ECLI:BE:GBAPD:2025:DEC.20250124.2

Chambre Contentieuse Décision 16/2025 du 24 janvier 2025 Numéro de dossier : DOS-2023-03278 Objet : traitement quant au fond de plaintes visant DPG Media au sujet de cookies sur les sites Internet ‘hln.be’, ‘demorgen.be’, ‘vtm.be’ et ‘7sur7.be’ La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président siégeant seul ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après "RGPD" ; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après "LCA" ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Les plaignants : X1, ci-après le "premier plaignant", et X2, ci-après le "deuxième plaignant", tous deux représentés par Noyb - European Center for Digital Rights, ci-après "les plaignants" ; Le défendeur : DPG Media, représenté par Maître MAARTEN STASSEN, ci-après le "défendeur". I. Faits et procédure 1. L'objet du dossier porte sur quatre plaintes introduites auprès de l’Autorité de protection des données le 19 juillet 2023 et concernant les sites Internet (1) https://www.hln.be (plainte du premier plaignant), (2) https://www.demorgen.be (plainte du premier plaignant), (3) https://www.vtm.be (plainte du premier plaignant) et (4) https://www.7sur7.be (plainte du deuxième plaignant). Le 24 août 2023, les quatre plaintes ont été déclarées conjointement recevables par le Service de Première Ligne et transmises à la Chambre Contentieuse.1 2. Le 21 septembre 2023, les parties au dossier ont (en résumé) été informées que la Chambre Contentieuse avait l'intention de procéder à une proposition de transaction. 3. Le 20 octobre 2023, une proposition de transaction a été envoyée aux parties, la Chambre Contentieuse ayant fait usage de son pouvoir en vertu de l'article 95, § 1 er, 2° de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après : "LCA"). 4. Le 30 octobre 2023, le représentant des plaignants a transmis une réponse à la proposition de transaction, adressant plusieurs requêtes à la Chambre Contentieuse afin de modifier ou d'adapter les conditions de la transaction. La Chambre Contentieuse n'a pas adapté la proposition de transaction suite à ces requêtes. 2 5. Les 17, 23 et 28 novembre 2023 plusieurs échanges ont eu lieu dans le cadre de la procédure de transaction entre le défendeur, DPG Media, et la Chambre Contentieuse – la partie plaignante ayant toujours été mise en copie. 6. Le 1er décembre 2023, la Chambre Contentieuse a pris une décision de retrait de la décision de proposition de transaction. 7. Le défendeur a introduit un recours auprès de la Cour des marchés contre la décision de retrait de la proposition de transaction du 1er décembre 2023, conformément à l’article 108, § 1er de la LCA ; ce recours y a été traité sous le numéro de rôle 2023/AR/1613. Le 6 septembre 2024, la Cour des marchés a déclaré dans un arrêt que ce recours était recevable mais non fondé. 8. Le 5 février 2024, la Chambre Contentieuse a invité les parties à transmettre leurs conclusions conformément à l’article 95, § 1er, 1° j° l'article 98 de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données ("LCA"). DPG Media a introduit un recours auprès de la Cour des marchés contre cette décision dans une affaire portant le numéro de rôle 2024/AR/439. 9. Le 9 octobre 2024, la Cour des marchés s'est prononcée quant au recours contre le courrier du 5 février 2024, le recours de DPG Media ayant été déclaré recevable et fondé. La Chambre Contentieuse a transmis cet arrêt aux parties à la procédure administrative le 22 octobre 2024, soit le jour suivant sa réception. 10. La Chambre Contentieuse a ensuite donné la possibilité aux deux parties – dans une procédure ad hoc que le législateur ne prévoit pas explicitement – de prendre d'abord position, suite à l'arrêt en annulation de la Cour des marchés, concernant le mandat et l'intérêt (pour agir en justice) des plaignants et de leur représentant, avant de prendre une décision au sens de l’article 95, § 1er de la LCA. 11. Cette décision découle et tient compte (i) de la position que les plaignants ont transmise via leur représentant Noyb le 15 novembre 2024, et (ii) de la position que le défendeur a transmise le 20 décembre 2024 à la Chambre Contentieuse – en se limitant à l'intérêt (pour agir en justice) et au mandat dans le cadre de l'introduction des plaintes litigieuses. 12. En vertu de l’article 95, § 2, 3° de la LCA ainsi que de l’article 47 du règlement d'ordre intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des deux parties souhaite faire usage de la possibilité de consulter et de copier le dossier, celle- ci est tenue de s'adresser au secrétariat de la Chambre Contentieuse, de préférence via l’adresse [...]. II. Motivation II.1. Contexte procédural : arrêt de la Cour des marchés du 9 octobre 2024 13. Dans son arrêt, la Cour des marchés estime que le recours contre le courrier du 5 février 2024 est recevable, parce que le courrier (i) mentionne une liste de violations prétendument retenues3 et (2) utilise les termes "sur la base des pièces du dossier, y compris du formulaire de plainte", et ne laisse pas entendre que le dossier est plus étoffé que le formulaire de plainte introduit par Noyb. Pour ces motifs, la Cour des marchés affirme que le recours "dans ce contexte très spécifique" est recevable.4 14. Dans son arrêt du 9 octobre 2024, la Cour des marchés a déclaré fondé le recours contre le courrier du 5 février 2024 et a annulé la décision reprise dans le courrier de la Chambre Contentieuse – concernant la mise en état du dossier au sens de l’article 95, § 1er, 1° de la LCA et l'invitation à transmettre les conclusions au sens des articles 98-99 de la LCA – en raison (i) d'un manque de motivation formel et matériel et (ii) de l'absence de mention des voies de recours qui peuvent être utilisées à cet encontre. 15. En ce qui concerne le manque de motivation, la Cour des marchés renvoie à une décision 5 antérieure de la Chambre Contentieuse dans un dossier 6 que la partie plaignante a évoqué lors de la présente procédure. Dans ce dossier, le Service d’Inspection était intervenu et – au terme de la procédure quant au fond telle que visée aux articles 98 et suivants de la LCA – la Chambre Contentieuse avait classé la plainte sans suite en raison, de manière très résumée, du caractère fictif du mandat octroyé. Dès lors que la partie plaignante avait mentionné le dossier en question lors de la présente procédure, la Cour des marchés déclare dans son arrêt : "Dans le dossier 'similaire' DOS-2021-06483 que NOYB cite explicitement elle-même, la Chambre Contentieuse a décidé le 24 janvier 2024 (donc avant de prendre la décision qui est à présent contestée) (pièce 21, APD, Décision 22/2024) de classer la plainte sans suite parce que 'Noyb ne démontre pas d’un intérêt à agir suffisant' et elle relève 'une absence d’intérêt à agir dans le chef du réel plaignant'. […] Dans la présente affaire, DPG Media soutient de manière plausible que dans la décision contestée, la Chambre Contentieuse aurait dû motiver la raison pour laquelle elle a ostensiblement différé son analyse quant à la prétendue absence d'intérêt pour agir en justice dans le chef de Noyb jusqu'au terme de la mise en état intégrale et du traitement quant au fond. […] En l'espèce, la Cour des marchés estime qu'aucune justification n'est donnée pour le traitement différent de situations supposées comparables et que la Cour des marchés n'est dès lors pas en mesure de vérifier si le jugement de la Chambre Contentieuse sur ce point n'est pas manifestement injustifié." (mise en gras par la Chambre Contentieuse) (NdT : traduction libre réalisée par le Service traduction de l'Autorité de protection des données, en l’absence de traduction officielle) 7 16. Il ressort de cet arrêt que la Cour des marchés qualifie la décision 22/2024 du 24 janvier 2024 de pièce pertinente que la Chambre Contentieuse doit intégrer dans la présente procédure, bien qu'en vertu de la jurisprudence antérieure de la Cour des marchés, les décisions administratives (tout comme les décisions judiciaires) n'ont pas de valeur de précédent.8 Chaque dossier doit en effet être évalué in concreto selon les circonstances.9 La décision VOO quant au fond de janvier 2024, initialement étrangère à la présente procédure, ne faisait pas partie des documents du présent dossier au moment de l'annulation de la décision de traitement quant au fond et de l'invitation à transmettre des conclusions, et à aucun moment avant le courrier de février 2024, le défendeur n'a fait valoir la pertinence, dans la présente procédure, du dossier VOO ou de la décision contenue dans ce dossier. Le défendeur avait déjà un accès complet au dossier avant et pendant la procédure de transaction précédant la procédure administrative, et avait déjà le droit d'accéder, entre autres, aux échanges entre le Service de Première Ligne et Noyb dès septembre 2023 en rapport avec l'intérêt (pour agir en justice) des plaignants. 17. La Chambre Contentieuse comprend donc, de l'arrêt de la Cour des marchés, une obligation de motivation particulière dans le présent dossier, où la Chambre Contentieuse doit expliquer la différence de traitement entre ce dossier et celui qui a donné lieu à la décision 22/2024 du 24 janvier 2024 ("dossier VOO"), ce qu'elle aurait en tout état de cause dû faire en raison de la mention par la partie plaignante du fait que le dossier VOO serait similaire. 18. Cette décision de la Chambre Contentieuse ne préfigure pas la position définitive de l’Autorité de protection des données en ce qui concerne un pourvoi en cassation contre l'arrêt de la Cour des marchés du 9 octobre 2024 dans le dossier portant le numéro de rôle 2024/AR/439 et elle ne porte pas préjudice à un quelconque droit ou recours, ni ne contient une quelconque reconnaissance préjudiciable. II.2. Motivation particulière de la mise en état II.2.1. Le pouvoir discrétionnaire en vertu de l'article 95, § 1er de la LCA et l'intérêt procédural de la décision VOO 19. Premièrement, dans la phase précédant le traitement quant au fond, la question du mandat et de la détermination de l'intérêt (pour agir en justice) de la partie plaignante dans le présent dossier n'est absolument pas traitée différemment au niveau de la procédure par rapport au dossier VOO. Dans le dossier VOO, la Chambre Contentieuse n'a pas demandé au Service d’Inspection d'examiner le mandat et l'intérêt (pour agir en justice) ; les questions de la Chambre Contentieuse faisaient seulement suite aux constatations dans cette enquête.10 Il est toutefois plus important de souligner que le choix de saisir le Service d’Inspection d'une telle enquête relève du pouvoir discrétionnaire de la Chambre Contentieuse.11 Au sein de l'Espace économique européen, plus de 100.000 plaintes sont introduites chaque année et doivent toutes être traitées par les autorités de contrôle "avec toute la diligence requise"12 ; à cet égard, toutes les plaintes belges ne peuvent pas être soumises pour enquête au Service d’Inspection. 13 20. Deuxièmement, en ce qui concerne la pertinence de la décision dans le dossier VOO, les plaignants affirment ce qui suit dans leur position devant la Chambre Contentieuse au sujet du caractère "comparable" du dossier VOO : “"En outre, l'e-mail de Noyb à cet égard a été sorti de son contexte par DPG Media et par la Cour des marchés à l'égard de la formulation "dossier comparable". Noyb a simplement voulu dire par là qu'il s'agit de procédures de plainte qui concernent le même sujet, à savoir les bannières de cookies illicites, et que dans de telles affaires, il est courant de démontrer par le biais de fichiers HAR que des cookies sont effectivement placés, donnant lieu au traitement de données à caractère personnel." (mise en gras par la Chambre Contentieuse)14 Les plaignants contesteraient donc expressément avoir qualifié le dossier VOO de "comparable" en ce qui concerne le mandat et l'intérêt (pour agir en justice). La Chambre Contentieuse fait remarquer à cet égard que cette contestation des plaignants – a fortiori dès lors que les plaignants ne sont pas intervenus dans la procédure devant la Cour des marchés, qui a donné lieu à l'arrêt du 9 octobre 2024 – est importante pour les développements ultérieurs dans la présente décision. 21. Troisièmement, il convient de faire remarquer que les parties n'ont pas limité leurs positions à la décision dans le dossier VOO, mais qu'elles ont également mentionné d'autres dossiers dans leur position. Les parties mentionnent notamment aussi la décision 112/2024 du 6 septembre 2024 de la Chambre Contentieuse (la "décision Roularta"). 15 Vu ces mentions, et vu l'obligation de motivation particulière que la Cour des marchés a introduite suite à la mention d'autres dossiers dans ces circonstances spécifiques, la Chambre Contentieuse traitera également ces aspects – bien que de manière limitée. 22. La Chambre Contentieuse fait par ailleurs remarquer dans ce cadre, et par pur souci d'exhaustivité, que le défendeur n'a contesté le mandat et l'intérêt (pour agir en justice) (en février 2024) que suite à la publication transparente et immédiate de la décision VOO sur le site Internet de l'APD (en janvier 2024), tout comme les plaignants se sont sentis poussés à déposer les plaintes après avoir pris connaissance des décisions de transaction de la Chambre Contentieuse dans les dossiers initiés par le Comité de direction de l'Autorité de protection des données. La transparence de la Chambre Contentieuse et par extension de l’APD – la publication de décisions n'est pas obligatoire dès lors que la Chambre Contentieuse décide d'une publication au cas par cas – a précisément donné lieu à tous les débats juridiques et factuels qui ont lieu aujourd'hui.16 La Chambre Contentieuse se félicite de ce débat, mais précise dans le même temps que le débat avec des arguments de fond doit se faire dans le contexte dans lequel le législateur l'a prévu, à savoir au cours de la procédure quant au fond au sens des articles 98 e.s. de la LCA. II.2.2. L'évaluation in concreto du caractère similaire présumé avec la décision VOO (et Roularta) 23. Dans leurs positions respectives du 15 novembre 2024 et du 20 décembre 2024, les parties abordent respectivement les similitudes et les différences entre le présent dossier et – notamment – les éléments dans la décision VOO et, comme indiqué ci-avant, la décision Roularta. 24. Il ne fait aucun doute que les plaintes ne sont pas intervenues de la même manière dans les trois dossiers. 25. En ce qui concerne la décision VOO, on peut se référer aux faits et à la ligne du temps suivants. i. Le 30 mai 2021, Noyb envoie une lettre précontentieuse à VOO, lui adressant un "projet de plainte" afin de l'inciter à se mettre en règle sur la base des violations présumées énoncées par Noyb ;17 ii. Le 31 mai 2021, Noyb publie un communiqué de presse – également mentionné18 dans la décision VOO – dans lequel elle précise qu'en tant qu'association, elle a envoyé 560 projets de plainte similaires à des entreprises dans 33 pays, et qu'elle avait l'intention de porter ce nombre à "10.000 autres plaintes". Le communiqué de presse indique expressément la méthode de Noyb, tant textuellement que visuellement. a) Dans le texte, notamment : "Pour répondre à ce problème extrêmement répandu, Noyb a développé un système qui détecte automatiquement différents types de violations. L'équipe juridique de Noyb examine chaque site Internet, tandis que le système génère automatiquement une plainte RGPD."19 (soulignement et mise en gras par la Chambre Contentieuse) Il en découle que dans le cadre de ce projet spécifique, (i) c'est Noyb, en tant qu'association, qui recherche des responsables du traitement commettant des violations et qu'il ne s'agit pas de l'initiative de personnes concernées individuelles ayant des griefs actuels et existants au sens du RGPD, (ii) que Noyb utilise à cet effet des moyens automatisés, ce qui démontre par ailleurs la distance entre le plaignant concerné au final et l'origine de la plainte, et (iii) que Noyb ne parle pas explicitement de personnes concernées ni de plaignants, mais bien de l' "équipe juridique" pour l'enquête sur les responsables du traitement visés. Au regard de ces éléments, il est plus qu'évident que les plaignants ultimes n'ont donc pas agi en tant que personnes concernées à titre privé, mais bien en tant que collaborateurs (volontairement ou non, et indépendamment de leur statut concret) de l'association Noyb. b) Visuellement, l'explication textuelle n'est que confirmée dans le même communiqué de presse : Voir PDF pour les dommages éventuels qui pourraient résulter de violations du RGPD qu'un collaborateur aurait constatées sur instruction, en dépit du caractère volontaire du dépôt de plainte) ; 3) d'un artifice – qui dépasse l'introduction de la plainte d'une manière qui constitue un abus de droit – pour pouvoir utiliser de facto l'article 80.2 du RGPD qui n'est pas activé en Belgique afin de pouvoir aborder des problématiques globales et accessoires en fonction des objectifs stratégiques de l'association Noyb. En outre, en ce qui concerne l'affaire Roularta, il est fait intégralement référence aux motifs de classement sans suite utilisés dans la présente décision. 27 29. En conclusion : il ressort des déclarations tant des représentants de Noyb que des plaignants dans les dossiers VOO et Roularta que certaines instructions préalables ont pu être établies par Noyb à l'intention des (futures) parties concernées ou des plaignants. Le plaignant a ainsi déclaré explicitement dans l'affaire VOO que les dossiers lui avaient été ‘attribués’ (Décision 22/2024, § 46). De telles déclarations n'apparaissent pas dans le présent dossier administratif. Dans les deux dossiers précités, il y avait en outre des éléments disponibles publiquement qui étayaient encore davantage cette différence objective. Dans l'affaire VOO, par exemple, Noyb a envoyé des "lettres précontentieuses" entre autres à VOO sur la base de visites faisant suite à l'identification automatisée d'une "target list", c'est-à-dire une "liste de personnes visées " (Décision 24/2024, § 24). Dans l'affaire Roularta, par exemple, il y avait un projet initié par Noyb qui établissait déjà l'identité des entreprises en question dans le cadre d'un projet médiatisé avec 101 plaintes (Décision 112/2024, § 40). II.2.3. Réponses concrètes aux (sous-) moyens des parties concernant l'intérêt (pour agir en justice) et le mandat 30. Il a déjà été démontré ci-dessus que, de par sa nature et la constellation des faits, le présent dossier diffère tant du dossier VOO que du dossier Roularta. La Chambre Contentieuse se penche davantage ci-après sur les arguments notamment du défendeur, pour en arriver à la conclusion qu'il est question en l'espèce d'un intérêt licite, direct et personnel dans le chef des plaignants, et qu'il n'est aucunement question d'un abus de droit. 31. La Chambre Contentieuse se penche particulièrement sur les trois moyens dans la position du défendeur préalablement à cette décision, intitulés comme suit : Premier moyen : les fausses déclarations et les inexactitudes objectivement vérifiables contenues dans les plaintes sont telles qu'il ne peut être prouvé de manière fiable que le défendeur a traité des données personnelles des plaignants, de sorte que les plaignants n'ont pas la qualité de "personnes concernées" au sens de l'article 4.1 du RGPD pour introduire une plainte contre le défendeur en vertu de l'article 77 ou de l'article 80.1 du RGPD, et qu'ils n'ont donc pas d'intérêt à agir dans le cadre de la présente procédure. Deuxième moyen : Étant donné que Noyb avait déterminé tous les aspects des plaintes indépendamment d'une demande de la personne concernée avant de générer les circonstances donnant lieu aux plaintes pour les introduire ensuite auprès de l'APD, que Noyb était le véritable plaignant dans le cadre des plaintes, alors qu'en Belgique, Noyb n'a pas le droit d'introduire des plaintes indépendamment d'une demande d'une personne concernée et a donc fait appel à des plaignants pour introduire les plaintes en vertu de l'article 80.1 du RGPD juncto l'article 77 du RGPD, il est clair que Noyb a cherché à créer artificiellement un intérêt à agir dans la présente procédure afin d'atteindre ses objectifs prédéterminés, ce qui constitue un abus de droit et, par conséquent, les plaintes doivent être classées sans suite. Premier sous-moyen : les plaintes font partie du projet "Cookie Banners" de Noyb. Deuxième sous-moyen : les plaintes faisaient partie d'un sous-projet et ont été générées par Noyb sur la base de critères de sélection spécifiques délibérément établis par Noyb. Troisième sous-moyen : les plaignants ont travaillé en tant que stagiaires juridiques pour le compte de Noyb lors de l'élaboration des plaintes. Quatrième sous-moyen : Noyb n'a pas le droit, en Belgique, d'introduire une plainte auprès de l'APD indépendamment d'une demande d'une personne concernée et utilise donc la procédure en vertu de l'article 80.1 du RGPD pour contourner l'absence de droit en vertu de l'article 80.2 du RGPD, ce qui constitue un abus de droit. Troisième moyen : comparaison avec la Décision 22/2024 du 24 janvier 2024 de la Chambre Contentieuse. (NdT : traduction libre réalisée par le Service traduction de l'Autorité de protection des données, en l’absence de traduction officielle) 32. Premièrement, le fait que les plaignants aient effectué ces constatations sur des ordinateurs professionnels de Noyb ne constitue pas en soi une objection et n'enlève rien au fait que des données à caractère personnel des plaignants puissent également être traitées dans ce contexte. Le fait que Noyb était le maître de stage des plaignants au moment de l'attribution du mandat et que Noyb a (explicitement ou tacitement) mis à la disposition des plaignants un forum leur permettant d'introduire des plaintes en vertu du RGPD sur la base de propres griefs n'est pas non plus – comme l'a souligné la Chambre Contentieuse dans la décision Roularta28 – problématique en soi pour l'introduction de la plainte, car cela ne démontre pas à proprement parler la création artificielle de griefs ou d'un intérêt procédural, ni un mandat fictif, ni un abus de droit. Les plaignants font remarquer à juste titre dans leur position 29 que l'article 77 du RGPD prévoit un droit de plainte accessible et que les plaintes démontrent suffisamment que les plaignants - qui se présentent sans réserve comme des personnes concernées ayant initié elles-mêmes les plaintes30 – ont un intérêt à introduire les plaintes. Il convient de souligner ici que le forum offert par Noyb pour introduire des plaintes, notamment aux personnes travaillant (en qualité de stagiaires ou autres) pour l'association, ne constitue pas un problème en soi – certainement pas au point qu'il constitue un motif suffisant pour rejeter la plainte, justement parce qu'il ne constitue pas un abus de droit explicite ou qu'il ne crée pas artificiellement un intérêt (pour agir en justice). 31 33. Deuxièmement, la Chambre Contentieuse lit dans le premier moyen de la position du défendeur que ce dernier conteste le fait que les données à caractère personnel des plaignants eux-mêmes aient été traitées. Toutefois, il n'est pas toujours requis dans toutes les circonstances que les données à caractère personnel du plaignant soient traitées pour pouvoir introduire une plainte.32 34. Dans tous les cas, les plaignants déclarent expressément qu'ils ont visité les sites Internet le 10 février 2023 et que "leurs données à caractère personnel ont été traitées par DPG Media via des cookies." 33 Comme le font remarquer les plaignants dans leur position, en tant respectivement que citoyens belges et néerlandais, ils sont "aussi en partie dépendants de DPG Media" en ce qui concerne la collecte d'informations, vu le nombre limité de fournisseurs de médias en Belgique. Même s'il y avait une contestation quant au moment précis de la visite des plaignants – en dépit des déclarations de ces plaignants appliquées selon le principe de la bonne foi34 – le fait que les plaignants estiment que les traitements des sites Internet litigieux portent atteinte au traitement de leurs données à caractère personnel suffit pour pouvoir introduire une plainte auprès de l'APD. En ce sens, la Cour de cassation a d'ores et déjà précisé ce qui suit : “En considérant sur la base de ces motifs qu'une violation de l'article 5. 1 c) du RGPD n'est pas établie et en annulant la décision litigieuse de la demanderesse, alors qu'il n'est pas requis que les données à caractère personnel du plaignant aient été effectivement traitées pour que la demanderesse puisse imposer des mesures correctrices ou une amende administrative à l’occasion d’une plainte, après avoir constaté l'existence d'une pratique donnant lieu à une violation du principe du traitement minimal des données, les juges d’appel n’ont pas légalement justifié leur décision."35 (soulignement par la Chambre Contentieuse). 35. Le défendeur ne peut aucunement prouver de manière irréversible (par exemple sur la base de déclarations ou de communiqués de presse des plaignants ou de Noyb) que les visites du 10 février 2023 n'ont pas été effectuées par les plaignants ou qu'il y a eu une fausse déclaration dans l'administration de la preuve - il s'agit tout au plus d'une négligence de la part du représentant dans la formulation et la datation de certains éléments probants : a. Le fait que, après la visite initiale des plaignants le 10 février 2023, d'autres personnes de Noyb auraient recueilli des preuves en préparation du mandat et de la plainte, ne prouve pas que les visites initiales n'ont pas été effectuées par les plaignants et/ou que les données à caractère personnel des plaignants aient été traitées ou non ; b. Le fait que d'autres personnes aient pris des captures d'écran d'autres aspects des bannières de cookies, ou en ce qui concerne la bannière régissant le retrait du consentement, avec la preuve que d'autres ordinateurs portables ont été utilisés pour prendre ces captures d'écran, ne prouve pas que ce ne sont pas les plaignants qui ont visité les sites Internet de leur propre initiative le 10 février 2023 et ont décidé d'introduire une plainte ; c. Le fait que le jour des visites par les plaignants, à savoir le 10 février 2023, des cookies auraient été refusés – et pas à d'autres dates – et qu'il est ainsi établi qu'aucune donnée à caractère personnel des plaignants n'a été traitée et qu'en conséquence, aucune plainte ne peut être introduite, manque en droit sur deux points, dès lors que (i) l'on ne peut pas demander aux plaignants – dans la mesure où ils auraient en effet refusé les cookies, comme l'affirme le défendeur – qu'ils s'engagent dans la pratique supposée infractionnelle pour pouvoir introduire une plainte36 et (ii) ce sont les plaignants qui, selon leurs déclarations du 10 février 2023, ont constaté la pratique supposée infractionnelle et "estimaient" 37 à ce moment que l'on pouvait constater une violation des données à caractère personnel les concernant, ce pourquoi ils ont mandaté Noyb conformément à l’article 80.1 du RGPD. Pour ce dernier aspect, les plaignants renvoient à juste titre au considérant 142 du préambule du RGPD, qui précise qu'une personne concernée peut mandater un représentant dès qu'elle "estime" que ses droits en vertu du RGPD ont été violés. 36. Troisièmement, le défendeur affirme, également dans son premier moyen, que diverses fausses preuves sont apportées, car par exemple certaines pièces fournies ne mentionnent que l'URL "https://myprivacy.dpgmedia.be", et non les sites Internet sur lesquels portent les plaintes litigieuses, comme Het Laatste Nieuws ou De Morgen. 38 Il s'agit manifestement d'un argument non pertinent, car c'est précisément sur la première URL citée que chaque internaute peut arriver lorsqu'il visite les deux sites Internet litigieux précités pour y donner ou non son consentement au placement de cookies. Par ailleurs, le défendeur ne précise pas quelles captures d'écran auraient in concreto été manipulées de sorte que les représentations concrètes des bannières de cookies litigieuses puissent indiquer une telle absence d'intérêt (pour agir en justice) du plaignant pour les visites initiales et leurs griefs qui existaient dans ce contexte. En tout état de cause, rien dans ce contexte n'indique un mandat problématique ou un manque d'intérêt pour agir en justice ; toutefois, le défendeur est bien entendu libre de contester la véracité ou la pertinence de certaines pièces dans le cadre du traitement quant au fond du dossier. Pour la mise en état de l'affaire, il n'est absolument pas pertinent ni approprié que la Chambre Contentieuse se prononce déjà sur le caractère suffisamment probant de certaines pièces pour l'établissement d'une violation, telles que les fichiers HAR qui ont été joints par les plaignants. Les arguments du défendeur en la matière ne sont dès lors pas analysés plus avant – dans l'optique d'une bonne administration de la justice. 37. Quatrièmement, le défendeur souligne, dans le premier sous-moyen de son deuxième moyen, la subdivision des plaintes litigieuses – sur le site Internet du défendeur – des plaignants en vertu du projet "Bannières de cookies", et le défendeur affirme que Noyb aurait en l'occurrence créé des plaintes artificiellement, en dépit du libellé de l’article 80.1 du RGPD (avec une distinction par rapport à l'article 80.2 du RGPD, qui n'a pas été ‘activé’ dans la législation belge). Le fait que certaines plaintes soient subdivisées dans certains projets n'indique pas en soi que Noyb aurait établi et introduit ces plaintes artificiellement – et notamment pas à l'initiative des plaignants concernés. Le fait que Noyb – après une requête en ce sens par les plaignants – aurait assuré une coordination avec ces plaignants et qu'elle puisse reprendre les plaintes dans une certaine catégorie d'activités et projets peut difficilement être considéré comme un élément suffisant en soi pour parler d'une plainte créée artificiellement (ou, dans la mesure où le défendeur y fait référence, d'un abus de droit ou d'un mandat fictif). 38. Cinquièmement, le défendeur souligne, dans son deuxième sous-moyen du deuxième moyen, que les plaintes font partie d'un sous-projet et ont été générées par Noyb sur la base de critères de sélection spécifiques définis par Noyb : a. Les éléments avancés par le défendeur concernant la subdivision sur les sites Internet publics de Noyb prouvent précisément que les plaintes en tant que sous-projet semblent expressément être distinctes de certains autres projets (relatifs aux cookies), notamment ceux où Noyb définit de manière centrale et coordonnée des thèmes et des responsables du traitement au sein de tel ou tel projet d'action propre ; b. Le fait que les plaignants ont envisagé d'introduire les plaintes d'un commun accord, dans le but de se voir représentés par Noyb et de faire intégrer ces plaintes dans les catégories des autres plaintes relatives aux bannières de cookies, ne démontre aucune instruction préalable indiquant un abus de droit ou un manque d'intérêt (pour agir en justice) dans la relation entre les plaignants et Noyb ; c. Lorsque le défendeur fait valoir que Noyb ne mentionne pas qu'elle intervient au nom de plaignants spécifiques et mentionne dans ce cadre que les décisions de transaction de l’APD contre certaines entreprises de médias ont été analysées spécifiquement, il convient d'indiquer que c'est bien Noyb, en tant que représentant des plaignants en vertu du libellé de l’article 80.1 du RGPD, qui introduit une plainte auprès de l’autorité de contrôle. Le fait que Noyb se désigne elle-même comme entité qui introduit les plaintes est de jure tout simplement correct (dans la mesure où cela constituerait ultérieurement un indice pertinent de l'existence d'un abus de droit ou d'un mandat fictif) ; d. Le fait que les numéros de dossiers correspondent, pièce par pièce, à la liste (sur les sites Internet) de Noyb qui reprend les décisions de transaction de l’APD impliquant notamment une transaction précédente avec le défendeur, ne démontre pas non plus que c'est Noyb qui a donné une instruction préalable aux plaignants ; cela démontre tout au plus le simple fait que les plaignants ont utilisé les informations disponibles sur le(s) site(s) Internet de Noyb ; e. Le fait que les pièces probantes aient été classées dans un dossier indiquant qu'elles faisaient partie de "projets en cours" ("ongoing projects") ne prouve – à nouveau – aucune instruction préalable, mais simplement le fait que les plaignants ont utilisé les dispositifs qui leur ont été proposés par Noyb, où ils ont eu recours au forum mis à leur disposition pour déposer leurs griefs sous forme de plaintes (et sous des "projets", selon leurs termes) auprès de Noyb en tant que leur représentant ; f. Le fait que les (un des) plaignants ont (a) enregistré la plainte dans un dossier anglophone ne constitue aucunement un élément pertinent et prouve, à nouveau, simplement que les plaignants ont eu recours aux dispositifs qui leur ont été proposés par Noyb, où ils ont eu recours au forum mis à leur disposition pour déposer leurs griefs sous forme de plaintes (et sous des "projets", selon leurs termes) auprès de Noyb en tant que leur représentant ; g. Le fait que les plaignants utilisent la même catégorisation que celle de Noyb, qui parle de certains types d'infractions, ne prouve aucunement une instruction préalable de la part de Noyb ; cela démontre simplement que les plaignants ont eu recours aux instruments (dont des templates, paragraphes standard, etc.) proposés par Noyb, où ils ont eu recours au forum mis à leur disposition pour déposer leurs griefs sous forme de plaintes (et sous des "projets", selon leurs termes) auprès de Noyb en tant que leur représentant ; h. Le fait qu'après les premières visites des plaignants sur les sites Internet et après l'apparition de leurs griefs à cet égard, d'autres collaborateurs de Noyb aient également recueilli des preuves alors que Noyb n'avait pas encore de mandat officiel à ce moment-là, ne prouve pas qu'il y ait eu une instruction préalable de Noyb selon laquelle les griefs des plaignants auraient été "orientés" ; cela prouve seulement qu'il y avait déjà une coordination avant que Noyb soit mandaté formellement, ce qui n'est pas problématique en soi et peut simplement être considéré comme une bonne pratique afin d'éviter que des plaintes ne soient déposées sans avoir été précédées d'une collecte de preuves et d'une préparation minutieuses ; i. Le fait qu'un des plaignants prenne la parole dans le communiqué de presse de Noyb concernant les plaintes litigieuses et qu'il soit désigné comme "stagiaire juridique chez Noyb" (et non comme l'un des plaignants) ne prouve pas non plus que Noyb ait donné des instructions préalables à cette personne en tant que plaignant - avant la survenance des griefs - et il ressort clairement de la citation reproduite39 que le plaignant en question (par l'utilisation du "nous") a également lui-même perçu la pratique comme une atteinte. 39. Sixièmement, le défendeur renvoie dans le troisième sous-moyen de son deuxième moyen au fait que les deux plaignants travaillaient en tant que stagiaires juridiques "pour le compte de Noyb" lorsque les plaintes ont été générées. À nouveau, il convient de souligner qu'il est incontestablement établi que les plaignants, au moment de la survenance de leurs griefs et de la visite des sites Internet litigieux, étaient effectivement des stagiaires, mais que la loi n'exclut nulle part qu'un maître de stage ou un employeur représente ses stagiaires ou ses collaborateurs dans le dépôt de plaintes au sens de l'article 80.1 du RGPD. La Chambre Contentieuse n'a en outre jamais affirmé que le simple fait que les plaignants soient stagiaires au moment de l'introduction de la plainte, ou occupent une quelconque autre fonction en tant que collaborateur de Noyb, constitue en soi un élément suffisant pour rejeter les plaintes introduites dans le cadre d'une relation de représentation en vertu de l'article 80.1 du RGPD. Toutefois, cela a joué dans la contextualisation des motifs des décisions de rejet des plaintes (notamment dans les dossiers VOO et Roularta), étant donné qu'il y avait alors des preuves indubitables (notamment accessibles au public) qui démontraient que les griefs n'étaient pas imputables aux plaignants concernés – et que le traitement de leurs données à caractère personnel avait été construit artificiellement (ce qui, en outre, entraîne également un risque de préjudice, comme l'a expliqué la Chambre Contentieuse dans la décision Roularta40). 40. Par ailleurs, le défendeur cite encore un certain nombre d'éléments factuels supplémentaires qu'il considère comme pertinents dans ce contexte, que la Chambre Contentieuse ne considère pas non plus comme donnant lieu à un quelconque motif de rejet des plaintes. 41. Il importe peu que Noyb affirme qu'il s'agit de stagiaires ou de "bénévoles", et qu'il ne peut dès lors être question d'une quelconque contrainte. La Chambre Contentieuse souligne – tout comme elle l'a fait dans les décisions Roularta et Mediahuis 41– qu'une relation de stage implique bel et bien une certaine subordination (par exemple parce qu'un stage, qu'il soit réussi ou non, peut avoir des conséquences sur la carrière professionnelle d'une personne), et qu'il peut donc bel et bien y avoir un risque de pression, ainsi que d'éventuels conflits d'intérêts.42 42. Le fait que dans sa position, le défendeur se penche en détail sur le statut du bénévole n'est pas pertinent en la matière, dès lors que pour la Chambre Contentieuse, il n'est pas pertinent – et il ne l'a jamais été – que le statut de "bénévole" impliquerait prétendument un moindre risque de pression que le statut de collaborateur salarié. La seule chose qui pourrait changer le point de vue ici est la preuve qu'il y aurait eu des projets concrets ou des instructions pour introduire des plaintes concrètes qui pourraient - en effet - révéler, par exemple, un conflit d'intérêts43. 43. Dans le même cadre, le défendeur renvoie également à une affaire portée devant la Cour de justice par les plaignants, pour soutenir que Noyb a également déjà représenté des (anciens) collaborateurs devant la Cour de justice. Cette affaire n'est pas pertinente car, en tout état de cause, l'accès au droit des autorités de contrôle diffère de celui des cours et tribunaux et, en outre, l'affaire n'avait rien à voir avec la représentation devant l'autorité de contrôle au sens de l’article 80.1 du RGPD. 44. Septièmement, dans le quatrième sous-moyen de son deuxième moyen, le défendeur affirme, dans les grandes lignes, qu'il est question d'abus de droit parce que l'article 80.2 du RGPD n'a pas été exécuté dans la législation belge et que Noyb instrumentaliserait dès lors les plaignants pour pouvoir exercer le droit de plainte via l'article 80.1 du RGPD. La Chambre Contentieuse répète que le fait que Noyb aurait eu recours dans le passé à des mandats fictifs, ou aurait commis un abus de droit, n'est en soi pas suffisant pour qu'il soit question en l'espèce d'un mandat fictif ou d'un abus de droit. Lorsque le défendeur affirme que Noyb aurait introduit une plainte "indépendamment d'une personne concernée", son argument manque en droit ; il y a dans ce dossier un mandat de représentation clair pour les deux plaignants concernés, et les plaignants déclarent qu'ils ont pris eux-mêmes l'initiative d'introduire les plaintes. 45. Huitièmement, en ce qui concerne la distinction avec le dossier VOO, le défendeur argumente dans son troisième moyen que de nombreux éléments sont similaires au présent dossier. Les différences, par contre, résident selon le défendeur (dans les grandes lignes) dans le fait que dans l'affaire VOO, le Service d’Inspection est intervenu et qu'un traitement de données à caractère personnel de plaignants a été démontré, ce qui ne serait pas le cas ici. La Chambre Contentieuse ne voit toutefois pas comment, dans l'affaire VOO, le traitement de données à caractère personnel était plus établi que dans la présente affaire, et comment l'intervention du Service d’Inspection dans cette affaire aurait pu prouver davantage que les plaignants avaient effectivement visité eux-mêmes les sites Internet litigieux le 10 février 2023 (et en ce sens, pouvait apporter davantage de preuves contraires - ce qui implique de prouver un fait négatif, vu que les plaignants allèguent le contraire). Aucun des éléments invoqués par le défendeur n'indique qu'un mandat fictif (ou un manque d'intérêt (pour agir en justice) ou la présence d'un abus de droit) s'appliquerait également en l'espèce, précisément parce que le dossier VOO diffère substantiellement de la présente affaire dans sa constellation factuelle (cf. supra, section 3.3). II.3. La décision de traitement quant au fond (article 95, § 1 er, 1° de la LCA) 46. Compte tenu de toutes ces considérations, et conformément à l’article 95, § 1 er, 1° de la LCA, la Chambre Contentieuse décide de procéder au traitement quant au fond du dossier 44, dont il est ici fait notification45 et dans lequel les parties pourront introduire des conclusions. 47. En ce qui concerne le point de procédure concernant l'intérêt (pour agir en justice) des plaignants et le mandat de leur représentant, il s'agit d'une décision prima facie, les débats sur le fond permettant également - et ayant toujours permis - d'avancer des arguments et des moyens qui donneront lieu à une décision en vertu de l'article 100 de la LCA, dont une décision de classement sans suite. 48. Vu la poursuite du traitement de l’affaire sur le fond, la Chambre Contentieuse invitera les parties, en vertu de l’article 98, 2° et 3° juncto l’article 99 de la LCA, à transmettre leurs conclusions et à ajouter au dossier toutes les pièces qu'elles estiment utiles. 49. Dans un souci d’exhaustivité, la Chambre Contentieuse souligne qu’un traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à l’article 100 de la LCA. 46 50. Vu les échanges antérieurs avec les parties en néerlandais et de la localisation du siège de du défendeur dans une région unilingue néerlandophone, le néerlandais est utilisé comme langue de procédure. 51. Sur la base des pièces du dossier, en ce compris le formulaire de plainte, la Chambre Contentieuse constate que la portée de la présente affaire concerne les violations présumées suivantes par le défendeur : 1. Violations présumées de l'article 10/2 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (M.B. 5/9/2018, ci-après la "LTD"), en lien d'une part avec l'article 125, § 1er, 1° de la loi du 13 juin 2005 relative aux communications électroniques (M.B. 20/6/2005, ci-après la "LCE" ; cette disposition est mentionnée à l'article 10/2 de la LTD) et d'autre part avec l'article 6.1.a. du Règlement général sur la protection des données (UE 2016/679, publ. 4/5/2016, ci-après "RGPD") : les plaignants affirment dans chacune des quatre plaintes pour chacun des quatre sites Internet litigieux que les exigences de consentement n'auraient pas été respectées, notamment du fait de l'absence d'option "refuser" au premier niveau d'information de la bannière de cookies. En ce sens, les violations présumées concernent le fait qu'il n'y ait pas de consentement valable dans le cadre des dispositions d'exécution belges de la directive e-Privacy (EU 2002/58) lues conjointement avec les dispositions précitées du RGPD, en ce qui concerne les traitements de données à caractère personnel réalisés suite au placement de cookies ; 2. Violations présumées des articles 5.1.a. du RGPD et 6.1.a. du RGPD : les plaignants affirment dans chacune des quatre plaintes que l'utilisation de différentes couleurs pour la bannière de cookies dans le cadre de l'octroi du consentement serait en l'espèce trompeuse. En ce sens, les violations présumées concernent le respect des principes de licéité, de loyauté et de transparence, ainsi que l'octroi valable du consentement. Compte tenu de la connexité manifeste, la Chambre Contentieuse soulève également d'office dans ce cadre les exigences de consentement en vertu des articles 10/2 de la LTD et 125, § 1er, 1° de la LCE précités – vu le lien avec le placement de cookies et les exigences de consentement dans ces dispositions légales. Le défendeur doit donc également inclure ces articles dans la défense à cet égard ; 3. Violations présumées de l'article 4(11) juncto l'article 7.3 du RGPD : les plaignants affirment dans chacune de leurs quatre plaintes que dans le cadre du placement de cookies, il n'est pas aussi facile de retirer le consentement que de le donner. En ce sens, toutes les plaintes indiquent que les personnes concernées doivent franchir plusieurs étapes sur les sites Internet litigieux avant de pouvoir retirer un quelconque consentement, après quoi le retrait de tout consentement donné - par exemple, mais sans s'y limiter, dans le cas où une personne concernée avait précédemment accepté tous les cookies simultanément - ne pourrait se faire que séparément. Compte tenu de la connexité manifeste, la Chambre Contentieuse soulève également d'office dans ce cadre les exigences de consentement en vertu des articles 10/2 de la LTD et 125, § 1er, 1° de la LCE précités – vu le lien avec le placement de cookies et les exigences de consentement dans ces dispositions légales. La plainte concernant le site Internet ‘7sur7’ mentionne aussi dans ce cadre une violation présumée de l'article 5.1 a). du RGPD, car il ne serait pas correct ou transparent que la section relative à la politique en matière de cookies sur le site Internet litigieux ne contienne pas de bouton ou de lien permettant d'ajuster les préférences en matière de cookies, et que la rubrique mentionnée ne soit pas non plus disponible sur le site Internet litigieux. Le défendeur doit donc également inclure ces articles dans sa défense à cet égard. III. Publication de la décision 52. La Chambre Contentieuse a pour habitude – pour une question de transparence – de publier les décisions en vertu de l'article 95, § 1 er de la LCA, lorsque ces décisions comportent des avertissements ou des injonctions (ce qu'on appelle les "décisions light"). 53. Généralement, la Chambre Contentieuse ne publie pas ses décisions au sens de l’article 95, § 1er, 1° de la LCA – quand il s'agit donc de décisions interlocutoires pour traiter l'affaire quant au fond –, notamment parce qu'elles ne comportent pas d'éléments significatifs relevant de l'intérêt public et ne sont que des mesures d'avancement de la procédure. 54. Toutefois, dans ce contexte très spécifique, la Cour des marchés a décidé qu'une obligation spéciale de motivation s'appliquait, nécessitant de comparer les faits de la présente affaire avec une autre décision. 55. Compte tenu du fait que, en raison précisément de cette obligation particulière de motivation, la présente décision contient des éléments pertinents à porter à la connaissance du public, la Chambre Contentieuse décide de publier cette décision sur son site Internet. 56. À cet égard, pour une bonne compréhension de la décision, les données d'identification du défendeur ainsi que du représentant sont reprises. Pour l'identification du défendeur, il est important de préciser que ses sites Internet de médias ont une grande portée au sein de la population belge et auprès d'un large public néerlandophone et francophone, de sorte que la publication relève en soi de l'intérêt public. En outre, la présente décision fait spécifiquement suite à un arrêt de la Cour des marchés, qui siège en audience publique, de sorte que les circonstances de cette affaire sont déjà tombées dans le domaine public. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide: - en vertu de l'article 95, § 1er, 1° de la LCA, que le dossier peut être traité sur le fond et que les parties seront invitées à introduire des conclusions. En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des Marchés (Cour d'appel de Bruxelles) dans un délai de trente jours à compter de sa notification, avec l'Autorité de protection des données en qualité de défenderesse. Un tel recours peut être introduit au moyen d'une requête contradictoire qui doit reprendre les mentions énumérées à l'article 1034ter du Code judiciaire47. La requête contradictoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du Code judiciaire48, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du Code judiciaire). (sé) Hielke HUMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250124.2 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250327.5 ECLI:BE:GBAPD:2025:AVIS.20250327.6