GRAND-DUCHE DE LUXEMBOURG COUR ADMINISTRATIVE Numéro du rôle : 48964C ECLI:LU:CADM:2023:48964 Inscrit le 23 mai 2023 Audience publique du 28 novembre 2023 Appel formé par (A) – ….., ….. (AT), contre un jugement du tribunal administratif du 21 avril 2023 (n° 45716 du rôle) ayant statué sur son recours contre un courrier de la Commission nationale pour la protection des données, Belvaux, en matière de protection des données Vu la requête d’appel inscrite sous le numéro 48964C du rôle et déposée au greffe de la Cour administrative le 23 mai 2023 par Maître Catherine WARIN, avocat à la Cour, inscrite au tableau de l’Ordre des avocats à Luxembourg, au nom de (A) – ….., établie et ayant son siège social à AT-
… ….. (Autriche), …., …, immatriculée au registre autrichien des associations (Zentrales Vereinsregister) sous le numéro …., représentée par son « Vorstandsvorsitzender » actuellement en fonctions, mandatée par Monsieur (B), demeurant à L-… …, …, …, dirigée contre un jugement du tribunal administratif du Grand-Duché de Luxembourg du 21 avril 2023 (n° 45716 du rôle) par lequel ledit tribunal a déclaré irrecevable son recours tendant à la réformation d’une « décision » du 18 septembre 2020 de la Commission nationale pour la protection des données (« CNPD »), informant Monsieur (B) de son refus de poursuivre le traitement de sa réclamation du 5 avril 2019 et réitérée en date du 10 août 2020 ;
Vu l’exploit de l’huissier de justice Laura GEIGER, demeurant à Luxembourg et immatriculée près le tribunal d’arrondissement de et à Luxembourg, du 26 mai 2023 portant signification de cette requête d’appel à la CNPD, établissement public, inscrite au registre de commerce et des sociétés de Luxembourg sous le numéro J52, établi au L-4370 Belvaux, 15, boulevard du Jazz, représentée par son collège des commissaires actuellement en fonctions ;
Vu le mémoire en réponse déposé au greffe de la Cour administrative le 22 juin 2023 par Maître Elisabeth GUISSART, avocat à la Cour, inscrite au tableau de l’Ordre des avocats à Luxembourg, au nom et pour le compte de la CNPD, préqualifiée ;
Vu le mémoire en réplique déposé au greffe de la Cour administrative le 21 septembre 2023 par Maître Catherine WARIN au nom de l’appelante ;
1 Vu le mémoire en duplique déposé au greffe de la Cour administrative le 20 octobre 2023 par Maître Elisabeth GUISSART au nom et pour le compte de la CNPD, préqualifiée ;
Vu les pièces versées en cause et notamment le jugement dont appel ;
Le rapporteur entendu en son rapport ainsi que Maîtres Catherine WARIN et Elisabeth GUISSART en leurs plaidoiries respectives à l’audience publique du 7 novembre 2023.
Après avoir constaté que la société de droit américain (D) LLC, ci-après « la société (D) », avait collecté des données à caractère personnel sur sa personne afin de les publier sur son site internet « https://(D).co », Monsieur (B) contacta ladite société à ce sujet en date du 5 avril 2019 et se vit adresser par cette dernière un courriel daté du même jour auquel une copie de ses données était jointe et l’informant que la société (D) avait supprimé les données à caractère personnel le concernant de ses bases de données.
Toujours en date du 5 avril 2019, Monsieur (B) introduisit une réclamation auprès de la Commission nationale pour la protection des données, ci-après « la CNPD », la priant d’intervenir auprès de la société (D) afin que cette dernière réserve une suite à sa demande conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), désigné ci-après par « le RGPD ».
Par courriel du 9 avril 2019, la CNPD pria Monsieur (B) de lui faire parvenir toute correspondance avec le responsable du traitement de la société (D), notamment le courriel contenant sa demande d’accès et d’informations spécifiques, la réponse automatique à cette demande, ainsi que toute correspondance éventuelle postérieure à l’introduction de sa réclamation, l’informant, par ailleurs, que le lien sur le site internet de la société (D) censé contenir ses données personnelles ne semblerait pas marcher.
Par courriel du même jour, Monsieur (B) informa la CNPD que la société (D) semblerait avoir supprimé l’ensemble de ses données sur leur site internet suite à sa prise de contact avec cette dernière, mais qu’elle continuerait de collecter et de traiter les données d’autres citoyens européens.
En date du 18 juillet 2019, la CNPD s’adressa par courrier et courriel à la société (D) en relevant notamment que :
« (…) We therefore understand that Article 3(2) of the GDPR applies to processing activities performed by (D).
Considering the circumstances, the CNPD would like to know the contact details of the (D)’s representative in the European Union designated pursuant to Article 27 GDPR or, should there be none, the contact details of the relevant point of contact by (D) for data protection 2concerns raised by data protection authorities, in order to process further the abovementioned complaint ».
Par courriel du 24 juillet 2019, la société (D) informa la CNPD ne pas avoir désigné de représentant dans l’Union européenne en vertu de l'article 27 du RGPD, tout en estimant que « (…) please note that (D) is not the controller of the data on our site. Our users are the controller and therefore are responsible for ensuring that they individually adhere to data protection laws and regulations such as GDPR ».
Par courriel du 6 mars 2020, la CNPD informa Monsieur (B) que « la société (D) nous a communiqué qu’elle considère que ce sont les utilisateurs de ses services, et non elle-même, qui sont les responsables du traitement pour ce qui concerne les données à caractère personnel traitées sur son site internet », (…) « que la société (D) est une société située aux Etats-Unis d’Amérique ne disposant pas d’un représentant dans l’Union au sens de l’article 27 du règlement général sur la protection des données (RGPD) » et que, bien qu’elle ne partagerait pas le point de vue de la société (D) (« nous sommes en effet d’avis que cette société est bien à considérer comme responsable du traitement pour les traitements de données à caractère personnel effectués sur son site internet »), il lui serait impossible de poursuivre sa réclamation, alors que, tout en ayant la possibilité de communiquer avec ladite société, la CNPD ne disposerait pas du pouvoir de lui imposer des actions en vue d’améliorer ses pratiques en matière de protection des données.
Monsieur (B) répondit par courriel du même jour en s’interrogeant « que la CNPD ne prendra pas d’actions ? ».
Par courriel du 17 mars 2020, la CNPD lui confirma son impossibilité de poursuivre sa réclamation, courriel auquel Monsieur (B) répondit par courriels du même jour et des 28 mars, 19 et 26 avril 2020, ainsi que par courrier recommandé du 4 mai 2020, auxquels la CNPD répondit par courriel du 25 mai 2020 tout en y renvoyant à ses courriels des 6 et 17 mars 2020.
Par courriel du 29 mai 2020, Monsieur (B) pria la CNPD de lui envoyer une décision signée conformément aux articles 12 et 13 de son règlement d’ordre intérieur (« ROI »), courriel auquel la CNPD répondit par courriel du 8 juillet 2020.
Par courrier recommandé du 10 août 2020, Monsieur (B) relança à nouveau la CNPD en les termes suivants :
« (…) Man teilte mir mit, dass die CNPD entschieden hat (D) nicht zu verfolgen obwohl man mir im Sinne der Beschwerde [R]echt gibt. Dies wohlgemerkt nachdem die CNPD sich mit der Firma ausgetauscht hat. Auf Nachfrage teil[t]e man mir mit, dass dies keine offizielle „Entscheidung der CNPD sei“ und man sich deshalb auch nicht an da[s] ROI der CNPD zu halten hätte.
Wie kann es sein, dass die CNPD die Entscheidung trifft nicht gegen ein Unternehmen vorzugehen. Dies aber nicht offiziell als „Entscheidung“ wertet? Wie kann es sein dass man mit der Gegenpartei kommuniziert und diskutiert aber behauptet es sei noch keine „Enquête“ laut ROI gewesen? ».
3Par courrier du 18 septembre 2020, la CNPD informa Monsieur (B) de son impossibilité de poursuivre sa réclamation du 5 avril 2019 dans les termes suivants :
« (…) Monsieur (B), La Commission nationale pour la protection des données (ci-après « CNPD ») revient à votre courriel du 8 juillet 2020 relatif à votre réclamation du 5 avril 2019 à l'encontre de la société (D).
Concernant votre demande d'obtenir des précisions sur les raisons pour lesquelles les articles 9 du règlement de la Commission nationale pour la protection des données (CNPD) relatif à la procédure d'enquête (ci-après « Règlement enquêtes ») et 10 et 12 du Règlement d'Ordre Intérieur de la CNPD (ci-après « ROI ») ne sont pas d'application dans le cas d'espèce, nous vous informons qu'il ressort des dispositions du ROI que les dossiers d'enquêtes et de réclamations relèvent de procédures différentes.
Le Règlement enquêtes est uniquement applicable aux dossiers d'enquête, et les articles 10 et 12 du ROI susmentionnés sont uniquement applicables aux séances de délibération de la CNPD, parmi lesquelles les délibérations relatives aux dossiers d'enquête.
De plus, bien que le traitement d'une réclamation puisse aboutir à la proposition et à l'ouverture d'une enquête selon les modalités prévues à l'article 2 du Règlement enquêtes, l'ouverture d'un dossier d'enquête à la suite d'une réclamation n'est pas systématique.
En effet, lorsqu'une réclamation est introduite, le service « réclamations » essaie de résoudre la problématique soulevée sans ouvrir une enquête formelle au sens des articles 37 à 41 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ci-après : « loi du 1er août 2018 »).
La plupart des réclamations peuvent être résolues et clôturées de cette manière, après que la CNPD soit intervenue auprès du responsable du traitement concerné. Lorsqu'il s'avère que le dossier d'une réclamation ne peut pas être instruit de cette manière, le Collège peut décider d'ouvrir une enquête.
Il n'existe pas de critères législatifs qui définissent quand la CNPD doit ou non ouvrir une enquête. La CNPD est une autorité de contrôle indépendante qui bénéficie du principe de l’« opportunité d'action » (cf. Avis du Conseil d'Etat du 26 juin 2018, doc. parl. N° 7184/28). Elle peut par ailleurs refuser de donner suite à une réclamation qui est manifestement infondée ou excessive, conformément à l'article 57 (4) du RGPD.
Dans le cas de votre réclamation, l'ouverture d'un dossier d'enquête n'apparaît pas pertinente, car la CNPD ne dispose d'aucun moyen d'action à l'encontre d'un responsable du traitement établi sur le territoire des Etats-Unis d'Amérique n'ayant pas d'établissement sur le territoire de l'Union Européenne (UE) ou n'ayant pas désigné de représentant dans l’UE en vertu de l'article 27 du RGPD. En effet, dans ces cas, il lui est impossible de faire respecter les dispositions du RGPD sur le territoire des Etats-Unis d'Amérique.
4Considérant avoir répondu à vos questions, nous estimons que notre intervention dans le cadre de votre réclamation est désormais terminée. (…) ».
Par requête déposée au greffe du tribunal administratif le 1er mars 2021, (A) – ….., désignée ci-après par « (A) », mandatée à cette fin par Monsieur (B) par une convention de représentation signée le 16 novembre 2020 en conformité avec l’article 80, paragraphe (1), du RGPD, introduisit un recours tendant à la réformation sinon à l’annulation du courrier précité de la CNPD du 18 septembre 2020.
Par jugement du 21 avril 2023, le tribunal administratif se déclara compétent pour connaître du recours principal en réformation, le déclara irrecevable pour défaut d’intérêt à agir dans le chef de Monsieur (B), partant le rejeta, dit qu’il n’y avait pas lieu de statuer sur le recours subsidiaire en annulation, rejeta encore la demande en allocation d’une indemnité de procédure formulée par (A), tout en condamnant celle-ci aux frais et dépens de l’instance.
Pour ce faire, le tribunal constata qu’il était constant, pour ne pas être contesté par (A), que tant au moment de la réclamation de Monsieur (B) du 5 avril 2019 adressée à la CNPD, qu’au moment de l’introduction du recours sous analyse, les données personnelles de celui-ci avaient été supprimées du site internet de la société (D) et qu’il ne ressortait d’aucune pièce versée aux débats que le traitement des données de Monsieur (B) par la société (D) était toujours d’actualité, la copie d’un profil produit en cause et intitulé « (B)’s Email » n’étant pas datée et ne comportant aucune référence de source. Comme (A) restait ainsi en défaut de prouver un traitement des données de Monsieur (B) par la société (D) « tant au moment de l’introduction du recours sous analyse qu’à l’heure actuelle », le tribunal arriva à la conclusion que celui-ci ne pouvait se prévaloir d’un intérêt à agir du fait d’un traitement de ses données par ladite société emportant une violation de ses droits prévus par le RGPD au moment de l’introduction de son recours.
Le tribunal nota encore que ce constat n’était pas énervé par les développements de (A) suivant lesquels le traitement antérieur des données personnelles de Monsieur (B) par la société (D) constituerait une violation de ses droits prévus au RGPD et releva que le rôle de la CNPD consistait, en application de l’article 51, paragraphe (1), du RGPD et de l’article 4 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, ci-après « la loi du 1er août 2018 », en la surveillance de l’application du RGPD par les responsables de traitement et qu’elle n’était plus appelée à intervenir à partir du moment où une éventuelle méconnaissance du RGPD par un responsable de traitement avait cessé, Monsieur (B) ne pouvant tirer du RGPD un droit personnel à voir sanctionner un responsable de traitement en dehors d’une action en réparation du dommage résultant d’une violation de ses droits, droit expressément prévu par le RGPD.
Finalement, le tribunal releva que la réparation d’un dommage résultant, le cas échéant, d’une violation des droits à la protection des données à caractère personnel d’une personne concernée n’était ni conditionnée par une saisine préalable de l’autorité de contrôle compétente, telle la CNPD, ni par une décision de cette dernière sanctionnant pareille violation, respectivement par une décision juridictionnelle y relative.
5Par requête d’appel déposée au greffe de la Cour administrative le 23 mai 2023, (A) a relevé appel du jugement du 21 avril 2023.
Au dispositif de son mémoire en réponse, la CNPD demande à voir déclarer la requête d’appel irrecevable pour défaut d’intérêt à agir de la partie appelante respectivement demande à la Cour de se déclarer incompétente du fait que le recours n’aurait pas été introduit contre un acte administratif définitif faisant grief.
Lesdites demandes sont à rejeter pour manquer de fondement.
En effet, indépendamment du constat que la CNPD n’a pas autrement développé son moyen d’irrecevabilité de la requête d’appel tiré d’un défaut d’intérêt à agir et qu’un recours qui n’a pas été introduit contre un acte administratif faisant grief ne conduit pas à une décision d’incompétence mais à une décision d’irrecevabilité de la juridiction administrative saisie, il convient de rappeler, d’une part, que l’intérêt à interjeter appel se mesure aux prétentions de l’appelant au regard du dispositif du jugement entrepris et, d’autre part, que le tribunal qui déclare un recours irrecevable statue sur une exception de procédure et une fin de non-recevoir, à savoir un moyen d’irrecevabilité, et met fin à l’instance, de sorte qu’un appel immédiat dans le délai de la loi est de mise.
En outre, l’argumentaire de la CNPD que le recours initial n’a pas été introduit contre un acte administratif faisant grief ne constitue pas une question de recevabilité de la requête d’appel, mais, comme rappelé ci-dessus, une question de recevabilité du recours initial, à l’instar de la question de l’intérêt à agir.
Or, comme dans le dispositif du jugement entrepris le tribunal s’est déclaré compétent pour connaître du recours en réformation de (A), tout en le déclarant irrecevable pour défaut d’intérêt à agir, l’appelante à un intérêt évident à interjeter appel sur base de son argumentaire visant à déclarer son recours initial recevable.
L’appel ayant pour le surplus été introduit selon les formes et délai de la loi, il est recevable.
A l’appui de sa requête d’appel, l’appelante argumente plus particulièrement que Monsieur (B) disposerait d’un intérêt personnel et direct à agir contre la décision entreprise en ce que celle-ci porte sur une réclamation par lui introduite relative à la violation de ses droits fondamentaux. Elle renvoie à la formulation de l’article 78 du RGPD ouvrant un recours à toute personne voyant ses droits impactés par la décision de l’autorité de contrôle. Cet intérêt serait né, effectif et actuel en ce que la CNPD a refusé de faire la lumière sur des violations de ses droits fondamentaux par la société (D), ce qui aurait été un préalable à la cessation de ces violations.
(A) rappelle dans ce contexte que Monsieur (B) aurait dénoncé un traitement de ses données sans base légale appropriée, ainsi qu’un manque d’information quant aux circonstances de traitement des données dont il ferait l’objet. Si la société (D) avait certes informé Monsieur (B) qu’elle avait supprimé son profil de son site internet, celle-ci n’aurait à aucun moment indiqué si, comment, pour combien de temps et à quelles fins elle avait conservé les données personnelles de Monsieur 6(B) dans ses propres bases de données ou à quelles sociétés elle a communiqué lesdites données.
Elle soutient encore que le droit à l’information sur un traitement de données ne pourrait pas disparaître juste parce que le traitement en question aurait cessé. Ainsi, le droit d’accès constituerait la pierre angulaire des droits des individus sujets de données et la « porte d’entrée » qui permettrait l’exercice de l’ensemble des autres droits conférés par le RGPD, tel le droit d’opposition ou celui à la rectification ou encore le droit à l’effacement. Le droit de Monsieur (B) de recevoir des informations concernant le traitement de ses données ne disparaîtrait pas avec l’effacement des données à caractère personnel en réponse à une demande d’accès.
Finalement, l’appelante précise qu’il ne serait indiqué nulle part dans le RGPD que des réclamations ne devraient être traitées que concernant des traitements de données en cours et que des réclamations sur des traitements passés seraient d’office exclues. En effet, il serait possible qu’un individu ne prenne connaissance que tardivement d’une violation de ses droits.
De la sorte, imposer des délais trop serrés pour lui permettre de dénoncer cette violation porterait atteinte à l’effectivité même du droit d’introduire une réclamation.
La CNPD conteste tout intérêt né et actuel à agir dans le chef de Monsieur (B), soutenant en premier lieu qu’un intérêt simplement éventuel ne suffirait pas pour que le recours contre un acte soit déclaré recevable, ce d’autant plus que la « faisabilité » des mesures réclamées vis-
à-vis de la société (D) serait hautement discutable.
Elle réfute ensuite un intérêt personnel dans le chef du réclamant qui ne chercherait pas à obtenir une satisfaction personnelle mais qui se positionnerait surtout en défenseur de l’intérêt collectif.
La CNPD nie encore tout intérêt direct dans le chef de l’appelante en ce que la nature précise de l’« affectation négative » concrète de la situation de Monsieur (B) du fait spécifique et unique de la décision de la CNPD resterait particulièrement nébuleuse. Ainsi, invoquer la violation générale par principe et non circonstanciée d’un « droit » ne serait pas suffisante pour justifier d’un intérêt à agir. Dans ce contexte, l’intimée signale encore que la société (D) aurait répondu le jour même de la demande initiale de Monsieur (B) en lui fournissant un premier niveau d’informations et en lui proposant de cliquer sur un lien pour obtenir de plus amples détails et en l’invitant à lui écrire un courriel si d’autres interrogations devaient encore subsister, possibilité dont ce dernier n’aurait pas fait usage. Elle signale encore, d’une part, que la société (D) aurait adressé à Monsieur (B) une copie des données personnelles et, d’autre part, qu’au moment de l’introduction de la réclamation et de l’introduction du recours devant le tribunal administratif, le traitement des données aurait cessé. Partant, la CNPD ne voit pas quelles seraient les conséquences négatives que la décision entreprise aurait causé à Monsieur (B).
Finalement, dans le même ordre d’idées, la CNPD estime encore que la décision entreprise ne constituerait pas un acte administratif faisant grief à Monsieur (B) et qui lui conférerait partant un intérêt à agir.
7L'intérêt conditionne la recevabilité d'un recours contentieux. En matière de contentieux administratif portant, comme en l'espèce, sur des droits objectifs, l'intérêt ne consiste pas dans un droit allégué, mais dans le fait vérifié qu'une décision administrative affecte négativement la situation en fait ou en droit d'un administré qui peut partant tirer un avantage corrélatif de la sanction de cette décision par le juge administratif (cf. Cour adm. 14 juillet 2009, nos 23857C et 23871C du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 2 et autres références y citées).
L’intérêt à agir n’est pas à confondre avec le fond du droit en ce qu’il ne se mesure non au bien-
fondé des moyens invoqués à l’appui d’une prétention, mais à la satisfaction que la prétention est censée procurer à une partie, à supposer que les moyens invoqués soient justifiés (cf. Cour adm.
13 décembre 2007, n° 23330C du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 3 et autres références y citées).
D’autre part, concernant l’absence d’un acte administratif faisant grief, tel que soutenu par la CNPD, il convient de rappeler qu’un acte administratif individuel, pour répondre au qualificatif de décision administrative et donc pour être susceptible d’un recours devant les juridictions administratives, doit également constituer une véritable décision de nature à faire grief, c'est-à-dire un acte susceptible de produire par lui-même des effets juridiques affectant la situation personnelle et patrimoniale de celui qui réclame (cf. Cour adm. 24 mai 2007, n° 22408C du rôle, Pas. adm. 2022, V° Actes administratifs, n° 44 et autres références y citées).
En vue de déterminer si le courrier de la CNPD du 18 septembre 2020, ensemble les prises de positions antérieures, affecte négativement la situation personnelle de Monsieur (B) et constitue partant une décision de nature à lui faire grief lui donnant un intérêt personnel et direct, légitime et certain, né et actuel à agir, il convient en premier lieu de délimiter l’objet de la réclamation adressée le 5 avril 2019 par Monsieur (B) à la CNPD.
Ainsi, il ressort de ladite réclamation que celui-ci a critiqué l’utilisation, selon lui illégale, de ses données personnelles par la société (D) à des fins commerciales (« I have no relation ship [sic] with the data controller, yet the data controller sells my personal information », (…) « Their privacy policy stipulates no legal basis of processing as I have no customer account with them.
They claim to use data that is "public", my email address isn’t », (…) « No [l]egal basis of processing my personal data [;] Reselling of my personal data for commercial gain »). Il a également critiqué l’interprétation faite par la société (D) du RGPD (« Their GDPR interpretation which can be publically read here, is non-sensical »).
Enfin, dans la rubrique « objet de la plainte », il a indiqué :
« - ne m’a pas fourni les informations nécessaires relatives à un traitement de données personnelles me concernant - a transmis mes données personnelles à un/des tiers - a procédé à une collecte excessive de mes données personnelles ».
Ce faisant, Monsieur (B) a clairement indiqué qu’il estimait que la société (D) utilisait ses données personnelles en violation des droits lui reconnus par le RGPD, sans cependant énoncer expressément par quels moyens il souhaitait que la CNPD remédie à cette violation alléguée de ses droits.
8 Cependant, le bon sens commande de retenir qu’un administré ne se contente pas de dénoncer une violation de ses droits pour la simple forme, mais qu’en s’adressant à l’autorité de contrôle qui est compétente pour constater et sanctionner une violation du RGPD, il demande à cette autorité de réserver une suite à sa demande et d’essayer de faire la lumière sur les violations alléguées et de prendre, le cas échéant, des mesures adéquates pour tenter d’y remédier, voire prononcer des sanctions.
Concernant plus précisément les démarches entreprises par la CNPD, la Cour constate que celle-ci a envoyé le 18 juillet 2019 un courrier à la société (D) concluant à un traitement des données personnelles de Monsieur (B) et à l’applicabilité conséquente du RGPD au cas d’espèce, tout en sollicitant de la société (D) les coordonnées de son représentant dans l’Union européenne, tel qu’exigé par l’article 27 du RGPD.
Sur ce, la société (D), suivant courriel du 24 juillet 2019, a informé la CNPD ne pas avoir désigné de représentant dans l’Union européenne en vertu de l'article 27 du RGPD, tout en estimant que les utilisateurs de son site internet seraient les responsables du traitement des données personnelles y figurant. (« (…) please note that (D) is not the controller of the data on our site.
Our users are the controller and therefore are responsible for ensuring that they individually adhere to data protection laws and regulations such as GDPR »).
Par un courriel du 6 mars 2020, après divers rappels de Monsieur (B), la CNPD a fait part à celui-
ci du contenu de la réponse de la société (D) du 24 juillet 2019, tout en lui signalant qu’elle était d’avis que ladite société « est bien à considérer comme responsable du traitement pour les traitements de données à caractère personnel effectués sur son site internet », mais qu’elle ne disposait pas des pouvoirs de mener des enquêtes et de faire appliquer les décisions qu’elle serait amenée à prendre sur le territoire des Etats-Unis d’Amérique.
Après un nouvel échange de courriels et deux lettres recommandées de Monsieur (B) des 4 mai et 10 août 2020 à l’adresse de la CNPD, celle-ci, par l’intermédiaire de son commissaire T. L., a fait parvenir au réclamant le courrier précité du 18 septembre 2020, faisant part à ce dernier que l’intervention de la CNPD dans le cadre de sa réclamation « est désormais terminée », étant donné que l’ouverture d’un dossier d’enquête n’apparaîtrait pas pertinente au motif qu’elle ne disposerait d’aucun moyen d’action à l’encontre de la société (D) établie aux Etats-Unis et qu’il lui serait partant impossible de faire respecter les dispositions du RGPD sur ce territoire, et ceci après avoir informé Monsieur (B) que « les dossiers d’enquêtes et de réclamations relèvent de procédures différentes », que « l’ouverture d’un dossier d’enquête à la suite d’une réclamation n’est pas systématique » et « qu’il n’existe pas de critères législatifs qui définissent quand la CNPD doit ou non ouvrir une enquête. La CNPD est une autorité de contrôle indépendante qui bénéficie du principe de l’« opportunité d’action » (…). Elle peut par ailleurs refuser de donner suite à une réclamation qui est manifestement infondée ou excessive, conformément à l’article 57 (4) du RGPD ».
Or, sans vouloir prendre position, au stade actuel du dossier, quant au fond du litige, la Cour relève qu’il est constant en cause que la décision litigieuse de la CNPD a été prise dans le cadre du RGPD rendant applicables les articles 77 et 78 du RGPD consacrant un droit à un recours juridictionnel effectif contre une décision d’une autorité de contrôle, articles de la teneur suivante :
9 (Art. 77) « 1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’Etat membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation a été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement.
2. L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78.
(Art. 78) « 1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.
2. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77.
3. Toute action contre une autorité de contrôle est intentée devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie. (…) ».
Il y a lieu de relever encore que l’article 55 de la loi du 1er août 2018, aux termes duquel « [u]n recours contre les décisions de la CNPD prises en application de la présente loi est ouvert devant le Tribunal administratif qui statue comme juge du fond. », ne distingue pas le type de décisions de la CNPD susceptibles de recours, de sorte à inclure a priori toute décision émanant de cette dernière à condition de faire grief.
Sans vouloir à ce stade se prononcer sur le principe de l’opportunité d’action mis en avant par la CNPD dans le dossier émargé – question qui relève du fond du dossier – , ce d’autant plus que toute la lumière sur l’étendue et la durée du traitement des données à caractère personnel de Monsieur (B) par la société (D) n’a pas pu être effectuée à ce jour, il se dégage du dossier que l’objet de la demande initiale de Monsieur (B) à l’adresse de la CNPD ne visait pas uniquement la cessation par la société (D) de l’utilisation de ses données à caractère personnel, utilisation dont l’étendue reste incertaine, mais, tel que repris au dispositif de sa requête introductive d’instance, à voir annuler le classement de l’affaire et à voir ordonner à la société (D) de se conformer à l’article 27 du RGPD et de donner une suite à son droit d’accès sur le fondement de l’article 15 du RGPD, respectivement de poursuivre le traitement de sa réclamation et, en cas de refus d’un droit d’accès, de constater une violation du RGPD, et de prononcer le cas échéant une mesure corrective au sens de l’article 58 du RGPD.
Dans ce contexte, il convient encore de relever que le courriel de la CNPD du 8 juillet 2020 renvoie entre autres respectivement aux articles 77, paragraphe (2), et 78, paragraphe (2), du RGPD, articles prévoyant au profit de la personne concernée un droit à un recours juridictionnel effectif, 10droit qui se trouve par ailleurs rappelé sur le propre site internet de la CNPD sous la rubrique « faire valoir vos droits », la CNPD y relevant que « si les suites données par la CNPD ne vous paraissent pas satisfaisantes, vous êtes toujours en droit de saisir le tribunal ».
Au vu de ce qui précède, la Cour arrive à la conclusion que le courrier de la CNPD du 18 septembre 2020 constitue une décision de nature à faire grief et que les contestations afférentes de la CNPD sont à rejeter.
Il s’ensuit que l’intérêt à agir de (A) à l’encontre de ladite décision se trouve vérifié à suffisance et le jugement entrepris encourt la réformation en ce qu’il a déclaré irrecevable pour défaut d’intérêt à agir le recours de l’appelante.
Dans le cas de figure où les premiers juges ont déclaré le recours irrecevable et n’ont pas toisé le fond, les exigences de double degré de juridiction, ensemble celles découlant du respect des droits de la défense, portent que la juridiction d'appel sera, en principe, amenée à renvoyer l'affaire devant les premiers juges en prosécution de cause, dans l'hypothèse où la Cour sera amenée à réformer le premier jugement sur le point retenant l'irrecevabilité du recours (cf. Cour adm. 12 mars 2019, n° 42002C du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 1189 et autres références y citées).
Cette solution s’impose d’autant plus en l’espèce que le dispositif du recours introductif de première instance vise directement sinon indirectement la société (D), de sorte que la question d’une mise en intervention éventuelle de cette dernière se pose.
En effet, il convient de rappeler que la mise en intervention d'une partie tierce intéressée s'impose, chaque fois qu'elle est raisonnablement réalisable, en ce qu'elle tend par essence à éviter une procédure de tierce opposition ultérieure. C'est le caractère préventif de la mise en intervention qui en justifie sa mise en place à l'encontre des parties tierces intéressées dans les délais les meilleurs, tandis que l'absence de délai afférent prévu par la loi s'explique en ce qu'en toute instance la cristallisation de la qualité de partie tierce intéressée est susceptible de ne se faire qu'après une instruction plus avancée des données du dossier (cf. Cour adm. 1er février 2007, n°21572C du rôle, Pas. adm. 2022, V° Procédure contentieuse, n° 554 et autres références y citées).
La CNPD sollicite encore la condamnation de (A) au paiement d’une indemnité de procédure de 5.000.- €.
Ladite demande est cependant à rejeter, les conditions légales afférentes n’étant pas remplies en l’espèce.
Par ces motifs, la Cour administrative, statuant à l’égard de toutes les parties en cause ;
reçoit l’appel du 23 mai 2023 en la forme ;
11par réformation du jugement entrepris du 21 avril 2023, dit que c’est à tort que le tribunal administratif a déclaré irrecevable le recours originaire du 1er mars 2021 pour défaut d’intérêt à agir dans le chef de (A) – ….. ;
renvoie le dossier devant le tribunal administratif en prosécution de cause ;
déboute la Commission nationale pour la protection des données de sa demande en allocation d’une indemnité de procédure ;
met les frais de la présente instance d’appel à charge de la Commission nationale pour la protection des données ;
réserve les frais de première instance.
Ainsi délibéré et jugé par:
Lynn SPIELMANN, premier conseiller, Martine GILLARDIN, conseiller, Annick BRAUN, conseiller, et lu par le premier conseiller en l’audience publique à Luxembourg au local ordinaire des audiences de la Cour à la date indiquée en tête, en présence du greffier assumé de la Cour …….
s. ….
s. SPIELMANN Reproduction certifiée conforme à l’original Luxembourg, le 28 novembre 2023 Le greffier de la Cour administrative 12
