Noyb essuie un sérieux revers devant la Cour d’appel

Publié le 21/03/2025 par Etienne Wery 111 vues

C’est la stratégie de Noyb qui est remise en cause dans un récent arrêt de la Cour d’appel : l’association ne peut pas utiliser la possibilité qui lui est offerte de représenter un plaignant (comme le ferait un avocat) pour, en réalité, introduire des plaintes qu’elle pilote et qui servent son intérêt et sa politique propre.…

C’est la stratégie de Noyb qui est remise en cause dans un récent arrêt de la Cour d’appel : l’association ne peut pas utiliser la possibilité qui lui est offerte de représenter un plaignant (comme le ferait un avocat) pour, en réalité, introduire des plaintes qu’elle pilote et qui servent son intérêt et sa politique propre.

Les cookies en matière de presse : une saga malheureuse

En janvier 2019, l’APD décide d’ouvrir une enquête sectorielle visant les sites de presse, pour vérifier s’ils respectent la réglementation en matière de cookies. L’autorité ne se doute probablement pas qu’elle ouvre à ce moment-là un mauvais chapitre de son histoire, qui lui coutera cher en ressources, accouchera d’une souris et ébranlera la confiance que l’on doit avoir en elle.

La loi exige, pour l’ouverture d’une enquête d’initiative (hors plainte), que le comité de direction constate « qu’il existe des indices sérieux de l’existence d’une pratique susceptible de donner lieu aux principes fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel ».

Or, en l’espèce, le dossier révèlera que :

• Ce n’est que plus tard que l’autorité s’est demandé comment elle pouvait justifier juridiquement l’enquête ouverte d’office ;
• Quand elle s’est posé la question, elle a cru pouvoir se justifier au motif que les sites de presse sont populaires (« beaucoup de visiteurs ») et que les poursuites seraient faciles (« peu de structures derrière ces sites ») ;
• Le comité de direction ne savait même pas quels sites il devait poursuivre, laissant aux enquêteurs le soin de choisir les cibles (ce qui parait peu conciliable avec l’exigence portant sur la constatation d’indices sérieux).

Plusieurs observateurs ont conclu à une démarche politique, d’autant que l’APD, récemment créée, était à l’époque en crise existentielle et que la presse ne se montrait pas toujours tendre envers elle …

Toujours est-il qu’une petite dizaine d’éditeurs seront poursuivis.

Le premier à être condamné par la chambre contentieuse est l’éditeur Rossel.

Rossel fait appel devant la Cour des marchés et obtient gain de cause : en février 2023, la Cour constate l’absence d’indices sérieux constatés par le comité de direction lorsqu’il prend la décision d’ouvrir une enquête d’office en janvier 2019, et elle annule la décision.

Dans l’intervalle, l’autorité sent le vent tourner. Peu avant l’arrêt de la Cour d’appel dans le dossier Rossel, elle prend l’initiative de proposer aux autres organes de presse une transaction : moyennant quelques milliers d’euros, elle laisse tomber l’affaire.

Les éditeurs acceptent : le prix de la sécurité.

C’est là que Noyb entre en action : elle reproche à l’autorité d’avoir transigé sur une situation qui constitue, à ses yeux, une violation du RGPD. L’association ne comprend pas comment il est possible de transiger sur une infraction qui se poursuit, comme si on légitimait une illégalité.

Noyb décide donc de prendre le relais et elle dépose un grand nombre de plaintes, quasiment identiques, contre les éditeurs qui ont transigé.

Les plaintes sont introduites par une dame S. représentée par Noyb.

L’autorité embranche, car ces plaintes sont pour elle l’occasion d’imposer sa vision des cookies malgré l’annulation de la décision Rossel par la Cour. Quelle est cette vision ? On pourrait la résumer par : un bouton « tout refuser », parfaitement identique (couleur, taille, etc.) au bouton « tout accepter », doit figurer à côté de celui-ci dès la page d’accueil du le site.

Suite à ces plaintes, plusieurs médias sont condamnés par la chambre contentieuse (ou sont actuellement en attente de l’être).

Le premier média à se retrouver condamné par la chambre contentieuse est le groupe Mediahuis, qui fait appel devant la Cour des marchés et remet en cause la plainte et le mandat de Noyb : quel est le rôle exact de Noyb dans la plainte ? Suffit-il à l’association de trouver un volontaire qui prête son nom à une plainte pour qu’elle puisse agir à sa guise ?

Tel est l’enjeu de l’arrêt rendu ce 19 mars.

Quelles sont les actions collectives en matière de RGPD ?

L’article 80 RGPD contient deux paragraphes, qui ne doivent pas être confondus :

Le paragraphe 1 est obligatoire pour tous les Etats membres.

Il prévoit que la personne concernée a le droit de mandater un organisme, une organisation ou une association à but non lucratif, qui a été valablement constitué conformément au droit d’un État membre, dont les objectifs statutaires sont d’intérêt public et est actif dans le domaine de la protection des droits et libertés des personnes concernées dans le cadre de la protection des données à caractère personnel les concernant, pour qu’il introduise une réclamation en son nom, exerce en son nom les droits visés aux articles 77, 78 et 79 et exerce en son nom le droit d’obtenir réparation visé à l’article 82 lorsque le droit d’un État membre le prévoit.

En substance, la personne concernée a le choix de se faire représenter par un avocat ou un organisme qui répond aux conditions prévues. Dans le passé, l’ordre des avocats a ainsi pu agir en justice en représentation d’un membre du barreau, et une association de consommateurs pourrait agir au nom d’un affilié.

Le paragraphe 2 est facultatif : les Etats membres peuvent décider de le mettre en œuvre dans leur droit national mais ils n’y sont pas tenus.

Il prévoit que les États membres peuvent prévoir que tout organisme, organisation ou association visé au paragraphe 1 du présent article, indépendamment de tout mandat confié par une personne concernée, a, dans l’État membre en question, le droit d’introduire une réclamation auprès de l’autorité de contrôle qui est compétente en vertu de l’article 77, et d’exercer les droits visés aux articles 78 et 79 s’il considère que les droits d’une personne concernée prévus dans le présent règlement ont été violés du fait du traitement.

En substance, dans les États qui le souhaitent, les organisations militantes de protection des données peuvent recevoir le droit d’agir indépendamment de tout mandat reçu d’un « client ».

Le débat n’est pas neuf et la Belgique a toujours été plutôt frileuse sur ce point. Le législateur n’aime pas voir des associations s’emparer des actions dans l’intérêt commun, et il n’y consent que lorsqu’il y est obligé (par exemple pour certaines actions collectives). Du côté de la jurisprudence, on constate la même chose : les juges belges interprètent sévèrement l’article 17 du Code judiciaire qui impose que toute action judiciaire soit intentée par une partie disposant d’un intérêt direct, personnel et actuel. Au-delà du RGPD, la question se pose souvent en matière environnementale : une association sans but lucratif créée pour défendre telle forêt menacée par un projet immobilier, peut-elle agir en nom propre, ou l’action est-elle réservée aux seuls habitants impactés par le projet querellé ?

Noyb a-t-elle été trop loin ?

On l’a vu dans le rappel des faits : les plaintes sont formellement introduites par une dame S., et le rôle de Noyb se limite à la représenter. Mediahuis reprochait à la décision de l’autorité de n’avoir pas vérifié la réalité et la portée du mandat.

La cour rappelle que (traduction libre) :

« Le législateur belge a choisi de ne mettre en œuvre que l’article 80, paragraphe 1, du RGPD et d’opter pour un système de représentation subordonné à l’existence d’un mandat donné par une personne concernée. Il a donc été décidé de ne pas recourir à la faculté offerte par l’article 80, paragraphe 2, du RGPD, qui permet d’instaurer un mécanisme d’action collective indépendant de toute instruction ou mandat d’une personne concernée en matière de protection des données. Les limites posées par le législateur belge doivent être respectées. Cette position a également été confirmée par la Cour de justice dans son arrêt du 28 avril 2022 : « Cela vaut notamment pour l’article 80, paragraphe 2, du RGPD, qui laisse aux États membres une marge d’appréciation quant à sa mise en œuvre. Afin de permettre l’introduction, sans mandat, d’une action représentative visant à la protection des données à caractère personnel, telle que visée par cette disposition, les États membres doivent donc faire usage de la faculté offerte par ladite disposition d’intégrer cette forme de représentation des personnes concernées dans leur droit national. »

Appliquant cela au dossier, la Cour reproche tout d’abord à l’autorité de s’être désintéressée de la question du mandat de Noyb, ce qui est d’autant plus regrettable qu’une note publiée sur le site de l’APD prévoit que l’intérêt personnel du plaignant — c’est-à-dire son lien concret avec les faits dénoncés — doit être examiné pour chaque plainte. Or, cet examen n’a pas été effectué dans le dossier en question, ce que la décision elle-même reconnaît.

Poussant la vérification plus loin, la Cour se pose une question plus centrale encore : Noyb représente-elle vraiment une personne concernée comme un avocat le ferait pour son client, ou est-elle « à la manœuvre » sous couvert d’une simple « représentation » ?

La cour, délicate, ne le formule pas ainsi mais c’est bien la question qu’elle pose : le rôle de Noyb, annoncé comme étant une simple représentation fondée sur l’article 80.1 RGPD, n’est-il bien « que » cela, ou s’agit-il d’une une représentation fictive qui cache en réalité une action pour compte propre qui s’apparente à l’article 80.2 RGPD ?

La Cour est notamment interpellée par les liens entre la plaignante et l’association, la première ayant été stagiaire de la seconde à l’époque de la plainte. On verra ci-dessous que pour la Cour, cela ne pose pas de problème.

La Cour est aussi interpellée par les pièces du dossier. A l’appui des plaintes, Noyb produit des fichiers techniques dits « HAR » censés démontrer un traitement de données personnelles. Or, il apparait que ces fichiers ont été générés après le départ de la plaignante de l’organisation, et qu’ils ont été générés non par la plaignante mais par d’autres collaborateurs de l’association. La plaignante l’a d’ailleurs reconnu lors de l’audition devant l’Autorité de protection des données (APD), expliquant que ces fichiers avaient été réalisés après son stage, par un autre volontaire.

Par ailleurs, la Cour constate que ces fichiers visaient en réalité à illustrer de manière générale le fonctionnement des cookies sur certains sites, et non à démontrer un traitement affectant directement la plaignante. Pourtant, dans les plaintes, il est bien question de traitements de données personnelles concernant la plaignante, ce qui jette le doute sur la portée réelle des éléments fournis.

Noyb a-t-elle abusé de la procédure ?

La position de la Cour des marchés est nuancée et difficile à résumer mais on retient d’abord qu’elle ne constate aucun élément concret qui permettrait de conclure que le mandat donné par la plaignante à NOYB était fictif :

• Pour chacune des quatre plaintes introduites, un document de procuration signé figurait au dossier, dans lequel la plaignante autorisait NOYB à la représenter devant l’Autorité belge de protection des données, y compris en justice.
• Il n’y avait pas de doute sur l’authenticité des signatures, ni sur la clarté des termes du mandat.
• Le fait que la plaignante ait été, à un moment donné, stagiaire ou volontaire au sein de NOYB ne remettait pas en cause la validité du mandat.
• Le simple fait que NOYB poursuive des objectifs d’intérêt général ne permet pas non plus de qualifier le mandat de fictif.

Pour la Cour, la question essentielle n’était cependant pas celle de la validité formelle du mandat, mais celle de l’usage concret qui en a été fait.

La Cour, se fondant sur les éléments suivants, estime qu’il y a eu un détournement des droits procéduraux et elle annule la décision : 

• Les plaintes avaient toutes une structure identique, préparées sur la base de modèles types ; 
• La plaignante n’a jamais exercé directement ses droits auprès des sites web visés ; 
• Rien ne montre qu’elle ait été une utilisatrice régulière, ou même occasionnelle, des sites concernés ; 
• De nombreuses démarches, y compris la production de preuves techniques, ont été réalisées par NOYB, et non par la plaignante elle-même ; 
• Le mandat a été donné après que NOYB ait défini le cadre du projet, identifié les responsables de traitement, et attribué les cas à la plaignante ; 
• La plainte semble avoir été initiée dans le cadre d’un projet conçu par NOYB, auquel la plaignante a adhéré à titre secondaire.

Rappelons qu’à l’heure d’écrire ces lignes, l’arrêt est susceptible de pourvoi en cassation.

Plus d’infos ?

La décision Rossel de 2023, ainsi que l’arrêt Mediahuis commenté, sont disponibles en annexe.