ECLI:BE:GBAPD:2024:DEC.20241011.1

Chambre Contentieuse Décision quant au fond 131/2024 du 11 octobre 2024 Numéro de dossier : DOS-2023-03283 Objet : Plainte relative à la bannière cookies présente sur le site Internet de RTL Belgium La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président, et de messieurs Christophe Boeraeve et Jelle Stassijns, membres; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ; Vu les pièces du dossier ; A pris la décision suivante concernant : La plaignante : X, représentée par noyb – European Center for Digital Rights, situé à Goldschlagstraße 172/4/3/2, 1140 – Vienne (AT), inscrite en Autriche sous le numéro d’entreprise ZVR 1354838270, ci-après « la plaignante » La défenderesse : RTL Belgium, dont le siège social est établi à Avenue Jacques Georgin, 2 – 1030 Schaerbeek, inscrite sous le numéro d'entreprise 0428.201.847, représentée par Laurence V., ci-après « la défenderesse » I. Faits et procédure 1. Le 19 juillet 2023, la plaignante introduit une plainte auprès de l’Autorité de protection des données contre la défenderesse. La Chambre Contentieuse tient bien compte du fait que le formulaire de plainte est daté au 18 juillet 2023, toutefois il a été déposé auprès de l’APD dans la nuit du 18 juillet 2023 au 19 juillet 2023, partant c’est bien cette dernière date qui doit être retenue comme celle de l’introduction formelle de la plainte. 2. L’objet de la plainte porte sur plusieurs éléments relatifs à la bannière de cookies présente sur le site Internet de la défenderesse. Ceux-ci contreviendraient aux principes du RGPD et de la Loi-cadre. 3. Le 10 février 2023, la plaignante visite le site Internet de la défenderesse dans le cadre d’un projet initié avec l’un de ses collègues au cours de son stage chez noyb. Elle précise qu’elle a pris cette initiative afin de vérifier si certains sites Internet – dont celui de la défenderesse – appartenant à de grands groupes de presse belges ayant autrefois fait l’objet d’une transaction avec l’APD sont conformes au RGPD. Lors de cette visite, la plaignante et son collègue identifient de potentielles atteintes au RGPD. Suite à ce constat, la plaignante prend un fichier HAR pour documenter ces potentielles violations. Entre-temps, elle mandate noyb, principalement pour obtenir une assistance technique, n'étant pas en mesure de préparer elle-même le fichier HAR. Par la suite, la plaignante prépare une plainte, dont les griefs, identiques aux arguments soulevés dans ses conclusions, seront développés au point 16. Dans le cadre de son mandat, noyb relit et corrige la plainte préparée par la plaignante. Il convient de noter une certaine ambiguïté dans les déclarations de la plaignante concernant la préparation de la plainte, celle-ci ayant également mentionné que noyb avait préparé la plainte et qu'elle en avait simplement rédigé une partie et relu le reste. 4. Le 4 août 2023, le Service de Première Ligne (ci-après le « SPL ») demande à noyb de l’informer quant à l’intérêt à agir de la plaignante. 5. Le 25 août 2023, la plainte est déclarée recevable par le SPL sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 6. Le 1er septembre 2023, noyb répond au SPL que la plaignante démontre d’un intérêt à agir dès lors qu’elle est une personne concernée, ses données à caractère personnel ayant été traitées après avoir consenti au dépôt de cookies sur le site Internet de la défenderesse. Le traitement de ces données étant considéré par elle-même et noyb comme étant illicite, la plaignante considère que ses droits ont été affectés. Elle s’appuie à cet égard sur des annexes. En tout état de cause, noyb déclare que la démonstration d’un intérêt à agir dans le chef de la plaignante ne constitue nullement une condition de recevabilité de la plainte. 7. Le 20 octobre 2023, la Chambre Contentieuse propose une transaction – préalablement communiquée à la plaignante – à la défenderesse. 8. Le 27 novembre 2023, la défenderesse ne considère pas les termes de la transaction acceptables, et demande dès lors une réévaluation de celle-ci. Elle ne se dit pas opposée à une nouvelle proposition de transaction. 9. Le 1er décembre 2023, la Chambre Contentieuse répond qu’elle procédera au retrait de la proposition de transaction sauf l’apport d’éléments déterminants avant le 6 décembre 2023. 10. Le 18 décembre 2023, la Chambre Contentieuse procède formellement au retrait de la proposition de transaction. 11. Le 5 février 2024, la Chambre Contentieuse décide, en vertu de l’article 95, §1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. À cette même date, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, §2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date limite pour la réception des conclusions en réponse de la défenderesse a été fixée au 18 mars 2024, celle pour les conclusions en réplique de la plaignante au 8 avril 2024 et celle pour les conclusions en duplique de la défenderesse au 29 avril 2024. 12. Le 8 février 2024, la défenderesse accepte de recevoir toutes les communications relatives à l’affaire par voie électronique, et manifeste son intention de recourir à la possibilité d’être entendue, ce conformément à l’article 98 de la LCA. Elle sollicite par le même courriel une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 19 février 2024. 13. Le 9 février 2024, la plaignante accepte de recevoir toutes les communications relatives à l'affaire par voie électronique. Elle sollicite par le même courriel une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 19 février 2024. Aussi, elle demande à ce que la procédure se poursuive en néerlandais. 14. Le 19 février 2024, la Chambre Contentieuse décide de maintenir la langue de la procédure en français en ce que la plainte a été déposée en français, que le site Internet de la défenderesse à l’encontre duquel les griefs sont dirigés est francophone et que la plaignante ne justifie pas d’autre élément en faveur d’un changement de langue pour la suite de la procédure. En outre, eu égard au temps pris pour communiquer le dossier administratif aux parties, la Chambre Contentieuse décide de prolonger les délais d’échanges de conclusions. La nouvelle date limite pour la réception des conclusions en réponse de la défenderesse est désormais fixée au 25 mars 2024, celle pour les conclusions en réplique de la plaignante au 15 avril 2024 et celle pour les conclusions en duplique de la défenderesse au 6 mai 2024. 15. Le 25 mars 2024, la Chambre Contentieuse reçoit les conclusions en réponse de la part de la défenderesse. La défenderesse ayant déposé des conclusions additionnelles et de synthèse, le contenu des conclusions en réponse est résumé au point 17. 16. Le 15 avril 2024, la Chambre Contentieuse reçoit les conclusions en réplique de la part de la plaignante leur contenu peut être résumé comme suit : • Concernant l’admissibilité et la recevabilité de la plainte, la plaignante conclut comme suit : o L’article 220, §2, 1° de la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements des données à caractère personnel (ci-après la « Loi-cadre ») doit être écarté par l’APD en ce qu’il viole l’article 80.1 du RGPD. La plaignante considère que l’article 26, §4 de la Loi spéciale du 6 janvier 1989 sur la Cour constitutionnelle (ci-après « la Loi spéciale ») n’est pas applicable en l’espèce étant entendu que l’APD n’est pas une juridiction de l’ordre judiciaire, et que partant elle ne doit pas poser de question préjudicielle avant d’écarter la disposition susmentionnée de la Loi-cadre. En outre, elle ajoute que même si l’article 26, §4 de la Loi spéciale était applicable dans la présente procédure, cela ne constituerait tout de même pas un obstacle à l’écartement de l’article 220, §2, 1° de la Loi-cadre étant entendu que la primauté du droit européen est absolue. Elle s’appuie à cet égard sur des arrêts de la Cour de justice de l’Union européenne (ci-après « CJUE ») ; o Il ne saurait être reproché au mandat de ne pas être assez précis en ce que, d’une part, les termes du mandat permettent de déterminer ce pour quoi noyb est habilité à agir, et, d’autre part, l’article 1984 du Code civil n’exige pas qu’un mandat soit rédigé en termes plus spécifiques que le mandat dans le cas de l’espèce ; o La plainte est recevable étant entendu qu’elle a été signée par le président du conseil d’administration de noyb conformément à l’article 58 de la LCA. À cet égard, la plaignante soutient en effet que l’article susmentionné ne précise pas que la plainte doit être signée spécifiquement par le plaignant, et laisse ainsi la possibilité au représentant d’un plaignant de la signer. En outre, la plaignante relève que la signature de la plainte ne constitue pas un motif de recevabilité au sens de l’article 60 de la LCA et que son absence ne peut dès lors entraîner l’irrecevabilité ou le rejet de la plainte ; o La plaignante est valablement représentée par noyb au sens de l’article 80.1 du RGPD. Le fait que la plaignante ait réalisé un stage au sein de noyb n’altère Décision quant au fond pas ce constat. La plaignante s’appuie notamment sur un arrêt de la CJUE dans lequel cette dernière reconnaît qu’un plaignant, qui avait pourtant un lien de subordination avec noyb, est valablement représenté par ce dernier. • Concernant le fond de l’affaire, la plaignante conclut comme suit : o Violation de type 1 : la défenderesse s’est rendu coupable d’un manquement aux articles 5.1.a), 6.1.a) et 7.1 du RGPD, ainsi qu’à l’article 5.3 de la Directive ePrivacy et à l’article 10/2 de la Loi-cadre en ne présentant pas les options « Tout accepter » et « Tout refuser » au même niveau d’informations sur sa bannière cookies. La bannière cookies présente un bouton « Accepter et fermer », et un bouton « En savoir plus ». Il n’y a cependant pas de bouton permettant de refuser l’installation de tous les cookies. L’exigence d’une apparition au même niveau d’informations des boutons permettant d’accepter ou de refuser les cookies découle notamment des guidelines de l’EDPB et de l’avis de la majorité des autorités de contrôle ; o Violation de type 2 : la défenderesse s’est rendu coupable d’un manquement aux articles 5.1.a), 6.1.a) et 7.1 du RGPD, ainsi qu’à l’article 5.3 de la Directive ePrivacy et à l’article 10/2 de la Loi-cadre en faisant, dans sa bannière cookies, un usage trompeur des couleurs de ses boutons. Le bouton permettant d’accepter l’installation des cookies est revêtue d’une couleur frappante, tandis, que le bouton « Plus d’informations » est de la même couleur que le fond de la bannière cookies o Violation de type 3 : la défenderesse s’est rendu coupable d’un manquement aux articles 5.1.a), 17.1.b) du RGPD, ainsi qu’à l’article 5.3 de la Directive ePrivacy et à l’article 10/2 de la Loi-cadre en ce qu’elle ne permet pas un retrait du consentement aussi simple que son octroi concernant le dépôt des cookies. Si l’octroi du consentement ne nécessite qu’un clic – ou deux le cas échéant –, il en va autrement pour le retrait du consentement qui en requiert davantage. De plus, le retrait du consentement demande à se rendre dans une section spécifique du site Internet de RTL. 17. Le 6 mai 2024, la Chambre Contentieuse reçoit les conclusions additionnelles et de synthèse de la part de la défenderesse. Leur contenu peut être résumé comme suit : • Concernant l’admissibilité et la recevabilité de la plainte, la défenderesse conclut comme suit : o La plainte n’est pas recevable étant entendu que noyb, mandaté par la plaignante, ne serait pas valablement constitué en vertu de l’article 220, §2, 1° de la Loi-cadre en ce que noyb ne serait pas un organe ou une association sans but lucratif valablement constitué conformément au droit belge. Consciente des doutes qui subsistent quant à la compatibilité entre cette disposition et l’article 80.1, elle déclare néanmoins que la disposition belge ne saurait être écartée sans que la Cour constitutionnelle se soit exprimée à ce sujet après avoir été saisie d’une question préjudicielle (art. 26, §4 de la Loi spéciale). Partant, si la Chambre Contentieuse prévoit d’écarter l’article 220, §2, 1° de la Loi-cadre, elle doit poser une question préjudicielle à la Cour constitutionnelle en vertu de l’article 26, §4 de la Loi spéciale. À cet égard, la défenderesse fait remarquer que la disposition précitée de la Loi spéciale s’applique bien à la Chambre Contentieuse ; o Le mandat de la plaignante est invalide en ce qu’il n’est pas défini avec suffisamment de précision. La défenderesse s’appuie notamment sur un arrêt de la Cour de cassation dans lequel un mandat – similaire à celui dans le cas de l’espèce selon la défenderesse – a été sanctionné pour faute de précision. La défenderesse souligne en outre des contradictions, telles le fait que le signataire du mandat n’est pas le même que celui de la plainte, le fait que le mandat ne fasse pas référence à l’article 80.1 du RGPD, et le fait que le mandat indique que noyb est mandaté pour agir devant l’APD, mais qu’il peut aussi décider unilatéralement des actions judiciaires et extrajudiciaires qu’il juge opportunes ; o Elle considère que la plainte doit être déclarée irrecevable étant entendu qu’elle n’a pas été signée par la plaignante, mais par le président du conseil d’administration de noyb. La défenderesse souligne qu’au-dessus de la signature du président du conseil d’administration de noyb figure la mention « Pour noyb ». Cela indique, selon la défenderesse, que la plainte est ainsi déposée au nom et pour le compte de noyb, alors qu’il aurait fallu que cela soit fait au nom et pour le compte de la plaignante. Bien qu’elle reconnaisse qu’un tiers puisse déposer plainte pour un plaignant, elle relève qu’il faut tout de même démontrer d’un intérêt à agir suffisant, ce que ne parvient pas à faire noyb selon elle. En tout état de cause, elle considère la signature, contrairement à la plaignante, comme étant une condition de recevabilité étant entendu que l’article 58 de la LCA, qui la consacre, est présenté dans la loi sous la section « Saisine et recevabilité d’une plainte ou d’une requête » ; o La défenderesse considère que noyb agit en tant que plaignant et non en tant que mandataire. noyb ne démontre pas d’un intérêt à agir suffisant dès lors que ses revendications, dans le cadre de l’affaire, ne visent pas à défendre les intérêt concrets de la plaignante, mais rejoignent plutôt la défense de ses intérêts publics. La défenderesse ajoute que noyb ne fait que très peu référence à la plaignante, et que le fait d’engager des stagiaires destinés à rechercher activement des infractions au RGPD fait partie de son business model. • Concernant le fond de l’affaire, la défenderesse conclut comme suit : o Violation de type 1 : la défenderesse ne s’est pas rendu coupable des manquements allégués. En premier lieu, ni le RGPD ni la Loi-cadre n’exigent la mise en place d’un bouton permettant de refuser tous les cookies au premier niveau d’information de la bannière cookies. Ensuite, les lignes directrices du Comité européen de la protection des données (ci-après « CEPD ») et les avis des autorités de contrôle constituent du soft law, et ne revêtent dès lors pas de caractère contraignant. Aussi, la défenderesse allègue que sa bannière cookies présente les boutons « Tout accepter » et « Tout refuser » sur le même niveau. o Violation de type 2 : la défenderesse ne s’est pas rendu coupable des manquements allégués. Tout d’abord, ni le RGPD ni la loi-cadre n’exigent que les boutons permettant d’accepter ou refuser les cookies soient d’une couleur identique. Par ailleurs, les couleurs choisies en l’espèce ne constituent que l’expression d’une liberté artistique, reflétant l’identité visuelle de la marque. De surcroît, les couleurs choisies permettent une expérience davantage cohérente et plaisante esthétiquement pour les utilisateurs. Elle considère en outre que l’emploi de couleurs distinctes peut notamment améliorer la lisibilité et l’accessibilité aux informations pour les personnes ayant des difficultés oculaires. Enfin, elle considère que noyb n’explique pas dans quelle mesure les couleurs utilisées par elle-même peuvent « tromper manifestement » les utilisateurs lorsqu’ils sont confrontés à la bannière cookies. o Violation de type 3 : la défenderesse ne s’est pas rendu coupable des manquements allégués étant entendu que par le biais de la section « Gérer les cookies » situées sur son site Internet, l’utilisateur peut à tout moment retirer son consentement concernant le dépôt des cookies. Elle cite à cet égard un extrait de la décision 36/2024 de la Chambre Contentieuse tel que suit : « En outre, la bannière cookie peut aisément être rappelée en vue de modifier les paramètres des cookies, au moyen d’une adresse URL en bas de page, intitulée « Manage cookies » ». Enfin, elle déclare ne connaître aucune autorité de contrôle recommandant la procédure décrite par noyb qui consisterait en la mise en place d’un bouton flottant, visible en permanence, et permettant de retirer à tout moment le consentement. 18. Le 20 juin 2024, les parties sont informées du fait que l'audition aura lieu le 1er juillet 2024. 19. Le 1er juillet 2024, les parties sont entendues par la Chambre Contentieuse. 20. Le 8 juillet 2024, le procès-verbal de l’audition est soumis aux parties. 21. Le 12 juillet 2024, la Chambre Contentieuse reçoit de la part de la partie plaignante quelques remarques relatives au procès-verbal, lesquelles sont annexées à celui-ci conformément à l’article 54 alinéa 2 du Règlement d’ordre intérieur. 22. Le 17 juillet 2024, la Chambre Contentieuse reçoit de la part de la défenderesse quelques remarques relatives au procès-verbal, lesquelles sont annexées à celui-ci conformément à l’article 54 alinéa 2 du Règlement d’ordre intérieur. II. Motivation II.1. Quant à la procédure 23. Lors de l’audition qui s’est tenue le 1er juillet 2024, la défenderesse a formulé deux remarques préliminaires auxquelles il s’impose de répondre. Elle soulève en effet auprès de la Chambre Contentieuse (i) qu’une procédure partageant quelques similarités avec la présente affaire est pendante auprès de la Cour des marchés 2. Dans cette procédure, une proposition de transaction avait été soumise à un responsable de traitement, laquelle a été retirée unilatéralement par la Chambre Contentieuse. Le responsable de traitement a dès lors fait appel auprès de la Cour des marchés, contestant ainsi le retrait unilatéral de la proposition de transaction par la Chambre Contentieuse. La défenderesse demande ainsi s’il ne serait pas opportun de suspendre la présente procédure jusqu’à ce que la Cour des marchés rende son arrêt. (ii) En outre, la défenderesse fait remarquer à la Chambre Contentieuse que la plaignante a exercé en tant qu’avocate au sein du cabinet d’avocats qui a représenté l’APD auprès de la Cour des marchés dans l’affaire citée précédemment. Elle considère que ceci pourrait suggérer d’un éventuel conflit d’intérêts ou d’une éventuelle atteinte au principe d’impartialité – tant dans sa dimension subjective qu’objective. (i) Quant à la remarque relative à la procédure pendante auprès de la Cour des marchés 24. La Chambre Contentieuse, tel qu’elle avait répondu au moment de l’audition, souligne que la procédure pendante auprès de la Cour des marchés n’est pas comparable à la présente affaire. En effet, si la procédure auprès de la Cour des marchés à laquelle la défenderesse fait référence concerne une proposition de transaction qui a été retirée unilatéralement par la Chambre Contentieuse et qui a été contestée par la partie à laquelle la proposition avait été soumise, il convient de noter que dans la présente affaire la défenderesse a refusé les termes de la proposition de transaction qui lui a été proposée. Lorsque la Chambre Contentieuse a informé la défenderesse qu’elle procèderait au retrait de la proposition, la défenderesse ne s’est pas opposée. Dès lors, il n’existe formellement plus de proposition de transaction dans la présente affaire, et la procédure se poursuit valablement par un examen quant au fond du dossier. (ii) Quant à l’éventuel conflit d’intérêts ou l’éventuelle atteinte au principe d’impartialité 25. Bien que le principe d’impartialité s’applique aux autorités administratives, en ce compris à la Chambre Contentieuse, il convient de relever que selon une jurisprudence constante du Conseil d’état : « le principe général d’impartialité doit être appliqué à tout organe de l’administration active. Il suffit qu’une apparence de partialité ait pu susciter chez le requérant un doute légitime quant à l’aptitude à aborder sa cause en toute impartialité. Cependant, ce principe ne s’applique que dans la mesure où il se concilie avec la nature spécifique, et notamment avec la structure de l’administration active. Par ailleurs, l’impartialité d’un organe collégial ne peut être mise en cause que si, d’une part, des faits précis qui font planer des soupçons de partialité sur un ou plusieurs membres de ce collège peuvent être légalement constatés et que, d’autre part, il ressort des circonstances que la partialité de ce ou de ces membres a pu influencer l’ensemble du collège. Il appartient à celui qui allègue que l’autorité n’a pas agi avec indépendance, impartialité et minutie d’en apporter la preuve »3 . 26. Il revient dès lors à la partie qui invoque la méconnaissance du principe d’impartialité d’apporter la preuve de faits précis dont il faudrait conclure que le principe d’impartialité a été méconnu. 27. L’on distingue l’impartialité objective de l’impartialité subjective. 28. La Chambre Contentieuse souligne, en premier lieu, que le cabinet d’avocats concerné a été sélectionné au terme d’un marché public (in tempore non suspecto), et doit donc respecter les principes d’égalité, de non-discrimination, de transparence et de proportionnalité à l’égard de tous les soumissionnaires, ainsi que se fonder sur des critères d’attribution objectifs. En outre, la plaignante agit en tant que personne concernée, et ce en dehors de tout lien avec sa profession d’avocate, exercée autrefois pour le cabinet d’avocats concerné. Dès lors que la défenderesse n’apporte pas davantage d’éléments permettant de démontrer que la Chambre Contentieuse aurait donné l’apparence de partialité, la Chambre Contentieuse ne saurait conclure avoir manqué au principe d’impartialité objective. 29. Ensuite, la Chambre Contentieuse relève que la défenderesse n’apporte pas d’éléments exprimant en quoi elle aurait pu agir selon un parti pris, ou encore qu’elle aurait pu, par exemple, intervenir dans le cadre de la présente procédure d’une manière portant atteinte à l’objectivité des débats4. En définitive, la défenderesse n’apporte de preuve des agissements concrets de la Chambre Contentieuse qui permettraient de conclure que cette dernière a agi avec partialité. 30. Par voie de conclusion, la Chambre Contentieuse considère qu’il n’y a pas de risque de conflit d’intérêts dans le cas de l’espèce et qu’elle n’a pas manqué au principe d’impartialité, que ce soit dans sa dimension objective ou subjective. II.2. Quant à l’admissibilité et la recevabilité de la plainte II.2.1. Quant à la constitution de noyb 31. L’article 80.1 du RGPD dispose que « la personne concernée a le droit de mandater un organisme, une organisation ou une association à but non lucratif, qui a été valablement constitué conformément au droit d'un État membre, dont les objectifs statutaires sont d'intérêt public et est actif dans le domaine de la protection des droits et libertés des personnes concernées dans le cadre de la protection des données à caractère personnel les concernant, pour qu'il introduise une réclamation en son nom, exerce en son nom les droits visés aux articles 77, 78 et 79 et exerce en son nom le droit d'obtenir réparation visé à l'article 82 lorsque le droit d'un État membre le prévoit. »5. 32. L’article 220, §2 de la Loi-cadre précise que : « § 2. Dans les litiges prévus au paragraphe 1er, un organe, une organisation ou une association sans but lucratif doit : 1° être valablement constituée conformément au droit belge; 2° avoir la personnalité juridique6; 3° avoir des objectifs statutaires d'intérêt public; 4° être actif dans le domaine de la protection des droits et libertés des personnes concernées dans le cadre de la protection des données à caractère personnel depuis au moins trois ans. § 3. L'organe, l'organisation ou l'association sans but lucratif fournit la preuve, par la présentation de ses rapports d'activités ou de toute autre pièce, que son activité est effective depuis au moins trois ans, qu'elle correspond à son objet social et que cette activité est en relation avec la protection de données à caractère personnel ». 33. La Chambre Contentieuse a déjà eu l’occasion d’émettre des doutes quant à la compatibilité de certains aspects de la disposition belge avec celle du RGPD7. 34. La primauté du droit européen implique l’écartement de toute disposition nationale qui ne saurait faire l’objet d’une interprétation conforme à une norme de droit européen – cet écartement constituant un devoir pour tous les organes de l’État, en ce compris les autorités judiciaires et administratives chargées d’appliquer le droit européen dans le cadre de leurs compétences respectives8. 35. S’il existe des raisons de croire qu’une loi – entendue au sens de l’article 22 de la Constitution – violerait « un droit fondamental garanti de manière totalement ou partiellement analogue par une disposition du titre II de la Constitution ainsi que par une disposition de droit européen […] »9, il incombe alors à la juridiction devant laquelle cette situation se manifeste de poser une question préjudicielle à la Cour constitutionnelle. 36. La CJUE a jugé10 qu’une procédure incidente de contrôle de constitutionnalité des lois nationales respecte le droit de l’Union, pourvu que cette procédure respecte 4 conditions, lesquelles suivent : - Les autres juridictions nationales restent libres « de saisir, à tout moment de la procédure qu’elles jugent approprié, et même à l’issue de la procédure incidente de contrôle de constitutionnalité, la Cour de toute question préjudicielle qu’elles jugent nécessaire » ; - Les autres juridictions nationales restent libres « d’adopter toute mesure nécessaire afin d’assurer la protection juridictionnelle provisoire des droits conférés par l’ordre juridique de l’Union » ; - Les autres juridictions nationales restent libres « de laisser inappliquée, à l’issue d’une telle procédure incidente, la disposition législative nationale en cause si elles la jugent contraire au droit de l’Union » ; - « Il appartient à la juridiction de renvoi de vérifier si la législation nationale en cause au principal peut être interprétée conformément à ces exigences du droit de l’Union ». 37. La Chambre Contentieuse relève que le législateur spécial a délimité le champ d’application de l’article 26, §4 de la Loi spéciale aux seules juridictions ordinaires et administratives 11. 38. Or, la Chambre Contentieuse n’est pas du ressort du pouvoir judiciaire – elle est en effet une autorité administrative12. 39. Par conséquent, l’article 26, §4 de la Loi spéciale ne s’applique pas à la Chambre Contentieuse, et cette dernière n’a de surcroît ni l’obligation, ni la possibilité de poser une question préjudicielle à la Cour constitutionnelle 13. 40. Étant entendu qu’il n’existe nulle autre procédure incidente de contrôle de constitutionnalité, la Chambre Contentieuse doit directement faire tout ce qui est nécessaire afin de donner leur plein effet aux normes de droit européen qu’elle doit appliquer dans le cadre de ses compétences – à savoir l’article 80.1 du RGPD en ce qui concerne la présente affaire. 41. Dans le prolongement de ce qui a été exposé au point 33, la Chambre Contentieuse affirme que l’article 220, §2, 1° de la Loi-cadre est contraire à la disposition précitée du RGPD étant entendu qu’elle restreint le champ d’application de cette dernière, de sorte qu’elles sont ainsi inconciliables. 42. Par conséquent, il convient d’écarter l’application de l’article 220, §2, 1° de la Loi-cadre. II.2.2. Validité du mandat 43. Concernant le mandat de représentation, la Chambre Contentieuse constate que celui-ci fait mention des données de la mandante et du mandataire, et que la première mandate le second à la représenter auprès de l’APD et à adopter toute action nécessaire en vue de faire respecter ses droits concernant la collecte et le traitement de ses données sur le site internet de la défenderesse. La Chambre Contentieuse ajoute que, dans les annexes au formulaire de plainte, le mandat est intitulé comme suit : « Pièce 1 – Convention de représentation en vertu de l’article 80(1) RGPD ». 44. Tout d’abord, concernant ce dernier élément, la Chambre Contentieuse ne peut rejoindre le raisonnement de la défenderesse lorsque cette dernière affirme que noyb a tenté de « camoufler » l’absence de référence à l’article 80.1 du RGPD du corps du mandat. D’une part, noyb affirme que cette mention figurait déjà au moment de la signature du mandat. D’autre part, la Chambre Contentieuse relève que la validité du mandat doit, le cas échéant, être examinée au moment du dépôt de la plainte. Partant, il n’apparaît pas vraisemblable que noyb ait cherché à « camoufler » l’absence de référence à l’article 80.1 du RGPD – dans la stricte mesure où l’absence de référence 80.1 du RGPD entraînerait l’invalidité du mandat – étant entendu qu’il eut été suffisant de refaire le mandat. Par conséquent, il convient de lire le mandat à la lumière de son intitulé en tant qu’annexe. Lu ainsi, il ne fait aucun doute que le mandat a été conclu dans le cadre de l’article 80.1 du RGPD. 45. Ensuite, concernant les éventuelles contradictions du mandat que la défenderesse relève, la Chambre Contentieuse rappelle qu’elle ne pourrait apprécier le mandat de manière trop restrictive. En tant qu’autorité administrative, la Chambre Contentieuse contrôle la bonne exécution du RGPD. À ce titre, elle est habilitée à adopter l’une ou plusieurs des sanctions listées aux articles 95, §1er ou 100, §1er de la LCA – et ceci en vue, notamment, de protéger les droits fondamentaux des personnes concernées. Le mandat, tel qu’il apparaît dans les pièces du dossier, permet de déterminer les parties à ce contrat, le responsable du traitement contre lequel la plaignante adresse ses griefs, l’autorité de contrôle auprès de laquelle il est prévu de déposer plainte et une référence à l’article 80.1 du RGPD dans le cadre duquel le mandat est adopté. Ces éléments permettent de justifier les actions que noyb entreprend au nom et pour le compte de la plaignante auprès de l’APD. L’imposition de davantage de conditions au mandat porterait atteinte au devoir de contrôle qui incombe à la Chambre Contentieuse, mais aussi aux droits des personnes concernées. À toutes fins utiles, la Chambre Contentieuse précise que les éléments du mandat cités ci-avant ne sauraient pas être interprétés comme fixant un quelconque seuil minimal. 46. Enfin, et en tout état de cause, la Chambre Contentieuse relève que l’article 17 du Code judiciaire ne s’applique pas à la Chambre Contentieuse, cette dernière étant une autorité administrative tel que cela a été exposé au point 38. II.2.3. Le défaut de signature de la plainte 47. L’article 58 de la LCA prévoit que « Toute personne peut déposer une plainte ou une requête écrite, datée et signée auprès de l'Autorité de protection des données. ». 48. L’article 60 de la même Loi dispose que, dans le cadre de l’examen de la recevabilité des plaintes qu’il reçoit, le SPL vérifie que la plainte est « rédigée dans l’une des langues nationales », qu’elle « contient un exposé des faits et les indications nécessaires pour identifier le traitement sur lequel elle porte », et que la plainte « relève de la compétence de l’Autorité de protection des données. ». 49. Contrairement à ce que soutient noyb, il ne faut pas lire ces deux dispositions séparément, mais bien ensemble. Ainsi, les conditions de forme prescrites par l’article 58 de la LCA sont également à prendre en compte dans l’examen de recevabilité visé à l’article 60 de la même Loi. 50. La Chambre Contentieuse relève que le formulaire de plainte a été signé par le président du conseil d’administration de noyb, avec la mention suivante : « Pour noyb ». 51. À cet égard, le législateur belge a précisé que la signature doit provenir de « la personne compétente en la matière »14, mais non pas nécessairement du plaignant. Ainsi, il doit être compris qu’à tout le moins le mandataire puisse signer le formulaire de plainte. Cela découle également de l’article 80.1 du RGPD, qui dispose que la personne concernée a le droit de mandater « un organisme, une organisation ou une association à but non lucratif […] pour qu’il introduise une réclamation en son nom, exerce en son nom les droits visés aux articles 77, 78 et 79 [du RGPD] ». 52. En tant que personne morale, noyb doit être représenté par l’un de ses membres dans les actes qu’elle pose. C’est ainsi que le président du conseil d’administration de noyb a signé le formulaire de plainte – dans l’exercice de cette fonction, laquelle l’habilite à de tels actes. 53. Il ne saurait être déduit de la mention « Pour noyb » que noyb agit en tant que plaignant, dès lors que cette mention vise précisément à engager la responsabilité de noyb, et non celle du président de conseil d’administration de noyb en sa qualité de personne physique. II.2.4. L’intérêt à agir 54. La Chambre Contentieuse n’ignore pas le contenu de sa décision 22/2024, toutefois il est nécessaire de relever les différences qui distinguent les faits issus de la décision susmentionnée, des faits issus de la présente décision. 55. Bien que les plaignantes partagent, dans l’une et l’autre décision, le fait d’avoir réalisé un stage chez noyb, et, dans ce cadre, d’avoir consulté des sites Internet qui ont, par la suite, motivé le dépôt d’une plainte auprès de l’APD, il ne doit pas être ignoré qu’à l’origine des faits examinés dans la décision 22/2024, noyb avait mis en place un plan de large envergure en vue de l’introduction de dizaines de plaintes contre de multiples responsables de traitement auprès de diverses autorités de contrôle – dont l’APD. De surcroît, la plaignante avait explicitement reconnu s’être vue attribué divers dossiers, parmi lesquels figurait le site internet de la défenderesse de la décision précitée. Ces éléments – associés à d’autres – ont amené la Chambre Contentieuse à considérer que le mandat conclu entre la plaignante et noyb était alors fictif. Toutefois, pareille conclusion ne saurait advenir dans la présente affaire. La plaignante – francophone – a en effet consulté le site Internet – francophone – de la défenderesse sur la base d’une initiative personnelle, laquelle ne s’inscrit pas de le cadre des autres projets coordonnés de noyb. Rien ne s’oppose en principe à ce que noyb puisse représenter l’un de ses employés ou stagiaires. 56. De surcroît, il ne saurait être établi de lien entre la présente plainte et les plaintes déposées contre les 15 sites Internet belges visés dans le communiqué de presse mois de juillet 2023 de noyb15. S’il ressort certes qu’une coordination manifeste a eu lieu dans une certaine mesure dans le cas de l’espèce, il n’est toutefois pas établi que cette coordination a pris place avant l’apparition des griefs de la plaignante. En tous les cas, les éléments de la présente affaire ne permettent pas d’établir que noyb ait exercé une quelconque pression sur la plaignante. 57. Dès lors, rien ne permet d’affirmer que le mandat revêt un caractère fictif 16. 58. Dans le cas de l’espèce, la relation entre la plaignante et noyb pourrait être schématisée telle que suit : VOIR PDF 16/33 64. Aussi, concernant le recueil et l’octroi du consentement en ligne, notons qu’il ne saurait être satisfait d’une lecture binaire. La Chambre Contentieuse entend qu’il convient d’examiner chaque situation au cas par cas, sur le fondement des modalités matérielles du recueil et de l’octroi du consentement. En outre, la Chambre Contentieuse souligne que le recueil et l’octroi du consentement en ligne revête certaines particularités. Internet a considérablement fait évoluer les pratiques, et accapare le temps de la majorité des citoyens, notamment des jeunes. Ainsi, s’instaure un consentement que l’on pourrait qualifier de routinier. Les internautes naviguent de site Internet en site Internet, de page en page, et sont dès lors confrontés à un large nombre de bannières cookies. Ce faisant, l’effet d’avertissement de la bannière cookies décroît, et les personnes concernées peuvent octroyer leur consentement par défaut, en raison de la lassitude ainsi provoquée17. Ce constat s’aggrave lorsque l’on y intègre le fait que des responsables de traitement mettent parfois en place un design incitant les internautes à accepter le dépôt de cookies. 65. Ces raisons imposent alors à la Chambre Contentieuse le devoir d’examiner avec la plus grande sensibilité la présente affaire. II.3.1. Quant à l’articulation du RGPD et de la Loi-cadre avec les lignes directrices 66. La Chambre Contentieuse entend ici répondre aux arguments formulés par la défenderesse à l’égard de la violation de type 1 (voir points 72 à 80, « Quant à l’absence de bouton « Tout refuser » au premier niveau de la bannière cookies ») et 2 (voir points 81 à 95, « Quant à l’usage trompeur de couleurs de boutons »), par lesquels la défenderesse fait valoir que ni le RGPD, ni la Loi-cadre n’imposent la mise en place d’un bouton « Tout refuser » au premier niveau de la bannière cookies ou l’usage de « boutons et de caractères de taille, importance et couleurs identiques »18. La défenderesse ajoute que les lignes directrices du CEPD et des autorités de contrôle ne revêtent aucune valeur contraignante en ce qu’elles constituent du droit souple (ou soft law en anglais). 67. Pour commencer, la Chambre Contentieuse rappelle que le RGPD, en tant que Règlement européen, est un acte juridique directement applicable dans l’ensemble des États membres. Ce faisant, le RGPD a une portée générale. Il ne saurait être attendu du législateur européen qu’en adoptant ce Règlement, il eut l’intention de définir en détails les modalités spécifiques de toutes les pratiques relatives à cet acte. Au contraire, il a édifié des règles générales et abstraites auxquelles doivent se conformer les personnes et entités visées. Les autorités de contrôle, notamment, doivent appliquer ces principes et règles à des cas concrets, ceux-ci prenant place dans la société numérique, dont les développements technologiques réalisés en son sein sont très rapides. C’est dans ce contexte que les autorités de contrôle doivent adopter des décisions qui soient adéquates et proportionnées. La pratique décisionnelle des autorités peut – et doit – de fait évoluer à la lumière des développements juridiques et technologiques. Le fait qu’une autorité soit amenée à faire évoluer sa pratique décisionnelle ne constitue nullement un obstacle à l’imposition de sanction, telle l’amende administrative par exemple. 68. De même, en adoptant la Loi-cadre, le législateur belge n’eut pas davantage l’intention de définir des modalités spécifiques à toutes les pratiques relatives à cette loi 19. 69. À cet égard, le RGPD, en son article 70.1.e, délègue spécifiquement au CEPD la mission « de publier des lignes directrices, des recommandations et des bonnes pratiques » sur toute question portant à son application, et ceci en vue d’en favoriser l’application cohérente. L’importance de cette cohérence est également rappelée aux articles 57.1.g et 70.1.u du RGPD. Il sera par ailleurs noté que l’article 57.1.d du RGPD confère la mission aux autorités de contrôle d’encourager la sensibilisation des responsables de traitement et des sous-traitants concernant les obligations qui leur incombent en vertu du RGPD. 70. De cette manière, s’il est certes exact de dire que les lignes directrices ainsi publiées ne revêtent pas de caractère contraignant en ce qu’elles constituent du droit souple, il serait à l’inverse erroné de leur nier tout effet juridique. Cette négation revient en fin de compte, et de manière implicite, à contester l’autorité du CEPD et des autorités de contrôle qui disposent pourtant de l’expertise adéquate afin d’assurer les tâches qui leur incombent et qui ont été rappelées au paragraphe ci-avant – bien que cela ne signifie pas que les parties à une affaire ne puissent pas contester l’interprétation juridique que fait le CEPD ou une autorité de contrôle du RGPD. 71. Par voie de conclusion, la Chambre Contentieuse rappelle que les lignes directrices du CEPD et des autorités de contrôle précisent les dispositions du RGPD, mais que c’est la violation de ces dernières – lesquelles font l’objet d’une application concrète à un cas spécifique – qui justifient l’imposition de mesures correctrices ou d’une sanction. II.3.2. Quant à l’absence de bouton « Tout refuser » au premier niveau de la bannière cookies 72. L’article 4.11 du RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Le considérant 42 du RGPD précise que « le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice. ». 73. L’article 5.1.a) du RGPD dispose que les données à caractère personnel doivent être traitées de manière « licite, loyale et transparente ». Pour être licite, le traitement doit se fonder sur le consentement de la personne concernée ou toute autre base de licéité figurant à l’article 6.1 du RGPD. 74. Par application de ces dispositions, il doit être conclu que pour chaque bannière cookies il doit être aussi simple de consentir au dépôt des cookies que d’y refuser. Partant, doivent figurer ensemble le bouton permettant d’accepter le dépôt des cookies et le bouton permettant de refuser le dépôt des cookies, et ce à chaque niveau de la bannière cookies dans lequel le bouton permettant d’accepter le dépôt des cookies apparaît. Autrement, le consentement alors recueilli ne saurait pas être considéré comme ayant été donné de façon libre et univoque. 75. La Chambre Contentieuse relève dans le cas de l’espèce qu’en ne présentant pas les boutons « Tout accepter » et « Tout refuser » au premier niveau de la bannière cookies – le premier bouton étant le seul présent –, la défenderesse rend non seulement moins visible aux personnes concernées la possibilité de refuser le dépôt de cookies, mais rend également matériellement plus difficile leur refus étant entendu qu’un plus grand nombre d’actions est requis. En ce sens, les personnes concernées – telle la plaignante – sont incitées à accepter le dépôt des cookies. 76. Le CEPD20 considère qu’un incitant n’est pas nécessairement contraire au RGPD. Il cite à titre d’exemple le cas où un responsable de traitement, octroyant des réductions générales à l’achat de vêtements et accessoires de mode, demande le consentement de la personne concernée à déposer des cookies afin de mieux cibler ses préférences. L’incitant de l’espèce est alors autorisé étant entendu que la personne concernée ne subirait aucun préjudice si elle était amenée à retirer son consentement. 77. Dans la présente affaire toutefois, l’incitant ne saurait être considéré comme étant autorisé ou valable. Celui-ci, contrairement à l’incitant présenté dans l’exemple ci-avant, n’offre aucun avantage à la personne concernée. Or, un choix libre implique que le bouton permettant de refuser le dépôt de tous les cookies soit proposé à un niveau au moins égal que celui permettant d’en accepter le dépôt 21. Par ailleurs, il convient de relever que la bannière cookies impose aux utilisateurs de faire un choix. Cela constitue une pratique problématique de « cookie wall »22. Par conséquent, le consentement octroyé au dépôt de cookies sur le site Internet de la défenderesse n’a pas été donné librement. 78. De surcroît, le consentement donné par la personne concernée ne saurait pas davantage être considéré comme ayant été donné de façon univoque. Effectivement, en ne portant pas à la connaissance de la plaignante la possibilité de rejeter le dépôt des cookies, il ne saurait être considéré que cette dernière ait pu consentir par un acte positif clair au dépôt des cookies. 79. Les constats établis dans les paragraphes ci-avant, portant sur le premier niveau de la bannière cookies, ne sont pas altérés par le fait qu’à d’autres niveaux du site Internet de la défenderesse les boutons « Tout accepter » et « Tout refuser » soient présentés ensemble. Exiger d’un responsable de traitement de rendre aussi simple le fait de refuser le dépôt de cookies que le fait de l’accepter constitue une application concrète des conditions de validité du consentement tel que défini par l’article 6.1.a) du RGPD. La vérification de la validité du consentement doit alors porter au moment où le consentement est effectivement octroyé – ou non23. Étant entendu que la plaignante a consenti au dépôt des cookies au premier niveau de la bannière cookies, il faut de fait ne retenir la validité du consentement recueilli qu’à ce niveau-ci. Cela est d’autant plus vrai que, par définition, les personnes concernées sont d’abord confrontées au premier niveau de la bannière cookies. En outre, la Chambre Contentieuse rappelle qu’il incombe au responsable de traitement de démontrer avoir recueilli le consentement de la personne concernée en vertu de l’article 7.1 du RGPD. 80. Par voie de conclusion, la Chambre Contentieuse constate que la défenderesse a violé l’article 6.1.a) du RGPD, ainsi que l’article 10/2 de la Loi-cadre. II.3.3. Quant à l’usage trompeur des couleurs de boutons 81. Concernant le premier argument de la défenderesse, concernant le fait que ni le RGPD et ni la Loi-cadre n’imposeraient aux responsables de traitement « d’utiliser des boutons et caractères de taille, importance et couleur identiques », la Chambre Contentieuse relève que c’est à tort que la défenderesse pense que la plaignante soutiendrait cette idée. Le grief dirigé à cet égard prétend que la bannière cookies revête une forme incitant les personnes concernées à cliquer sur le bouton « Accepter et fermer », de sorte que le consentement octroyé ne satisfait pas aux conditions prévues par le RGPD. Du reste, la Chambre Contentieuse renvoie les parties aux points 66 à 80. 82. Ensuite, la Chambre Contentieuse remarque que sur la bannière cookies de la défenderesse (voir ci-dessous) apparaissent trois couleurs. Le texte utilise une couleur de police blanche, et le fond de la bannière est de couleur bleue foncée. Le bouton « En savoir plus », lequel permet in fine de refuser le dépôt des cookies, revêt le même bleu que le fond, mais en est séparé par des bordures blanches. Le bouton « Accepter et fermer » est de couleur orange marquante. 83. Tel qu’exposé au point 72, le consentement doit avoir été donné de manière libre, spécifique, éclairée et univoque. Dans le prolongement de ce qui a été développé au point 71, le fait d’exiger d’un responsable de traitement que les couleurs de boutons utilisées ne soient pas de nature à diriger manifestement les utilisateurs vers le choix de consentir au dépôt des cookies constitue une exigence au respect du caractère notamment libre et univoque que doit revêtir le consentement entendu au sens de l’article 6.1 du RGPD. 84. En l’espèce, la Chambre Contentieuse est d’avis que l’usage des couleurs fait par la défenderesse est de nature à manifestement inciter les utilisateurs à cliquer sur le bouton « Accepter et fermer », en ce que le bouton se distingue particulièrement du reste de la bannière cookies, et que c’est ainsi sur ce bouton que va principalement graviter l’attention des utilisateurs. Partant, le consentement de la plaignante recueilli par la défenderesse concernant le dépôt des cookies n’est pas valable. 85. Tout d’abord, la Cour européenne des droits de l’homme définit la liberté d’expression artistique comme ce « qui permet de participer à l’échange public des informations et idées culturelles, politiques et sociales de toute sorte (voir, mutatis mutandis, l’arrêt Müller et autres c. Suisse du 24 mai 1988, série A n° 133, p. 19, § 27). Ceux qui créent, interprètent, diffusent ou exposent une œuvre d’art contribuent à l’échange d’idées et d’opinions indispensable à une société démocratique […] »24. 86. Ensuite, la Chambre Contentieuse rappelle que le droit à la protection de données est un droit fondamental. Le législateur européen a implémenté ce droit fondamental, notamment dans le RGPD et la Directive ePrivacy. Le choix que le législateur a fait, y compris concernant les conditions du consentement qu’il a soumis dans les textes législatives indiquent le seuil d’exigence que les responsables de traitement doivent respecter avant qu’ils puissent utiliser ce consentement pour le placement des cookies et le traitement ultérieur (art. 6.1.a du RGPD et 10/2 de la Loi-cadre). Le responsable de traitement dispose dans la mise en œuvre des conditions implémentées dans les bases législatives mentionnées ci-dessus d’une certaine marge de manœuvre ; toutefois, le responsable ne peut pas choisir les conditions du consentement. C’est le devoir de l’APD de faire respecter l’application du RGPD et de la directive ePrivacy. 87. Concernant la liberté d’expression artistique dont la défenderesse se prévaut, la Chambre Contentieuse relève que l’article 85.1 du RGPD prévoit que : « Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d'expression et d'information, y compris le traitement à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire. ». 88. Le considérant 153 du même Règlement précise à cet égard qu’une telle conciliation doit prendre lieu lorsqu’elle s’avère nécessaire. Il précise également qu’il convient d’interpréter largement les notions liées à cette liberté au regard de l’importance que revêt le droit à la liberté d’expression. 89. Le législateur belge a prévu à l’article 24 de la Loi-cadre des exceptions à l’application de certaines dispositions du RGPD pour les traitements à des fins journalistiques et à des fins d’expressions universitaire, artistique ou littéraire, telles que suivent : « § 1er. On entend par traitement de données à caractère personnel à des fins journalistiques la préparation, la collecte, la rédaction, la production, la diffusion ou l’archivage à des fins d’informer le public, à l’aide de tout média et où responsable du traitement s’impose des règles de déontologie journalistique. § 2. Les articles 7 à 10, 11.2, 13 à 16, 18 à 20 et 21.1 du Règlement ne s’appliquent pas aux traitements de données à caractère personnel effectués à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire. § 3. Les articles 30.4, 31, 33 et 36 du Règlement ne s’appliquent pas aux traitements à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire lorsque leur application compromettrait une publication en projet ou constituerait une mesure de contrôle préalable à la publication d’un article. § 4. Les articles 44 à 50 du Règlement ne s’appliquent pas aux transferts de données à caractère personnel effectués à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire vers des pays tiers ou à des organisations internationales dans la mesure où cela est nécessaire pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information. § 5. L’article 58 du Règlement ne s’applique pas aux traitements de données à caractère personnel effectués à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire lorsque son application fournirait des indications sur les sources d’information ou constituerait une mesure de contrôle préalable à la publication d’un article. » 90. En premier lieu, il convient de noter que les articles 5.1.a et 6.1 du RGPD ne font pas l’objet d’exemption concernant les traitements réalisés en vue des finalités visés au point 87. 91. Ensuite, la Chambre Contentieuse relève qu’il ressort du rapport sur le travail entrepris par la Cookie Banner TaskForce que, concernant les couleurs [et les contrastes], aucun modèle général de bannière ne pourrait être imposé aux responsables du traitement. Le même rapport expose en outre que l’examen de validité de la bannière cookies doit alors être procédé au cas par cas, en vue de vérifier si les couleurs ou contrastes utilisées ne dirigent pas d’une manière flagrante les utilisateurs vers un choix qui ne correspondrait pas à leurs préférences en matière de partage de données à caractère personnel 25. 92. Cela signifie que les responsables de traitement, dont la conformité au RGPD doit être appréciée au cas par cas, disposent d’une grande marge de manœuvre dans le choix des couleurs [et des contrastes] dans leur bannière cookies. Ils peuvent ainsi tout à fait y faire preuve de créativité, notamment pour y refléter leur identité de marque. Cette marge de manœuvre permet aussi aux responsables de traitement de pouvoir à la fois respecter les exigences qui leur incombent en vertu du RGPD et le respect des principes d’une conception inclusive par exemple. 93. En allant encore plus loin, la Chambre Contentieuse souligne qu’en l’espèce la défenderesse pourrait tout à fait maintenir les mêmes couleurs utilisées dans sa bannière cookies, pourvu qu’elle inverse la couleur utilisée pour le bouton permettant d’accepter le dépôt des cookies, et celle utilisée pour le bouton permettant, in fine, de les refuser. Tel que cela a été exposé au point 83, les responsables de traitement doivent veiller à ce que l’usage d’une couleur n'incite manifestement pas les utilisateurs à consentir au dépôt des cookies sur leur navigateur. En revanche, rien ne s’oppose à ce que les responsables de traitement fassent usage d’une couleur de bouton qui inciterait de la même manière les utilisateurs à refuser le dépôt des cookies. 94. En définitive, la défenderesse soutient à tort que les exigences auxquelles le choix des couleurs utilisées dans sa bannière cookies est soumis porteraient atteinte à sa liberté d’expression artistique, et à l’expérience cohérente et esthétiquement agréables dont elle souhaite faire bénéficier ses utilisateurs, en ce compris les personnes atteintes d’une déficience visuelle. 95. Pour les raisons exposées ci-avant, la Chambre Contentieuse conclut que la défenderesse a violé les articles 5.1.a) et 6.1.a) du RGPD, ainsi que l’article 10/2 de la Loi-cadre. II.3.4. Quant aux modalités de retrait du consentement 96. L’article 7.3 du RGPD dispose que « La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement. ». 97. Le CEPD précise que la violation de l’article 7.3 du RGPD entraîne la non-conformité du mécanisme de consentement du responsable de traitement 26. 98. Il ressort du rapport sur le travail entrepris par la Cookie Banner Taskforce 27 qu’il ne peut pas être imposé aux responsables de traitement un modèle spécifique de retrait du consentement, en ce compris la solution d’une bannière ou d’un bouton flottant (ou « hovering solution »). Il ressort en outre du même rapport qu’un lien situé à un endroit visible et standardisé constitue une solution adaptée au respect de l’article 7.3 du RGPD. 99. La Chambre Contentieuse ajoute que le devoir de donner la possibilité aux personnes concernées de retirer leur consentement aussi simplement que la manière avec laquelle ils l’octroient doit être mis en balance avec le confort d’usage des personnes concernées. Ce devoir ne devrait ainsi pas rendre l’expérience de navigation sur le site Internet d’un responsable de traitement pénible pour les utilisateurs – s’il en allait ainsi, cela s’avérerait alors déraisonnable. 100. En l’espèce, la Chambre Contentieuse constate que le site Internet de la défenderesse met à disposition des utilisateurs un bouton « Gérer les cookies » en bas de chacune de ses pages de navigation. À cet égard, la Chambre Contentieuse relève que ce bouton est raisonnablement accessible pour les utilisateurs. 101. De surcroît, au sein des options présentées dans le bouton « Gérer les cookies », figurent des boutons « Accepter tout » et « Tout refuser ». Les utilisateurs ont dès lors la possibilité de retirer leur consentement par le biais d’un seul bouton. 102. Le fait que le retrait du consentement ne s’opère pas selon les mêmes modalités utilisées que pour son recueil n’est ici pas un problème, puisqu’autrement les intérêts des utilisateurs (et de la plaignante plus spécifiquement) s’en verraient eux-mêmes affectés. 103. Par voie de conséquence, la Chambre Contentieuse décide de classer sans suite ce grief. III. Mesures correctrices et provisoires 104. Aux termes de l’article 100 de la LCA, la Chambre Contentieuse a le pouvoir de : 1° classer la plainte sans suite ; 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements et des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ; 7° ordonner que l'intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l'agréation des organismes de certification ; 12° donner des astreintes ; 13° donner des amendes administratives ; Décision quant au fond 131/2024 — 26/33 14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données. III.1. Ordonnance de mise en conformité 105. La Chambre Contentieuse considère approprié d’imposer deux injonctions de mise en conformité à la défenderesse, en vertu des manquements constatés. 106. Injonction 1 : la Chambre Contentieuse impose à la défenderesse l’ajout d’un bouton permettant clairement de refuser le dépôt des cookies en un seul clic, et ce au même niveau que le bouton permettant d’accepter le dépôt des cookies à chaque niveau de la bannière cookies dans lequel figure le bouton permettant d’accepter le dépôt des cookies. 107. Injonction 2 : la Chambre Contentieuse impose à la défenderesse l’usage de couleurs et contrastes qui ne sont pas manifestement trompeurs. Le bouton permettant clairement de refuser le dépôt des cookies doit ainsi faire l’objet d’un affichage au moins équivalent à celui qui permet de l’accepter. La Chambre Contentieuse précise que la défenderesse dispose toutefois de la possibilité de conserver les couleurs utilisées actuellement dans sa bannière cookies pourvu qu’elle inverse la couleur utilisée pour le bouton permettant de refuser le dépôt des cookies avec celui permettant de l’accepter ; elle la renvoie à cet égard au point 94. 108. À titre d’exemples, la Chambre Contentieuse insère ci-dessous une illustration issue de sa Check-list cookies28 et constituant une bonne pratique. Toutefois, la mise en œuvre de ces injonctions n’appartient qu’à la défenderesse. 109. Chacune de ces deux injonctions doit être satisfaite au plus tard le 45 ème jour suivant la notification à la défenderesse de la présente décision. Dans le même délai, la défenderesse communiquera à la Chambre Contentieuse ainsi qu’à la plaignante un document reflétant la manière avec laquelle s’est mise en conformité avec les deux injonctions prononcées. 110. En cas d’inaction – même apparente – suivant le 45ème jour suivant la notification à la défenderesse de la présente décision, la Chambre Contentieuse le notifie à la défenderesse. À compter de cette notification, l’astreinte est mise en œuvre. Celle-ci ne prendra fin qu’à compter de la notification de la Chambre Contentieuse par laquelle cette dernière reconnaît que la défenderesse a pleinement satisfait aux injonctions de l’espèce. III.2. Sanction accessoire : l’astreinte III.2.1. Considérations préliminaires 111. L’astreinte a ceci de particulier qu’elle est pleinement conditionnelle. Le montant à verser est en effet incertain. La défenderesse dispose d’abord d’un délai afin de se mettre en conformité ou pour faire appel de la décision. Ce n’est qu’en cas d’inexécution de sa part après un délai de 45 jours à compter de la notification de la présente décision que l’astreinte sera mise en œuvre. Partant, le montant de l’astreinte est variable, et il peut même être nul, le cas échéant. 112. L’astreinte se distingue ainsi de l’amende administrative en ceci qu’elle constitue un moyen d’exécution indirect de la ou les sanction(s) principale(s) en vue de se mettre en conformité avec le droit en vigueur, alors que l’amende administrative revête un caractère punitif. L’astreinte a donc aussi un caractère accessoire. L’astreinte et l’amende administrative s’éloignent ainsi tant par leur nature que par les objectifs qu’elles poursuivent. 113. Par un arrêt du 19 février 2020, la Cour des marchés a considéré ce qui suit : « Avant qu’une sanction ne lui soit imposée, le contrevenant doit être informé de la nature de la sanction envisagée et de son montant (dans le cas où une amende est envisagée). Le contrevenant doit être averti (afin d’éviter des sanctions inutiles) et disposer de la possibilité de se défendre sur le montant de l’amende proposée par la Chambre Contentieuse avant que la sanction ne soit effectivement imposée et mise en œuvre »29. 114. Par suite de cet arrêt, le président de la Chambre Contentieuse a alors considéré que l’envoi d’un formulaire de sanction s’imposait aussi lorsque la Chambre Contentieuse envisage l’imposition d’une astreinte30. 115. La position de la Chambre Contentieuse à cet égard est aujourd’hui tout autre, et considère ainsi qu’elle ne devrait pas communiquer à la défenderesse son intention d’infliger une astreinte, et ce pour la double-raison suivante : a) L’obligation d’envoyer un formulaire de sanction à la défenderesse avant que la décision ne soit prise prend sa source dans la jurisprudence de la Cour des marchés. C’est donc une obligation s’ajoutant au cadre juridique existant. Cette étape qui s’ajoute dans la procédure de la Chambre Contentieuse l’alourdit et l’étire dans le temps. Si la Chambre Contentieuse en reconnaît tous les avantages, elle note tout de même que cette obligation strictement nationale peut entraver l’application cohérente du RGPD entre les différentes autorités de contrôle. De cette manière, la Chambre Contentieuse considère qu’il convient d’interpréter de manière restrictive cette obligation, en privilégiant une interprétation qui n’entre pas en contradiction avec les objectifs que le législateur poursuivait en conférant leurs pouvoirs aux autorités de contrôle ; b) Tel que cela a été exposé au point 112, la nature de l’astreinte diffère fondamentalement de celle de l’amende administrative. L’astreinte est en effet une sanction accessoire, visant de surcroît à inciter la défenderesse à l’exécution de la sanction principale31. En ce sens, il est largement reconnu dans la doctrine que l’astreinte ne revête pas de caractère pénal 32. En conclusion, le choix d’imposer une astreinte relève de la libre appréciation la plus stricte de la Chambre Contentieuse, et ne saurait dès lors l’objet d’une contestation par une partie à l’affaire 33. Le législateur belge a délibérément pris le choix de conférer cette compétence d’imposer des astreintes à l’APD ; la volonté du législateur belge doit alors être reconnue et respectée. 116. Par ailleurs, la Chambre Contentieuse rappelle que ses décisions n’ont pas de valeur de précédent. Les politiques de la Chambre Contentieuse quant à elles n’ont pas de valeur contraignante. La Chambre Contentieuse reconnaît que la publication de ces politiques instaure une certaine confiance à l’égard du public, et s’attache en tout état de cause à communiquer de manière transparente avec celui-ci. Toutefois, cela ne peut pour autant pas constituer un obstacle aux développements des pratiques de la Chambre Contentieuse ainsi que du cadre légal mis en œuvre, lesquels sont essentiels. 117. À la lumière des raisons évoquées ci-avant, la Chambre Contentieuse use de la prérogative qui est la sienne d’imposer des astreintes à la défenderesse en l’espèce, et ne considère pas qu’elle doit en informer préalablement la défenderesse au moyen d’un formulaire de sanction. III.2.2. Modalités pratiques de l’astreinte 118. Afin de donner le temps nécessaire à la défenderesse de se conformer aux injonctions prononcées dans la présente décision, l’astreinte ne sera pas mise en œuvre directement à la suite de la notification de la présente décision à la défenderesse. 119. En l’espèce, la Chambre Contentieuse considère qu’un délai de 45 jours à compter de la notification de la présente décision est suffisant pour permettre à la défenderesse de se conformer auxdites injonctions. 120. Le délai court à partir du jour où la défenderesse reçoit le courrier recommandé la notifiant de la présente décision ou le jour de l’expiration du délai lors duquel la défenderesse est, le cas échéant, amenée à récupérer ledit courrier recommandé au bureau de poste. 121. Le lendemain de l’expiration de ce délai, la Chambre Contentieuse notifie la défenderesse : 1) Que cette dernière s’est pleinement conformée aux injonctions prononcées dans la présente décision ; ou 2) Que la défenderesse s’est partiellement conformée aux injonctions prononcées dans la présente décision ; ou 3) Que la défenderesse ne s’est pas conformée aux injonctions prononcées dans la présente décision. La Chambre Contentieuse initie l’exécution de l’astreinte le jour même de cette notification dans les deuxième et troisième hypothèses. 122. Le montant des astreintes suit comme : a) Injonction 1 : la défenderesse doit payer 20.000 EUR par jour de retard à partir du jour où la Chambre Contentieuse la notifie qu’elle s’est partiellement ou pas du tout conformée aux injonctions prononcées dans la présente décision ; b) Injonction 2 : la défenderesse doit payer 20.000 EUR par jour de retard à partir du jour où la Chambre Contentieuse la notifie qu’elle s’est partiellement ou pas du tout conformée aux injonctions prononcées dans la présente décision. Si la défenderesse manque à la satisfaction des deux injonctions, elle doit alors payer 40.000 EUR par jour de retard à partir du jour où la Chambre Contentieuse la notifie qu’elle s’est partiellement ou pas du tout conformée aux injonctions prononcées dans la présente décision. 123. La Chambre Contentieuse rappelle, telle qu’elle l’a fait au point 112, que l’astreinte ne revête pas de caractère punitif. Les injonctions sont chacune assortie d’une astreinte afin d’en assurer leur bonne exécution. Le montant des astreintes est raisonnable au regard de l’atteinte qu’a portée la défenderesse aux droits de la plaignante, et des utilisateurs plus globalement, mais aussi au regard de la capacité financière 34 de la défenderesse et du bénéfice qu’elle peut tirer dans l’inexécution des injonctions en question. PAR CES MOTIFS, la Chambre Contentieuse de l’Autorité de protection des données décide, après délibération : - En vertu de l’article 100, §1er, 9° de la LCA, d’ordonner à la défenderesse l’ajout d’un bouton permettant clairement de refuser le dépôt des cookies en un seul clic, et ce à chaque niveau de la bannière cookies dans lequel se trouve un bouton permettant d’accepter le dépôt des cookies en seul clic, conformément à l’article 6 du RGPD et de l’article 10/2 de la loi-cadre, et de fournir à la plaignante ainsi qu’à la Chambre Contentieuse la documentation relative aux actes pris en vue de satisfaire à cette ordonnance (injonction 1). De surcroît, la Chambre Contentieuse impose à la défenderesse l’usage de couleurs et contrastes qui ne sont pas manifestement trompeurs. Le bouton permettant clairement de refuser le dépôt des cookies doit ainsi faire l’objet d’un affichage au moins équivalent à celui qui permet de l’accepter (injonction 2) ; - En vertu de l’article 100, §1er, 12° de la LCA, d’assortir l’injonction 1 d’une astreinte. La défenderesse doit payer 20.000 EUR par jour de retard à partir du jour où la Chambre Contentieuse la notifie qu’elle s’est partiellement ou pas du tout conformée aux injonctions prononcées dans la présente décision ; - En vertu de l’article 100, §1er, 12° de la LCA, d’assortir l’injonction 2 En vertu de l’article 100, §1er, 12° de la LCA, d’assortir l’injonction 1 d’une astreinte. La défenderesse doit payer 20.000 EUR par jour de retard à partir du jour où la Chambre Contentieuse la notifie qu’elle s’est partiellement ou pas du tout conformée aux injonctions prononcées dans la présente décision ; - En vertu de l’article 100, §1er, 1° de la LCA, de classer sans suite le troisième grief, relatif aux modalités de retrait de consentement. Conformément à l'article 108, § 1 de la LCA, un recours peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données en qualité de défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les mentions énumérées à l'article 1034ter du Code judiciaire35. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.36, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (sé). Hielke HIJMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2024:DEC.20241011.1 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2024:DEC.20241206.1 ECLI:BE:GBAPD:2025:DEC.20250324.2