ECLI:BE:GBAPD:2025:DEC.20250424.1

172/2022 ne restreint pas le champ de l’injonction à un support ou à un canal particulier. L’injonction impose à la défenderesse l’obligation générale de « ne plus traiter » les données de localisation visées. Cette obligation emporte, par définition, la cessation de l’ensemble des traitements concernés réalisés sur tous les canaux contrôlés par la défenderesse. La mention de Google Maps dans le dispositif (visé par « en ce compris Google MAPS » dans le décision 172/2022) visait uniquement à illustrer un vecteur de diffusion des données à supprimer, sans limiter ni élargir la portée de l'injonction, qui s'applique à toute forme de traitement quel que soit le support. 49. L’argument selon lequel la page Facebook serait distincte du site web, ou partiellement gérée par Meta, ne saurait être retenu. Cette page est administrée par la défenderesse, qui y publie du contenu à caractère commercial, incluant des données immobilières telles que celles visées dans la décision 172/2022. Elle dispose à ce titre d’un contrôle effectif sur les contenus diffusés, et peut décider seule de leur modification ou leur suppression, sans intervention de Meta. 50. L’argumentation de la défenderesse revient dès lors, en réalité, à couper l’injonction prononcée, en en limitant la portée à un seul canal de diffusion. Or, la décision 172/2022 impose au responsable du traitement de mettre un terme à l’ensemble des traitements concernés par l’injonction. 51. Au vu de ce qui précède, la Chambre Contentieuse considère que le maintien des données de localisation du plaignant sur la page Facebook – et plus largement, sur tout support contrôlé par la défenderesse – constitue bien une inexécution (partielle) de l’injonction. II.2.3.5.4. Limitations techniques et maintien de la carte Google Maps 52. La défenderesse invoque des contraintes liées à l’outil de gestion de son site internet pour justifier l’impossibilité de supprimer certains champs, notamment celui dédié à l’adresse postale du bien. Elle soutient avoir supprimé la rue et le numéro, puis l’ensemble du champ concerné, tout en maintenant la carte Google Maps, au motif qu’elle présenterait un intérêt légitime dans le cadre de ses activités commerciales. 53. La Chambre Contentieuse rappelle qu’il incombe au responsable de traitement dès lors de s’assurer que ses outils et prestataires techniques lui permettent de respecter ses obligations légales. Une limitation fonctionnelle de son CMS, ou un défaut de paramétrage de son prestataire, ne saurait l’exonérer de ses obligations. 54. En tout état de cause, et comme l’a relevé le SI 16, la Chambre Contentieuse constate qu’aucune impossibilité technique n’a été avancée s’agissant de la page Facebook, sur laquelle l’adresse complète du bien 1 figurait encore au 20 février 2023. Par ailleurs, la mention de la commune demeurait accessible tant sur le site internet que sur Facebook, y compris au 13 mars 2023. Ce maintien des données constituait une poursuite du traitement, en violation de l’injonction contenue dans la décision 172/2022. 55. S’agissant spécifiquement de la carte Google Maps, la Chambre Contentieuse relève que, malgré la suppression apparente du champ textuel dédié à l’adresse postale, l’outil de géolocalisation demeure intégré au site Internet de la défenderesse et continue d’y indiquer le périmètre de localisation du bien, couplé à d’autres informations permettant d’identifier le bien avec précision. Le maintien de cette carte est donc incompatible avec l’injonction d’effacement complet et de cessation de traitement. 56. En conclusion, le maintien de la carte Google Maps indiquant le périmètre de localisation du bien, constitue une inexécution partielle de l’injonction, dès lors que cette carte demeure accessible à la date du 31 mars 2025, en violation de l’injonction d’effacement intégral, mais aussi de cessation de tout traitement des données de localisation du plaignant. 57. La défenderesse soutient qu’elle disposait d’un intérêt légitime à publier, sur son site Internet et sa page Facebook, des images du bien 1 accompagnées d’informations relatives à sa localisation, en précisant qu’il avait été vendu et a indiqué avoir volontairement conservé d’autres informations (notamment la localisation du périmètre via Google Maps) estimant que leur suppression porterait atteinte à ses droits et intérêts fondamentaux. Estimant dès lors que son droit primait, la défenderesse a donc confirmé avoir choisi de ne pas supprimer l’ensemble des données visées, et reconnait dès lors l’inexécution volontaire de l’injonction prononcée à son encontre. La Chambre Contentieuse note à cet égard que les observations de la défenderesse auraient dû être formulées dans les délais et selon les voies de recours qui lui étaient ouvertes après la notification de la décision 172/2022. Elle a cependant volontairement choisi de ne pas s’exécuter. II.2.3.5.5. Constat d’inexécution de l’injonction 58. Les constats du SI, établis lors de trois contrôles successifs (20 février, 13 mars et 21 mars 2023), ont objectivement mis en évidence une exécution tardive, incomplète et partielle de la décision 172/2022. 59. Il ne ressort d’aucun élément versé au dossier que la défenderesse aurait procédé à un effacement complet des données, ni qu’elle aurait mis fin à leur traitement sur tous les supports sous son contrôle. La notification transmise à l’APD le 5 décembre 2022 est purement déclaratif et ne comporte aucun justificatif technique. Par ailleurs, la défenderesse a admis avoir volontairement maintenu certains éléments, notamment la carte Google Maps qui indique la localité, en raison d’intérêts commerciaux qu’elle estimait légitimes, la mention de la localité via la carte Google Maps étant encore accessible publiquement au 31 mars 2025. 60. Si certains éléments (tels que la rue, le numéro ou les références cadastrales) ont bien été supprimés, la décision 172/2022 imposait un effacement complet des données de localisation, la cessation de tout traitement et une information à l’APD sur l’exécution. Une exécution « partielle » ou « sélective », opérée selon l’appréciation propre de la défenderesse, confirme que l’injonction n’a été respectée dans sa totalité. 61. La Chambre Contentieuse relève, par ailleurs, que l’exécution partielle de la décision 172/2022 ne résulte ni d’un malentendu ni d’une contrainte technique insurmontable. Au contraire, les éléments versés au dossier démontrent que la défenderesse a, en connaissance de cause, maintenu certaines données de localisation (telle que la mention de la commune via la carte Google Maps), estimant pouvoir faire prévaloir ses intérêts commerciaux sur une décision devenue définitive. Une telle attitude, fondée sur une appréciation unilatérale de la portée de ses obligations, est incompatible avec le principe de responsabilité consacré par l’article 5.2 du RGPD. L’absence de recours contre la décision 172/2022 ne saurait justifier une exécution sélective ou conditionnelle. 62. En conséquence, il en résulte que l’inexécution partielle revêt un caractère conscient, sélectif, persistant et juridiquement infondé. Sur le plan temporel, le premier constat de non-conformité, établi le 20 février 2023, révèle que la défenderesse était en infraction depuis 56 jours. Un second contrôle, réalisé le 13 mars 2023, a confirmé la persistance de données non effacées, portant la durée de la non-conformité objectivement constatée à 76 jours. 63. Par ailleurs, la présence persistante de certains éléments – notamment la localité via la carte Google Maps – demeure vérifiée jusqu’au 31 mars 2025 (soit plus de 26 mois après l’échéance d’exécution). Même si cette date est postérieure aux constats du SI, la Chambre Contentieuse rappelle que cette donnée était expressément visée par la décision 172/2022. Son maintien prolongé, sans justification technique ou juridique, confirme la volonté d’absence d’exécution de l’injonction. 64. Pour les raisons exposées ci-dessus, la Chambre Contentieuse constate que la défenderesse ne s’est pas conformée à l’injonction figurant dans la décision 172/2022. La Chambre Contentieuse retient que le comportement de la défenderesse constitue une inexécution de cette injonction. Cette inexécution, prolongée sur une période de plus de 26 mois, résulte d’un choix délibéré de ne pas exécuter pleinement la décision, au motif de préserver ses intérêts commerciaux en dépit de la portée contraignante de ladite décision. III. Quant aux mesures correctrices et aux sanctions 65. En tant qu'autorité administrative indépendante, la Chambre Contentieuse dispose du pouvoir exclusif de déterminer les mesures correctives et les sanctions appropriées, conformément aux articles 58.2 et 83 du RGPD et aux articles 100 §1 à 102 de la LCA, dès lors qu’une violation du RGPD est constatée. L’exercice de cette compétence implique non seulement d’évaluer l’existence d’une infraction, mais aussi de déterminer, en toute indépendance, la réponse la plus adaptée au regard des objectifs poursuivis par le RGPD. Ce pouvoir discrétionnaire a été reconnu par la Cour des Marchés dans plusieurs arrêts (7 juillet 2021, 6 septembre 2023, 20 décembre 2023) 17, qui ont souligné l’étendue de la marge d’appréciation reconnue à la Chambre Contentieuse quant au choix, à la nature et à la portée des sanctions à prononcer. 66. L’article 100 de la LCA 18 dresse la liste des mesures correctrices et sanctions que la Chambre Contentieuse peut adopter lorsqu’elle constate une infraction aux règles en matière de protection des données Ces mesures, énumérées aux points 1° à 16° de l’article 100 de la LCA, comprennent notamment l’imposition et s’inscrivent dans le cadre des pouvoirs reconnus à l’autorité de contrôle par l’article 58.2 du RGPD, qui visent à garantir l’effectivité des droits fondamentaux en matière de protection des données. 67. Parmi ces mesures, l’amende administrative fait l’objet d’un encadrement particulier. Prévue à l’article 58.2, i) du RGPD ainsi qu’aux articles 100, 13° et 101 de la LCA, elle est soumise aux conditions de l’article 83 du RGPD 19. III.1. Infraction constatée 68. Sur la base des considérations reprises ci-dessus dans la présente décision, la Chambre Contentieuse constate le non-respect de l’injonction prononcée dans la décision 172/2022, ce non-respect pouvant être sanctionné sur la base de l’article 83.6 du RGPD. III.2. Mesures imposées dans le cas d’espèce. 69. Afin de déterminer les mesures correctrices et les sanctions les plus appropriées pour remédier aux violations constatées, prévenir leur réitération et garantir une application effective du RGPD, la Chambre Contentieuse a procédé à une analyse approfondie de l’ensemble des circonstances pertinentes de l’affaire. Sur cette base, elle a arrêté, d’une part, les mesures correctrices applicables en l’espèce et, d’autre part, examiné l’opportunité d’imposer une amende administrative ainsi que les modalités de fixation de son montant. 70. La Chambre Contentieuse a pris en compte les observations formulées les 17, 18 et 22 avril 2025 par la défenderesse dans le cadre du formulaire intitulé « formulaire de réaction à une proposition de sanction d’amende administrative » qui lui a été notifié le 4 avril 2025 (ci-après « le formulaire »). Ces observations ont été examinées exclusivement au regard de la mesure envisagée dans ledit formulaire, à savoir l’amende administrative. 71. Il convient de rappeler que ce formulaire a pour seule finalité d’offrir à la défenderesse, en sa qualité d’auteur de l’infraction, l’occasion de présenter ses observations sur l’opportunité, la fixation et le montant de l’amende envisagée, préalablement à son prononcé 20. a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ; b) le fait que la violation a été commise délibérément ou par négligence ; c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ; d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ; e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ; g) les catégories de données à caractère personnel concernées par la violation ; h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ; j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation ». 72. Dans sa réponse au formulaire , la défenderesse réitère avoir exécuté intégralement l’injonction reprise dans la décision 172/2022, dans les délais. Elle affirme avoir supprimé les données principales (adresse postale, références cadastrales), cessé le traitement des données, notifié le plaignant, et informé l’APD des mesures prises. Elle soutient que la décision ne visait pas explicitement certains supports — tels que la page Facebook ou la carte Google Maps — ni la mention de la localité. Enfin, elle insiste sur sa coopération continue avec l’APD et sur sa bonne foi, en invoquant des contraintes techniques et juridiques propres à son activité. 73. La Chambre Contentieuse en a pris bonne note et les a pris en considération dans son appréciation des mesures correctrices à adopter dans le cas d’espèce. III.2.1. Mesures correctrices III.2.1.1. Objectif et cadre juridique de l’amende administrative 74. Conformément à l’article 58.2 i) du RGPD et à l’article 100, §1er, 13° de la LCA, la Chambre Contentieuse peut imposer une amende administrative en cas de manquement aux obligations du RGPD, en complément ou à la place d’autres mesures correctrices, en fonction des circonstances propres à chaque affaire. 75. Conformément à l’article 83.1 du RGPD, toute amende doit être effective, proportionnée et dissuasive au regard des circonstances propres à chaque cas. L’amende administrative peut poursuivre une double finalité : elle revêt un caractère répressif, en sanctionnant un comportement illicite, et un caractère dissuasif, en prévenant toute récidive. À ce titre, elle s’inscrit dans une logique de régulation durable, qui ne se limite pas à sanctionner une infraction isolée, mais vise également à prévenir la répétition des violations, à éviter leur banalisation, à promouvoir une conformité proactive de la part des responsables du traitement et à garantir un niveau élevé de protection des données à caractère personnel. 76. Pour apprécier l’opportunité d’imposer une amende administrative et en fixer le montant, la Chambre Contentieuse dispose d’un pouvoir d’appréciation,. L’article 83.2 du RGPD énumère les critères à prendre en compte pour apprécier l’opportunité d’une amende et en fixer le montant, notamment la nature, la gravité, la durée de la violation, son caractère intentionnel ou négligent, ou encore les catégories de données concernées. 77. En l’absence d’une interprétation juridiquement contraignante de ces dispositions, la Chambre Contentieuse se réfère aux Lignes directrices du Comité Européen de la Protection des Données (« CEPD »), et notamment les Lignes directrices 04/2022 relatives au calcul des amendes administratives (« LD Amendes »), qui fixent un cadre pour les modalités concrètes d’application des critères de l’article 83.2 et visent à garantir une approche harmonisée, objective et proportionnée au sein de l’Union européenne. 78. Conformément aux LD Amendes, la Chambre Contentieuse adopte une approche intégrée des critères énoncés à l’article 83.2 du RGPD. Ces critères sont analysés conjointement afin de déterminer, d’une part, si l’imposition d’une amende est justifiée et, d’autre part, d’en fixer le montant. 79. Enfin, la Chambre Contentieuse précise qu’elle n’est pas tenue d’analyser les critères manifestement sans objet dans le cas d’espèce 21. Seuls les critères pertinents au regard du cas d’espèce seront examinés, afin de garantir une analyse proportionnée et ciblée. 80. En l’espèce, la Chambre Contentieuse estime que l’imposition d’une amende est appropriée vu la gravité certaine de l’infraction, déterminée 22 en particulier au vu de (i) la durée de l’infraction qui s’est étalée sur plus de deux ans et (ii) l’exécution sélective par la défenderesse de l’injonction, estimant être dans son bon droit de continuer à traiter les données malgré une décision de l’APD qui lui avait expressément imposé de ne plus le faire et contre laquelle elle pouvait introduire un recours ou une demande de traitement sur le fond si elle souhaitait en contester la substance. Ce comportement, loin de traduire une négligence, procède dès lors d’un choix conscient et délibéré de ne respecter que partiellement l’injonction. La Chambre Contentieuse en déduit que l’infraction résulte d’un acte délibéré au sens de l’article 83.3 du RGPD. 81. Ces éléments – davantage développés ci-dessous – justifient d’infliger une amende administrative, plutôt qu’une sanction plus faible telle l’avertissement ou la réprimande, lesquels ne présentent pas l’effet dissuasif nécessaire pour prévenir de futures violations, en particulier car il ressort du dossier que l’absence d’amende dans le cadre de la décision 172/2022 est précisément l’un des éléments l’ayant amenée à ne pas contester cette décision et simplement se permettre de partiellement en ignorer le contenu. L’amende administrative constitue, en ce sens, une mesure nécessaire, proportionnée et pleinement conforme aux objectifs du RGPD. III.2.1.2. Détermination et motivation du montant de l’amende 82. La Chambre Contentieuse procède maintenant à la détermination du montant de l’amende, en application des LD Amendes. Les critères pertinents ont été analysés à la lumière des circonstances propres à l’affaire, et identifiés. Seuls les critères pertinents au regard du cas d’espèce sont retenus et examinés ci-dessous. 23 III.2.1.2.1. Classification de la violation au titre du RGPD 24 83. Le non-respect d’une injonction prononcée par une autorité (comme tel est le cas en l’espèce) de contrôle fait l’objet d’une infraction distincte et spécifique en vertu de l’article 83.6 du RGPD, passible d’une amende pouvant atteindre 20 millions d’EUR, ou dans le cas d’une entreprise, jusqu’à 4 % de son chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. 84. Cette infraction résulte pas en tant que telle d’une opération de traitement, mais du non-respect d’une injonction visant à stopper certains traitements. III.2.1.2.2. Gravité de la violation dans le cas d’espèce 25 85. L’évaluation de la gravité d’une violation, au sens des articles 83.2 a), b) et g) du RGPD, repose généralement sur l’analyse des caractéristiques du traitement de données concerné : sa nature, sa portée, sa finalité, le nombre de personnes affectées, ainsi que le niveau de dommage potentiel ou réel. Toutefois, en l’espèce, la violation sanctionnée ne porte pas sur un traitement en tant que tel, mais sur le non-respect d’une injonction émise par l’APD. 86. Dans ce contexte, l’évaluation de la gravité doit être adaptée : elle s’effectue non pas au regard des caractéristiques du traitement sous-jacent, mais au travers des circonstances spécifiques liées à l’inexécution de l’injonction. 87. En l’espèce, il y a tout d’abord lieu de relever que le non-respect d’une injonction constitue une infraction à l’article 83.6 du RGPD, tombant ainsi sous le coup du niveau du montant d’amende supérieur de l’article 83 du même Règlement. 88. La Chambre Contentieuse constate que (i) l’inexécution de l’injonction est partielle et unique, (ii) l’injonction avait une portée locale et portait sur des données non sensibles (données de localisation) et des identifiants indirects, et (iii) l’injonction n’impliquait qu’un nombre limité de personnes concernées vu le caractère local de l’agence. 89. La Chambre Contentieuse constate cependant que l’inexécution partielle de l’injonction a perduré jusqu’au 31 mars 2025, soit plus de 26 mois après l’expiration du délai légal d’exécution pour la décision 172/2022. La Chambre Contentieuse souligne qu’aucun élément du dossier ne justifie cette exécution partielle prolongée sur une durée de plus de deux ans et en particulier au vu du fait que la défenderesse devait savoir qu’elle était déjà en infraction (au contraire d’une procédure où la Chambre Contentieuse devait se prononcer sur l’infraction en tant que telle). […] Capture d’écran prise le 31/03/3035 à 15h15 90. Le niveau de dommage avéré reste relativement modéré, vu le caractère local et spécifique des traitements couverts par l’injonction. 91. En tout état de cause, la violation commise par la défenderesse résulte d’un comportement intentionnel de la part de celle-ci, en ce que : - La défenderesse a formellement reçu la décision 172/2022, dont elle ne pouvait ni ignorer ni l’existence, ni la portée juridique, et a eu la possibilité de soit intenter un recours devant la Cour des Marchés soit demander le traitement sur le fond en vertu de l’article 98 de la LCA, ce qu’elle a confirmé avoir volontairement choisi de ne pas faire. - Plusieurs aspects substantiels de l’injonction n’ont pas été respectés, notamment la suppression de la mention de la localité figurant sur la carte Google Maps. La défenderesse a reconnu avoir délibérément conservé certains éléments, estimant leur retrait contraire à ses intérêts commerciaux. - Les mesures correctrices ont été tardives et n’ont été mises en œuvre qu’après l’intervention du SI. Aucun obstacle technique ou juridique sérieux n’a été soulevé ni démontré pour justifier cette inexécution prolongée de l’injonction, ce qui accentue la gravité de la situation. - Il ressort également des explications de la défenderesse que si cette décision avait été assortie d’une amende, elle aurait, selon toute vraisemblance, été exécutée intégralement – ou à tout le moins contestée par voie de recours. La Chambre Contentieuse conclut dès lors que le comportement de la défenderesse présente un caractère délibéré, au sens de l’article 83.2.b) du RGPD, et ne saurait être qualifié de simple négligence. 92. À la lumière des éléments exposés ci-avant, la Chambre contentieuse conclut que la violation constatée est de gravité moyenne. III.2.1.2.3. Prise en compte du chiffre d'affaires 26 93. Pour déterminer le chiffre d’affaires en cause, les autorités de contrôle devraient appliquer la définition de la notion d’entreprise telle qu’adoptée par la CJUE aux fins des articles 101 et 102 du TFUE . 94. En outre, l’article 83.6 du RGPD prévoit que le chiffre d'affaires annuel mondial total de l'exercice précédent doit être utilisé pour le calcul de l'amende administrative. À cet égard, le terme « précédent » doit être interprété conformément à la jurisprudence de la CJUE en matière de droit de la concurrence, de sorte que l'événement pertinent pour le calcul de l’amende est la décision de l'autorité de contrôle relative à l'amende, et non le moment de l'infraction sanctionnée. 95. En l’espèce, le calcul de l’amende aurait donc dû être basé sur les chiffres de l’exercice 2024. Pour déterminer, la Chambre Contentieuse s’est référée aux informations publiques reprises dans la Centrale des Bilans auprès de la Banque Nationale de Belgique (« BNB »), où elle a constaté que : - Les comptes annuels de 2024 n’étaient pas encore disponibles (cette information ayant été publiée ces dernières années entre fin avril et mi-juin) ; - S’agissant d’une société pouvant déposer des comptes annuels sous le modèle abrégé, les comptes annuels pour 2021, 2022, 2023 tels que publiés à la BNB ne reprennent aucune information sous la rubrique « chiffre d’affaires » reprise au compte de résultat ; et - Dès lors, les informations publiques les plus récentes relatives au chiffre d’affaires de la défenderesse se rapportent à aux chiffres de l’année 2020 tels que publiés en 2021, desquels il apparait que le chiffre d’affaires s’élevait à 149.979 EUR pour 2020 (plus précisément pour la période du 1 octobre 2019 au 30 septembre 2020) et 331.107 EUR pour 2019. 96. Sur cette base, la Chambre Contentieuse a demandé à la défenderesse à plusieurs reprises de transmettre les informations relatives aux chiffre d’affaires de l’année précédente, afin de se baser sur les informations les plus correctes et récentes à cet égard. La défenderesse n’a pas fait suite à ces demandes. III.2.1.2.4. Détermination du montant de départ 97. Compte tenu du montant maximum légal, le chiffre d’affaires mondial annuel du responsable de traitement et la gravité de la violation, la Chambre Contentieuse décide concrètement de calculer le montant de départ pour la catégorie d’infractions comme suit : - Calcul du montant maximal légal : 4% du chiffre d’affaires annuel (mondial) total de la défenderesse sur la base des chiffres disponibles les plus récents équivaut à 5.999 EUR. Ce montant est inférieur au plafond de 20.000.000 EUR. Dès lors l’amende la plus élevée retenue est 20.000.000 EUR (« montant maximum légal »). - Adaptation du montant maximal légal, à la gravité de la violation : en l’espèce, la gravité de la violation moyenne justifie d’adapter le montant maximal légal à 10 et 20% du montant maximum légal prévu à l’article 83.6 du RGPD (20.000.000 EUR), soit entre 2.000.000 EUR et 4.000.000 EUR 27.. Au vu du cas d’espèce, la Chambre Contentieuse retient un montant de départ théorique de 2.000.000 EUR, soit 10% du montant maximum légal. - Ajustement du montant de départ théorique : Selon la méthodologie du CEPD, les derniers chiffres d’affaires connus placent la défenderesse dans la catégorie des entreprises dont le chiffre d’affaires est compris entre 0 et 2.000.000 EUR. Cette fourchette étant très large, la Chambre Contentieuse a considéré que l’utilisation du chiffre d’affaire de 2020 ne soulevait pas de problème particulier dès lors que (i) ce dernier ne pouvait permettre l’imposition d’un montant d’une fourchette inférieure à celle prévue dans la présente décision et (ii) il est hautement improbable que le chiffre d’affaires de 2024 dépasse le seuil de 2.000.000 EUR compte tenu des informations publiques reprises dans les bilans plus récents. Sur cette base, la Chambre Contentieuse décide d’ajuster une dernière fois le montant de départ, afin de tenir compte du chiffre d’affaires annuel de l’entreprise. S’agissant d’une petite entreprise tombant dans le seuil le plus bas , les LD Amendes proposent d’appliquer un taux de 0,2 % et 0,4 % pour ajuster le montant de départ théorique. S’agissant d’une société unipersonnelle dont les revenus se trouvent dans la tranche basse du seuil applicable, il a été finalement décidé d’appliquer un taux de 0,25%. 98. En conclusion, le montant de départ ajusté de l’amende est défini à hauteur de 5.000 EUR. III.2.1.2.5. Circonstances aggravantes et atténuantes 28 99. La Chambre Contentieuse motive l’imposition d’une amende administrative en des termes concrets, en tenant compte d’autres circonstances aggravantes ou atténuantes énumérées à l’article 83.2 du RGPD. Il y a lieu de rappeler que chaque critère exposé à l’article 83.2, du RGPD n’a été pris en considération qu’une seule fois dans l’appréciation globale au regard de l’article 83.2, du RGPD , de sorte que les critères de l’art. 83.2.a), b) et g) – lesquels ont déjà servi à évaluer la gravité de la violation 2 - ne seront plus examinés ici. 100. La Chambre Contentieuse rappelle qu’elle n’est pas tenue d’examiner les critères qui sont sans objet, en ce compris les critères neutres, c’est-à-dire ceux qui ne sont considérés ni comme atténuants, ni comme aggravants. Par exemple, le devoir ordinaire de coopération étant obligatoire, ce facteur doit donc être réputé neutre (et non considéré comme un facteur atténuant). 101. A cet égard, le refus persistant de la défenderesse de communiquer son chiffre d’affaires actualisé qui a forcé la Chambre Contentieuse sur des chiffres d’il y a près de 5 ans relève d’une absence flagrante de coopération et a été prise en considération lors du calcul du montant final de l’amende et pour appliquer une majoration de 20% de l’amende initialement proposée. 102. Ainsi, bien que chaque article de l’article 83.2 ait fait l’objet d’un examen minutieux par la Chambre Contentieuse, seuls ceux qui ont conduit à la caractérisation de l’existence d’une circonstance atténuante ou aggravante sont exposés dans le présent formulaire de sanction. 103. Par conséquent, le montant de départ ajusté est fixé à 6.000 EUR. III.2.1.2.6. Caractère effectif, proportionné et dissuasif de l’amende 29 104. Conformément à l’article 83.1 du RGPD et aux Lignes directrices du CEPD, toute amende administrative doit être efficace, proportionnée et dissuasive au regard des circonstances propres à chaque affaire. La Chambre Contentieuse vérifie ci-après si le montant final de l’amende, soit 6.000 EUR, répond à ces exigences. 105. En l’espèce, la défenderesse a volontairement exécuté partiellement l’injonction reprise dans la décision 172/2022, sans l’avoir contestée malgré son désaccord, au motif que la décision n’était pas assortie d’amende et que les frais de recours seraient excessifs. Dans ce contexte, une amende de 6.000 EUR remplit les conditions d’effectivité : elle affirme le caractère contraignant des décisions de l’APD et des mesures correctrices et rappelle que leur exécution intégrale est obligatoire en l’absence de recours à cet égard. 106. Les autorités de contrôle doivent s'assurer que le montant de l'amende soit proportionné à la violation, apprécié dans son ensemble, en tenant compte de divers facteurs tels que la capacité financière de l'entreprise à payer. 107. Le principe de proportionnalité, tel que défini dans le RGPD, énonce que les mesures adoptées ne doivent pas dépasser ce qui est approprié et nécessaire pour atteindre les objectifs légitimes de la réglementation en question. Dans le cas des amendes, cela signifie que leur montant ne doit pas être disproportionné par rapport aux buts visés 30, à la gravité de la violation, ainsi qu’à la taille et à la capacité financière de l'entreprise concernée 31. Par conséquent, les autorités de contrôle doivent donc s'assurer que le montant de l'amende soit proportionné à la violation, apprécié dans son ensemble, en tenant compte de divers facteurs tels que la capacité financière de l'entreprise. 108. En réaction au formulaire, la défenderesse avait soutenu que l’amende initialement proposée excessive, en invoquant un ratio équivalant à 3,33 % de son chiffre d’affaires annuel et la crise qui touche le secteur. 109. En conséquence, la Chambre Contentieuse a considéré que la défenderesse est une société unipersonnelle dont le chiffre d’affaires est directement lié aux revenus de la personne physique de qui la dirige. Dès lors, l’imposition d’une amende affecte la défenderesse comme elle affecterait directement une personne physique et devrait être traitée en conséquence. 110. Cependant, le refus caractérisé et répété de la défenderesse de fournir son chiffre d’affaires le plus récent a obligé la Chambre Contentieuse à se baser sur des chiffres potentiellement erronés, qui ne peut dès lors vérifier quel est le ratio du montant de l’amende par rapport à son chiffre d’affaires le plus récent, notant en particulier que le chiffre d’affaires de 2019 représentait plus du double de celui de 2020. De plus, l’année 2020 n’apparait pas comme une année représentative au vu de la crise sanitaire du COVID-19 qui a imposé des lockdowns et arrêts des activités non-essentielles en Belgique (comme notamment celles de la défenderesse). La Chambre Contentieuse peut donc suspecter que la volonté de ne pas communiquer des chiffres plus récents pourrait être le reflet d’une mauvaise foi de la défenderesse qui souhaite être évaluée sur un chiffre d’affaires largement inférieur par rapport à son chiffre d’affaires annuel habituel et se targuer d’un ratio plus important que le ratio effectif entre le montant de l’amende et son chiffre d’affaires habituel. Il en découle que la défenderesse elle-même a mis la Chambre Contentieuse de vérifier quel est le ratio exact du chiffre d’affaires correspondait à l’amende et ne pourrait dès lors reprocher à la Chambre Contentieuse de ne pas pouvoir prendre en compte ses observations à cet égard, nul ne pouvant se prévaloir de sa propre turpitude. 111. Dans le cas d'espèce, plusieurs critères, tels que la capacité financière de la défenderesse et le contexte économique et social dans lequel elle opère, ont aussi été évalués pour déterminer si l’amende est proportionnée indiquent que l'amende proposée est proportionnée 32 : - Viabilité économique et capacité financière de l'entreprise : Aucun élément concret du dossier ne permet d’établir que l’imposition de l’amende ne compromet la viabilité économique de la société ou que la défenderesse serait dans l’incapacité financière de l’honorer. - Preuve de la perte de valeur : Aucun élément de preuve versé dans le dossier n’indique que l’amende compromettrait la viabilité de l’activité ou entraînerait une perte de valeur économique. - Contexte économique et social : la défenderesse a soulevé une crise sectorielle. L’actualité récente confirme que le secteur de l’immobilier subit actuellement une crise en raison de la hausse des taux hypothécaires qui a entrainé un manque de dynamisme dans le secteur, qui se traduit cependant en un impact limité sur le nombre de transactions immobilières et leur montant. La défenderesse n’ayant pas fourni de chiffres actualisés permettant de constater (ou non) une diminution du chiffre d’affaire liées à cette crises, la Chambre Contentieuse n’est dès lors pas en mesure de déterminer si ce facteur a effectivement eu une influence sur les activités de la défenderesse. 112. Dès lors, le montant de 6.000 EUR prend en compte la gravité de la violation, sans porter atteinte à la pérennité économique de la défenderesse. La Chambre Contentieuse confirme que selon son appréciation, ce montant reste effectif au vu des particularités de la situation financière de la défenderesse et son gérant. 113.Le caractère dissuasif des amendes est crucial pour garantir le respect des règles établies par le droit de l'Union. Une amende doit être suffisamment dissuasive pour que le responsable du traitement ne continue pas la violation. Plusieurs facteurs déterminent le caractère dissuasif d'une amende : la nature et le montant de l'amende, ainsi que la probabilité de son imposition, sont des éléments déterminants à cet égard. Une amende doit être suffisamment élevée pour avoir un impact financier significatif sur l'entreprise fautive, tout en restant proportionnée à la gravité de la violation. En d'autres termes, le critère de la dissuasion recoupe celui de l’effectivité. 114.Si une autorité de contrôle estime qu'une amende n'est pas suffisamment dissuasive, elle peut envisager de la majorer. Dans certains cas, elle peut même appliquer un multiplicateur de dissuasion pour renforcer son effet dissuasif. Ce multiplicateur peut être ajusté à la discrétion de l'autorité de contrôle afin de garantir que les objectifs de dissuasion sont pleinement atteints. 115.En considérant l'ensemble de ces facteurs susmentionnés, le montant de 6.000 EUR est dissuasif tout en restant proportionné à la taille de l’entité concernée. III.2.1.2.7. Conclusion 116. Au vu de l’analyse détaillée des critères énoncés à l’article 83.2 du RGPD, la Chambre Contentieuse considère qu’il est justifié en l’espèce d’imposer une sanction administrative d’un montant de 6.000 EUR en raison du non-respect de l’injonction reprise dans la décision 172/2022. IV. Publication de la décision 117. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site internet de l’Autorité de protection des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l’Autorité de protection des données décide, après délibération : - En vertu de l’article 58.2.i) du RGPD et de l’article 100§1, 13° de la LCA, lu conjointement avec l’article 101 de la LCA, imposer une amende administrative d’un montant de 6000 EUR à la défenderesse pour le non-respect de l’injonction prononcée dans la décision 172/2022. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire33. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.34, ou via le système d'information e-Deposit du Service Public Fédéral Justice (article 32ter du C. jud.). (sé) Hielke HUMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250424.1 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250911.3 ECLI:BE:GBAPD:2025:AVIS.20250911.4