Veri Koruma Görevlisinin Konumu ve Görevleri

Tribunal administratif N° 46401 du rôle
du Grand-Duché de Luxembourg ECLI:LU:TADM:2024:46401
4e chambre Inscrit le 27 août 2021

Audience publique du 14 mai 2024

Recours formé par
la société anonyme ... SA, …,
contre une décision de la Commission nationale pour la protection des données
en matière de protection des données
___________________________________________________________________________

JUGEMENT

Vu la requête inscrite sous le numéro 46401 du rôle et déposée le 27 août 2021 au greffe
du tribunal administratif par Maître Renaud Le Squeren, avocat à la Cour, inscrit au tableau de
l’Ordre des avocats à Luxembourg, au nom de la société anonyme ... SA, établie et ayant son
siège social à L-…, inscrite au registre de commerce et des sociétés de Luxembourg sous le
numéro ..., représentée par son conseil d’administration actuellement en fonctions, tendant à la
réformation, sinon à l’annulation d’une décision du 31 mai 2021 de la Commission nationale
pour la protection des données (« CNPD »), établissement public, inscrit au registre de
commerce et des sociétés de Luxembourg sous le numéro J52, établi et ayant son siège à L-
4370 Belvaux, 15, boulevard du Jazz, représentée par son collège des commissaires
actuellement en fonctions, lui ayant infligé une amende administrative de 18.000 euros tout en
lui ayant enjoint de se mettre en conformité avec les articles 38, paragraphe (1) et 39,
paragraphe (1) a) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril
2016 relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation des données, et abrogeant la directive 95/46/CE
dans un délai de quatre mois suivant la notification de ladite décision ;

Vu l’exploit de l’huissier de justice suppléant Michèle Baustert, en remplacement de
l’huissier de justice Cathérine Nilles, les deux demeurant à Luxembourg, du 31 août 2021,
portant signification de la prédite requête à la CNPD, préqualifiée ;

Vu la constitution d’avocat à la Cour déposée au greffe du tribunal administratif en date
du 27 septembre 2021 par Maître Elisabeth Guissart, avocat à la Cour, inscrite au tableau de
l’Ordre des avocats à Luxembourg, pour la CNPD, préqualifiée ;

Vu le mémoire en réponse déposé au greffe du tribunal administratif le 10 décembre
2021 par Maître Elisabeth Guissart, préqualifiée, au nom et pour le compte de la CNPD,
préqualifiée ;

Vu le mémoire en réplique déposé au greffe du tribunal administratif le 10 janvier 2022
par Maître Renaud Le Squeren, préqualifié, au nom et pour le compte de la société anonyme
... SA, préqualifiée ;

Vu le mémoire en duplique déposé au greffe du tribunal administratif le 8 février 2022
par Maître Elisabeth Guissart, préqualifiée, au nom et pour le compte de la CNPD, préqualifiée;

Vu les pièces versées en cause et notamment la décision critiquée ;

Le juge-rapporteur entendu en son rapport à l’audience publique du 10 octobre 2023,
les parties s’étant excusées.
__________________________________________________________________________

Par courrier du 17 septembre 2018, la Commission nationale pour la protection des
données, dénommée ci-après « la CNPD », informa la société ... SA, désignée ci-après par « la
société ... », de l’exercice, au sein de cette dernière, d’un contrôle sous la forme d'enquête
thématique sur la fonction de délégué à la protection des données, ci-après désigné par « le
DPD », dans le cadre d'une campagne plus large effectué auprès de grands responsables du
traitement luxembourgeois dans tous les secteurs, en lui soumettant un questionnaire à renvoyer
au plus tard pour le 8 octobre 2018.

Suite au renvoi du questionnaire le 5 octobre 2018 par la société ... et suite à une visite
sur place des agents de la CNPD le 21 janvier 2019, la CNPD soumit, par courrier électronique
du 26 avril 2019, un projet de compte rendu de la visite sur site, projet de document par rapport
auquel la société ... prit position par courrier électronique du 13 mai 2019.

Par courrier électronique du 14 mai 2019, la CNPD envoya à la société ... le compte-
rendu final de ladite visite sur place.

Le 7 août 2019, la CNPD transmit, par courrier électronique, un projet de rapport
d’audit à la société ..., laquelle fit parvenir sa prise position y relative par courrier électronique
du 29 août 2019.

Le 31 octobre 2019, la CNPD communiqua les griefs au responsable du traitement de
la société ..., ainsi que le rapport d'audit n°1716/2019, la société ... y répondant par courrier du
22 novembre 2019.

Le 24 août 2020, la CNPD envoya un courrier complémentaire à la communication des
griefs à la société ... en y indiquant les mesures correctrices et l'amende de 18.000 euros que le
chef d'enquête proposa à la formation restreinte de la CNPD, ci-après désignée par « la
Formation Restreinte », de prononcer à l’égard de la société ....

La société ..., par le biais d’un courrier de son litismandataire du 30 septembre 2020,
prit position par rapport au courrier complémentaire de la CNPD du 24 août 2020.

Suite à la séance de la Formation Restreinte du 26 janvier 2021, cette dernière décida,
par décision du 31 mai 2021 référencée sous le n° 18FR/2021, d’infliger à la société ... une
amende de 18.000 euros, ainsi qu’une injonction de se conformer aux articles 38, paragraphe
(1) et 39, paragraphe (1) a) du règlement (UE) 2016/679 du Parlement européen et du Conseil
du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des
données à caractère personnel et à la libre circulation des données, et abrogeant la directive
95/46/CE, ci-après désigné par « le RGPD », dans un délai de quatre mois à partir de la
notification de ladite décision sur base de la motivation suivante :

« (…) La Commission nationale pour la protection des données siégeant en formation
restreinte, composée de Madame …, présidente, et de Messieurs … et …, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l'égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment son
article 41 ;

Vu le règlement d'ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son article
10.2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d'enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020, notamment
son article 9 ;

Considérant ce qui suit :

I. Faits et procédure

1. Vu l'impact du rôle du délégué à la protection des données (ci-après : le « DPD »)
et l'importance de son intégration dans l'organisme, et considérant que les lignes directrices
concernant les DPD sont disponibles depuis décembre 2016, soit 17 mois avant l'entrée en
application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l'égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE
(règlement général sur la protection des données) (ci-après : le « RGPD »), la Commission
nationale pour la protection des données (ci-après : la « Commission nationale » ou la
« CNPD ») a décidé de lancer une campagne d'enquête thématique sur la fonction du DPD.
Ainsi, 25 procédures d'audit ont été ouvertes en 2018, concernant tant le secteur privé que le
secteur public.

2. En particulier, la Commission nationale a décidé par délibération n°451/2018 du 14
septembre 2018 d'ouvrir une enquête sous la forme d'audit sur la protection des données
auprès de la société anonyme ... S.A., établie et ayant son siège social à L-..., inscrite au
registre de commerce et des sociétés sous le numéro ... (ci-après : le « contrôlé ») et de désigner
Monsieur ... comme chef d'enquête. Ladite délibération précise que l'enquête porte sur la
conformité du contrôlé avec la section 4 du chapitre 4 du RGPD.

3. Le contrôlé a notamment pour objet l'exploitation, la gestion, la fourniture pour son
propre compte ou pour le compte d'autrui de tous services de restauration et d'hôtellerie aux
établissements réservés à des collectivités ou au public. Le contrôlé compte environ 2.100
employés répartis sur 70 sites ainsi que 25.000 consommateurs par jours.

4. Par courrier du 17 septembre 2018, le chef d'enquête a envoyé un questionnaire
préliminaire au contrôlé auquel ce dernier a répondu par courrier du 5 octobre 2018. Une
visite sur place a eu lieu le 21 janvier 2019. Suite à ces échanges, le chef d'enquête a établi le
rapport d'audit n°1716/2019 (ci-après : le « rapport d'audit »).

5. Il ressort du rapport d'audit qu'afin de vérifier la conformité de l'organisme avec la
section 4 du chapitre 4 du RGPD, le chef d'enquête a défini onze objectifs de contrôle, à savoir :

1) S'assurer que l'organisme soumis à l'obligation de désigner un DPD l'a bien fait ;
2) S'assurer que l'organisme a publié les coordonnées de son DPD ;
3) S'assurer que l'organisme a communiqué les coordonnées de son DPD à la CNPD ;
4) S'assurer que le DPD dispose d'une expertise et de compétences suffisantes pour
s'acquitter efficacement de ses missions ;
5) S'assurer que les missions et les tâches du DPD n'entraînent pas de conflit d'intérêt ;
6) S'assurer que le DPD dispose de ressources suffisantes pour s'acquitter efficacement
de ses missions ;
7) S'assurer que le DPD est en mesure d'exercer ses missions avec un degré suffisant
d'autonomie au sein de son organisme ;
8) S'assurer que l'organisme a mis en place des mesures pour que le DPD soit associé à
toutes les questions relatives à la protection des données ;
9) S'assurer que le DPD remplit sa mission d'information et de conseil auprès du
responsable du traitement et des employés ;
10) S'assurer que le DPD exerce un contrôle adéquat du traitement des données au sein de
son organisme ;
11) S'assurer que le DPD assiste le responsable du traitement dans la réalisation des
analyses d'impact en cas de nouveaux traitements de données.

6. Par courrier du 31 octobre 2019 (ci-après : la « communication des griefs »), le chef
d'enquête a informé le contrôlé des manquements aux obligations prévues par le RGPD qu'il
a relevés lors de son enquête. Le rapport d'audit était joint audit courrier.

7. En particulier, le chef d'enquête a relevé dans la communication des griefs des
manquements à :
- l'obligation d'associer le DPD à toutes les questions relatives à la protection des
données à caractère personnel ;
- l'obligation de fournir les ressources nécessaires au DPD ;
- la mission d'information et de conseil du DPD.

8. Par courrier du 22 novembre 2019, le contrôlé a adressé au chef d'enquête sa prise
de position quant aux manquements énumérés dans la communication des griefs.

9. Le 24 août 2020, le chef d'enquête a adressé au contrôlé un courrier complémentaire
à la communication des griefs (ci-après : le « courrier complémentaire à la communication
des griefs ») par lequel il informe le contrôlé des mesures correctrices et l'amende
administrative qu'il propose à la Commission nationale siégeant en formation restreinte (ci-
après : la « formation restreinte ») d'adopter.

10. Par courrier du 30 septembre 2020, le contrôlé a fait parvenir au chef d'enquête
ses observations quant au courrier complémentaire à la communication des griefs.

11. L'affaire a été à l'ordre du jour de la séance de la formation restreinte du 26 janvier
2021. Conformément à l'article 10.2. b) du règlement d'ordre intérieur de la Commission
nationale, le chef d'enquête et le contrôlé ont exposé leurs observations orales à l'appui de
leurs observations écrites. Plus particulièrement, Maître Renaud Le Squeren, mandataire du
contrôlé, a donné lecture d'une note exposant les observations du contrôlé (ci-après : la « note

de plaidoiries »). Le chef d'enquête et le contrôlé ont par la suite répondu aux questions posées
par la formation restreinte. Le contrôlé a eu la parole en dernier.

12. Par courriel du 27 janvier 2021, le mandataire du contrôlé a transmis à la
formation restreinte une copie de la note de plaidoiries, un extrait d'une présentation datée du
8 octobre 2018 présentant l'organigramme « Data Protection » avec indication du « GDPR
Board » du contrôlé ainsi qu'un extrait du registre de commerce et des sociétés de la société
anonyme ... ... S.A. gérant les « chèques ... » à Luxembourg.

II. En droit

A. Quant aux exigences de précision de la communication des griefs et du
courrier complémentaire à la communication des griefs

13. Dans sa note de plaidoiries, le mandataire du contrôlé invoque, à titre liminaire,
que la communication des griefs et le courrier complémentaire à la communication des griefs
manquent de précision :
« […] les Courriers de Grief manquent aux obligations légales applicables en matière
administrative, notamment en ce qu'ils ne contiennent pas de référence précise à une norme
juridique qui aurait été violée et qu'ils ne contiennent aucune indication précise des faits
détaillés qui seraient constitutifs d'une violation d'une norme juridique par .... Par ce manque
de précision, les principes généraux de droits applicables ont été violés et ma mandante a été
privée de la possibilité de fournir des explications éclairées et détaillées susceptibles d'éclairer
la Formation Restreinte. »

14. La formation restreinte constate que le chef d'enquête mentionne expressément, tant
dans la communication des griefs que dans le courrier complémentaire à la communication
des griefs, les dispositions du RGPD auxquelles le contrôlé aurait manqué, à savoir les articles
38.1, 38.2 et 39.1. a). Par ailleurs, les constats factuels faits lors de l'enquête et sur lesquels
les manquements allégués sont basés sont indiqués dans la communication des griefs. De
surplus, le rapport d'audit reprenant l'ensemble des constats et travaux effectués par le chef
d'enquête dans le cadre de la mission d'audit était joint à la communication des griefs. En
outre, la formation restreinte note que le mandataire du contrôlé fait référence aux
« obligations légales applicables en matière administrative » ainsi qu'aux « principes généraux
de droits applicables » sans pour autant préciser quelle règle de droit aurait été violée en
l'espèce.

15. A toutes fins utiles, il y a lieu de constater que le contrôlé était en mesure de prendre
position par rapport aux manquements lui reprochés, comme le démontre ses prises de position
des 22 novembre 2019 et 30 septembre 2020 ainsi que les observations orales et la note de
plaidoiries présentées à la séance de la formation restreinte du 26 janvier 2021.

16. C'est partant à tort que le mandataire du contrôlé soutient que la communication
des griefs et le courrier complémentaire à la communication des griefs manquent de précision
de sorte que sa mandante aurait été « privée de la possibilité de fournir des explications
éclairées et détaillées susceptibles d'éclairer la Formation Restreinte ».

B. Quant aux griefs énumérés dans la communication des griefs

a) Sur le manquement à l'obligation d'associer le DPD à toutes les questions relatives
à la protection des données à caractère personnel

1. Sur les principes

17. Selon l'article 38.1 du RGPD, l'organisme doit veiller à ce que le DPD soit associé,
d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des
données à caractère personnel.

18. Les lignes directrices concernant les DPD précisent qu' « [i]l est essentiel que le
DPD, ou son équipe, soit associé dès le stade le plus précoce possible à toutes les questions
relatives à la protection des données. [...] L'information et la consultation du DPD dès le début
permettront de faciliter le respect du RGPD et d'encourager une approche fondée sur la
protection des données dès la conception; il devrait donc s'agir d'une procédure habituelle au
sein de la gouvernante de l'organisme. En outre, il importe que le DPD soit considéré comme
un interlocuteur au sein de l'organisme et qu'il soit membre des groupes de travail consacrés
aux activités de traitement de données au sein de l'organisme ».

19. Les lignes directrices concernant les DPD fournissent des exemples sur la manière
d'assurer cette association du DPD, tels que :

• inviter le DPD à participer régulièrement aux réunions de l'encadrement supérieur
et intermédiaire ;
• recommander la présence du DPD lorsque des décisions ayant des implications en
matière de protection des données sont prises ;
• prendre toujours dûment en considération l'avis du DPD ;
• consulter immédiatement le DPD lorsqu'une violation de données ou un autre
incident se produit.

20. Selon les lignes directrices concernant les DPD, l'organisme pourrait, le cas
échéant, élaborer des lignes directrices ou des programmes en matière de protection des
données indiquant les cas dans lesquels le DPD doit être consulté.

2. En l'espèce

21. Il ressort du rapport d'audit que, pour que le chef d'enquête considère l'objectif 8
comme atteint par le contrôlé dans le cadre de cette campagne d'audit, le chef d'enquête
s'attend à ce que le DPD participe de manière formalisée et sur base d'une fréquence définie
au Comité de Direction, aux comités de coordination de projet, aux comités de nouveaux
produits, aux comités sécurité ou tout autre comité jugé utile dans le cadre de la protection des
données.

22. Selon la communication des griefs, page 3, « le DPD participe à de nombreuses
réunions au niveau Groupe et [...] organise régulièrement des réunions avec ses points de
contacts locaux. Mais ces éléments ne suffisent pas à démontrer le caractère direct, formel et
permanent de l'implication du DPD à Luxembourg ». Il résulte encore de la communication
des griefs que « le DPD Groupe reçoit un rapport mensuel de la part du point de contact local
suite au COMEX local ainsi qu'un reporting mensuel relatif aux problématiques de protection
des données (nombre de demandes d'exercice de droits ou de réclamations, analyses d'impact
éventuelles etc.). [...] le DPD est informé et consulté systématiquement par le point de contact

local en cas d'incident de sécurité étant susceptible d'impliquer des données à caractère
personnel et de créer un risque pour les personnes concernées. » Le chef d'enquête estime
toutefois que « ces éléments ne sauraient compenser l'absence d'une implication directe du
DPD Groupe au sein de ..., ce qui pourrait engendrer le risque que le DPD ne soit pas
suffisamment impliqué au niveau opérationnel à Luxembourg. » Finalement, le chef d'enquête
fait valoir qu'il « n'a pas eu connaissance d'éléments permettant d'adresser ce risque, comme
par exemple la mise en place formelle de visites sur base d'une fréquence définie du DPD
Groupe (ou d'un membre de son équipe Data Protection) à Luxembourg. Ces visites
permettraient notamment au DPD de pouvoir discuter directement avec l'encadrement
supérieur de ... des problématiques liées à la protection des données et de pouvoir évaluer
directement les problématiques opérationnelles. »

23. Dans sa prise de position du 22 novembre 2019, le contrôlé affirme que le DPD
Groupe est associé d'une manière appropriée et en temps utile à toutes les questions relatives
à la protection des données à caractère personnel. Le contrôlé expose que « [t]outes les
questions relatives à la protection des données personnelles initiées au Grand-Duché de
Luxembourg sont réceptionnées et analysées dans un premier temps par notre point de contact
dédié à la protection des données au Luxembourg » (ci-après : le « point de contact local ») et
que ce dernier travaille en étroite collaboration avec le DPD Groupe pour toutes les questions
nécessitant l'information, l'analyse, le conseil ou la consultation préalable du DPD Groupe.
Selon le contrôlé, le point de contact est chargé de la gestion de conformité des traitements de
données à caractère personnel mis en oeuvre par le contrôlé, cela sous la supervision du DPD
Groupe à qui le point de contact rapporte ses actions. Par ailleurs, le contrôlé mentionne dans
sa prise de position du 22 novembre 2019 l'institution d'un comité dédié à la protection des
données à Luxembourg (ci-après : le « GDPR Board ») qui définit la stratégie sur ces sujets et
les plans d'actions associés. Le contrôlé expose la composition et le fonctionnement du GDPR
Board pour soutenir que le DPD Groupe est impliqué dans la gestion de la conformité avec
les dispositions du RGPD au Luxembourg.

24. Dans sa note de plaidoiries, le mandataire du contrôlé met en avant l'article 37.2
du RGPD, qui autorise un groupe d'entreprises à désigner un seul DPD à condition que ce
dernier soit facilement joignable à partir de chaque lieu d'établissement, ainsi que les lignes
directrices concernant les DPD pour soutenir que le fonctionnement du contrôlé est conforme
au RGPD et affirme que « [i]l n'a été constaté aucune matérialité des faits reprochés, aucune
indisponibilité du DPD de ... que ce soit vis-à-vis de l'autorité de contrôle ou encore des
personnes concernées et un risque éventuel et non caractérisé ne saurait permettre d'établir
factuellement une violation. »

25. La formation restreinte prend note que le contrôlé est une filiale du groupe français
... et que ce dernier avait décidé de désigner un seul DPD pour les différentes entités du groupe
(ci-après : le « DPD Groupe »). Au niveau central, le groupe a mis en place un bureau de la
protection des données (« Global Data Protection Office ») composé du DPD Groupe ainsi
que de deux juristes spécialisés en matière de protection des données et d'un project manager.
Au niveau local, l'unique juriste du contrôlé a été désigné comme point de contact local du
DPD Groupe.

26. A titre liminaire, la formation restreinte constate que le manquement allégué par le
chef d'enquête a trait à l'article 38.1 du RGPD de sorte que les explications du mandataire du
contrôlé concernant l'article 37.2 du RGPD ne sont pas pertinentes en l'espèce. En effet, même
si le RGPD autorise un groupe d'entreprises à désigner un seul DPD, il n'en demeure pas

moins que ce DPD doit être associé, d'une manière appropriée et en temps utile, à toutes les
questions relatives à la protection des données à caractère personnel, conformément à l'article
38.1 du RGPD. Il est ainsi loisible à un organisme de désigner un seul DPD au niveau du
groupe dont les entités sont établies dans plusieurs Etats membres de l'Union européenne et
de prévoir, au niveau local, des « points de contact » qui assistent le DPD notamment dans les
questions relatives aux particularités locales telles que la législation nationale. Dans un tel
cas de figure, il est toutefois d'autant plus important de définir clairement, entre autres, les
modalités de collaboration entre le DPD et les « points de contact locaux » ainsi que la
répartition des tâches et responsabilités.

En l'espèce, la formation restreinte note que toutes les questions relatives à la
protection des données à caractère personnel qui se posaient au niveau du contrôlé étaient
réceptionnées et analysées dans un premier temps par le point de contact local qui s'adressait
au DPD Groupe lorsqu'il l'estimait nécessaire. La formation restreinte note encore que le DPD
Groupe ne faisait pas partie du GDPR Board et n'était informé des sujets y discutés qu'à travers
les procès-verbaux du GDPR Board et par l'intermédiaire des questions soulevées par le point
de contact local lors de ces réunions.

27. Il ressort partant du dossier d'enquête que le DPD Groupe n'était associé
qu'indirectement aux questions relatives à la protection des données à caractère personnel qui
se posaient au niveau du contrôlé, cela par l'intermédiaire du point de contact local qui, dans
les faits, agissait en tant qu'interlocuteur en matière de protection des données au sein de
l'organisme. Or, le point de contact local était l'unique juriste du contrôlé et ne faisait pas
partie de l'équipe du DPD Groupe à proprement parler, à savoir le bureau de la protection
des données (« Global Data Protection Office »).

28. Par ailleurs, la formation restreinte estime que le fait de transmettre les procès-
verbaux du GDPR Board au DPD Groupe ne permet pas d'établir son association appropriée
et en temps utile dans la mesure où le DPD Groupe est simplement informé des mesures que
le GDPR Board propose aux différents organes décisionnels du contrôlé de mettre en œuvre.
Le DPD n'est donc pas informé et surtout pas consulté « dès le stade le plus précoce possible »
de toutes les questions relatives à la protection des données.

29. En outre, le contrôlé indique dans sa prise de position du 30 septembre 2020 que
le point de contact local a été désigné comme DPD pour l'entité ... S.A., avec effet au 1er octobre
2020. La formation restreinte constate que la CNPD a reçu la déclaration modificative par
courriel du 30 septembre 2020. Or, le contrôlé doit veiller à ce que le DPD nouvellement
nommé soit effectivement associé à toutes les questions relatives à la protection des données à
caractère personnel. Le fait d'avoir nommé le point de contact local comme DPD ne suffit pas
à démontrer à suffisance une telle association de ce dernier à toutes les questions relatives à
la protection des données à caractère personnel.

30. Au vu de ce qui précède, la formation restreinte se rallie au constat du chef
d'enquête selon lequel la non-conformité à l'article 38.1 du RGPD était acquise au moment de
l'enquête.

b) Sur le manquement à l'obligation de fournir les ressources nécessaires au DPD

1. Sur les principes

31. L'article 38.2 du RGPD exige que l'organisme aide son DPD « à exercer les
missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces
missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement,
et lui permettant d'entretenir ses connaissances spécialisées. »

32. Il résulte des lignes directrices concernant les DPD que les aspects suivants doivent
notamment être pris en considération :

- « temps suffisant pour que les DPD puissent accomplir leurs tâches. Cet aspect est
particulièrement important lorsqu'un DPD interne est désigné à temps partiel ou
lorsque le DPD externe est chargé de la protection des données en plus d'autres
tâches. Autrement, des conflits de priorités pourraient conduire à ce que les tâches
du DPD soient négligées. Il est primordial que le DPD puisse consacrer
suffisamment de temps à ses missions. Il est de bonne pratique de fixer un
pourcentage de temps consacré à la fonction de DPD lorsque cette fonction n'est
pas occupée à temps plein. Il est également de bonne pratique de déterminer le
temps nécessaire à l'exécution de la fonction et le niveau de priorité approprié pour
les tâches du DPD, et que le DPD (ou l'organisme) établisse un plan de travail ;
- accès nécessaire à d'autres services, tels que les ressources humaines, le service
juridique, l'informatique, la sécurité, etc., de manière à ce que les DPD puissent
recevoir le soutien, les contributions et les informations essentiels de ces autres
services ».

33. Les lignes directrices concernant les DPD précisent que « [d]’une manière
générale, plus les opérations de traitement sont complexes ou sensibles, plus les ressources
octroyées au DPD devront être importantes. La fonction de protection des données doit être
effective et dotée de ressources adéquates au regard du traitement de données réalisé. »

2. En l'espèce

34. Il ressort du rapport d'audit que, au vu de la taille des organismes sélectionnés,
pour que le chef d'enquête considère l'objectif 6 comme atteint par le contrôlé dans le cadre
de cette campagne d'audit, le chef d'enquête s'attend à ce que le contrôlé emploie au minimum
un ETP (équivalent temps plein) pour l'équipe en charge de la protection des données. Le chef
d'enquête s'attend également à ce que le DPD ait la possibilité de s'appuyer sur d'autres
services, tels que le service juridique, l'informatique, la sécurité, etc.

Il résulte de la communication des griefs, page 3, que le DPD Groupe dispose au niveau
central d'une équipe composée de deux juristes spécialisés en matière de protection des
données ainsi que d'un project manager. Au niveau local, le DPD Groupe ne dispose toutefois
que d'un point de contact local qui était par ailleurs l'unique juriste du contrôlé de sorte que
le chef d'enquête relève « le risque que le DPD n'ait pas suffisamment de ressources au niveau
local à Luxembourg, les ressources étant concentrées au niveau du groupe, mais ne semblant
pas suffisamment déployées au niveau local » ainsi que « le risque qu'en cas de fort pic
d'activité concernant les affaires juridiques à traiter au sein de ..., le point de contact local ne
puisse pas avoir les moyens de s'acquitter efficacement de ses missions relatives à la protection
des données, ce qui engendrerait le risque que le DPD ne puisse pas exercer efficacement ses
missions de DPD pour le Luxembourg ».

35. Dans sa prise de position du 22 novembre 2019, le contrôlé affirme que le DPD
Groupe dispose au niveau local du soutien d'une équipe juridique composée du point de
contact local et d'une « seconde ressource » et note que « la description de poste du Point de
Contact Local et de la deuxième ressource dans l'équipe juridique locale en contrat à durée
indéterminée doit être détaillée en termes de volume horaire et de description des tâches ».

36. Dans sa note de plaidoiries, le mandataire du contrôlé fait par ailleurs valoir que
l'exigence de formaliser la répartition du temps de travail n'existe pas dans la réglementation
applicable et que les lignes directrices concernant les DPD contiennent tout au plus une
recommandation à titre de « bonne pratique » de « déterminer le temps nécessaire à l'exécution
de la fonction et le niveau de priorité approprié pour les tâches du DPD, et que le DPD (ou
l'organisme) établisse un plan de travail ». Finalement, le mandataire du contrôlé soutient
qu' « [i]l n'a, ici non plus, été constaté aucune matérialité des faits reprochés, ni fourni aucune
explication sur les critères examinés pour conclure à un manque de ressources, ni aucune
analyse des ressources existantes. Un risque éventuel et non caractérisé ne saurait permettre
d'établir factuellement que ... manquerait de ressources pour faire face à ses obligations au
titre de la protection des données. »

37. La formation restreinte prend note que le contrôlé a opté pour désigner le DPD
Groupe qui dispose, au niveau central, d'une équipe composée de deux juristes spécialisés en
matière de protection des données ainsi que d'un project manager. Au niveau de l'entité
luxembourgeoise ayant fait l'objet de l'enquête, un point de contact local a été nommé, en la
personne de l'unique juriste du contrôlé qui exerçait d'ailleurs encore d'autres missions. La
formation restreinte estime qu'une telle organisation requiert que l'organisme détermine et
documente le temps nécessaire au point de contact local pour exercer ses missions relatives à
la protection des données afin de pouvoir lui attribuer les ressources nécessaires. Cette
exigence résulte notamment des lignes directrices concernant les DPD ainsi que des articles
5.2. et 24 du RGPD qui énoncent le principe de responsabilité (« accountability »). Or, il
ressort du dossier que le contrôlé n'a pas procédé à une quelconque formalisation ou
documentation permettant de démontrer que le contrôlé a fourni à la fonction de DPD les
ressources nécessaires à l'exercice de ses missions au moment de l'enquête.

38. Au vu de ce qui précède, la formation restreinte conclut que l'article 38.2 du RGPD
n'a pas été respecté par le contrôlé.

c) Sur le manquement relatif à la mission d'information et de conseil du DPD

1. Sur les principes

39. En vertu de l'article 39.1. a) du RGPD, l'une des missions du DPD est d'« informer
et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui
procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement
et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de
protection des données ».

2. En l'espèce

40. Il ressort du rapport d'audit que, pour que le chef d'enquête considère l'objectif 9
comme atteint par le contrôlé dans le cadre de cette campagne d'audit, il s'attend à ce que

« l'organisme dispose d'un reporting formel des activités du DPD vers le Comité de Direction
sur base d'une fréquence définie. Concernant l'information aux employés, il est attendu que
l'organisme ait mis en place un dispositif de formation adéquat du personnel en matière de
protection des données ».

41. Selon la communication des griefs, page 4, il ressort de l'enquête qu'il n'y a pas de
remontée directe d'information du DPD Groupe vers la direction locale du contrôlé. Le chef
d'enquête prend note qu'« il y a plusieurs niveaux de reporting (du point de contact local vers
le DPD, du DPD vers le PDG Groupe, du point de contact local vers le COMEX local) », mais
estime que « ces éléments ne sont pas suffisants pour compenser l'absence de reporting direct
du DPD vers le responsable de traitement à Luxembourg ».

42. Dans sa prise de position du 22 novembre 2019, le contrôlé renvoie à ces
explications relatives au premier grief, à savoir le manquement à l'obligation d'associer le
DPD à toutes les questions relatives à la protection des données à caractère personnel. Par
ailleurs, le contrôlé soutient que le DPD Groupe « informe et conseille le responsable du
traitement ainsi que les employés et a notamment mis en oeuvre :

• Une Formation en ligne Conduite Responsable des Affaires comprenant un module
sur le RGPD, disponible en ligne à compter de mai 2018
• Une Campagne de sensibilisation avec vidéo et support sur la protection des données
à caractère personnel le 16 mai 2018, ainsi que le 3 janvier 2019
• Une Campagne de sensibilisation avec vidéo, intranet et Toolbox comprenant les 10
règles d'or sur la protection des données à caractère personnel en date du 3 juin
2019 »

Le contrôlé affirme encore que le DPD Groupe « a l'occasion d'échanger sur des sujets
stratégiques et/ou plus opérationnels avec l'encadrement supérieur [du contrôlé], notamment
à l'occasion de réunions ponctuelles regroupant les « seniors leaders » (Top 1600) de ... ».

43. La formation restreinte prend note que le manquement relevé par le chef d'enquête
ne concerne que la mission d'information et de conseil du DPD à l'égard du responsable de
traitement, et non pas la mission d'information et de conseil du DPD à l'égard des employés.

44. La formation restreinte estime que la mission d'information et de conseil du DPD à
l'égard du responsable du traitement est intimement liée à l'obligation, prévue à l'article 38.1
du RGPD, d'associer le DPD de manière appropriée et en temps utile à toutes les questions
relatives à la protection des données à caractère personnel. Or, la formation restreinte a
constaté que le DPD Groupe n'était pas associé de manière appropriée et en temps utile aux
questions de protection des données se posant au niveau de l'entité luxembourgeoise ayant fait
l'objet de l'enquête. En effet, le DPD Groupe n'était associé qu'indirectement, cela par
l'intermédiaire du point de contact local. De plus, il était simplement informé des mesures que
le GDPR Board propose aux différents organes décisionnels du contrôlé de mettre en œuvre.

45. Au vu de ce qui précède, la formation restreinte conclut que l'article 39.1. a) du
RGPD n'a pas été respecté par le contrôlé.

III. Sur les mesures correctrices et amendes

A. Les principes

46. Conformément à l'article 12 de la loi du 1er août 2018 portant organisation de la
Commission nationale pour la protection des données et du régime général sur la protection
des données, la CNPD dispose des pouvoirs prévus à l'article 58.2 du RGPD :

a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations
de traitement envisagées sont susceptibles de violer les dispositions du présent règlement;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux
demandes présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations
de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé;

e) ordonner au responsable du traitement de communiquer à la personne concernée
une violation de données à caractère personnel;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du
traitement;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces mesures
aux destinataires auxquels les données à caractère personnel ont été divulguées en application
de l'article 17, paragraphe 2, et de l'article 19;

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites;

i) imposer une amende administrative en application de l'article 83, en complément ou
à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres
à chaque cas,

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

47. Conformément à l'article 48 de la loi du 1er août 2018, la CNPD peut imposer des
amendes administratives telles que prévues à l'article 83 du RGPD, sauf à l'encontre de l'État
ou des communes.

48. L'article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider s'il y
a lieu d'imposer une amende administrative et pour décider du montant de cette amende :

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la
portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer
le dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement
ou le sous-traitant ;

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la
violation et d'en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment
si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante, ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».

49. La formation restreinte tient à préciser que les faits pris en compte dans le cadre
de la présente décision sont ceux constatés au début de l'enquête. Les éventuelles modifications
relatives à l'objet de l'enquête intervenues ultérieurement, même si elles permettent d'établir
entièrement ou partiellement la conformité, ne permettent pas d'annuler rétroactivement un
manquement constaté.

50. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en conformité
avec le RGPD en cours de la procédure d'enquête ou pour remédier aux manquements relevés
par le chef d'enquête dans la communication des griefs, sont prises en compte par la formation
restreinte dans le cadre des éventuelles mesures correctrices à prononcer.

B. En l'espèce

1. Quant à l'imposition d'une amende administrative

51. Dans le courrier complémentaire à la communication des griefs du 24 août 2020,
le chef d'enquête propose à la formation restreinte de prononcer à l'encontre du contrôlé une
amende administrative portant sur le montant de 18.000 euros.

52. Dans sa note de plaidoiries, le mandataire du contrôlé fait valoir qu'une amende
administrative « doit répondre aux principes d'adéquation et de proportionnalité de l'article
83 du RGPD alors que notamment, aucun grief précis n'a été formulé, aucun préjudice n'a été
constaté et ... a collaboré dans la mesure du possible avec la CNPD pendant l'ensemble de la
période de contrôle. »

53. Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider,
le cas échéant, du montant de cette amende, la formation restreinte analyse les critères posés
par l'article 83.2 du RGPD :

- Quant à la nature et la gravité de la violation (article 83.2 a) du RGPD), en ce qui
concerne les manquements aux articles 38.1, 38.2 et 39.1 a) du RGPD, la formation
restreinte relève que la nomination d'un DPD par un organisme ne saurait être
efficiente et efficace, à savoir faciliter le respect du RGPD par l'organisme, que
dans le cas où le DPD est associé dès le stade le plus précoce possible à toutes les
questions relatives à la protection des données, bénéficie des ressources et du temps
nécessaires pour exercer ses missions relatives à la protection des données et
exerce de façon effective ses missions dont la mission d'information et de conseil du
responsable du traitement. Un manquement aux articles 38.1, 38.2 et 39.1 a) du
RGPD revient à réduire l'intérêt, voire à vider de sa substance, l'obligation pour
un organisme de nommer un DPD.

- Quant au critère de durée (article 83.2.a) du RGPD), la formation restreinte relève
que le contrôlé a indiqué, dans sa prise de position du 30 septembre 2020, que le
point de contact local a été désigné comme DPD avec effet au 1er octobre 2020 et
que ce dernier consacre désormais 50% de son temps de travail aux questions de
protection des données, avec l'assistance de deux autres juristes qui y consacrent
également chacun 50% de leur temps de travail. En outre, la composition et le
fonctionnement du GDPR Board ont été modifiés de façon à ce que le DPD puisse
informer et conseiller le responsable du traitement. Les manquements aux articles
38.1, 38.2 et 39.1 a) ont donc duré dans le temps, à tout le moins entre le 25 mai
2018 et le 1er octobre 2020. La formation restreinte rappelle ici que deux ans ont
séparé l'entrée en vigueur du RGPD de son entrée en application pour permettre
aux responsables du traitement de se conformer aux obligations qui leur incombent.

- Quant au nombre de personnes concernées affectées par la violation et le niveau
de dommage qu'elles ont subi (article 83.2 a) du RGPD), la formation restreinte
relève que le contrôlé compte environ 2.100 employés répartis sur 70 sites ainsi que
25.000 consommateurs par jour. Le nombre de personnes concernées par la
violation est donc potentiellement élevé.

- Quant au degré de coopération établi avec l'autorité de contrôle (article 83.2 f) du
RGPD), la formation restreinte tient compte de l'affirmation du chef d'enquête selon
laquelle le contrôlé a fait preuve d'une participation constructive tout au long de
l'enquête.

54. La formation restreinte constate que les autres critères de l'article 83.2 du RGPD
ne sont ni pertinents, ni susceptibles d'influer sur sa décision quant à l'imposition d'une amende
administrative et son montant.

55. La formation restreinte relève que si plusieurs mesures ont été mises en place par
le contrôlé afin de remédier en totalité ou en partie à certains manquements, celles-ci n'ont été
adoptées qu'à la suite du lancement de l'enquête par les agents de la CNPD en date du 17
septembre 2018 (voir aussi le point 49 de la présente décision).

56. Dès lors, la formation restreinte considère que le prononcé d'une amende
administrative est justifié au regard des critères posés par l'article 83.2 du RGPD pour
manquement aux articles 38.1, 38.2 et 39.1 a) du RGPD.

57. S'agissant du montant de l'amende administrative, la formation restreinte rappelle
que l'article 83.3 du RGPD prévoit qu'en cas de violations multiples, comme c'est le cas en
l'espèce, le montant total de l'amende ne peut excéder le montant fixé pour la violation la plus
grave. Dans la mesure où un manquement aux articles 38.1, 38.2 et 39.1 a) du RGPD est
reproché au contrôlé, le montant maximum de l'amende pouvant être retenu s'élève à 10
millions d'euros ou 2% du chiffre d'affaires annuel mondial, le montant le plus élevé étant
retenu.

58. Au regard des critères pertinents de l'article 83.2 du RGPD évoqués ci-avant, la
formation restreinte considère que le prononcé d'une amende de 18.000 euros apparaît à la
fois effectif, proportionné et dissuasif, conformément aux exigences de l'article 83.1 du RGPD.

2. Quant à la prise de mesures correctrices

59. Dans son courrier complémentaire à la communication des griefs, le chef d'enquête
propose à la formation restreinte de prendre les mesures correctrices suivantes :

« a) Ordonner la mise en place de mesures assurant une association formelle et
effective du DPD à toutes les questions relatives à la protection des données, conformément
aux exigences de l'article 38 paragraphe 1 du RGPD. Bien que plusieurs manières puissent
être envisagées pour parvenir à ce résultat, une des possibilités consisterait à analyser, avec
le DPD, tous les comités/groupes de travail pertinents au regard de la protection des données
et de formaliser les modalités de son intervention (information antérieure de l'agenda des
réunions, invitation, fréquence, statut de membre permanent etc.).

b) Ordonner la mise à disposition des ressources nécessaires au DPD conformément
aux exigences de l'article 38 paragraphe 2 du RGPD. Bien que plusieurs manières puissent
être envisagées pour parvenir à ce résultat, une des possibilités consisterait à décharger le
DPD et/ou les membres locales de son équipe de tout ou partie de ses autres missions/fonctions
ou de lui fournir un support formel, en interne ou en externe, quant à l'exercice de ses missions
de DPD.

c) Ordonner la mise en place de mesures permettant au DPD d'informer et de conseiller
formellement le responsable de traitement sur ses obligations en matière de protection des
données, conformément à l'article 39 paragraphe 1 a) du RGPD. Bien que plusieurs manières
puissent être envisagées pour parvenir à ce résultat, une des possibilités serait de mettre en

place un reporting formel des activités du DPD vers la Direction sur base d'une fréquence
définie. »

60. Quant aux mesures correctrices proposées par le chef d'enquête et par référence
au point 50 de la présente décision, la formation restreinte prend en compte les démarches
effectuées par le contrôlé, suite à la visite des agents de la CNPD, afin de se conformer aux
dispositions des articles 38.1, 38.2 et 39.1 a) du RGPD, comme détaillées dans ces courriers
des 21 novembre 2019 et 30 septembre 2020. Plus particulièrement, elle prend note des faits
suivants :

- Quant à la violation de l'article 38.1 du RGPD prévoyant l'obligation d'associer le
DPD à toutes les questions relatives à la protection des données à caractère
personnel, la formation restreinte prend note que le point de contact local a été
désigné DPD de l'organisme contrôlé avec effet au 1er octobre 2020.

Cependant, la formation restreinte comprend des documents fournis par le contrôlé
que ce DPD nouvellement désigné exerce ses fonctions sous la supervision du DPD
de ... Group. La formation restreinte se demande donc si le DPD nouvellement
désigné est effectivement associé à toutes les questions relatives à la protection des
données à caractère personnel, et ceci en toute indépendance. Par conséquent, la
CNPD est d'avis que le contrôlé n'a pas démontré avec suffisance sa mise en
conformité avec l'article 38.1 du RGPD et considère qu'il y a lieu de prononcer une
mesure de mise en conformité à cet égard.

- En ce qui concerne la violation de l'article 38.2 du RGPD prévoyant l'obligation de
fournir les ressources nécessaires au DPD, le contrôlé affirme dans sa prise de
position du 30 septembre 2020 que le DPD nouvellement désigné par ... S.A.
consacre 50% de son temps de travail aux questions de protection des données et
qu'il est assisté de deux juristes qui y consacrent chacun 50% de leur temps de
travail de sorte qu'il y aura 1,5 ETP consacrés à la protection des données à
caractère personnel.

Au regard de ces éléments, la formation restreinte est d'avis que l'attente du chef
d'enquête de 1 ETP ou plus est atteinte suite aux mesures prises par le contrôlé au
cours de l'enquête. Par conséquent, la formation restreinte considère qu'il n'y a pas
lieu de prononcer une mesure de mise en conformité à cet égard.

- Quant à la violation de l'article 39.1 a) du RGPD relatif à la mission d'information
et de conseil du DPD envers le responsable du traitement, le contrôlé expose dans
sa prise de position du 30 septembre 2020 la composition et le fonctionnement du
GDPR Board qui permettra au DPD nouvellement désigné d'informer et de
conseiller le responsable du traitement.

Cependant, au regard des documents fournis par le contrôlé, la formation restreinte
comprend que le DPD (auparavant point de contact local, sans avoir exercé la
fonction de DPD) nouvellement désigné par le contrôlé exerce ses missions sous la
supervision du DPD de ... Group, de telle sorte qu'il n'est pas démontré avec
suffisance par le contrôlé que le DPD nouvellement désigné puisse effectivement
remplir sa mission d'information et de conseil envers le responsable du traitement

contrôlé (...), et ceci en toute indépendance. Par conséquent, la formation restreinte
estime qu'il y a lieu de prononcer une mesure de mise en conformité à cet égard.

Compte tenu des développements qui précèdent, la Commission nationale siégeant en
formation restreinte et délibérant à l'unanimité des voix décide :

- de prononcer à l'encontre de la société « ... S.A. » une amende administrative d'un
montant de dix-huit mille euros (18.000 euros) au regard de la violation des articles
38.1, 38.2 et 39.1. a) du RGPD ;

- de prononcer à l'encontre de la société « ... S.A. » une injonction de se mettre en
conformité avec l'article 38.1 du RGPD, dans un délai de quatre mois suivant la
notification de la décision de la formation restreinte, les justificatifs de la mise en
conformité devant être adressés à la formation restreinte au plus tard dans ce délai,
en particulier :

s'assurer que le DPD soit effectivement associé à toutes les questions relatives à la
protection des données à caractère personnel, et ceci en toute indépendance ;

- de prononcer à l'encontre de la société « ... S.A. » une injonction de se mettre en
conformité avec l'article 39.1 a) du RGPD dans un délai de quatre mois suivant la
notification de la décision de la formation restreinte, les justificatifs de la mise en
conformité devant être adressés à la formation restreinte au plus tard dans ce délai,
en particulier :

s'assurer que le DPD puisse effectivement remplir sa mission d'information et de
conseil envers le responsable du traitement contrôlé. (…) ».

Par requête déposée au greffe du tribunal administratif le 27 août 2021, inscrite sous le
numéro 46401 du rôle, la société ... a fait introduire un recours tendant à la réformation, sinon
à l’annulation de la décision précitée de la CNPD du 31 mai 2021.

Etant donné qu’aux termes de l’article 55 de la loi du 1er août 2018 portant organisation
de la Commission nationale pour la protection des données et du régime général sur la
protection des données, ci-après désignée par « la loi du 1er août 2018 », « Un recours contre
les décisions de la CNPD prises en application de la présente loi est ouvert devant le Tribunal
administratif qui statue comme juge du fond. », le tribunal est compétent pour connaître du
recours principal en réformation dirigé contre la décision précitée du 31 mai 2021.

Il s’en suit qu’il n’y a pas lieu de statuer sur le recours subsidiaire en annulation figurant
dans la requête introductive d’instance.

Dans son mémoire en réponse, la CNPD tout en se rapportant à prudence de justice
quant à la recevabilité du recours, conclut à déclarer le recours recevable en la forme.

Force est de relever, pour autant que de besoin, que si le fait de se rapporter à prudence
de justice équivaut à une contestation, une contestation non autrement développée est
cependant à écarter, étant donné qu’il n’appartient pas au tribunal de suppléer la carence des
parties dans la présentation de leurs moyens, étant encore relevé que le tribunal n’entrevoit pas
de moyen d’irrecevabilité qui serait à soulever d’office.

Le recours principal en réformation ayant, par ailleurs, été introduit dans les formes et
délai de la loi, est partant recevable.

A l’appui de son recours et en fait, la partie demanderesse, tout en relevant les rétroactes
passés en revue ci-avant, explique appartenir au groupe ..., dont la société-mère, établie en
France, aurait, pour le groupe, désigné le 22 janvier 2018 un de ses employés en tant que
délégué à la protection des données, ci-après désigné par « le DPD du groupe », conformément
à la possibilité lui offerte à travers l’article 37, paragraphe (2) du RGPD. La demanderesse
donne encore à considérer qu’elle aurait, de son côté, désigné un DPD propre avec effet au 1er
octobre 2020, ce dont elle aurait informé la CNPD le 30 septembre 2020, ladite nomination
étant intervenue afin de se conformer aux exigences posées par la CNPD dans son courrier du
24 août 2020.

En droit, la partie demanderesse conclut, tout d’abord, à la réformation de la décision
déférée du 31 mai 2021, laquelle aurait, à tort, retenu dans son chef une violation de l’article
38, paragraphe (1) du RGPD du fait d’avoir considéré que le DPD du groupe n’aurait été
associé qu'indirectement aux questions relatives à la protection des données à caractère
personnel se posant au niveau local et ce au motif que, d’une part, le point de contact local,
l’unique juriste de la demanderesse n’aurait pas fait partie de l’équipe du DPD du groupe, et,
d’autre part, le DPD du groupe aurait uniquement été informé des mesures proposées par le
comité dédié à la protection des données, ci-après désigné par « le GDPR Board » - un organe
institué au sein de la demanderesse dont la mission aurait été la définition, au Luxembourg, des
stratégies en matière de protection des données et des plans d’actions y relatifs -, qui aurait agi
en tant qu'interlocuteur en matière de protection des données au sein de la demanderesse, sans
avoir été consulté dès le stade le plus précoce possible.

La demanderesse fait valoir, dans ce cadre, qu’au cours de l’audit par la CNPD du 17
septembre 2018 au 31 mai 2021, son organisation interne aurait évolué en ce sens que le point
de contact local du DPD du groupe aurait été nommé DPD Luxembourg avec effet au 1er
octobre 2020. Elle relève encore sur base des lignes directrices concernant les délégués à la
protection des données du Groupe de Travail « Article 29 » sur la protection des données du
13 décembre 2016, ci-après désignées par « les lignes directrices », ainsi que des considérations
du rapport d’audit du 31 octobre 2019 - selon lesquelles l’association du DPD à toutes les
questions relatives à la protection des données à caractère personnel devrait se faire le plus
précocement possible, que le DPD devrait être considéré comme un interlocuteur au sein de
l’organisme en question, afin de donner son avis et d’être consulté en cas de violations de
données ou en cas d’autres incidents, et qu’il y devrait être membre des groupes de travail
consacrés aux activités de traitement de données, - que ces critères auraient été respectés en
l’espèce.

Ainsi, tant le DPD du groupe que son point de contact local, devenu, par après, le DPD
Luxembourg, auraient participé à de nombreuses réunions au niveau du groupe ...,
respectivement au niveau local, la demanderesse expliquant encore que toutes les questions
relatives à la protection des données personnelles initiées au Luxembourg auraient d’abord été
réceptionnées et analysées par le point de contact local pour ensuite être communiquées au
DPD du groupe pour avis et support, ces deux personnes ayant travaillé en étroite collaboration
par téléphone, respectivement par le biais de moyens de communication informatique
principalement en cas d'incident de sécurité, mais aussi sur des questions touchant aux
opérations de traitement mis en œuvre localement.

Par ailleurs le DPD du groupe se ferait adresser un rapport mensuel de la part du point
de contact local suite au comité exécutif local, ainsi qu'un reporting mensuel relatif aux
problématiques de protection des données.

Sur base de ces éléments, la demanderesse considère que, contrairement à ce qui serait
soutenu par la décision déférée, le DPD du groupe aurait été informé en temps réel par le point
de contact local, de sorte à se trouver ainsi en position de réagir immédiatement en conformité
avec ses obligations, et d’être en mesure de fournir toutes les recommandations requises dans
le cadre du RGPD, fonction reprise par le point de contact local, suite à sa nomination de DPD
Luxembourg, lequel continuerait encore d’informer le DPD du groupe, ainsi que la direction
de la demanderesse.

Après avoir expliqué la mission, ainsi que la composition du GDPR Board, un organe
consultatif interne de la demanderesse composé de ses différents services traitants des données
personnelles, tels que le point de contact local devenu le DPD Luxembourg, la direction des
ressources humaines, les responsables de l’audit interne et informatique, ainsi qu’en cas de
besoin l’administrateur-délégué de la société ..., la demanderesse explique avoir, lors de
l’enquête, souhaité modifier son organisation interne en nommant le point de contact local du
DPD du groupe directement DPD Luxembourg, ce dernier assistant personnellement aux
réunions tant du GDPR Board, ainsi qu’en cas de besoin, aux réunions du comité exécutif et
du conseil d’administration de la société .... Elle conteste en conséquence la conclusion de la
CNPD selon laquelle le DPD du Groupe ne serait pas suffisamment directement impliqué au
niveau opérationnel au Luxembourg, tout en faisant valoir que ledit reproche ne serait pas
suffisamment précisé.

La demanderesse se prévaut encore, dans ce cadre, de l’article 37, paragraphe (2) du
RGPD, pour soutenir que le DPD du groupe aurait toujours été facilement joignable et se serait,
de surcroît, appuyé sur le contact local, lui aussi facilement joignable par la CNPD, par les
personnes concernées, ainsi que par le responsable du traitement, tout en mettant en exergue la
circonstance que, d’une part, la CNPD serait restée en défaut de faire état d’une quelconque
carence concrète à ce sujet, et, d’autre part, ni le RGPD ni les lignes directrices n’imposeraient
une présence physique du DPD d’un groupe.

Ainsi, en rejetant ses explications fournies en relation avec l’article 37, paragraphe (2)
du RGPD comme n’étant pas pertinentes et en retenant que le DPD du groupe ne pourrait pas
être considéré comme ayant été impliqué directement, formellement et de manière permanente
au Luxembourg, la CNPD aurait, selon la demanderesse, exigé une présence physique et
permanente du DPD du groupe sur place, obligation ne ressortant pourtant pas des textes légaux
en vigueur et laquelle aurait, pour le surplus, été respectée en l’espèce à travers le point de
contact local ayant été nommé par après, par pure diligence et afin de satisfaire les exigences
injustifiées de la CNPD, DPD Luxembourg avec effet au 1er octobre 2020.

La demanderesse se fonde ensuite sur ses schémas de transmission des informations et
de prise de décision, ainsi que sur la liste des missions du DPD pour réfuter la conclusion de la
CNPD selon laquelle le DPD du groupe serait simplement informé des mesures proposées par
le GDPR Board aux différents organes décisionnels, de sorte à ne pas être consulté dès le stade
le plus précoce possible de toutes les questions relatives à la protection des données. Or,
l'ensemble des problématiques de nature opérationnelle et stratégique liées à la protection des

données seraient identifiées, évaluées par le DPD Luxembourg et son équipe de manière
systématique et communiquées à sa direction pour prise de décision.

Sur base de l’ensemble de ces éléments, la demanderesse conclut à la réformation de la
décision déférée pour violation, par la CNPD, de l’article 38, paragraphe (1) du RGPD.

Dans son mémoire en réplique, la demanderesse insiste sur la structure
organisationnelle interne du groupe ... au moment de l’audit opéré par la CNPD, matérialisée
par la nomination d’un DPD du groupe, responsable pour toutes les entités dudit groupe, lequel
aurait été assisté par des points de contact locaux, tel que cela aurait été le cas au Luxembourg,
où le prédit DPD du groupe aurait été secondé par son point de contact local, juriste, par un
collaborateur stagiaire devenu salarié, ainsi que par l’équipe informatique locale, une pratique
autorisée par l’article 37, paragraphe (2) du RGPD. Le point de contact local aurait été désigné
au regard de ses compétences et de son expérience en matière de protection des données et
aurait agi, dans le cadre d’un mandat au sens du Code civil, pour le compte du DPD du groupe
auprès des tiers, tout en reportant à ce dernier, et plus particulièrement au sujet des réunions du
comité exécutif, du GDPR Board et de toutes les réunions de travail au sujet de la protection
des données au Luxembourg.

Dans ce contexte, la demanderesse se focalise sur le fait que le DPD du groupe aurait
été présenté, ensemble avec son équipe de protection des données locale à Luxembourg,
comme l'interlocuteur principal pour les personnes concernées, tant en interne, qu'en externe,
pour les questions relatives à la protection des données. Ainsi, les points de contact locaux,
d’une part, travailleraient de concert avec le DPD du groupe afin de définir une politique
harmonisée pour le groupe tout en l’adaptant, le cas échéant, aux spécificités locales et, d’autre
part, feraient le rapport des comptes-rendus des réunions avec le DPD du groupe et l'ensemble
du réseau protection des données, tout en organisant en interne la mise en place des politiques
de protection des données après information, respectivement explication et validation du
responsable du traitement local concerné.

Elle fait encore valoir que dès l’entrée en vigueur du RGPD, elle aurait communiqué
une note interne à l’attention de son personnel afin d’informer ce dernier sur les modalités de
la protection des données personnelles mises en œuvre.

Sur base de ces éléments, la demanderesse conteste l’approche de la CNPD consistant
à séparer, selon elle, artificiellement le DPD du groupe de son point de contact local,
respectivement à dénier le rôle et les missions de l’équipe locale, la demanderesse argumentant,
dans ce cadre, que la CNPD aurait opéré une interprétation trop restrictive, voire erronée des
lignes directrices et n’aurait pas pris en compte les fonctions de conseil, d’information et de
consultation conférées au point de contact local, en tant qu’un des membres de l’équipe de
protection des données du groupe .... Ainsi, selon la demanderesse, le DPD du groupe et son
équipe constitueraient un ensemble unique et toute action menée par un membre de l'équipe du
DPD du groupe, au nom celui-ci, devrait être considérée comme menée personnellement par
le DPD du groupe, au même titre que l'action d'un mandataire serait prise au nom de son
mandant.

Tout en réitérant ses explications quant au fonctionnement du point de contact local,
ainsi que quant à la participation de ce dernier au du GDPR Board, ainsi qu’aux groupes de
travail locaux et aux réunions du comité exécutif, la demanderesse remet en cause la conclusion
de la CNPD selon laquelle le DPD du groupe ne pourrait pas être considéré comme ayant été

consulté dès le stade le plus précoce possible en ce qui concerne les questions relatives à la
protection des données, alors que la CNPD se contredirait à ce sujet en retenant, d’une part, les
modalités de traitement et de l'analyse au premier niveau des avis et recommandations du DPD
du groupe et des remontées du point de contact local au GDPR Board, et, d’autre part, que le
DPD du groupe se serait simplement vu notifier les procès-verbaux desdites réunions, donc
après que les décisions auraient été prises.

En ce qui concerne le reproche de la CNPD, dans le cadre du moyen basé sur un
manquement à l’article 38, paragraphe (1) du RGPD, selon lequel la fonction de contact local
n’aurait été qu’une activité accessoire à la fonction de responsable juridique de la personne
concernée, la demanderesse conteste ladite analyse de la CNPD en donnant à considérer que
tant le DPD du groupe que son point de contact local au Luxembourg seraient d’anciens avocats
et des juristes expérimentés, de sorte à être parfaitement à même de mener à bien leur mission,
tout en précisant encore que le DPD du groupe serait en relation quotidienne avec les postes
opérationnels au Luxembourg afin de gérer les questions de protection des données
personnelles.

Par ailleurs, le DPD du groupe serait immédiatement consulté en cas d’incident,
respectivement en cas de violation de données personnelles. Ainsi, l’implication de ce dernier,
ensemble avec le point de contact local concerné, conformément aux procédures de
gouvernance habituelle du groupe ..., aurait dû amener la CNPD à retenir que le DPD du groupe
remplirait ses fonctions de conseil et d’information de manière appropriée et en temps utile.

La demanderesse conteste finalement les affirmations de la CNPD selon lesquelles le
DPD du groupe, d’une part, ne participerait pas aux réunions au Luxembourg, et, d’autre part,
ne ferait pas partie du GDPR Board, en mettant en avant la circonstance que ledit DPD s’y
ferait représenter par son point de contact local, lequel remplirait ses obligations de conseil et
d’information du responsable du traitement de manière appropriée et en temps utile en
effectuant un reporting tant auprès de la direction de la demanderesse qu’auprès du DPD du
groupe. Elle précise encore, dans ce cadre, que, contrairement à ce qu’affirmerait la CNPD,
l’existence du GDPR Board aurait été portée à la connaissance de celle-ci lors de l’audit sur
place.

La demanderesse conclut de l’ensemble de ces éléments que la décision déférée de la
CNPD serait à réformer pour avoir, à tort, retenue à sa charge un manquement à l’article 38,
paragraphe (1) du RGPD.

En deuxième lieu, la demanderesse conclut à la réformation de la décision déférée du
31 mai 2021 pour violation, sinon mauvaise application de l’article 38, paragraphe (2) du
RGPD, au motif que la CNPD aurait, à tort, retenu qu’elle n’aurait pas alloué les ressources
nécessaires au DPD du groupe, et plus particulièrement à son point de contact local, lequel
aurait été l’unique juriste de l’entité luxembourgeoise ayant, par ailleurs, eu d’autres missions,
pour exercer efficacement ses missions relatives à la protection des données personnelles.

Dans ce cadre, la demanderesse relève, tout d’abord, que le rapport d’audit aurait retenu
que le respect des conditions posées par l’article 38, paragraphe (2) du RGPD impliquerait
l’occupation au minimum d’un emploi temps plein, ci-après désigné par « ETP », pour l’équipe
locale en charge de la protection des données. Elle détaille ensuite les modalités d’organisation
de ses équipes dédiées à la protection des données, tant au niveau central, où le DPD du groupe
disposerait d’une équipe nommée le « Bureau central de la protection des données » ou « Global

Data Protection Office », composée de deux juristes spécialisés en matière de protection des
données, d'un réseau de points de contact locaux dédiés à la protection des données, ainsi que
d'un project manager, qu’au niveau local, où, à la date de la décision litigieuse, le point de
contact local du DPD du groupe, aurait été nommé en tant que DPD Luxembourg et aurait été
secondé par un juriste, les deux pouvant, de plus, s’appuyer sur l’expertise internationale du
groupe ... par le biais du DPD du groupe.

Quant au volume des données personnelles traitées, la demanderesse fait valoir que la
CNPD aurait commis une erreur en retenant qu’elle compterait 2.100 employés répartis sur 70
sites et couvrirait environ 25.000 consommateurs par jour, alors que, bien qu’elle-même aurait
indiqué lesdits chiffres dans sa présentation générale du groupe ... à Luxembourg adressée à la
CNPD, elle aurait précisé, dans le questionnaire rempli à l’ouverture de l’audit litigieux, que
les données personnelles traitées ne concerneraient que 5.000 personnes, dont 1.600 salariés.

Elle critique encore la décision déférée, en ce qui concerne le manquement lui reproché
par rapport à l’article 38, paragraphe (2) du RGPD, alors que l’exigence de formaliser la
répartition du temps de travail du DPD et des autres ressources en personnel que l’assistent ne
ressortirait d’aucun texte légal contraignant, mais tout au plus des lignes directrices. Par
ailleurs, au moment de l’audit, la CNPD n’aurait pas publié de guidance formelle à ce sujet, ce
qui amène la demanderesse à soutenir qu’au regard de l’absence de précisions et d’explications
y relatives de la part de la CNPD, aucun manque de ressources, ni l’absence d’analyse des
ressources existantes ne sauraient lui être reprochés. Elle aurait néanmoins, sans cependant
reconnaître la moindre violation du RGPD dans son chef, d’une part, fourni, par courrier du 30
septembre 2020, des précisions à la CNPD quant au fonctionnement de son personnel dédié à
la protection des données personnelles, et, d’autre part, renforcé le temps effectif exclusivement
consacré à ce domaine par le DPD Luxembourg en le fixant à 50% de son temps de travail,
tout en lui ayant affecté une équipe de deux juristes travaillant également, pour 50% de leur
temps de travail, sur les questions relatives à la protection des données personnelles.

Tout en réitérant ses conclusions quant à l’absence de base légale lui imposant la
formalisation du temps de travail consacré par son personnel aux questions relatives à la
protection des données personnelles, formalisation qui ne reposerait que sur une interprétation
extrêmement extensive, erronée et subjective du RGPD par la CNPD, la demanderesse
reproche encore à la décision déférée, d’une part, de ne pas avoir pris en considération ses
outils informatiques utilisés dans le cadre de son activité quotidienne de gestion de la
conformité avec les règles du RGPD, outils venant compléter les ressources humaines
nécessaires au traitement des données personnelles, et, d’autre part, de ne pas avoir fourni de
critères objectifs susceptibles de justifier le volume d'ETP exigé par la CNPD. Elle relève
finalement que la CNPD serait restée en défaut de faire état d’une quelconque carence, absence
de réponse, voire délai de réponse inapproprié, en ce qui concerne la question du traitement
des données personnelles, ayant pu amener à la conclusion que son organisation interne n’aurait
pas été suffisante en termes de ressources allouées audit domaine.

Dans son mémoire en réplique, la demanderesse, en réexposant son organisation interne
au Luxembourg en matière de protection des données marquée initialement par un point de
contact local du DPD du groupe, devenu, par après le DPD Luxembourg, lequel serait assisté
par un juriste, ainsi que, le cas échéant, par un project manager déployé par le groupe ... pour
la région Benelux, par la directrice des ressources humaines, ainsi que par le responsable du
département informatique, chacun pour son domaine de compétence, fait valoir que la CNPD
serait restée en défaut de prendre ces éléments en considération.

En ce qui concerne la détermination du temps de travail approprié à consacrer aux
questions relatives à la protection des données personnelles, durée fixée en l’espèce par la
CNPD à l’occupation d’un ETP, la demanderesse soutient, tout d’abord, qu’une telle fixation
ne serait pas une obligation, contrairement à l’approche de la CNPD dans la décision litigieuse,
mais une bonne pratique, conformément aux lignes directrices, lesquelles ne feraient que
fournir une liste non-exhaustive d’éléments pouvant être pris en compte.

Dans ce contexte, la demanderesse critique encore la décision litigieuse pour ne pas
avoir considéré, dans son analyse relative à l’allocation du temps de travail suffisant, les autres
éléments mis en avant par les lignes directrices et clairement documentés durant l’audit, tel que
plus particulièrement la circonstance que l'équipe locale du DPD du groupe (i) aurait un contact
direct et régulier avec sa direction, (ii) disposerait de toutes les ressources financières et des
infrastructures nécessaires au bon accomplissement de ses missions, (iii) aurait procédé à toutes
les communications nécessaires en relation avec la désignation du DPD du groupe et du point
de contact local auprès des employés et des tiers, (iv) aurait un accès nécessaire à d'autres
services, (v) suivrait régulièrement des formations afin de maintenir les connaissances en
matière de protection des données et (vi) aurait mis en place toute une équipe de protection des
données.

Par ailleurs, la demanderesse remet en cause l’argumentation de la CNPD selon laquelle
le temps à consacrer par un DPD aux tâches et missions lui revenant, lesquelles engloberaient
notamment la mise en place et la tenue du registre des activités de traitement, la rédaction de
procédures internes en matière de protection des données, l'émission d'avis quant à la nécessité
d'une analyse d'impact et la vérification de la réalisation effective de cette dernière, le maintien
de la documentation sur place, serait multiplié de façon exponentielle en fonction de
l'envergure des sociétés choisies pour le contrôle et en fonction de l'importance consécutives
des traitements effectués par lesdites sociétés, alors que la CNPD n’aurait pas eu égard, en
l’espèce, à l’organisation du groupe ... et à ses outils techniques, lesquelles auraient dû amener
cette dernière à la conclusion que les ressources allouées à la protection des données
personnelles seraient suffisantes.

La demanderesse insiste finalement encore sur le manque de visibilité dans les critères
utilisés par la CNPD afin de déterminer sa conformité ou non quant aux ressources allouées au
DPD, la méthode du calcul de l'ETP n’ayant pas été claire, du fait de ne pas avoir pris en compte
ni toutes les personnes participant localement à la gestion des données ni les autres critères des
lignes directrices.

En dernier lieu, la demanderesse considère que la décision déférée devrait encourir la
réformation pour violation de l’article 39, paragraphe (1), a) du RGPD pour avoir retenu que
le DPD du groupe, du fait de ne pas avoir été associé de manière appropriée et en temps utile
à toutes les questions relatives à la protection des données à caractère personnel se posant au
niveau de l’entité luxembourgeoise du groupe ..., n’aurait pas respecté son obligation
d’information et de conseil du responsable du traitement, du sous-traitant respectivement des
employés procédant au traitement de données personnelles.

En se basant sur le considérant n° 97 du RGPD selon lequel le DPD devrait aider le
responsable du traitement à vérifier le respect, au niveau interne, du RGPD, ainsi que sur les
lignes directrices, la demanderesse fait valoir que les conclusions de la CNPD ne reposeraient
sur aucun élément textuel contraignant ni sur aucun élément factuel valable. Ainsi, selon la
demanderesse, ses modalités de fonctionnement au moment de l’audit, en ce qui concerne la
remontée directe des informations, entre le point de contact local vers le DPD du groupe, de ce
dernier vers la direction du groupe, ainsi que du point de contact local vers le comité exécutif,
n'auraient pas dû amener la CNPD à retenir, en l’espèce, une violation de l’article 39,
paragraphe (1), a) du RGPD.

Elle fait encore valoir, dans ce cadre, que si la conclusion de la CNPD selon laquelle la
circonstance que le point de contact local reporte à la direction de la société luxembourgeoise
constituerait une violation du RGPD au motif que le DPD du groupe ne serait qu’indirectement
associé, devrait être validée, cela empêcherait tout groupe international d'ampleur de nommer
un DPD pour ledit groupe et de mettre en place une organisation structurée pour la protection
des données, alors même qu’une telle faculté serait expressément admise par l’article 37,
paragraphe (2) du RGPD. Sans reconnaître la moindre violation dans son chef, la demanderesse
précise finalement qu’à l’heure actuelle le point de contact local, devenu le DPD Luxembourg,
rapporterait directement au responsable du traitement au Luxembourg.

Dans son mémoire en réplique, la demanderesse, tout en relevant que la CNPD, d’une
part, aurait à juste titre retenu que les obligations d'information et de conseil du responsable du
traitement visé à l'article 39, paragraphe (1), a) du RGPD seraient nécessairement imbriquées
dans celles visées à l'article 38, paragraphe (1) du RGPD, et, d’autre part, aurait reconnu
l’existence d’une transmission d’informations au sein du groupe ... du point de contact local
vers le DPD du Groupe, de ce dernier vers le président directeur général du groupe, ainsi que
du point de contact local vers le comité exécutif local, réitère son argumentation relative à une
violation, par la CNPD, de l’article 39, paragraphe (1), a) du RGPD, du fait d’avoir retenu
l’absence d’une transmission d’informations directe entre le point de contact local et le DPD
du groupe.

Elle relève encore, dans ce contexte, une contradiction dans l’argumentation juridique
de la CNPD en ce que cette dernière ferait valoir, d’un côté, qu’un groupe de sociétés pourrait
prévoir une transmission directe d’informations entre le DPD du groupe et le responsable du
traitement local pour, d’un autre côté, admettre qu’il serait pratiquement impossible, dans des
groupes de sociétés d’une importance telle que le groupe ..., d’organiser des réunions régulières
entre le DPD du groupe et le point de contact local des différentes entités. Selon la
demanderesse, le fait, pour la CNPD, de considérer qu’elle ne respecterait pas l’article 39,
paragraphe (1), a) du RGPD en raison de la transmission d’informations de la part du contact
local, représentant du DPD du groupe, directement au responsable du traitement local,
constituerait une erreur de fait et de droit et devrait conduire à la réformation de la décision
sous examen. La demanderesse insiste, dans ce cadre, sur le fait qu’un tel reporting, en plus
d’être parfaitement en ligne avec les dispositions applicables en matière de protection des
données, présenterait l’avantage d'être plus précis et adapté aux spécificités locales du fait de
provenir d'une personne que les dirigeants et employés côtoieraient au quotidien. La position
de la CNPD conduirait, par ailleurs, in fine à interdire la pratique d'un DPD mutualisé pour un
groupe de sociétés assisté d'équipes locales, pratique cependant expressément autorisée par
l’article 37, paragraphe (2) du RGPD.

La demanderesse réfute finalement l’argumentation de la CNPD consistant à nier, en
l’espèce, tout élément d’extranéité ayant dû amener cette dernière à prendre contact avec une
autorité de contrôle d’un autre Etat membre, conformément à l’article 57, paragraphe (1), g)
du RGPD, tel qu’en l’occurrence la Commission nationale de l’Informatique et des Libertés,
ci-après désignée par la « CNIL », alors même que le DPD du groupe serait établi en France,
tout en disposant, dans chaque entité du groupe, d’une équipe de protection des données
locales.

A titre subsidiaire, la demanderesse conclut à l’annulation de la décision déférée en
reprochant à la CNPD d’avoir commis un excès, sinon un détournement de pouvoir manifeste
en retenant une violation des articles 38, paragraphes (1) et (2), respectivement 39, paragraphe
(1), a) du RGPD. Elle argumente, dans ce cadre, que les exigences de la CNPD
correspondraient davantage à une ingérence illégale dans sa gouvernance interne qu’à
l’exercice de son pouvoir d’appréciation par rapport à l’opportunité de prendre des décisions
reposant sur des textes légaux et réglementaires applicables.

La demanderesse relève encore que sa société-mère, ainsi que ses filiales françaises
auraient également fait l’objet d’une enquête, similaire à celle de la CNPD, par la CNIL,
laquelle, d’une part, n’aurait retenu aucune anomalie, voire non-conformité au RGPD, et,
d’autre part, n’aurait pas formulé de remarques particulières lors de la désignation du DPD du
groupe le 3 avril 2018. Au regard de la circonstance qu’à travers le courrier de son
litismandataire du 26 janvier 2021, la CNPD aurait été informée de la prédite enquête de la
CNIL, il lui aurait appartenu, dans un souci de cohérence, de prendre contact avec cette
dernière, en sa qualité d'autorité de contrôle chef de file conformément à l’article 60 du RGPD,
afin de discuter de la gouvernance de protection des données définie par sa société-mère pour
le groupe ....

La demanderesse argumente finalement, dans le contexte de son moyen tiré d’un excès,
sinon d’un détournement de pouvoir manifeste dans le chef de la CNPD, que la sanction retenue
à sa charge manquerait aux principes d’adéquation et de proportionnalité de l’article 83 du
RGPD au motif qu’aucun manquement précis en droit, sinon en fait ne lui aurait été reproché,
qu’aucun préjudice n'aurait été constaté par la CNPD et qu’elle aurait toujours collaboré dans
toute la mesure du possible avec la CNPD pendant l'ensemble de la période de contrôle.

La CNPD conclut au rejet de tous les moyens invoqués par la demanderesse pour être
dépourvus de fondement.

Le tribunal doit, tout d’abord, rappeler qu’il n’est pas tenu par l’ordre des moyens, tels
que présentés par les parties, mais détient la faculté de les toiser suivant une bonne
administration de la justice et l’effet utile s’en dégageant, de sorte qu’il y a lieu d’analyser,
dans un premier temps, les moyens tirés d’une violation des articles 38, paragraphe (1) et 39,
paragraphe (1), a) du RGPD en raison du caractère complémentaire desdites dispositions.

Aux termes de l’article 38, paragraphe (1) du RGPD « Le responsable du traitement et
le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une
manière appropriée et en temps utile, à toutes les questions relatives à la protection des
données à caractère personnel. », étant précisé qu’il ressort des lignes directrices qu’ « [i]l est
essentiel que le DPD, ou son équipe, soit associé dès le stade le plus précoce possible à toutes
les questions relatives à la protection des données. En ce qui concerne les analyses d'impact
relatives à la protection des données, le RGPD prévoit expressément la participation du DPD

à un stade précoce et précise que le responsable du traitement doit demander conseil au DPD
lorsqu'il effectue une analyse de ce type. L'information et la consultation du DPD dès le début
permettront de faciliter le respect du RGPD et d'encourager une approche fondée sur la
protection des données dès la conception; il devrait donc s'agir d'une procédure habituelle au
sein de la gouvernance de l'organisme. En outre, il importe que le DPD soit considéré comme
un interlocuteur au sein de l'organisme et qu'il soit membre des groupes de travail consacrés
aux activités de traitement de données au sein de l'organisme.

Par conséquent, l'organisme devrait veiller, par exemple, à ce que:

- le DPD soit invité à participer régulièrement aux réunions de l'encadrement
supérieur et intermédiaire ;
- sa présence soit recommandée lorsque des décisions ayant des implications en
matière de protection des données sont prises. Toutes les informations pertinentes
doivent être transmises au DPD en temps utile afin de lui permettre de fournir un
avis adéquat ;
- l'avis du DPD soit toujours dûment pris en considération. En cas de désaccord, le
G29 recommande, à titre de bonne pratique, de consigner les raisons pour
lesquelles l'avis du DPD n'a pas été suivi ;
- le DPD soit immédiatement consulté lorsqu'une violation de données ou un autre
incident se produit. (…) ».

Par ailleurs, en vertu de l’article 39, paragraphe (1), a) du RGPD, une des missions du
DPD est notamment d’« (…) informer et conseiller le responsable du traitement ou le sous-
traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur
incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du
droit des États membres en matière de protection des données ; (…) ».

Il ressort des dispositions communautaires qui précèdent que, tel que relevé à juste titre
par la CNPD, pour que l’obligation de l’article 39, paragraphe (1), a) du RGPD, exigeant
l’information et le conseil du responsable du traitement de la part du DPD, puisse être
accomplie de manière efficace, il faut nécessairement et impérativement que ledit DPD soit,
conformément à l’article 38, paragraphe (1) du RGPD, associé, au sein de l’entité en question,
aux questions et projets impliquant des questions relatives à la protection des données
personnelles au stade le plus précoce possible.

Dans ce contexte, il y a, en l’espèce, lieu de distinguer, en ce qui concerne l’organisation
matérielle litigieuse de la demanderesse relative au domaine de la protection des données, entre
plusieurs phases, (i) la première ayant été marquée par la désignation du DPD du groupe, lequel
disposait, dans toutes les entités du groupe, d’un point de contact local, organisation qui était
en place au moment de l’ouverture de l’enquête de la CNPD le 17 septembre 2018, organisation
ayant été modifiée, en cours d’enquête, (ii) par l’ajout, au niveau de la demanderesse, du GDPR
Board, étant précisé que la date exacte d’institution dudit Board ne ressort pas des documents
soumis à l’analyse du tribunal, la demanderesse en ayant fait état dans sa présentation du 21
janvier 2019 et (iii) par la circonstance qu’à partir du 1er octobre 2020, le groupe ... dispose,
d’une part, d’un DPD du groupe, et, d’autre part, en ce qui concerne la demanderesse, d’un
DPD au Luxembourg, lequel a été, auparavant le point de contact local du DPD du groupe.

Le tribunal doit, à ce stade, d’emblée relever que l’argumentation de la demanderesse
consistant à reprocher à la CNPD de ne pas avoir pris en considération, dans sa décision du 31

mai 2021, les mesures prises au cours de l’enquête et préalablement à la prise de ladite décision
est à rejeter pour manquer de fondement.

Il ressort en effet explicitement de la prédite décision, position encore confirmée par la
CNPD dans le cadre de ses mémoires en réponse et en duplique, que cette dernière a retenu
que pour établir les manquements de la demanderesse au RGPD, elle n’a eu égard qu’aux faits
tels qu’ils ont existé au jour de l’ouverture de l’enquête et que les éventuelles modifications
effectuées par la demanderesse au cours de l’enquête et avant la prise de la décision litigieuse
ne permettent pas de faire disparaître un manquement constaté, le tribunal adoptant, en
l’espèce, la même approche quant aux manquements reprochés et quant au principe de
l’amende à retenir, le cas échéant, à charge de la demanderesse.

Ainsi, préalablement à la désignation d’un DPD spécifique pour la demanderesse en
date du 1er octobre 2020, le groupe ... disposait d’un DPD pour l’ensemble du groupe,
conformément à la possibilité lui offerte par l’article 37, paragraphe (2) du RGPD aux termes
duquel « Un groupe d'entreprises peut désigner un seul délégué à la protection des données à
condition qu'un délégué à la protection des données soit facilement joignable à partir de
chaque lieu d'établissement. ».

Quant à l’organisation concrètement mise en place entre le DPD du groupe et son point
de contact local au Luxembourg, force est de relever que quand bien même une telle situation
est a priori envisageable aux termes de l’article37, paragraphe (2) du RGPD, il ressort, tout
d’abord, du questionnaire préliminaire rempli par la demanderesse et envoyé à la CNPD le 5
octobre 2018, en ce qui concerne la composition et le fonctionnement de l’équipe dédié au sein
du groupe ... à la protection des données, que « (…) le DPD [du groupe] a constitué :

- Un Bureau Central de la Protection des Données (« Global Data Protection
Office ») composé de deux juristes spécialisés en matière de protection des données
à caractère personnel. Cette équipe travaille de manière transversale sur les
problématiques liées à la protection des données à caractère personnel pour
l’ensemble des activités du Groupe .... Cette équipe accompagne également les
points de contact locaux dédiés à la protection des données à caractère personnel
afin d’assurer une cohérence dans la gestion de la conformité au sein du groupe.

- Un réseau de points de contact locaux dédiés à la protection des données à
caractère personnel qui sont en mesure de communiquer efficacement avec les
personnes concernées et de coopérer avec les autorités de contrôle compétentes
dans la langue utilisée par les autorités de contrôle et les personnes concernées en
question. (…) ».

La demanderesse précise encore, dans ledit questionnaire, que le DPD du groupe « (…)
organise des réunions hebdomadaires avec son équipe en central et des réunions mensuelles
ou trimestrielles avec les points de contact locaux dédiés à la protection des données à
caractère personnel. (…) ».

Le tribunal doit encore relever que dans la prise de position de la demanderesse du 22
novembre 2019, suite à la communication du rapport d’audit final en date du 31 octobre
2019, celle-ci explique que « [t]outes les questions relatives à la protection des données
personnelles initiées au Grand-Duché de Luxembourg sont réceptionnées et analysées dans un

premier temps par notre point de contact dédié à la protection des données au Luxembourg (le
« Point de Contact Local »), (…).

Le Point de Contact Local travaille en étroite collaboration avec la DPD Globale -
notamment par téléphone, réunions Skype ou courriels autant que nécessaire - pour toutes les
questions nécessitant l'information, l'analyse, le conseil ou la consultation préalable de la
DPD Globale, notamment en cas d'incident de sécurité mais aussi sur des questions touchant
aux opérations de traitement mis en œuvre localement. Le Point de Contact Local est ainsi
chargé de la gestion de conformité des traitements de données à caractère personnel mis en
œuvre par ... S.A. sous la supervision de la DPD Globale à qui [il] rapporte ses actions.

... S.A. a également institué un comité dédié à la protection des données à Luxembourg
(le « GDPR Board »), qui définit la stratégie sur ces sujets et les plans d'actions associés de ...
S.A.

Le GDPR Board est composé aujourd'hui comme suit :

- Le Point de Contact Local
- La Directrice des ressources humaines de ... S.A.
- Le Responsable de l'audit interne de ... S.A.
- Le Responsable informatique de ... S.A.
- Lorsque cela est nécessaire et sur la base des avis et recommandations [du DPD du
groupe], l'administrateur-délégué de ... S.A. est invité à participer à ce Comité
GDPR.

Le GDPR Board se réunit aujourd'hui au minimum 8 à 10 fois par an (les « Réunions
du GDPR Board »).

Lors de ces réunions, le GDPR Board traite et analyse au premier niveau des avis et
recommandations de la DPD Globale et des remontées du Point de Contact Local, et gère de
manière opérationnelle les problématiques et demandes en matière de protection des données
personnelles émanant du Luxembourg (personnes concernées, autorité de contrôle, etc.).

A l'issue de chaque Réunion du GDPR Board, un procès-verbal est établi pour acter
les mesures à mettre en oeuvre sur les sujets de protection des données discutés.

Les propositions du GDPR Board sont ensuite communiquées aux différents organes
décisionnels de ... S.A., en fonction de la grille suivante :

Décisions en matière de protection des Organe de décision
données personnelles
Urgence et décisions opérationnelles Administrateur-délégué de ... S.A. ou
(relations contractuelles BtoB et questions Directeur Général et administrateur de ...
générales) S.A. en délégation de l’Administrateur-
délégué.
Urgence et décisions stratégiques COMEX (comité de direction au
immédiates en lien avec les droits des Luxembourg) composé du Directeur général
personnes concernées (data breach, et administrateur, la Directrice des
mesures réglementaires urgentes, etc.) opérations entreprises, administrations,
sports & loisirs, le Directeur des opérations

scolaires et santé, le Directeur des activités
seniors, le Directeur de projets, le Directeur
administratif et financier, la Directrice des
ressources humaines, le « Service operations
Director », la Directrice marketing et
communication et la Directrice commerciale
de ... S.A.
Décisions stratégiques pour l’entreprise à Conseil d’Administration de ... S.A. ou
terme (politiques globales, politiques de Directeur Général et administrateur de ...
sécurité, etc.) S.A. en délégation dudit conseil.

Les propositions transcrites dans le procès-verbal de la Réunion du GDPR Board,
selon leur nature, seront validées et mises en oeuvre par l'Administrateur-délégué, sinon par
le COMEX sinon par le Conseil d'Administration ou le Directeur Général et administrateur de
... S.A. en délégation de l'Administrateur-délégué ou du Conseil d'Administration.

A ce jour, la DPD Globale reçoit les procès-verbaux du GDPR Board et est donc
impliquée, dans la gestion de la conformité avec les dispositions du RGPD au Luxembourg, y
compris sur des sujets purement opérationnels, par l'intermédiaire des questions soulevées par
le Point de Contact Local et des actions de conformité qui s'en suivent.

Sur la base des éléments présentés ci-dessus, l'ensemble des problématiques de nature
opérationnelle et stratégique liées à la protection des données sont identifiées, évaluées et
adressées par la DPD Globale et ses équipes dédiées à Luxembourg de manière systématique
et, communiquées à la direction de ... S.A. pour prise de décision. Ces décisions relatives à la
protection sont formalisées dans un fichier récapitulatif tenu par année fiscale.

Néanmoins, ... S.A. a bien noté l'exigence renforcée de la CNPD d'assurer une plus
grande proximité de la DPD Globale avec l'encadrement supérieur de l'entité.

Par conséquent, ... S.A. et la DPD Globale s'engagent, pour renforcer sa conformité à
l'article 38 (1) du RGPD à la mise en place des actions suivantes :

- La participation personnelle de la DPD Globale aux Réunions du GDPR Board
au moins deux fois par an ;

- La participation personnelle de la DPD Globale en cas de besoin au COMEX
ou au Conseil d'Administration pour tout sujet qui pourrait nécessiter des
clarifications sur ses avis et recommandations ou un échange sur une
problématique particulière ;

- L'organisation de deux rencontres physiques annuelles entre l'encadrement de
... S.A. et la DPD Globale. (…) ».

Il ressort, par ailleurs, de la charte d’information sur le traitement des données à
caractère personnel des collaborateurs de ..., et plus particulièrement de son annexe 1 intitulée
« Politique globale de gestion des réclamations/demandes de gestion des
réclamations/demandes portant sur les droits en matière de protection des données à caractère
personnel » que la procédure de gestion des réclamations s’effectue, dans un premier temps,
exclusivement auprès du point de contact local et ce n’est que si la solution proposée par ce

dernier ne satisfait pas le réclamation, que le DPD du groupe se voit transmettre le dossier afin
de trouver une autre solution que celle initialement proposée par le point de contact local1.

Sur base de ces éléments, le tribunal doit constater qu’il ne ressort pas des éléments lui
soumis, que l’intervention du DPD du groupe, en ce qui concerne les questions relatives à la
protection des données à caractère personnel se posant au niveau de la demanderesse, se fasse
à un stade conforme aux articles 38, paragraphe (1) et 39, paragraphe (1), a) du RGPD, alors
que ledit DPD, selon l’organisation initialement mise en place au début du contrôle de la
CNPD, ainsi que suite à l’instauration du GDPR Board, ne peut effectuer qu’un contrôle a
posteriori des décisions d’ores-et-déjà prises par le point de contact, respectivement par le
GDPR Board.

Le tribunal doit plus particulièrement relever dans ce contexte, que la demanderesse est
restée en défaut de lui soumettre un quelconque élément établissant notamment la mise en place
d’une politique commune au sein du groupe ... pour ses différents points de contact locaux
quant à la position à adopter au sujet de différents traitements de données à caractère
personnelle, respectivement au sujet d’incidents y relatifs.

Par ailleurs, bien que la demanderesse fait valoir qu’il existerait une communication
régulière entre le DPD du groupe et son point de contact local au Luxembourg, par le biais
d’appels téléphoniques, de visioconférences et de courriers électroniques, afin de s’échanger
sur la position à adopter par ce dernier par rapport aux questions relatives à la protection des
données à caractère personnel auxquelles il est confronté, aucune pièce documentant de tels
échanges n’a été versée dans le cadre du litige sous examen, tels que notamment la
communication de l’ordre du jour des réunions du GDPR Board préalablement à la tenue
desdites réunions, ensemble avec une proposition de prise de position du point de contact local
à avaliser par le DPD du groupe antérieurement à la prise de décision.

Le tribunal doit ainsi retenir que le DPD du groupe n’a pas été associé en temps utile
aux questions relatives à la protection des données à caractère personnel se posant au niveau
de la demanderesse, ni n’a dès lors pas pu utilement informer et conseiller le responsable du
traitement, son sous-traitant, respectivement les employés concernés, alors que l’organisation
mise en place au début du contrôle opéré par la CNPD, ainsi qu’avec la mise en place du GDPR
Board se focalisait exclusivement sur le point de contact local qui devait, d’une part, traiter,
dans un premier temps, tant les incidents, conformément à l’annexe 1 de la charte d’information
sur le traitement des données à caractère personnel des collaborateurs de ..., et, d’autre part,
prendre position quant aux questions relatives à la protection des données à caractère personnel
se posant au niveau de la demanderesse, sans qu’il n’est établi en cause que le DPD du groupe
ait préalablement été consulté, respectivement fourni des indications quant à la marche à suivre.

1
L’article 4 intitulé « procédure de gestion des réclamations » de l’annexe 1 intitulée « Politique globale de
gestion des réclamations/demandes de gestion des réclamations/demandes portant sur les droits en matière de
protection des données à caractère personnel » de la charte d’information sur le traitement des données à caractère
personnel des collaborateurs de ... Luxembourg précise, en ce qui concerne la 4e étape de ladite procédure, que
« (…) Si vous acceptez la solution proposée par votre Contact local dédié à la protection des données à caractère
personnel, nous travaillerons de concert avec vous afin de répondre à vos attentes. Si la solution résout votre
Réclamation, votre Contact local clôturera le dossier. En cas de désaccord, votre Réclamation sera transmise au
Group Data Protection Officer de ... (…) ».

Il suit des considérations qui précèdent que les moyens de la demanderesse basés sur
une violation, par la CNPD, des articles 38, paragraphe (1) et 39, paragraphe (1), a) du RGPD
doivent encourir le rejet pour manquer de fondement.

Cette conclusion n’est pas remise en cause par l’argumentation de la demanderesse
relative à la joignabilité du DPD du groupe, respectivement du point de contact local, ainsi que
sur le fait qu’il n’a pas été établi de carences, respectivement de retard dans le traitement des
questions relatives à la protection des données à caractère personnel, alors que ces éléments
sont étrangers à la question de l’implication du DPD du groupe dans le processus décisionnel
et consultatif au sein de la demanderesse.

En ce qui concerne le moyen de la demanderesse tiré d’une violation de l’article 38,
paragraphe (2) du RGPD aux termes duquel « Le responsable du traitement et le sous-traitant
aident le délégué à la protection des données à exercer les missions visées à l'article 39 en
fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données
à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses
connaissances spécialisées. », il y a lieu de relever que les lignes directrices précisent, en ce
qui concerne les ressources à mettre à disposition d’un DPD, que « (…) les aspects suivants,
en particulier, doivent être pris en considération :

- soutien actif de la fonction du DPD par l'encadrement supérieur (par exemple,
au niveau du conseil d'administration) ;
- temps suffisant pour que les DPD puissent accomplir leurs tâches. Cet aspect
est particulièrement important lorsqu'un DPD interne est désigné à temps
partiel ou lorsque le DPD externe est chargé de la protection des données en
plus d'autres tâches. Autrement, des conflits de priorités pourraient conduire à
ce que les tâches du DPD soient négligées. Il est primordial que le DPD puisse
consacrer suffisamment de temps à ses missions. Il est de bonne pratique de
fixer un pourcentage de temps consacré à la fonction de DPD lorsque cette
fonction n'est pas occupée à temps plein. Il est également de bonne pratique de
déterminer le temps nécessaire à l'exécution de la fonction et le niveau de
priorité approprié pour les tâches du DPD, et que le DPD (ou l'organisme)
établisse un plan de travail ;
- soutien adéquat du point de vue des ressources financières, des infrastructures
(locaux, installations, équipements) et du personnel, le cas échéant ;
- communication officielle de la désignation du DPD à l'ensemble du personnel
afin de veiller à ce que l'existence et la fonction de celui-ci soient connues au
sein de l'organisme ;
- accès nécessaire à d'autres services, tels que les ressources humaines, le service
juridique, l'informatique, la sécurité, etc., de manière à ce que les DPDs
puissent recevoir le soutien, les contributions et les informations essentiels de
ces autres services ;
- formation continue. Les DPD doivent avoir la possibilité de maintenir leurs
connaissances à jour en ce qui concerne les évolutions dans le domaine de la
protection des données. L'objectif devrait être d'augmenter constamment le
niveau d'expertise des DPD et ceux-ci devraient être encouragés à participer à
des cours de formation sur la protection des données ainsi qu'a d'autres formes
de développement professionnel, telles que la participation à des forums sur la
protection de la vie privée, des ateliers, etc. ;

- compte tenu de la taille et de la structure de l'organisme, il est possible qu'il
faille mettre en place une équipe de DPD (un DPD et son personnel). En pareils
cas, la structure interne de l'équipe ainsi que les tâches et responsabilités de
chacun de ses membres doivent être clairement établies. De même, lorsque la
fonction du DPD est exercée par un prestataire de services externe, une équipe
de personnes travaillant pour le compte de cette entité peut exercer, dans les
faits, les missions du DPD en tant que groupe, sous la responsabilité d'une
personne de contact principale désignée pour le client.

D'une manière générale, plus les opérations de traitement sont complexes ou sensibles,
plus les ressources octroyées au DPD devront être importantes. La fonction de protection des
données doit être effective et dotée de ressources adéquates au regard du traitement de données
réalisé. ».

Il y a lieu de relever que la fourniture au DPD de ressources suffisantes afin de pouvoir
correctement exercer le nombre important de missions lui confiées implique nécessairement
l’allocation suffisante de temps de travail de la personne, respectivement des personnes en
charge des questions relatives à la protection des données à caractère personnel, temps de
travail et ressources qu’il appartient à la demanderesse de quantifier et de formaliser au risque
sinon de rendre tout contrôle de la part de la CNPD illusoire.

Dans ce contexte, le tribunal doit relever qu’il est constant en cause que la
demanderesse, au début de l’enquête de la CNPD et jusqu’à la nomination du point de contact
au Luxembourg en tant que DPD Luxembourg, n’avait pas autrement formalisé la durée du
temps de travail que celui-ci avait à consacrer aux questions relatives à la protection des
données personnelles, étant encore relevé que ledit point de contact était, par ailleurs, suivant
les propres déclarations de la demanderesse, son seul juriste.

Ce seul constat suffit déjà à établir une violation de l’article 38, paragraphe (2) du
RGPD, dans la mesure où l’organisation mise en place par la demanderesse au niveau de son
personnel dédié à la protection des données personnelles rendait tout contrôle de l’adéquation
des ressources en personnel y consacrées impossible.

Force est encore de constater que l’activité de la demanderesse a une envergure certaine
au Luxembourg pour englober, selon les informations fournies par la demanderesse, 70 sites,
entre 1.600 et 2.100 salariés et quotidiennement 25.000 consommateurs2, de sorte que, d’une
part, l’exigence de la CNPD que la demanderesse aurait dû, au moins, charger une personne
travaillant à temps plein sur les questions relatives à la protection des données à caractère
personnel ne peut pas être mise en cause, et, d’autre part, que le temps de travail consacré
initialement par le point de contact local à ladite tâche - lequel avait en plus, tel que retenu ci-
avant, à assumer directement le travail y relatif, alors que l’intervention du DPD du groupe ne
se faisait qu’a posteriori – durée que la demanderesse a quantifiée comme correspondant à un
travail à mi-temps, a, à juste titre, été retenue par la CNPD comme étant insuffisant.

Il résulte de toutes les considérations qui précèdent que c’est à bon droit que la CNPD
a retenu, dans le chef de la partie demanderesse, une violation des articles 38, paragraphes (1)

2
Dans son questionnaire préliminaire soumis à la CNPD le 5 octobre 2018, ... indique que 5.000 personnes, dont
1.600 salariés, seraient concernées par ses traitements de données à caractère personnel, indications factuelles qui
doivent cependant être considérés comme erronées, dans la mesure où le questionnaire exigeait, sur ce point, le
nombre de clients annuel.

et (2), ainsi que 39 du RGPD, sans commettre un excès, sinon un détournement de pouvoir
manifeste et que l’ensemble des moyens de la demanderesse y relatifs sont à rejeter pour
manquer de fondement.

Le tribunal doit encore réfuter, dans ce contexte, l’argumentation de la demanderesse
consistant à soutenir que la CNIL serait arrivée à une autre conclusion lors de son contrôle de
la société-mère du groupe ..., ainsi que des autres entités dudit groupe situées en France, alors
qu’outre le fait que ni le tribunal ni la CNPD, ne sont liés par des décisions, respectivement des
jurisprudences émanant d’autorités administratives ou de juridictions d’autres pays, ledit
contrôle opéré par la CNIL ne concerne a priori pas la structure de la demanderesse au
Luxembourg, de sorte que les conclusions afférentes non autrement circonstanciées ne sont pas
pertinentes en l’espèce. Dans ce cadre, il y a lieu de rappeler qu’un acte d’administratif
individuel, et plus particulièrement celui qui est de nature à faire grief soit à son destinataire
soit à des tierces personnes, bénéficie de la présomption de légalité ainsi que de conformité par
rapport aux objectifs de la loi sur base de laquelle il a été pris, de sorte qu’il appartient à celui
qui prétend subir un préjudice ou des inconvénients non justifiés du fait de l’acte administratif
en question, et qui souhaite partant le voir réformer ou annuler en vue d’obtenir une situation
de fait qui lui est plus favorable, d’établir concrètement en quoi l’acte administratif en question
viole une règle fixée par une loi ou un règlement grand-ducal d’application3.

En outre, un acte administratif fait a priori foi d’après le contenu qu’il revêt et il
appartient à l’administré d’établir que ce contenu est contraire à la réalité en fait, sinon à telle
règle de droit applicable4, ce que la demanderesse est restée en défaut de faire.

Quant à la violation du principe de proportionnalité mise en avant par la demanderesse,
il y a lieu de relever qu’aux termes de l’article 48 de la loi du 1er août 2016, « (1) La CNPD
peut imposer les amendes administratives telles que prévues à l’article 83 du règlement (UE)
2016/679, sauf à l’encontre de l’État ou des communes. (…) ».

Suivant l'article 83 du RGPD, « 1. Chaque autorité de contrôle veille à ce que les
amendes administratives imposées en vertu du présent article pour des violations du présent
règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées
et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points
a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du
montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des
éléments suivants:
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi;
b) le fait que la violation a été commise délibérément ou par négligence;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer
le dommage subi par les personnes concernées;

3
Trib. adm., 16 juillet 2003, n°15207 du rôle, Pas adm. 2023, V° Actes administratifs, n°158, 1 er volet et les autres
références y citées.
4
Cour adm., 11 janvier 2007, n°21679C du rôle, Pas adm. 2023, V° Actes administratifs, n°158, 2 ème volet et les
autres références y citées.

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32;
e) toute violation pertinente commise précédemment par le responsable du traitement
ou le sous-traitant;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la
violation et d'en atténuer les éventuels effets négatifs;
g) les catégories de données à caractère personnel concernées par la violation;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment
si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation.

3. Si un responsable du traitement ou un sous-traitant viole délibérément ou par
négligence plusieurs dispositions du présent règlement, dans le cadre de la même opération de
traitement ou d'opérations de traitement liées, le montant total de l'amende administrative ne
peut pas excéder le montant fixé pour la violation la plus grave.

4. Les violations des dispositions suivantes font l'objet, conformément au paragraphe
2, d'amendes administratives pouvant s'élever jusqu'à 10 000 000 EUR ou, dans le cas d'une
entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le
montant le plus élevé étant retenu:

a) les obligations incombant au responsable du traitement et au sous-traitant en vertu
des articles 8, 11, 25 à 39, 42 et 43 ;
b) les obligations incombant à l'organisme de certification en vertu des articles 42
et 43 ;
c) les obligations incombant à l'organisme chargé du suivi des codes de conduite en
vertu de l'article 41, paragraphe 4. (…) ».

Il ressort du paragraphe (4) de l’article 83 précité du RGPD que les violations du RGPD
retenues à l’encontre de la partie demanderesse sont a priori sanctionnées par des amendes
administratives pouvant s'élever jusqu'à 10.000.000 euros ou, dans le cas d'une entreprise,
jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, étant relevé que
les manquements reprochés à la demanderesse ont bien été relevés au moment du contrôle,
constat qui ne saurait être remis en cause par les mesures de mise en conformité implémentées
par la suite, en l’occurrence par la désignation du point de contact local en tant que DPD au
Luxembourg, respectivement par la formalisation du temps de travail de ce dernier, ainsi que
par la mise à disposition de deux autres personnes l’assistant désormais.

En ce qui concerne ensuite le montant de l’amende retenue, lequel s’élève à
18.000 euros, c’est à bon droit que la partie défenderesse a relevé qu’il ressort de la décision
déférée que ledit montant a été justifié par le fait que les manquements constatés sont d’une
certaine gravité (i) pour avoir été de nature à réduire l’intérêt de l’obligation pour un organisme

de nommer un DPD, (ii) pour concerner un nombre de personnes potentiellement élevé, et (iii)
pour avoir perduré au moins du 25 mai 2018 au 1er octobre 2020, tout en retenant que la
demanderesse avait fait preuve d’une bonne collaboration avec les autorités de contrôle et que
plusieurs mesures avaient été mises en place afin de remédier aux manquements dès avant le
prononcé de la sanction.

Il s’ensuit que l'amende litigieuse est à considérer comme étant parfaitement adéquate
et proportionnée compte tenu des critères de l’article 83, paragraphe (2) du RGPD, de sorte que
le moyen afférent de la partie demanderesse est également à rejeter.

Ce constat n’est pas remis en cause par l’argumentation de la demanderesse selon
laquelle aucun manquement précis n’aurait pu lui être reproché, affirmation à rejeter au regard
de la conclusion ci-avant retenue par le tribunal quant à une violation, dans le chef de la
demanderesse, des articles 38, paragraphes (1) et (2), ainsi que 39 du RGPD. Il en est de même
des développements de la demanderesse quant à l’absence d’un quelconque préjudice ayant
résulté des violations des obligations du RGPD retenues dans son chef, alors qu’il ne s’agit pas
nécessairement d’un critère à prendre en compte pour la détermination de la sanction à
prononcer.

Au vu des considérations qui précèdent et en l’absence de conclusions spécifiques à
l’égard des mesures de mise en conformité ordonnées par la décision déférée, le recours est
encore à rejeter quant à ce volet de l’affaire.

Au vu de l’issue du litige, il n’y a pas lieu de faire droit à la demande de la société ...
en allocation d’une indemnité de procédure de 2.500 euros sollicitée sur base des dispositions
de l'article 33 de la loi modifiée du 21 juin 1999 portant règlement de procédure devant les
juridictions administratives.

La CNPD omettant de justifier en quelle mesure il serait inéquitable qu’elle supporte
seule les frais non inclus dans les dépens, elle est également à débouter de sa demande en
allocation d’une indemnité de procédure d’un montant de 5.000 euros.

Par ces motifs,
le tribunal administratif, quatrième chambre, statuant contradictoirement ;

se déclare compétent pour connaître du recours principal en réformation ;

le déclare recevable en la forme ;

quant au fond, le non justifié et en déboute ;

dit qu’il n’y a pas lieu de statuer sur le recours subsidiaire en annulation ;

rejette les demandes respectives en allocation d’une indemnité de procédure formulées
par les parties ;

condamne la partie demanderesse aux frais et dépens de l’instance.

Ainsi jugé et prononcé à l’audience publique du 14 mai 2024 par :

Paul Nourissier, vice-président,
Olivier Poos, vice-président,
Emilie Da Cruz De Sousa, premier juge,

en présence du greffier Marc Warken.

s.Marc Warken s.Paul Nourissier

Reproduction certifiée conforme à l’original
Luxembourg, le 14 mai 2024
Le greffier du tribunal administratif

Veri Koruma Görevlisinin Konumu ve Görevleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni