ii) « Une autorité de contrôle manque-t-elle à son pouvoir d'appréciation de
sélectionner une mesure correctrice effective et proportionnée en vertu de
l'article 58(2) du Règlement (UE) 2016/679 si elle ne fournit pas les raisons du
choix de la mesure corrective qu'elle a sélectionnée ? »

À titre subsidiaire, la demanderesse sollicite du tribunal, par réformation de la décision
déférée, d’adopter une décision de principe en enjoignant à la CNPD de choisir une mesure
correctrice plus appropriée et moins onéreuse conformément à l'objectif du RGPD d'assurer la
protection des données à caractère personnel et la libre circulation de ces données au sein de
l'Union européenne et d'une manière qui n’irait pas au-delà de ce qui serait nécessaire pour
atteindre cet objectif.

La CNPD conclut au rejet des moyens ainsi exposés par la demanderesse pour manquer
de fondement.

A titre liminaire, il y a d’emblée lieu de rejeter l’argumentation de la demanderesse,
développé dans le cadre de son moyen relatif à l’existence d’un excès, respectivement d’un
détournement de pouvoir dans le chef de la CNPD, basé sur l’ancien article 14, actuellement
l’article 19 de la Constitution quant à la violation du principe de légalité et de sécurité juridique,
en ce que le tribunal vient de retenir ci-avant que lesdits principes sont respectées en l’espèce.

Le tribunal doit encore relever, tout en réitérant ses constats retenus dans le cadre du
moyen de la société (AA) relatif à une violation, en l’espèce, du principe de légalité, que la
CNPD, dans le cadre des mesures qu’elle peut adopter sur base de l’article 58, précité, du
RGPD dispose d’un pouvoir discrétionnaire de choisir la, respectivement les mesures qu’elle
considère, pour le cas d’espèce lui soumis, les plus adaptées pour atteindre les objectifs du
RGPD. Dans ce cadre, il y a lieu de rappeler qu’un pouvoir discrétionnaire des autorités
administratives ne s’entend toutefois pas comme un pouvoir absolu, inconditionné ou à tout
égard arbitraire, mais comme la faculté qu’elles ont de choisir, dans le cadre des lois, la solution
qui leur paraît préférable pour la satisfaction des intérêts publics dont elles ont la charge 72, le
juge administratif étant appelé, en matière de recours en réformation, non pas à examiner si
l’administration est restée à l’intérieur de sa marge d’appréciation, une telle démarche
s’imposant en matière de recours en annulation, mais à vérifier si son appréciation se couvre
avec celle de l’administration et, dans la négative, à substituer sa propre décision à celle de
l’administration73.

Dans ce contexte, le considérant 148 du RGPD précise, par ailleurs, qu’afin « (…) de
renforcer l'application des règles du présent règlement, des sanctions y compris des amendes
administratives devraient être infligées pour toute violation du présent règlement, en
complément ou à la place des mesures appropriées imposées par l'autorité de contrôle en vertu
du présent règlement. En cas de violation mineure ou si l'amende susceptible d'être imposée
constitue une charge disproportionnée pour une personne physique, un rappel à l'ordre peut
être adressé plutôt qu'une amende. Il convient toutefois de tenir dûment compte de la nature,
de la gravité et de la durée de la violation, du caractère intentionnel de la violation et des
mesures prises pour atténuer le dommage subi, du degré de responsabilité ou de toute violation
pertinente commise précédemment, de la manière dont l'autorité de contrôle a eu connaissance
de la violation, du respect des mesures ordonnées à l'encontre du responsable du traitement
ou du sous-traitant, de l'application d'un code de conduite, et de toute autre circonstance
aggravante ou atténuante. L'application de sanctions y compris d'amendes administratives
devrait faire l'objet de garanties procédurales appropriées conformément aux principes
généraux du droit de l'Union et de la Charte, y compris le droit à une protection
juridictionnelle effective et à une procédure régulière. », de sorte qu’il y a lieu de retenir que
l’objectif des mesures préconisées à l’article 58 du RGPD est double en ce que celles ont pour
finalité, d’une part, de veiller au respect du RGPD en permettant aux autorités nationales de
contrôle compétentes de faire cesser toute violation du RGPD et d’assurer que les responsables
du traitement s’y conformeront à l’avenir74, et, d’autre part, de sanctionner ces derniers pour
les manquements constatés, approche qui a été suivie en l’occurrence par la CNPD par le biais
de l’amende prononcée à l’encontre de la société (AA), des mesures correctrices imposées sous
astreinte, ainsi que de la décision de procéder à la publication de la décision litigieuse dans les
conditions de l’article 52 de la loi du 1er août 2018.

72
Trib. adm., 10 octobre 2007, n° 22641 du rôle, Pas. adm. 2023, V° Recours en annulation, n° 60 (3 e volet) et
les autres références y citées.
73
Cour adm., 23 novembre 2010, n° 26851C du rôle, Pas. adm. 2023, V° Recours en réformation, n°12 (2 e volet)
et les autres références y citées.
74
Ce double objectif des mesures à adopter par les autorités de contrôle compétentes en matière de protection des
données privées découle encore du considérant 129 du RGPD aux termes duquel « Afin de veiller à faire appliquer
le présent règlement et à contrôler son application de manière cohérente dans l'ensemble de l'Union, les autorités
de contrôle devraient avoir, dans chaque État membre, les mêmes missions et les mêmes pouvoirs effectifs, y
compris les pouvoirs d'enquête, le pouvoir d'adopter des mesures correctrices et d'infliger des sanctions »

En effet lesdites mesures visent à sanctionner la demanderesse pour les violations du
RGPD constatées, dans son chef, ainsi qu’à la contraindre d’y remédier afin que lesdites
violations cessent, tout en fournissant, par le biais de la publication de la décision déférée, des
précisions, tant pour les autres autorités nationales de contrôle compétentes en matière de
protection des données personnelles que pour les autres responsables du traitement quant à
l’application des articles 6, 12 à 17 et 21 du RGPD dans le but de permettre une application
harmonisée desdites règles communautaires au sein de l’Union européenne, étant précisé que
l’article 58, paragraphe (2), i) du RGPD prévoit expressément la faculté, pour les autorités
nationales de contrôle, d’imposer une amende administrative, « (…) en complément ou à la
place des mesures visées (…) » aux points a) à j) du même article.

Sur base des considérations qui précèdent, il y a, tout d’abord, lieu de rejeter
l’argumentation de la demanderesse selon laquelle la CNPD aurait violé l’article 58 du RGPD
en lui imposant directement une amende et sans fournir de motivation quant à sa décision de
ne pas recourir aux autres mesures prévues à l’article 58, paragraphe (2) du RGPD.

Il échet en effet de constater que la CNPD a expressément et clairement motivé son
choix d’imposer une amende à la société (AA) en ayant eu égard aux critères de l’article 83,
paragraphe (2) du RGPD, précité, qu’elle a considérés comme pertinents en l’espèce, en
l’occurrence les points a), b), f) et k) dudit article, tout en expliquant, par après, les raisons pour
lesquelles elle a considéré que le montant de l’amende retenu sur base du chiffre d’affaires total
de l’année 2020 de la société (FF) était effectif, dissuasif et proportionné, conformément aux
exigences de l’article 83, paragraphe (1) du RGPD.

Ainsi, il y a lieu de retenir que la CNPD s’est conformée à son obligation de motivation
de l’amende prononcée à l’encontre de la demanderesse, sans qu’on puisse lui reprocher
d’avoir automatiquement imposé une telle sanction à cette dernière, étant, par ailleurs, relevé
que la société (AA) est restée en défaut d’invoquer une quelconque disposition légale imposant
à la CNPD une obligation de motiver son choix de ne pas avoir recouru aux autres mesures
prévues par l’article 58, paragraphe (2) du RGPD. La même conclusion doit s’imposer quant
aux reproches de la demanderesse selon laquelle la CNPD n’aurait pu imposer d’amendes
administratives à son encontre qu’en constatant le caractère intentionnel des violations des
articles 6, 12 à 17 et 21 du RGPD retenues dans son chef, tel que déjà relevé ci-avant.

Par ailleurs, la demanderesse reste en défaut d’invoquer une quelconque disposition
juridiquement contraignante imposant à la CNPD de devoir, préalablement à la prise d’une
amende administrative, respectivement d’une mesure correctrice, adresser tout d’abord une
mise en demeure au responsable du traitement. Une telle approche, telle qu’expliquée à juste
titre par la CNPD, aurait pour effet que les responsables du traitement ne seraient pas enclin à
respecter ab initio le RGPD, alors qu’ils pourraient procéder au traitement de données à
caractère personnel ne respectant pas les principes et obligations découlant du RGPD pour ne
mettre ledit traitement en conformité avec le RGPD qu’après la réception d’une injonction de
la part des autorités de contrôle compétentes, ce qui n’est pas l’objectif du RGPD visant à
protéger effectivement les données à caractère personnel.

Le tribunal doit encore relever qu’une amende administrative n’a pas pour objectif de
mettre fin aux manquements du RGPD, mais de sanctionner les infractions audit règlement
commises par le passé, l’objectif consistant à s’assurer qu’un responsable de traitement ayant
contrevenu au RGPD s’y conformera dans le futur étant atteint par l’imposition des autres
mesures prévues à l’article 53 du RGPD, telles qu’en l’occurrence le prononcé d’injonctions

sous astreinte, constat qui est corroboré par l’avis du 30 mars 2018 du Conseil d’Etat relatif au
projet de loi portant création de la CNPD et la mise en œuvre du RGPD.

Il s’ensuit que contrairement à l’argumentation de la demanderesse, l’astreinte
journalière n’est pas à considérer comme s’ajoutant, ni de manière générale ni en l’espèce, à
l’amende administrative, alors que les deux mesures ne remplissent pas le même objectif, -
l’amende ayant été décidée, tel que relevé ci-avant, afin de sanctionner les violations du RGPD
constatées dans le chef de la société (AA) en raison de ses traitements de données à caractère
personnel, tels qu’opérés jusque-là, tandis que l’astreinte journalière se rattache aux mesures
correctrices qui visent à garantir à ce que la demanderesse se conforme désormais au RGPD -
de sorte que le prononcé d’une astreinte a valablement, d’une part, pu être prévu par le
législateur à travers l’article 49 de la loi du 1er août 2018, conformément à l’article 84,
paragraphe (1) du RGPD aux termes duquel « Les États membres déterminent le régime des
autres sanctions applicables en cas de violations du présent règlement, en particulier pour les
violations qui ne font pas l'objet des amendes administratives prévues à l'article 83, et prennent
toutes les mesures nécessaires pour garantir leur mise en œuvre. Ces sanctions sont effectives,
proportionnées et dissuasives », et, d’autre part, appliqué en l’espèce par la CNPD. Le
reproche de la demanderesse selon laquelle les mesures prononcées à son encontre ne viseraient
qu’à la sanctionner encourt partant le rejet pour manquer de fondement, tout comme son
argumentation consistant à soutenir que la mise en œuvre pratique de l’astreinte journalière
risquerait de nuire à l’application uniforme du RGPD, en ce qu’une telle mesure ne serait pas
soumise au mécanisme de coopération de l’article 60 du RGPD, alors que, tel que retenu ci-
avant, ladite mesure a valablement été prévue en droit national en conformité avec le RGPD.
Dans ce cadre, le tribunal doit encore écarter les affirmations de la demanderesse selon laquelle
la mise en œuvre pratique de l’astreinte journalière pourrait conduire à lui imposer un montant
supérieur au montant maximal prévu par l’article 83, paragraphes (3) et (5) du RGPD, alors
que, d’une part, le prédit article s’applique uniquement aux amendes et non pas aux astreintes
et, d’autre part, la CNPD a le pouvoir discrétionnaire de fixer le montant définitif de l’astreinte
à un chiffre inférieur à celui qui résulte de la décision initiale, conformément à l’article 49,
paragraphe (2) de la loi du 1er août 2018 en cas de satisfaction à la mesure ordonnée sous peine
d’astreinte.

Cette conclusion n’est pas remise en cause par l’argumentation de la société (AA) selon
laquelle d’autres autorités nationales de contrôle auraient privilégié des mises en demeure,
respectivement la signature d’engagements avant de clôturer les dossiers leurs soumis, sans
prononcer d’amendes, alors qu’il ressort au contraire des explications circonstanciées de la
CNPD, fournies à travers ses mémoires en réponse et en duplique, que l’amende administrative
constitue la mesure correctrice à laquelle lesdites autorités ont souvent recours, dans la mesure
où entre juillet 2018 et avril 2022, 1.058 de telles amendes avaient été prononcées, dont 365
visaient plus particulièrement la circonstance que le traitement de données personnelles ne
reposait pas, tel que cela est le cas en l’espèce, sur une base juridique suffisante au sens de
l’article 6, paragraphe (1) du RGPD.

Le tribunal doit finalement rejeter l’argumentation de la demanderesse consistant à
soutenir que la CNPD, au lieu d’assortir les mesures correctrices prononcées à son encontre
d’une astreinte journalière, aurait pu se fonder sur l’article 83, paragraphe (6) du RGPD et
prononcer à son encontre une amende en cas de non-respect des injonctions, alors que, mis à
part le pouvoir discrétionnaire de la CNPD en la matière, une telle amende n’aurait également
eu pour objectif que de sanctionner la demanderesse pour avoir commis une violation des
obligations lui incombant, cette fois-ci non du RGPD, mais de l’injonction prononcée à son

encontre, sans nécessairement viser l’assurance effective de la protection des données à
caractère personnel.

Sur base de l’ensemble des considérations qui précèdent, et tout en réitérant ses constats
relatifs au respect, en l’espèce, des principes de légalité et de prévisibilité, le tribunal doit rejeter
le moyen de la demanderesse fondé sur l’existence d’un excès, respectivement d’un
détournement de pouvoir dans le chef de la CNPD pour manquer de fondement, sans qu’il n’y
ait lieu de soumettre les questions préjudicielles précitées à la CJUE pour ne pas être
pertinentes.

La société (AA) affirme encore que la décision déférée violerait son droit à un procès
équitable, consacré aux articles 41, paragraphe (2), c) et 47 de la Charte, ainsi qu’à l’article 6,
paragraphe (1) de la CEDH, en faisant valoir qu’il appartiendrait aux autorités prononçant des
sanctions administratives de fournir des explications quant à la raison desdites mesures, afin
de permettre aux personnes concernées de défendre leurs droits et de décider en pleine
connaissance de cause l’utilité de saisir le juge compétent. Or, en l’espèce, la décision déférée
serait restée en défaut d’avancer une quelconque explication sur le mode de calcul de l’amende
retenue à sa charge. Ainsi, la décision litigieuse n'aurait pas expliqué les raisons pour lesquelles
(i) elle aurait utilisé le chiffre d'affaires de la société de l'année 2020 comme base de calcul,
(ii) le montant de l'amende aurait été nécessaire pour atteindre les objectifs poursuivis par la
CNPD, (iii) il aurait été nécessaire ou approprié d'imposer près du double de l'amende
recommandée par le chef d'enquête dans le cadre de la communication des griefs, tout en ayant
cependant identifié moins d'infractions au RGPD que le chef d'enquête, respectivement (iv)
l'astreinte journalière supplémentaire de 746.000 euros par jour de retard des mesures
d'exécution aurait été nécessaire ou appropriée, tant en son principe qu’en son quantum. La
demanderesse critique finalement, dans le contexte du reproche d’une violation de son droit à
un procès équitable, la décision déférée en ce que la CNPD serait restée en défaut d’'expliquer
comment son analyse des critères de l'article 83, paragraphe (2) du RGPD se rapporterait au
montant de l'amende, et non au principe de l'imposition d’une amende.

La CNPD conclut, à juste titre, au rejet du prédit moyen de la demanderesse, dans la
mesure où, mis à part le fait, tel que relevé ci-avant, que l’article 41, paragraphe (2), c) de la
Charte n’est pas applicable en l’espèce, la décision déférée a dûment explicité les fondements
légaux à la base du montant de l’amende, ainsi que de l’astreinte, en se référant à l’article 83,
paragraphe (5) du RGPD, précité, respectivement à l’article 49, paragraphe (1) de la loi du 1er
août 2018 aux termes duquel « La CNPD peut, par voie de décision, infliger au responsable
de traitement ou sous-traitant, à l’exception de l’État et des communes, des astreintes jusqu’à
concurrence de 5 pour cent du chiffre d’affaires journalier moyen réalisé au cours de
l’exercice social précédent, ou au cours du dernier exercice social clos, par jour de retard à
compter de la date qu’il fixe dans sa décision, pour le contraindre :
1°à communiquer toute information que la CNPD a demandée en application de
l’article 58, paragraphe 1er, lettre a) du règlement (UE) 2016/679 ;
2°à respecter une mesure correctrice que la CNPD a adoptée en vertu de l’article 58,
paragraphe 2, lettres c), d), e), f), g), h) et j) du règlement (UE) 2016/679. (…) ».

Le tribunal doit encore rejeter, dans ce cadre, l’argumentation de la partie demanderesse
relative à une violation de son droit à un procès équitable en ce qui concerne le montant tant
de l’amende que de l’astreinte journalière lui imposé à travers la décision litigieuse, sur base
des considérations retenues ci-avant quant au principe de légalité et de prévisibilité des peines,
ainsi que quant au pouvoir discrétionnaire dans le chef de la CNPD quant à la fixation des

mesures à adopter sur base des articles 58, paragraphe (2) et 83 du RGPD, ainsi que de l’article
49 de la loi du 1er août 2018.

Le tribunal doit plus particulièrement relever, dans ce contexte, que la CNPD a
explicité, dans la décision déférée, le cadre juridique, en vertu duquel elle a eu égard au chiffre
d’affaires de la société américaine (FF), alors qu’elle s’est basée sur la chaîne de détention des
parts sociales de la demanderesse, détenue à 100% par la société américaine (II), elle-même
détenue à 100% par la prédite société américaine, approche préconisée tant par le considérant
150 du RGPD75, ainsi qu’à la jurisprudence pertinente de la CJUE, pour appliquer sur ledit
chiffre d’affaires d’un montant de 386.064.000.000 dollars en 2020, la fourchette de l’article
83, paragraphe (5) du RGPD. Dans ce contexte, il y a encore lieu de relever que l’année de
référence à prendre en considération quant au chiffre d’affaires par rapport auquel les limites
maximales de l’article 83, paragraphe (5) du RGPD sont à appliquer, bien que le prédit article
ne fait état que de la notion de « l’année précédent », est celle de l’année précédant la décision
d’infliger l’amende en question, tel que cela ressort de l’arrêt C-637/13 P de la CJUE du 26
janvier 2017, Badezimmerkartell Laufen Austria, dont le principe, rendu en matière de droit de
la concurrence, est applicable par analogie en matière de protection des données personnelles.

Il y a encore lieu de rejeter l’argumentation de la demanderesse consistant à mettre en
cause le montant de l’amende, ainsi que de l’astreinte, alors que la CNPD a pris en
considération les critères, qu’elle estimait pertinents, tout en analysant en détail, les critères
d’effectivité, de dissuasion et de proportionnalité, de sorte à avoir ainsi mis la demanderesse
en mesure de comprendre le raisonnement adopté, dans ce contexte, par la CNPD et de décider
en pleine connaissance de cause de l’utilité d’un recours à l’encontre de la décision sous
examen.

Cette conclusion n’est pas remise en cause par l’argumentation de la demanderesse
selon laquelle la CNPD a prononcé une amende de près du double de celle préconisée par le
chef d’enquête dans le cadre de la communication des griefs, malgré le fait d’avoir retenu moins
de violations du RGPD que ce dernier, dans la mesure où le montant y avancé par ce dernier
ne constitue qu’une proposition qui ne lie pas la CNPD, laquelle dispose, tel que retenu ci-
avant, d’un pouvoir discrétionnaire quant à la sanction à prononcer en cas de constat de
violations du RGPD par un responsable du traitement, pouvoir discrétionnaire qui existe
également en ce qui concerne la fixation du montant de l’amende dans la limite des conditions
de l’article 83 du RGPD. Dans un même ordre d’idées, il y a lieu de rejeter l’argumentation de
la demanderesse remettant en cause tant le principe que le quantum de l’astreinte journalière
attaché aux mesures correctrices, alors que l’astreinte doit nécessairement avoir un effet
dissuasif afin de permettre à la CNPD de faire respecter, dans les meilleurs délais, le RGPD,
surtout en ayant égard à la gravité et à l’ampleur des violations du RGPD retenues, à juste titre,
dans le chef de la demanderesse.

Il y a finalement lieu d’écarter l’affirmation de la demanderesse selon laquelle la CNPD
serait restée en défaut d’expliquer la manière dont son analyse des critères de l’article 83,
paragraphe (2) du RGPD se rapporterait, non pas au principe de lui imposer une amende, mais
au montant de cette dernière, alors qu’il ressort explicitement de la décision déférée que la
CNPD a repris, à l’identique, son analyse des critères de l’article 83, paragraphe (2) du RGPD,
pour déterminer le montant de l’amende, ladite autorité ayant, en effet, précisé qu’au « (…)
75
Aux termes du considérant 150 du RGPD « (…) Lorsque des amendes administratives sont imposées à une
entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du
traité sur le fonctionnement de l'Union européenne. (…) ».

regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant et après une
évaluation de toutes les circonstances de l’affaire, la Formation restreinte considère que le
prononcé d’une amende de sept cent quarante-six millions d’euros (EUR 746.000.000), en
complément aux mesures correctrices mentionnées sous III.2.2., est à la fois effectif,
proportionné et dissuasif, conformément aux exigences de l’article 83.1 du RGPD. (…) ».

Il suit de l’ensemble des considérations qui précèdent que le moyen de la demanderesse
fondé sur une violation de son droit à un procès équitable, consacré aux articles 41, paragraphe
(2), c) et 47 de la Charte, ainsi qu’à l’article 6, paragraphe (1) de la CEDH encourt le rejet dans
tous ses volets pour manquer de fondement.

La demanderesse fait ensuite valoir que la décision litigieuse de la CNPD serait à
réformer pour violation de l’article 83 du RGPD et ce, à plusieurs égards.

Elle argumente, tout d’abord, dans ce contexte, que la CNPD aurait, à tort, utilisé le
chiffre d'affaires annuel mondial total de la société américaine (FF), de l'année 2020 comme
base de calcul de l'amende, qui aurait été de 386.064.000.000 dollars, pour en conclure qu’une
amende de 746 millions d'euros aurait, en l’espèce, été appropriée, alors même qu’elle aurait
dû se baser sur le chiffre d’affaires de la société (AA), dans la mesure où les facteurs à prendre
en considération en vertu de l'article 83, paragraphe (2) du RGPD seraient tous axés sur le
comportement de la partie présumée en infraction. Ainsi, adopter l'approche de la CNPD aurait
pour conséquence qu'une amende serait prélevée sur le chiffre d'affaires en lien avec des
services d'(AA) sans rapport avec l’activité litigieuse, y compris des services sans lien avec
l'Union européenne et auxquels le RGPD ne s'appliquerait même pas.

Par ailleurs, dans la mesure où la CNPD se serait appuyée sur la théorie du droit de la
concurrence, quant à la définition du terme « entreprise », pour décider d'utiliser le chiffre
d'affaires de la société américaine (FF), la demanderesse soutient que la décision litigieuse
n’aurait pas correctement calculé et ne justifierait pas l'amende conformément aux pratiques
établies en droit de la concurrence et à d'autres procédures administratives imposant des
amendes. Dans ce cadre, la demanderesse affirme qu'en vue de déterminer le montant de base
de l'amende à infliger, la CNPD aurait dû prendre en compte (i) la valeur des ventes de biens
ou services, réalisées par l'entreprise, en relation directe ou indirecte avec l'infraction, dans le
secteur géographique concerné à l'intérieur du territoire de l'espace économique européen, (ii)
les ventes de l'entreprise durant la dernière année complète de sa participation à l'infraction, et
(iii) des circonstances menant à une augmentation ou à une réduction du montant de base.

Ainsi, la CNPD aurait, selon la demanderesse, dû se limiter à prendre en compte son
chiffre d'affaires relatif à la PBI sur la base de tout traitement constitutif de l'atteinte, tout en
indiquant les valeurs des ventes, la durée de l'infraction, les pourcentages, ainsi que les facteurs
aggravants et/ou atténuants, ce qu’elle serait cependant restée en défaut de faire. Dans ce
contexte, la demanderesse donne encore à considérer que le montant de l’amende retenu par la
CNPD représenterait trois fois son chiffre d'affaires en 2018 lié à la publicité, circonstances qui
établirait tant la disproportion de l'amende que le manque de motivation de la décision déférée.

Dans le même ordre d’idées, la demanderesse fait valoir que l’astreinte journalière de
746.000 euros excèderait la totalité son chiffre d'affaires journalier lié à la publicité, de sorte à
dépasser la limite de 5% du chiffre d'affaires journalier mondial de l'entreprise concernée, tel
que fixée à l’article 49 de la loi du 1er août 2018.

Finalement, la CNPD serait restée en défaut de fournir des explications sur la manière
dont les facteurs atténuants qu'elle aurait identifiés, tels que notamment la pseudonymisation
et la force de son mécanisme d'opt-out, auraient conduit à réduire l'amende, contrairement aux
exigences de la jurisprudence du tribunal de première instance de l’Union européenne en
matière de droit de la concurrence.

La demanderesse critique ensuite la circonstance que la CNPD, dans le cadre de la
décision litigieuse, se serait référée au chiffre d’affaires de la société américaine (FF), de
l’année 2020 comme base de l'amende lui infligée, alors que ladite autorité aurait dû utiliser
son chiffre d'affaires de l'année 2018, se rapportant à l'année précédant l'évaluation des
violations du RGPD retenues dans son chef, sinon à titre subsidiaire, sur base de la
méthodologie appliquée en droit de la concurrence, le chiffre d'affaires de 2019.

La société (AA) fait valoir, dans ce cadre, que, sur une analyse purement textuelle de
l’article 83, paragaphe (4) du RGPD, l’expression « exercice précédent » devrait se référer au
substantif « violation ». Ainsi, dans la mesure où l’appréciation des faits par la CNPD aurait
été effectuée lors de l’ouverture de l’enquête en avril 2019, le chiffre d'affaires à considérer
aurait été celui de 2018, approche qui aurait, par ailleurs été adoptée par d’autres autorités
nationales de contrôle compétentes en matière de protection des données personnelles. Si la
CNPD avait également suivi une telle manière de faire, elle aurait dû noter que l'amende
litigieuse représenterait environ 11% du chiffre d'affaires total de la demanderesse, ce qui
correspondrait à presque le triple du maximum de 4% autorisé par l’article 83, paragraphe (4)
du RGPD.

Sur base de la méthodologie du droit de la concurrence, tel qu’exposé dans les lignes
directrices de la Commission européenne pour le calcul des amendes, la demanderesse explique
que la CNPD aurait dû, dans le cadre d’un processus en deux étapes, tout d’abord fixer le
« montant de base de l'amende » par référence à la valeur des ventes par l'entreprise des
produits, respectivement services auxquels l'infraction se rapporterait directement ou
indirectement – ce qui permettrait de mesurer, de manière adéquate, les gains supplémentaires
réalisés par l'entreprise du fait de l'infraction et le préjudice en résultant pour les
consommateurs et les concurrents – , et ensuite, ajuster le montant de base, à la hausse ou à la
baisse, en fonction des circonstances aggravantes ou atténuantes, tel qu’en l’espèce les mesures
correctrices adoptées en 2020.

Il serait ainsi logique de considérer le chiffre d'affaires de l'année précédant la
correction de l'infraction présumée, en l’occurrence l’année 2019, ce qui permettrait de tenir
compte de l'activité illicite du responsable du traitement, tout en ne le punissant pas pour l'année
au cours de laquelle il aurait corrigé l'infraction ainsi que pour les années suivantes. La
demanderesse donne à considérer qu’une amende calculée selon la prédite méthode serait
proportionnée pour être liée au chiffre d'affaires obtenu à tort grâce aux activités illicites et
pour reconnaître les efforts déployés par le responsable du traitement pour remédier aux
infractions, démarche que la CNPD n’aurait cependant pas suivie en l’espèce.

La demanderesse propose encore de soumettre deux questions préjudicielles à la CJUE,
son litismandataire ayant expressément déclaré à l’audience publique des plaidoiries renoncer
aux autres questions formulées dans le cadre de son recours dans le contexte de son
argumentation en relation avec les différentes mesures retenues à l’encontre de la société (AA),
les deux questions maintenues étant libellées comme suit :

« L'article 49 de la Loi de 2018 viole-t-il l'article 83 du Règlement (UE) 2016/679 et
l'article 4(3) du TUE en conférant à la CNPD le pouvoir d'imposer une amende journalière
allant jusqu'à 5 % du chiffre d'affaires journalier moyen réalisé au cours de l'exercice
précédent, ou au cours du dernier exercice clos, ce qui peut conduire à des amendes dépassant
les amendes maximales prévues à l'article 83(4) et (6) ? De telles amendes supplémentaires
sont-elles compatibles avec l'intention du Règlement (UE) 2016/679 d'appliquer le droit de
l'Union de manière uniforme afin d'éviter une inégalité de traitement des responsables du
traitement en fonction de l'État membre de leur établissement principal ? » et

« Lorsqu'elle établit le chiffre d'affaires annuel d'une entreprise à l'article 83(4) et (5)
du Règlement (UE) 2016/679, l'autorité de contrôle doit-elle prendre en compte les activités
de l'entreprise ou du groupe d'entreprises (…) qui sont entièrement sans rapport avec le
traitement considéré comme étant en violation du Règlement (UE) 2016/679 ? ».

Dans son mémoire en réplique, la demanderesse insiste sur son argumentation selon
laquelle la CNPD se serait référée, à tort, sur le chiffre d’affaire, d’une part, de la société
américaine (FF), et, d’autre part, de l’année 2020.

La CNPD conclut au rejet de ce volet du moyen de la demanderesse fondé sur une
violation de l’article 83 du RGPD en ce qui concerne le chiffre d’affaires, ainsi que l’année de
référence afférente à prendre en considération dans le cadre de la fixation d’une amende, tout
comme elle sollicite le rejet des questions préjudicielles formulées dans ce cadre.

Le tribunal doit, tout d’abord, rappeler que dans le contexte spécifique du calcul des
amendes administratives imposées pour des violations visées à l’article 83, paragraphes (4) à
(6), du RGPD, l’interprétation de la notion d’« entreprise », doit être effectué, conformément
au considérant 150 du RGPD, au sens des articles 101 et 102 du TFUE et comprend toute entité
exerçant une activité économique, indépendamment du statut juridique de cette entité et de son
mode de financement. Elle désigne ainsi une unité économique même si, du point de vue
juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales.
Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels
et immatériels poursuivant de façon durable un but économique déterminé76.

Ainsi, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une
entreprise, au sens des articles 101 et 102 du TFUE, le montant maximal de l’amende
administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial
total de l’exercice précédent de ladite entreprise concernée.

Par ailleurs, seule une amende administrative dont le montant est déterminé en fonction
de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par
l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion
d’unité économique, est susceptible de réunir les trois conditions énoncées à l’article 83,
paragraphe (1) du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive77.

Ainsi, contrairement à l’argumentation de la demanderesse, il y a lieu de prendre en
considération le chiffre d’affaires mondial de l’entreprise concernée, lequel ne doit partant pas

76
Arrêt de la CJUE du 6 octobre 2021, Sumal, C‑882/19, point 41 et la jurisprudence y citée.
77
Arrêt de la CJUE du 5 décembre 2021, Deutsche Wohnen, C-807/21, points 57 et 58.

être limité au seul volume des affaires ayant directement trait à l’activité dans le cadre de
laquelle une violation du RGPD a valablement été constatée.

Par ailleurs, dans la mesure où il est constant en cause pour ne pas être contesté par les
parties, que la demanderesse est détenue à 100% par la société américaine (II), elle-même
détenue à 100% par la société américaine (FF), lesdites sociétés sont à considérer comme une
unité économique, de sorte qu’aucun reproche ne saurait être adressé à la CNPD d’avoir pris
le chiffre d’affaires de la société américaine (FF), comme base pour déterminer le montant de
l’amende dans le respect des conditions de l’article 83 du RGPD.

Il échet encore de relever que la période de référence à prendre en considération pour
le chiffre d’affaires de l’entreprise est l’année précédant la prise de décision de l’autorité
infligeant une sanction administrative, en l’occurrence l’année 2020, conformément à la
jurisprudence pertinente de la CJUE78, de sorte que la CNPD s’est, à bon droit, référée au
montant de 386.064.000.000 dollars, correspondant au chiffre d’affaires de la société
américaine (FF), en 2020.

Dans ce contexte, le tribunal doit encore rejeter l’affirmation de la demanderesse selon
laquelle la CNPD serait restée en défaut de prendre en considération la durée de l'infraction,
ainsi que les facteurs aggravants, respectivement atténuants, alors qu’il ressort au contraire
explicitement de la décision déférée, que la CNPD a mis en avant ces éléments en relevant,
d’une part, que les violations constatées dans le chef de la société (AA) avaient commencé
depuis le 25 mai 2018 et, d’autre part, le mécanisme de la pseudonymisation comme
circonstance atténuante, ainsi que l’avantage financier découlant pour la demanderesse de la
PBI, comme facteur aggravant.

Par ailleurs, il échet de relever que la demanderesse reste en défaut d’invoquer une
quelconque disposition légale applicable au litige sous examen en vertu de laquelle il
appartiendrait à la CNPD de quantifier l’impact de ces circonstances atténuantes et aggravantes
sur le montant de l’amende, étant encore relevé qu’il ressort de l’article 83, paragraphe (1) du
RGPD que la fixation de l’amende ne doit obéir, mis à part les limites fixées aux paragraphes
(4) et (5) du RGPD, qu’aux exigences d’effectivité, de proportionnalité et de dissuasion,
critères que la CNPD a pris en compte et explicités dans la décision litigieuse.

Il y a finalement lieu de rejeter l’argumentation de la demanderesse relative au montant
de l’astreinte, sur base des mêmes considérations que celles retenues ci-avant dans le cadre du
moyen de la demanderesse sur l’existence d’un excès, respectivement d’un détournement de
pouvoir dans le chef de la CNPD et ayant trait au caractère sanctionnateur de l’amende, pour
les violations du RGPD commises dans le passé, tandis que l’objectif des mesures correctrices,
ainsi que des astreintes dont celles-ci peuvent être assorties, est de garantir que le responsable
du traitement se conformera désormais, dans les meilleurs délais, au RGPD.

Il suit des considérations qui précèdent que le moyen de la demanderesse tiré d’une
violation de l’article 83 du RGPD et tenant à la question de l’entité dont le chiffre d’affaires
est à prendre en compte, ainsi que de l’année dudit chiffre d’affaires, pour la fixation d’une
amende est à rejeter, alors que la CNPD a, à juste titre, pu se baser sur le chiffre d’affaires de
la société américaine (FF) de l’année 2020, sans qu’il ne soit nécessaire de soumettre à la CJUE

78
Arrêts de la CJUE du 26 janvier 2017, Badezimmerkartell Laufen Austria, C-637/13P, point 49, respectivement
du 4 September 2014, YKK e.a., C-408/12P, point 90.

les questions préjudicielles formulées par la demanderesse, dans ce contexte, pour manquer de
pertinence.

La société (AA) critique ensuite la décision déférée en ce qui concerne son appréciation,
par la CNPD, des facteurs de l’article 83, paragraphe (2) du RGPD, au motif que cette dernière
aurait mal interprété plusieurs desdits facteurs et n’aurait pas tenu compte des nombreux
facteurs plaidant en défaveur d’une amende, la demanderesse affirmant encore, dans ce
contexte, que l’omission de facteurs contreviendrait encore aux exigences procédurales de la
CNPD laquelle aurait dû enquêter à charge et à décharge.

En ce qui concerne, tout d’abord, le critère prévu à l’article 83, paragraphe (2), b) du
RGPD selon lequel la violation doit avoir été commise délibérément ou par négligence, la
demanderesse soutient que la décision déférée aurait reconnu qu’elle n'aurait pas violé le RGPD
par négligence, et encore moins intentionnellement, pour en conclure qu’aucune « infraction
coupable » ne pourrait lui être reprochée et qu’elle n’aurait partant pas dû faire l'objet d'une
amende. Même à supposer qu’elle aurait agi par négligence, la CNPD aurait alors dû réduire
l'amende, dans la mesure où son comportement ne répondrait qu'au niveau le plus bas de la
culpabilité, considération qui ressortirait également des lignes directrices WP253 du groupe
article 29 du 3 octobre 2017 sur l’application et la fixation des amendes administratives selon
lesquelles il serait « (…) généralement admis que les violations commises délibérément, qui
manifestent un mépris pour les dispositions législatives, sont plus graves que les violations
commises non délibérément et que, par conséquent, elles sont davantage susceptibles de
justifier l'application d'une amende administrative. » Dans ce cadre, la demanderesse critique
encore la décision déférée pour être restée en défaut de préciser l’impact de ses intentions
bénignes, en l’espèce, sur le montant de l’amende.

Dans le cadre de son mémoire en réplique, la demanderesse, mis à part de faire valoir
que la CNPD, d’une part, aurait retenu l’absence d’intention, respectivement de négligence de
sa part dans les violations retenues du RGPD, et, d’autre part, ne pourrait pas modifier son
argumentation, à travers son mémoire en réponse, pour affirmer dorénavant qu’elle aurait agi
de manière négligente, soutient encore que les conditions pour pouvoir lui imputer des
agissements négligents à la base des violations des articles 6, 12 à 17 et 21 du RGPD ne seraient
pas remplies en l’espèce, dans la mesure où elle n’aurait pas agi en contradiction claire avec le
cadre réglementaire lui applicable.

Quant au critère de l’article 83, paragraphe (2), a) du RGPD, selon lequel il
appartiendrait aux autorités nationales de contrôle d’avoir égard à « la nature, la gravité et la
durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement
concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage
qu'elles ont subi », la demanderesse critique la CNPD de ne pas avoir tenu compte de ses
remarques formulées dans le cadre de sa prise de position du 20 août 2020, mais de s’être
contentée à n’émettre que des généralisations n’appuyant pas correctement l’amende lui
infligée.

Dans ce cadre, la société (AA) argumente, tout d’abord, en ce qui concerne plus
particulièrement la nature et la gravité de la violation, qu’elle n’aurait violé ni l’article 6,
paragraphe (1) du RGPD, ni les articles 12 à 17 et 21 du RGPD, lesquelles ne feraient d’ailleurs
pas partie, en l’espèce du champ de l’enquête, tout en précisant que la décision déférée serait
restée en défaut, d’une part, d’indiquer des cas concrets où lesdites dispositions réglementaires
auraient été violées, respectivement le préjudice effectivement subi de ce chef, et, d’autre part,

de prendre en compte les efforts déployés par la société (AA) pour se conformer aux obligations
découlant des articles, précitées, du RGPD. Elle donne encore à considérer, dans ce cadre, que
la CNPD n’aurait pas abordé des faits pertinents pour évaluer la nature et la gravité des
violations lui reprochées, tel que plus particulièrement l’interdiction d’afficher de la PBI pour
certains produits sensibles et aux personnes vulnérables, la pseudonymisation des données
personnelles collectées, la limitation des types de données utilisées, le défaut de partage des
données traitées avec des tiers, ainsi que la circonstance que la PBI litigieuse viserait des
personnes ayant déjà consulté, respectivement acheté des produits dans les Boutiques (AA).
Elle réitère ces considérations dans le cadre de son mémoire en réplique.

La demanderesse relève encore, en ce qui concerne le critère de durée des violations lui
reprochées, que la CNPD se serait limitée à affirmer que lesdites violations auraient commencé
à tout le moins le 25 mai 2015 et perduré jusqu’au début de l’enquête, ce qui laisserait supposer
que lesdites violations auraient duré plus longtemps. Par ailleurs, la décision litigieuse serait
restée en défaut d’avoir égard aux mesures correctrices qu’elle aurait mises en place au cours
de l’enquête ayant eu pour effet, selon elle, de corriger les violations alléguées au plus tard en
août 2020. Elle en conclut que l’amende lui infligée, du fait de ces carences, ne saurait être
considérée comme effective, dissuasive et proportionnée.

Elle conteste, par ailleurs, les explications de la CNPD quant au nombre de personnes
affectées par le traitement de données personnelles litigieux en donnant à considérer qu’il n’y
aurait pas lieu d’assimiler le nombre d’équipements terminaux enregistrés dans son système au
nombre de personnes concernées, alors qu’une même personne pourrait interagir avec la société
(AA) par le biais de plusieurs appareils. Ainsi, le nombre de personnes individuelles
concernées, pour lesquelles la société (AA) détiendrait des profils publicitaires ne
représenterait, en réalité qu’un faible pourcentage du nombre total des enregistrements, la
demanderesse relevant, en outre, que plusieurs des violations retenues dans son chef ne
viseraient que « quelques milliers de personnes tout au plus ».

La demanderesse réfute encore le niveau de préjudice tel que retenu par la décision
déférée, en argumentant que l’affirmation de la CNPD selon lequel ses clients pourraient subir
une privation en raison de profils inexacts ne reposerait que sur un ensemble de faits imaginés.
Par ailleurs, ledit préjudice serait sans lien avec la violation lui reprochée de l’article 6,
paragraphe (1), f) du RGPD, de sorte à ne pas pouvoir justifier l’amende lui imposée, en ce qui
concerne tant le principe que le quantum de cette dernière, surtout qu’elle offrirait un
mécanisme d’opt-out simple empêchant, lorsqu’il serait exercé, la matérialisation de tout
préjudice dans le chef de la personne concernée.

Dans le cadre de son mémoire en réplique, la demanderesse réitère ses considérations
relatives à la portée, à la durée, au nombre de personnes concernées, ainsi qu’au niveau des
prétendus dommages subis du fait de son traitement litigieux des données à caractère personnel
dans le contexte de la PBI, en faisant valoir que la CNPD (i) serait restée en défaut d’établir
l’existence d’un quelconque préjudice, (ii) aurait dénaturé et surestimé la portée de ses
activités, ainsi que leur impact sur les personnes concernées et (iii) serait restée en défaut
d’établir l’incidence de la durée des violations lui reprochées sur le montant de l’amende.

La société (AA) met ensuite en avant son degré de coopération avec la CNPD, critère
à prendre en compte conformément à l’article 83, paragraphe (2), f) du RGPD, qu’elle qualifie
de volontaire, transparente et étroite tout au long de l’enquête menée à son encontre, pour

critiquer la CNPD de ne pas avoir pris en considération cette coopération de manière
significative, voire de l’avoir minimisée sous le prétexte qu’elle aurait été requise par la loi.

La demanderesse, dans son mémoire en réplique, relève encore, dans ce contexte, le
constat du chef d’enquête ayant qualifié sa coopération de « particulièrement constructive »,
et réfute l’analyse de la CNPD, selon laquelle il y aurait lieu de distinguer entre la coopération
requise par la loi et une coopération extralégale, alors qu’une telle distinction ne serait pas
prévue par l’article 83, paragraphe (2), f) du RGPD. Par ailleurs, la CNPD serait restée en
défaut d’expliciter l’impact de la collaboration constatée en l’espèce sur le montant de
l’amende retenue à son encontre, la demanderesse réfutant encore l’affirmation de la CNPD
selon laquelle ses contestations quant aux violations lui reprochées devraient être analysées
comme un refus de coopération avec la CNPD.

En ce qui concerne le critère prévu par l’article 83, paragraphe (2), g) du RGPD ayant
trait aux catégories de données à caractère personnel, la demanderesse soutient ne traiter que
les données sans lesquelles elle ne pourrait pas réaliser raisonnablement et aussi efficacement
ses intérêts légitimes, tout en précisant appliquer des limitations quant au type de données
utilisées pour afficher de la PBI. Or, la CNPD aurait uniquement pris en considération ces
limitations en tant que facteur pesant en faveur de l’utilisation, par la demanderesse, de la base
légale des intérêts légitimes, sans cependant s’y référer dans son argumentation relative à la
question de l’imposition d’une amende et au montant de cette dernière, sauf à invoquer des
hypothèses inexistantes et fausses par rapport à certaines catégories de données, en vue de lui
infliger une amende plus élevée. Dans un même ordre d’idées, la CNPD aurait également
ignoré, dans le cadre de la détermination de l’amende, le mécanisme d’opt-out proposé aux
personnes concernées leur permettant d’éviter la PBI ayant trait à des produits ou services leur
proposés sur base de données à caractère personnel à première vue anodines, mais constituant
néanmoins des données très sensibles. Dans son mémoire en réplique, la demanderesse, tout
en réitérant son argumentation relative à la limitation d’utiliser certains types de données, ainsi
qu’à son mécanisme d’opt-out, fait encore valoir que la CNPD serait restée en défaut de lui
fournir des orientations afin de pouvoir identifier les « données plus sensibles » et n’aurait, par
ailleurs, fourni la moindre preuve que certaines données collectées seraient en fait plus
sensibles.

La société (AA) critique encore la décision déférée quant aux circonstances aggravantes
et atténuantes y retenues, sur base de l’article 83, paragraphe (2), k) du RGPD, dans la mesure
où la CNPD n’aurait pas expliqué dans quelle mesure la circonstance atténuante qu’elle aurait
retenue dans son chef, en l’occurrence le fait de pseudonymiser les données personnelles
collectées, aurait réduit le montant de l’amende lui infligée. Dans son mémoire en réplique, la
demanderesse fait encore valoir que la pseudonymisation telle qu’elle l’opérerait, serait plus
rigoureuse que la norme de l’industrie et irait au-delà de ce qui serait requis par le RGPD.

En ce qui concerne les circonstances aggravantes retenues par la CNPD, la
demanderesse réfute, tout d’abord, l’analyse de cette dernière relative à son mécanisme d’opt-
out, lequel, couplé à une transparence insuffisante, ne contribuerait pas à augmenter le nombre
de profils publicitaires et partant son gain financier. Dans ce cadre, elle explique encore que
l’affirmation de la CNPD selon laquelle l'amende aurait dû être augmentée, au motif qu’elle
aurait détenu des données sur moins d’appareils en optant, dans le cadre de la PBI, pour un
système de consentement actif (opt-in) pour la PBI au lieu du mécanisme d’opt-out, ne serait
nullement étayée et poserait comme prémisse erronée que le consentement serait une base
légale plus protectrice des données privées, alors que le RGPD ne prévoirait aucun hiérarchie

100

des bases légales. Dans son mémoire en réplique, la société (AA) critique encore la
circonstance d’être pénalisée pour avoir mis en place un mécanisme permettant aux personnes
concernées de choisir de ne pas voir de la PBI.

La demanderesse réfute encore la conclusion de la CNPD relative au gain financier
découlant pour elle du traitement de données litigieux, en tant que circonstance aggravante,
dans la mesure où son activité principale serait l’exploitation des Boutiques (AA), de sorte
qu’elle ne dépendrait pas de la publicité pour la majorité de ses revenus, circonstance lui
permettant de faire un choix protégeant plus les données personnelles de ses clients que les
autres entreprises du secteur. La demanderesse conteste encore, dans le cadre de son mémoire
en réplique, l’affirmation de la CNPD selon laquelle elle tirerait des avantages directs et
indirects de ses violations du RGPD, en ce que sa PBI attirerait des clients vers les Boutiques
(AA), tout en argumentant que la décision déférée serait restée en défaut de préciser l’impact
de ces considérations sur le montant de l’amende retenue à son encontre.

La demanderesse fait finalement valoir que la décision déférée aurait, à tort, ignoré les
autres critères de l’article 83, paragraphe (2) du RGPD.

Dans ce cadre, elle relève, tout, d’abord, le critère ayant trait à toutes les mesures prises
par le responsable du traitement pour atténuer le dommage subi par les personnes concernées,
tel que plus particulièrement en l’espèce la pseudonymisation, les limites adoptées quant à la
portée du traitement et à l'utilisation des cookies, les mesures correctrices mises en place au
cours de l’enquête, les restrictions contractuelles imposées aux tiers, ainsi que le plafonnement
des fréquences, lesdites mesures allant, selon la demanderesse, au-delà des exigences du
RGPD.

La décision litigieuse aurait, par ailleurs, omis, à tort, de prendre en compte le degré de
responsabilité du responsable du traitement compte tenu des mesures techniques et
organisationnelles mises en œuvre en vertu des articles 25 et 32 du RGPD, la demanderesse
invoquant, dans ce contexte également la pseudonymisation des données personnelles traitées,
ainsi que la mise en place de son système informatique empêchant la divulgation à et
l’utilisation par des tiers des données personnelles traitées dans le cadre de sa PBI, tout en
reprochant à la CNPD de lui avoir attribué l’entière responsabilité en ce qui concernerait les
traitements hors site, lesquels devraient cependant tomber sous la responsabilité des tiers, en
l’occurrence les exploitants desdits sites. Dans son mémoire en réplique, la société (AA)
soutient encore, dans ce cadre, que la CNPD aurait simplement choisi de la sanctionner pour
des manquements présumés commis par d’autres responsables du traitement, sans fournir la
moindre preuve à cet égard, tout en faisant valoir la même observation quant au reproche de la
CNPD selon lequel elle n’aurait pas effectivement contrôlé si les exigences imposées à ses co-
contractants en matière de PBI avaient été respectées.

La demanderesse reproche encore à la CNPD de ne pas avoir eu égard au critère de
l’article 83, paragraphe (2), e) du RGPD relatif à une violation pertinente commise
précédemment, dans la mesure où elle n’aurait pas d’historique de violations antérieures du
RGPD, circonstance plaidant contre l’imposition d’une amende de surcroît la plus importante
jamais prononcée sur base du RGPD.

La société (AA) fait encore valoir, dans un même ordre d’idées, que la CNPD n’aurait,
à tort, pas pris en compte le critère de l’article 83, paragraphe (2), i) du RGPD visant la situation
où des mesures prévues à l’article 58, paragraphe (2) du RGPD auraient déjà été imposées à un

101

responsable du traitement et nécessitant l’analyse de la manière dont ledit responsable les aurait
exécutées, ce qui n’aurait pas été le cas en l’espèce. Selon la demanderesse, ledit critère aurait
également dû conduire la CNPD à ne pas prononcer d’amende à son encontre, sinon à en
réduire le montant.

Dans son mémoire en réplique, la demanderesse, tout en réitérant ses considérations
relatives aux critères de l’article 83 paragraphe (2), e) et i) du RGPD, argumente encore, quant
au critère de l’article 83, paragraphe (2), h) du RGPD concernant la manière dont l’autorité de
contrôle compétente a eu connaissance de la violation du RGPD, que l’affirmation selon
laquelle le nombre de plaignants pourrait même être considéré comme une circonstance
aggravante serait vague et purement spéculative, surtout que la CNPD serait restée en défaut
de rapporter la preuve qu’un des plaignants, voire une quelconque personne aurait subi un
préjudice réel. En se fondant sur les lignes directrices du groupe article 29, la demanderesse
fait encore valoir que le critère relatif à la manière dont l’autorité de contrôle aurait eu
connaissance de la violation du RGPD ne serait une circonstance aggravante que dans la
situation où le responsable du traitement aurait omis de notifier une infraction à ladite autorité
de contrôle, respectivement aurait fait preuve de négligence en ne notifiant pas la violation ou
en ne la notifiant pas de manière détaillée en raison de son incapacité à évaluer adéquatement
l'ampleur de la violation, situations qui ne seraient pas données en l’espèce.

Sur base de son analyse des différents critères invoqués ci-avant, la demanderesse fait
valoir que la CNPD aurait, d’une part, tiré des conclusions erronées par rapport aux critères
explicitement mentionnés dans la décision déférée, et, d’autre part, refusé, à tort, de prendre en
considération certains critères qui auraient cependant été de nature à devoir l’amener au constat
de ne pas lui infliger d’amende, respectivement d’en réduire le montant, de sorte à avoir ainsi
violé le RGPD et le droit luxembourgeois. La demanderesse rappelle encore, dans ce cadre,
que la CNPD serait restée en défaut de relier les critères qu’elle aurait pris en compte au
montant de l'amende en cause en omettant de commenter la manière dont les facteurs de l'article
83, paragraphe (2) du RGPD auraient contribué au calcul de l'amende.

La CNPD conclut au rejet du moyen de la demanderesse relatif aux critères de l’article
83, paragraphe (2) du RGPD pour ne pas être fondé.

Il y a, tout d’abord, lieu de rappeler que dans le cadre de son analyse quant à la nécessité
d’imposer une amende, telle que prévue par l’article 58, paragraphe (2), i) du RGPD, précité,
et quant au montant de cette dernière, il appartient à l’autorité de contrôle compétente, en
l’occurrence la CNPD, d’avoir égard aux critères pertinents pour le cas d’espèce lui soumis,
tels que prévus à l’article 83, paragraphe (2), a) à k) du RGPD, précité. Dans ce cadre, le
tribunal doit encore relever que les amendes imposées sur le fondement de l’article 58,
paragraphe (2), i) du RGPD, doivent conformément à l’article 83, paragraphe (1) du RGPD,
répondre aux critères d’effectivité, de proportionnalité et de dissuasion, de sorte à exiger, de la
part de l’autorité de contrôle compétente, la prise en considération de toutes les circonstances
factuelles spécifiques du cas lui soumis.

Sur base de ces considérations, il y a d’emblée lieu de rejeter l’argumentation de la
demanderesse développée dans le cadre de son analyse portant sur différents critères de l’article
83, paragraphe (2) du RGPD et consistant à reprocher à la CNPD de ne pas avoir fourni de
méthode de calcul permettant de retracer l’impact, sur le montant de l’amende, des différents
critères que la société (AA) considère remplis dans son chef et ayant dû, selon elle, conduire à
une réduction du montant de l’amende lui infligé.

102

Le tribunal doit, en effet, relever, en ce qui concerne l’appréciation des différents
facteurs de l’article 83, paragraphe (2) du RGPD, que l’impact positif ou négatif de ces derniers
sur le montant de l’amende ne saurait être prédéterminé au moyen de tableaux ou de
pourcentages, dans la mesure où la quantification effective de l’amende devra nécessairement
être faite en fonction de tous les éléments recueillis dans le cadre de l’enquête et sous l’angle
des critères d’effectivité, de proportionnalité et de dissuasion de l’article 83, paragraphe (1) du
RGPD.

Le tribunal doit ensuite relever qu’il vient de retenir ci-avant que (i) la société (AA) a
agi, de manière négligente, dans le cadre de la violation des articles 6, 12 à 17 et 21 du RGPD,
(ii) que les violations des articles précitées sont dûment établies, dans son chef, et (iii) qu’elle
n’a pas adopté, selon le dernier état des conclusions, des mesures correctrices suffisantes pour
pouvoir désormais être considérée comme se conformant aux exigences des prédits articles du
RGPD.

Il ressort, par ailleurs, des constats qui précèdent du tribunal que la société (AA) a
commis des violations des articles 6, 12 à 17 et 21 du RGPD, sur base d’un traitement d’un
volume très importants de données personnelles, impactant un nombre particulièrement élevé
de personnes lesquelles, pour une durée de plusieurs années, d’une part, ont fait l’objet d’un
traitement de leurs données personnelles qui n’est pas valablement fondé sur une des bases de
licéité de l’articles 6, paragraphe (1) du RGPD, et, d’autre part, n’ont pas bénéficié, dans le
cadre dudit traitement, des droits leurs conférés par les articles 12 à 17 et 21 du RGPD. Le
tribunal doit encore relever, dans ce cadre, que le traitement de données personnel litigieux ne
s’est pas cantonné sur le territoire luxembourgeois, mais a nécessairement eu au moins une
envergure européenne, sinon mondiale pour avoir été opéré sur la base des activités desdites
personnes sur les sites internet exploitées par la société (AA).

Sur base de ces considérations, il y a lieu de rejeter l’argumentation de la demanderesse
critiquant les conclusions de la CNPD quant au caractère négligent de ses agissements, ainsi
que quant à la nature, à la gravité et à la durée des violations retenues dans son chef.

Le tribunal doit encore, dans ce contexte, rejeter l’argumentation de la demanderesse
selon laquelle la CNPD n’aurait pas dûment pris en considération les différents éléments,
qu’elle considère comme des circonstances atténuantes, dans le cadre de son analyse des
critères de l’article 83, paragraphe (2) du RGPD relatifs à la fixation du montant de l’amende
à 746 millions d’euros, et aurait encore violé, de la sorte, le principe de proportionnalité.

En effet, sur base du constat que la société (AA) a commis des violations des articles 6,
12 à 17 et 21 du RGPD, elle est exposée au montant maximal d’une amende de l’article 83,
paragraphe (4) du RGPD correspondant à 4% du chiffre d’affaires mondial de la société
américaine (FF), soit à une amende d’un montant maximal d’environ 12,46 milliards d’euros79.
Or, la CNPD n’a retenu qu’une amende, bien qu’importante per se, mais ne correspondant qu’à
environ 0,24% dudit chiffre d’affaires, la hauteur de ladite amende étant essentiellement due à
l’importance du chiffre d’affaires pris comme référence, lequel doit nécessairement avoir un
impact sur le montant final de l’amende afin que ce dernier soit, pour l’entreprise concernée,

79
Il est constant en cause pour ne pas être contesté par les parties que le chiffre d’affaires de l’année 2020 de la
société américaine (FF). s’élève à 368.064.000.000 dollars, ce qui équivaut, sur base du taux de change de
0,8466 en vigueur le 15 juillet 2021, jour de la prise de la décision déférée, à 311.60.982.400 euros.

103

effectif, dissuasif et proportionné, critères que la CNPD a valablement pris en considération en
l’espèce.

Il s’ensuit que l’amende retenue ne saurait d’ores et déjà être considérée comme
disproportionnée, étant relevé que seuls les critères valablement remplis de l’article 83,
paragraphe (2) du RGPD sont à considérer et que le fait que tous les critères ne sont pas remplis
n’est pas une circonstance atténuante, étant relevé que la CNPD a souligné à bon droit que la
collaboration est obligatoire.

A titre anecdotique, il y a encore lieu de relever qu’en appliquant la méthode de calcul
préconisée par les lignes directrices 04/2022 du 24 mai 2023 sur le calcul des amendes
administratives au titre du RGPD, le montant retenu par la CNPD relève de la fourchette des
amendes proposée par la CEPD pour les violations de faible gravité, voire de la limite inférieure
des violations de gravité moyenne, de sorte qu’en présence des violations d’une gravité non-
négligeable, telles que celles retenues en l’espèce dans le chef de la société (AA), la CNPD a,
en suivant les prédites lignes directrices, manifestement pris en considération des circonstances
atténuantes, de sorte qu’aucune violation du principe de proportionnalité ne saurait être retenue
dans le chef de cette dernière.

Le moyen de la demanderesse tiré d’une violation de l’article 83 du RGPD, ainsi que
ses considérations relatives à une violation du principe de proportionnalité encourent partant le
rejet dans tous ses volets pour manquer de fondement.

La demanderesse critique finalement la CNPD pour ne pas avoir justifié son choix de
procéder à la publication de la décision déférée, par le fait de s’être limitée à des explications
selon lesquelles une telle publication ne risquerait pas de causer un préjudice disproportionné
aux parties en cause. La société (AA) argumente, dans ce cadre, que la publication de la
décision déférée aggraverait les effets préjudiciables de celle-ci, en ajoutant, à la plus
importante amende prononcée en vertu du RGPD, ainsi qu’aux mesures correctrices lui
imposées, l’obligeant à effectuer des modifications substantielles de ses services, une
importante atteinte à sa réputation, alors qu’une telle publication (i) susciterait une attention
médiatique supplémentaire significative, (ii) amènerait ses clients à remettre en question la
confiance accordée à son entreprise et (iii) encouragerait des tiers à attaquer (AA) dans les
médias sans nécessairement apprécier les nuances juridiques de la décision déférée. La société
(AA) en conclut que la publication de la décision litigieuse entraînerait, dans son chef, un
préjudice réputationnel disproportionné, de sorte que ladite décision serait à réformer sur ce
point.

Dans son mémoire en réplique, la demanderesse insiste sur la circonstance que le choix
de la CNPD de publier la décision déférée serait disproportionné et violerait l'article 52 de la
loi du 1er août 2018. Ce constat ne serait pas invalidé par la considération avancée par la CNPD
selon laquelle la majorité des autorités de contrôle de la protection des données publieraient
leurs décisions afin d'assurer la transparence et de dissuader toute non-conformité future. Or,
une telle considération ne serait pas pertinente dans la mesure où le critère énoncé à l'article 52
de la loi du 1er août 2018 n'autoriserait la publication que si une autorité de contrôle
démontrerait l'absence de risque que la publication causerait un préjudice disproportionné,
preuve que la CNPD n’aurait pas rapporté de manière suffisante en énonçant uniquement les
objectifs de la publication, à savoir assurer la transparence et renforcer le caractère dissuasif
des sanctions. Par ailleurs, les circonstances que la plainte initiale de LQDN aurait été publique,
que l'existence de ladite plainte démontrerait un intérêt public dans l'affaire sous examen et que

104

la nature des infractions et le nombre de personnes concernées justifieraient la publication de
la décision déférée, seraient sans rapport avec le critère énoncé à l'article 52 de la loi du 1er août
2018. Le même constat devrait être retenu par rapport au fait que des éléments de la décision
litigieuse et de la procédure en référé auraient été divulgués aux médias.

La CNPD conclut au rejet du moyen de la demanderesse basé sur une violation de
l’article 52 de la loi du 1er août 2018 quant au volet de la décision déférée ayant retenu sa
publication, pour manquer de fondement.

Aux termes de l’article 52 de la loi du 1er août 2018, « La CNPD peut ordonner, aux
frais de la personne sanctionnée, la publication intégrale ou par extraits de ses décisions à
l’exception des décisions relatives au prononcé d’astreintes, et sous réserve que :

1° les voies de recours contre la décision sont épuisées ; et
2° la publication ne risque pas de causer un préjudice disproportionné aux parties en
cause. »

Bien que la publication d'une décision administrative imposant une amende en matière
de RGPD puisse généralement nuire à la réputation et être susceptible d’entraîner une perte de
confiance de la part des clients, partenaires commerciaux et investisseurs de l’entité concernée,
le tribunal doit cependant retenir qu’il n’est pas établi en cause que la publication de la décision
litigieuse entraîne en elle-même, dans le chef de la société (AA), un préjudice pouvant être
qualifié de disproportionné.

Il échet, de prime abord, de relever que, d’un côté, tant la décision litigieuse, que
l’ordonnance de référé, précité, du 17 décembre 2021, ont déjà fait l’objet d’une certaine
médiatisation ayant eu pour effet de porter à la connaissance du public que la demanderesse a
fait l’objet d’une amende administrative d’un montant de 746 millions d’euros de la part de la
CNPD, ainsi que de mesures correctrices assorties d’une astreinte de 746.000 euros par jour de
retard, tandis que, d’un autre côté, il n’a pas été affirmé et a fortiori établi par la demanderesse
que la médiatisation de ces informations auraient eu un impact négatif, pour les années ayant
suivi la prise de la décision litigieuse, sur son chiffre d’affaires, respectivement sur le nombre
de personnes ayant eu recours aux services (AA).

Par ailleurs, sur base de la prémisse que la demanderesse fait partie d’un des acteurs
majeurs du commerce en ligne, que les violations retenues, à bon droit, à son encontre
concernent les principes et droits essentiels des articles 6, paragraphe (1), 12 à 17 et 21 du
RGPD et portent sur la licéité du traitement, la transparence, ainsi que sur le droit d'accès, de
rectification, d'effacement et d'opposition des personnes concernées et que la demanderesse a
traité et continue de traiter une quantité très importante de données personnelles pour créer
plusieurs milliards de profils publicitaires à partir desdites données, de sorte que lesdites
violations ont eu un impact d’une très grande envergure, quant à la masse des données
personnelles et au nombre de personnes concernées par le traitement litigieux, le tribunal doit
retenir que la publication projetée de la décision litigieuse de la CNPD a nécessairement un
impact positif.

Ainsi, la publication de la décision litigieuse, outre le caractère préventif et dissuasif
d’une telle mesure80, permet aux personnes dont les données à caractère personnel ont fait

80
Par analogie, Cour adm. 19 juillet 2023, n° 48647C du rôle, disponible sous www.jurad.etat.lu

105

l’objet d’un traitement par la demanderesse de connaître avec précision les griefs retenus à
charge de la société (AA), ce qui permet d’écarter toute spéculation et supposition y relative,
et corrélativement de se rendre compte de l’effectivité et de l’efficacité du contrôle opéré par
les autorités nationales compétentes en matière de protection des données personnelles,
éléments qui contribuent indéniablement à rassurer lesdites personnes, de sorte à amoindrir
l’éventuelle atteinte à la réputation de la demanderesse et à la confiance lui accordée.

Sur base de l’ensemble des considérations qui précèdent, le moyen de la demanderesse
tiré d’une violation de l’article 52 de la loi du 1er août 2018 encourt le rejet, en ce qu’il n’est
pas établi en cause que la publication de la décision litigieuse sous examen, dans le respect des
conditions imposées par le prédit article, est de nature à causer un préjudice disproportionné à
la société (AA).

La demanderesse sollicite encore l’allocation d’une indemnité de procédure à hauteur
de 10.000 euros sur le fondement de l’article 33 de la loi du 21 juin 1999, demande qui est
toutefois à rejeter au regard de l’issue du litige.

La demande en allocation d’une indemnité de procédure d’un montant de 20.000 euros
tel que formulée la CNPD laisse également d’être fondée, les conditions légales afférentes
n’étant pas remplies en cause.

Enfin, s’agissant de la demande de la société (AA) à voir ordonner l’effet suspensif du
recours tel que prévu par l’article 35 de la loi du 21 juin 1999, en vertu duquel « Par dérogation
à l’article 45, si l’exécution de la décision attaquée risque de causer au requérant un préjudice
grave et définitif, le tribunal peut, dans un jugement tranchant le principal ou une partie du
principal, ordonner l’effet suspensif du recours pendant le délai et l’instance d’appel. (...) »,
cette demande est à accueillir au regard des circonstances spécifiques de l’espèce et des
explications de la demanderesse non autrement remises en cause selon lesquelles le montant
journalier de l’astreinte dépasse son chiffre d’affaires quotidien, de sorte à être à lui seul de
nature à risquer de lui causer un préjudice grave et définitif.

Par ces motifs,

le tribunal administratif, quatrième chambre, statuant contradictoirement ;

écarte des débats la pièce n° 39 déposée par la société (AA) au greffe du tribunal
administratif le 31 mars 2022 et intitulée « Résumé des faits erronés et représentations
inexactes dans le mémoire en réponse de la CNPD », ainsi que les pièces nos 29 et 30 déposées
au greffe du tribunal administratif par la CNPD le 31 mai 2022 et intitulées « Clarifications
apportées par la CNPD en lien avec la pièce n° 39 d’Allen & Overy », respectivement
« Critique de l’avis du Prof. Dr. ... (pièce n° 36 d’Allen & Overy) » ;

reçoit le recours principal en réformation en la forme ;

au fond, le déclare non justifié, partant en déboute ;

dit qu’il n’y a pas lieu de statuer sur le recours subsidiaire en annulation ;

106

rejette les demandes en allocation d’une indemnité de procédure formulées par la
demanderesse, respectivement par la CNPD ;

ordonne l’effet suspensif du recours pendant le délai et l’instance d’appel sur base de
l’article 35 de la loi modifiée du 21 juin 1999 portant règlement de procédure devant les
juridictions administratives ;

condamne la société (AA) aux frais et dépens de l’instance.

Ainsi jugé et prononcé à l’audience publique du 18 mars 2025 par :

Paul Nourissier, premier vice-président,
Olivier Poos, vice-président
Emilie Da Cruz De Sousa, premier juge,

en présence du greffier Marc Warken.

s.Marc Warken s.Paul Nourissier

Reproduction certifiée conforme à l’original
Luxembourg, le 18 mars 2025
Le greffier du tribunal administratif

107

Veri Koruma Yaptırımına Karşı İdari Başvuru

Türkçe özet

Hukuki mesele

Sonuç

Karar metni