Article mis \u00e0 jour le 18 ao\u00fbt 2021<\/strong><\/p>\n Le tonnerre grondait d\u00e9j\u00e0 depuis un bon moment, mais voil\u00e0 que la foudre administrative est finalement tomb\u00e9e. Le Wall Street Journal rapportait en effet dans son \u00e9dition du 10 juin 2021 que la CNPD (c.\u00e0.d. l\u2019autorit\u00e9 de contr\u00f4le luxembourgeoise en mati\u00e8re de protection des donn\u00e9es) allait prononcer une sanction de pas moins de 425 millions d\u2019euros \u00e0 l\u2019encontre d\u2019Amazon.<\/p>\n Sur le principe, le Wall Street Journal avait raison\u00a0: une sanction a bel et bien \u00e9t\u00e9 prononc\u00e9e \u00e0 l\u2019encontre d\u2019Amazon en date du 15 juillet 2021. Un l\u00e9ger d\u00e9tail \u00e9tait cependant inexact. En lieu et place d\u2019une sanction de 425 millions, c\u2019est une amende de 746 millions d\u2019euros<\/strong> dont aura finalement \u00e9cop\u00e9e la soci\u00e9t\u00e9 bas\u00e9e au Luxembourg.<\/p>\n Cet \u00e9v\u00e8nement marque la premi\u00e8re sanction administrative d\u2019une telle intensit\u00e9 au Luxembourg pour une violation du R\u00e8glement G\u00e9n\u00e9ral Europ\u00e9en relatif \u00e0 la Protection des Donn\u00e9es (\u00ab\u00a0RGPD\u00a0\u00bb). La premi\u00e8re d\u2019une longue lign\u00e9e\u00a0?<\/p>\n Longtemps raill\u00e9e par ses voisins pour n\u2019avoir prononc\u00e9 aucune sanction pr\u00e8s de trois ans apr\u00e8s la prise d\u2019effet du RGPD, la CNPD a maintenant franchi le cap. Les observateurs les plus attentifs avaient pu noter que la Commission luxembourgeoise s\u2019\u00e9tait d\u00e9j\u00e0 essay\u00e9e \u00e0 quelques sanctions ces derni\u00e8res semaines<\/strong> (notamment par d\u00e9cisions du 8 avril et du 12 mai 2021), mais pour des montants bien moins intimidants<\/strong> (entre 1.000 et 3.000 euros en moyenne).<\/p>\n Cette fois, l\u2019autorit\u00e9 nationale a frapp\u00e9 fort et a, de ce fait, envoy\u00e9 un signal clair\u00a0: les sanctions les plus s\u00e9v\u00e8res pr\u00e9vues par le RGPD trouvent elles aussi \u00e0 s\u2019appliquer au Luxembourg. On rappellera en effet que l\u2019article 83, \u00a75 de ce r\u00e8glement europ\u00e9en pr\u00e9voit des amendes pouvant \u00ab\u00a0s’\u00e9lever jusqu’\u00e0 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’\u00e0 4 % du chiffre d’affaires annuel mondial<\/strong> total de l’exercice pr\u00e9c\u00e9dent, le montant le plus \u00e9lev\u00e9 \u00e9tant retenu\u00a0\u00bb. C\u2019est bien ce montant de 4% du chiffre d\u2019affaire mondial d\u2019Amazon (largement sup\u00e9rieur \u00e0 la somme de 20.000.000 d\u2019euros) qui aura \u00e9t\u00e9 retenu par le r\u00e9gulateur luxembourgeois.<\/p>\n La CNPD est l\u2019autorit\u00e9 dite \u00ab\u00a0chef de file\u00a0\u00bb de ce GAFAM, en raison de sa nationalit\u00e9 et de son \u00e9tablissement luxembourgeois.<\/p>\n La notion d\u2019autorit\u00e9 chef de file, en bref\u00a0:<\/em><\/p>\n \u00a0<\/em>Notamment abord\u00e9e aux consid\u00e9rants 124 et suivants du RGPD, la notion \u00ab\u00a0d\u2019autorit\u00e9 chef de file\u00a0\u00bb se r\u00e9f\u00e8re \u00e0 l’autorit\u00e9 de contr\u00f4le nationale dont rel\u00e8ve l’\u00e9tablissement principal ou l’\u00e9tablissement unique<\/strong> d\u2019une entit\u00e9. Cette autorit\u00e9 dirige le processus de contr\u00f4le et\/ou de sanction des entit\u00e9s soumises au RGPD \u00e9tablies sur son territoire. Elle est assist\u00e9e dans cette t\u00e2che par les autres autorit\u00e9s nationales concern\u00e9es (dans une moindre mesure) par les traitements de donn\u00e9es de l\u2019entit\u00e9 vis\u00e9e.<\/p>\n Si elle est donc en t\u00eate pour juger de l\u2019opportunit\u00e9 et de la nature d\u2019une sanction contre Amazon, elle a \u00e9galement d\u00fb se concerter avec d\u2019autres autorit\u00e9s nationales<\/strong> pour aboutir \u00e0 une d\u00e9cision finale. En application des articles 60 et suivants du RGPD, les violations aux traitements de donn\u00e9es qui impactent plusieurs pays membres de l\u2019Union Europ\u00e9enne peuvent d\u00e9clencher l\u2019obligation pour les autorit\u00e9s nationales concern\u00e9es de se coordonner. L\u2019objectif est alors d\u2019aboutir \u00e0 une solution commune et coh\u00e9rente. Quand l\u2019on conna\u00eet l\u2019influence d\u2019Amazon sur le march\u00e9 de l\u2019achat en ligne et le volume de sa client\u00e8le europ\u00e9enne, on reconna\u00eetra volontiers la pertinence de ce m\u00e9canisme de coordination dans le cas pr\u00e9sent.<\/p>\n A ce jour et \u00e0 d\u00e9faut d\u2019une publication int\u00e9grale de la d\u00e9cision, seules Amazon et la CNPD connaissent l\u2019\u00e9tendue et la nature exacte des violations all\u00e9gu\u00e9es. La publication int\u00e9grale, voire nominative, de la d\u00e9cision de la CNPD est d\u2019ailleurs encore loin d\u2019\u00eatre acquise<\/strong>. L\u2019article 52 de la loi\u00a0du 1er<\/sup> ao\u00fbt 2018 portant organisation de la Commission nationale pour la protection des donn\u00e9es et mise en \u0153uvre du RGPD au Grand-Duch\u00e9 de Luxembourg dispose, \u00e0 cet effet, que la CNPD \u00ab\u00a0peut\u00a0\u00bb publier ses d\u00e9cisions \u00ab\u00a0sous r\u00e9serves\u00a0\u00bb que toutes les voies de recours aient \u00e9t\u00e9 \u00e9puis\u00e9es et que ladite publication n\u2019entra\u00eene pas un \u00ab\u00a0dommage disproportionn\u00e9\u00a0\u00bb.<\/p>\n La publication d\u2019une d\u00e9cision administrative accessible au grand public (int\u00e9grale ou non), n\u2019est donc qu\u2019une option pour la CNPD. Cette facult\u00e9 dispara\u00eet m\u00eame pour l\u2019autorit\u00e9 de contr\u00f4le si certaines circonstances particuli\u00e8res sont rencontr\u00e9es (voies de recours ouvertes ou disproportion de la mesure). En l\u2019esp\u00e8ce, la notori\u00e9t\u00e9 d\u2019Amazon et l\u2019impact de ses traitements de donn\u00e9es sur les citoyens europ\u00e9ens pourraient amener le r\u00e9gulateur \u00e0 pencher vers l\u2019option d\u2019une telle publication int\u00e9grale.<\/p>\n La CNPD a d\u2019ailleurs elle-m\u00eame rappel\u00e9 ce principe dans une communication publique du 6 ao\u00fbt 2021, indiquant que \u00ab la publication compl\u00e8te et claire des d\u00e9cisions de la CNPD est \u00e0 consid\u00e9rer comme une sanction suppl\u00e9mentaire (article 52). Par cons\u00e9quent, elle ne peut publier aucune d\u00e9cision avant que les voies de recours sont [sic<\/em>] \u00e9puis\u00e9es\u00a0\u00bb.<\/p>\n Quelle que soit la d\u00e9cision \u00e0 laquelle aboutira la commission luxembourgeoise sur ce point de publicit\u00e9, il est int\u00e9ressant de constater que les ramifications de sa d\u00e9cision prochaine ne s\u2019arr\u00eatent pas au simple payement d\u2019une somme d\u2019argent. L\u2019impact r\u00e9putationnel et donc \u00e9conomique d\u2019une telle sanction se jouera \u00e9galement au niveau de sa publicit\u00e9 et des \u00e9ventuelles limitations attach\u00e9es \u00e0 sa diffusion.<\/p>\n Le g\u00e9ant de la vente en ligne est-il pour autant d\u00e9muni face \u00e0 cette d\u00e9cision de la CNPD ?<\/p>\n La mati\u00e8re de la protection des donn\u00e9es peut parfois para\u00eetre \u00e9sot\u00e9rique aux non-initi\u00e9s. Remplie de concepts autonomes et parfois antith\u00e9tiques au droit civil classique, une constante demeure n\u00e9anmoins\u00a0: les sanctions qui en d\u00e9coulent constituent des d\u00e9cisions administratives soumises au droit commun<\/strong>. Il est donc non seulement possible d\u2019en demander l\u2019annulation en justice, mais la proc\u00e9dure administrative qui s\u2019y attache reste inchang\u00e9e depuis la \u00ab\u00a0loi modifi\u00e9e du 21 juin 1999 portant r\u00e8glement de proc\u00e9dure devant les juridictions administratives\u00a0\u00bb.<\/p>\n Cette soumission au droit commun est d\u2019ailleurs reconnue express\u00e9ment par l\u2019article 55 de la loi luxembourgeoise pr\u00e9cit\u00e9e du 1er<\/sup> ao\u00fbt 2018. Point important, la proc\u00e9dure de r\u00e9formation<\/strong> (qui se distingue de l\u2019annulation par la possibilit\u00e9 pour le juge administratif de modifier et de commuter la sanction sans l\u2019annuler purement et simplement) n\u2019est pas express\u00e9ment pr\u00e9vue par la loi luxembourgeoise<\/strong> pour les sanctions prononc\u00e9es par la CNPD. Une incertitude demeure n\u00e9anmoins \u00e0 cet \u00e9gard. En effet, l\u2019article 55 de la loi luxembourgeoise pr\u00e9cit\u00e9e du 1er<\/sup> ao\u00fbt 2018 pr\u00e9cise que le Tribunal administratif statue \u00e0 l\u2019\u00e9gard des d\u00e9cisions de la CNPD comme \u00ab\u00a0juge du fond\u00a0\u00bb. Bien que quelques d\u00e9cisions de jurisprudence \u00e9parses identifient parfois ces termes comme une r\u00e9f\u00e9rence indirecte au recours en r\u00e9formation (voyez par exemple Trib. Adm., 18 d\u00e9cembre 2003, n\u00b0 15096), il n\u2019existe, \u00e0 notre connaissance, pas de d\u00e9cision confirmant une telle interpr\u00e9tation s\u2019agissant de l\u2019article 55 de la loi pr\u00e9cit\u00e9e du 1er<\/sup> ao\u00fbt 2018. Il est regrettable que le l\u00e9gislateur n\u2019ait pas pris la peine de clarifier ce point, alors m\u00eame que la r\u00e9f\u00e9rence expresse \u00e0 un recours en r\u00e9formation existait sous l\u2019empire de l\u2019ancienne loi de 2002 concernant la protection des donn\u00e9es aujourd\u2019hui abrog\u00e9e (article 33,\u00a0\u00a72).<\/p>\n La possibilit\u00e9 d\u2019introduire un recours en annulation est, elle, certaine. Le r\u00e9sultat d\u2019un recours administratif en annulation en mati\u00e8re de protection des donn\u00e9es sera, par nature, radical. Soit la sanction dispara\u00eetra sans laisser de trace (sous r\u00e9serve d\u2019appel), soit elle s\u2019appliquera, pleine et enti\u00e8re, \u00e0 l\u2019encontre du justiciable.<\/p>\n En cas de recours contre une telle d\u00e9cision administrative, les responsables du traitement et autres sous-traitants pourront compter sur l\u2019aide d\u2019un avocat \u00e0 la Cour pour les repr\u00e9senter dans le cadre de la proc\u00e9dure administrative.<\/p>\n Que retenir de cette d\u00e9cision\u00a0?<\/em><\/p>\nPremi\u00e8re par la taille, pas par l\u2019esprit<\/em><\/strong><\/h3>\n
Une d\u00e9cision susceptible de modification avant publication<\/em><\/strong><\/h3>\n
***<\/strong><\/h3>\n
***<\/strong><\/h3>\n
Des moyens de recours d\u00e9j\u00e0 bien connus<\/em><\/strong><\/h3>\n
\u00a0***<\/strong><\/h3>\n