Tribunal administratif N° 48347 du rôle du Grand-Duché de Luxembourg ECLI:LU:TADM:2025:48347 4e chambre Inscrit le 4 janvier 2023 Audience publique du 3 juin 2025 Recours formé par Madame (A), …, contre un acte de la Commission nationale pour la protection des données en matière de protection des données
___________________________________________________________________________
JUGEMENT
Vu la requête, inscrite sous le numéro 48347 du rôle et déposée le 4 janvier 2023 au greffe du tribunal administratif par Maître Engin DOYDUK, avocat à la Cour, inscrit au tableau de l’Ordre des avocats à Luxembourg, au nom de Madame (A), demeurant à L-…, tendant principalement à la réformation et subsidiairement à l’annulation d’un courriel de la Commission nationale pour la protection des données du 6 octobre 2022, ayant confirmé son courriel du 29 juillet 2022 de ne pas donner de suite à sa réclamation du 20 juin 2022 ;
Vu l’exploit de l’huissier de justice suppléant Laura GEIGER, en remplacement de l’huissier de justice Carlos CALVO, demeurant à Luxembourg, du 12 janvier 2023 portant signification de ce recours à l’établissement public, Commission nationale pour la protection des données, inscrit au registre de commerce et des sociétés de Luxembourg sous le numéro J52, établi et ayant son siège social sis à L-4370 Belvaux, 15, Boulevard du Jazz, représenté par le président de son comité de direction actuellement en fonctions ;
Vu la constitution d’avocat à la Cour de Maître Elisabeth GUISSART, avocat à la Cour, inscrite au tableau de l’Ordre des avocats à Luxembourg, déposée au greffe du tribunal administratif le 23 janvier 2023, au nom et pour le compte de la Commission nationale pour la protection des données, préqualifiée ;
Vu le mémoire en réponse déposé au greffe du tribunal administratif le 27 mars 2023 par Maître Elisabeth GUISSART, au nom et pour le compte de la Commission nationale pour la protection des données, préqualifiée ;
Vu le mémoire en réplique déposé au greffe du tribunal administratif en date du 21 avril 2023 par Maître Engin DOYDUK, au nom et pour le compte de sa mandante ;
Vu le mémoire en duplique déposé au greffe du tribunal administratif en date du 17 mai 2023 par Maître Elisabeth GUISSART, au nom et pour le compte de la Commission nationale pour la protection des données, préqualifiée ;
Vu la constitution de nouvel avocat à la Cour déposée au greffe du tribunal administratif par courrier électronique du 14 juin 2023 par Maître Fatim-Zohra ZIANI, avocat à la Cour, inscrite au tableau de l’Ordre des avocats à Luxembourg, déclarant avoir repris le mandat pour Madame (A) ;
Vu les pièces versées en cause et notamment l’acte critiqué ;
Le juge-rapporteur entendu en son rapport à l’audience publique du 7 janvier 2025, Maître Fatim-Zohra ZIANI et Maître Elisabeth GUISSART s’étant excusées.
___________________________________________________________________________
En date du 20 juin 2022, Madame (A) introduisit une réclamation auprès de la Commission nationale pour la protection des données, dénommée ci-après « la CNPD », visant un traitement de ses données, à savoir son adresse personnelle, réalisé par Monsieur (B), un ancien client de l’étude d’avocats dans laquelle elle avait exercé en tant qu’avocate jusqu’au 31 mai 2022, en indiquant comme objet de la réclamation, « Ne m’a pas fourni les informations nécessaires relatives à un traitement de données personnelles me concernant » et dénonçant notamment les faits suivants :
« M. (B) est un ancien client de l'étude d'avocats …. Après avoir chargé un autre avocat pour s'occuper de son affaire, il m'avait adressé une lettre recommandée avec avis de réception à mon domicile, en date du 14 juin 2022. L'objet de cette lettre visait la relation avocat-ancien client et non un sujet tenant à ma vie privée. Ni moi ni aucun autre membre de l'étude … n'avons divulgué mon adresse postale privée à M. (B). Tenant compte des conséquences gravissimes que cette divulgation aux (anciens) clients pourrait engendrer pour ma sécurité et celle de ma famille, je lui avais sollicité par courriel du 15 juin 2022 de me transmettre la source d'obtention de ces données personnelles. M. (B) me répond par lettre recommandée datée 16 juin 2022, non pour donner suite à ma demande, mais pour formuler toute une série d'accusations non fondées à mon égard. ».
Par courriel du 29 juillet 2022, la CNPD informa Madame (A) de ce qui suit :
« (…) La Commission nationale pour la protection des données (CNPD) revient à votre réclamation du 20 juin 2022, selon laquelle vous soupçonnez qu'une personne physique – Monsieur (B), que vous avez représenté en tant qu'avocate, lorsque vous travailliez au sein d'une étude auprès de laquelle vous ne travaillez aujourd'hui plus – ait obtenu illicitement votre adresse privée.
En effet, vous avez reçu à votre adresse privée un courrier par recommandé, que vous pensez venir de Monsieur (B), dans lequel ce dernier vous adresse différents reproches, dans le cadre d'une affaire dans laquelle vous le représentiez et dans laquelle nous comprenons qu'il agissait comme personne physique à des fins privées.
Vous indiquez avoir contacté Monsieur (B) afin de connaitre la source auprès de laquelle il avait obtenu votre adresse privée, mais ce dernier ne vous aurait pas répondu sur ce point.
Comme indiqué au téléphone, la CNPD n'est pas habilitée à contacter Monsieur (B) afin qu'il vous communique la source auprès de laquelle il a obtenu votre adresse de domicile.
En effet, nous comprenons que le traitement de données réalisé par Monsieur (B) tombe sous le champ d'application de l'article 2 (2) c) du règlement général sur la protection des données (2016/679) (« RGPD »), qui prévoit que le RGPD n'est pas applicable au traitement de données à caractère personnel effectué « par une personne physique dans le cadre d'une activité strictement personnelle ou domestique; ». Par conséquent, la CNPD n'est pas compétente pour exercer ses pouvoirs découlant de l'article 58 à l'égard de Monsieur (B).
2 Nous comprenons également de notre conversation téléphonique que vous soupçonnez que vos données aient été obtenues par Monsieur (B) auprès d'un cabinet d'avocats pour lequel vous travailliez autrefois. Comme discuté, une telle communication par ledit cabinet pourrait – quant à elle – être soumise au RGPD et être illicite. Néanmoins, nous ne disposons d'aucune preuve nous permettant de conclure que vos données à caractère personnel ont effectivement été divulguées à Monsieur (B) par ledit cabinet. Or, comme indiqué à l'article 6 (critères de recevabilité) de notre procédure relative aux réclamations devant la CNPD, la réclamation doit contenir « suffisamment d'informations (y compris copies de tous documents attestant les faits allégués dans la réclamation) pour identifier le traitement de données litigieux, susceptible de constituer une violation des règles de protection des données ; ». Ainsi, la CNPD ne peut agir sur base de « simples » soupçons, mais a besoin de preuves tangibles, pour contacter un responsable du traitement dans le cadre d'une réclamation.
Par conséquent, nous sommes au regret de vous informer que la CNPD ne peut, dans l'état actuel des choses, donner de suites à votre réclamation.
Au regard de ces considérations, nous vous informons que, sous réserve d'un éventuel retour de votre part endéans la quinzaine, nous considérons notre intervention comme terminée dans le cadre de la réclamation sous objet.
En cas de retour de votre part dans le délai précité contenant des éléments nouveaux ou des observations particulières, la CNPD tiendra compte de ces éléments et observations pour apprécier la nécessité de poursuivre ou non l'instruction de votre réclamation et, le cas échéant, prendre une décision de clôture au sens de l'article 9, paragraphe 2 de la procédure relative aux réclamations devant la Commission nationale pour la protection des données adoptée le 16 octobre 2020. (…) ».
En date du 11 août 2022, Madame (A) fit parvenir ses observations à la CNPD.
Par courriel du 6 octobre 2022, la CNPD confirma son incompétence dans le traitement de la réclamation de Madame (A) du 20 juin 2022, dans les termes suivants :
« (…) La Commission nationale pour la protection des données (CNPD) revient à votre réclamation du 20 juin 2022, et fait suite à votre courriel du 11 août 2022 ci-dessous, dans lequel vous nous faites part des raisons pour lesquelles vous estimez que la CNPD est compétente pour contacter Monsieur (B) afin de lui demander la source auprès de laquelle il a obtenu vos données à caractère personnel.
Nous n'avons pas manqué d'analyser attentivement les arguments présentés dans votre courriel.
Néanmoins, nous vous informons que ceux-ci ne sont pas de nature à énerver nos conclusions, reprises dans notre courriel du 29 juillet 2022, selon lesquelles le RGPD n'est pas d'application au traitement de données réalisé par Monsieur (B), et la CNPD ne peut donc prendre contact avec ce dernier pour lui demander des informations quelconques.
Comme déjà indiqué, la CNPD est d'avis qu'elle n'est compétente que pour contacter le responsable du traitement ayant fourni illicitement vos données à la personne physique susmentionnée, qui vous a ensuite contacté par courrier. Néanmoins, en l'absence d'éléments 3 de preuves à l'encontre de ce responsable du traitement, la CNPD ne peut agir en l'espèce. (…) » Par requête déposée au greffe du tribunal administratif en date du 4 janvier 2023, inscrite sous le numéro 48347 du rôle, Madame (A) a fait introduire un recours tendant principalement à la réformation et subsidiairement à l’annulation du courriel précité de la CNPD du 6 octobre 2022.
Dans son mémoire en duplique, par référence à un jugement rendu par le tribunal administratif en date du 21 avril 2023, inscrit sous le numéro 45716 du rôle, la CNPD soulève tout d’abord l’incompétence ratione materiae du tribunal administratif de connaître du recours introduit contre l’acte déféré, au motif que celui-ci ne constituerait pas un acte administratif décisionnel faisant grief, alors que le recours introduit par Madame (A) aurait pour seul objet de voir constater la prétendue violation du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dénommé ci-après « le RGPD », par Monsieur (B), voir sanctionner ce dernier et voir cesser le dommage de Madame (A), sans avoir prouvé que l’acte déféré lui causerait une conséquence fâcheuse ou affecterait sa situation personnelle.
Madame (A) n’a pas pris position quant à ce moyen d’incompétence.
Dans son mémoire en réponse, la CNPD soulève, encore, l’incompétence ratione materiae du tribunal administratif pour connaître de la demande de Madame (A), formulée au dispositif de sa requête introductive d’instance, d’« ordonner à la CNPD de faire usage des pouvoirs et de coercitions les plus étendus à l’encontre de Monsieur (B), conformément à l’article 58 du RGPD, afin qu’il communique à la CNPD et à la Requérante – sous peine d’astreinte, d’amende et d’autres sanctions prévues par la loi et la règlementation européenne – le nom (identité) de la source qui a divulgué à Monsieur (B) les coordonnées et informations personnelles de la Requérante ».
Par référence à plusieurs jugements du tribunal administratif, la CNPD estime que, par cette demande, il serait demandé au tribunal administratif de lui enjoindre de faire usage de ses pouvoirs d’enquête à l’égard de Monsieur (B)., ce qui serait cependant exclu, faute de base légale spécifique à cet effet. Par ailleurs, les compétences du tribunal administratif saisi d’un recours en réformation se limiteraient à remplacer une décision administrative viciée, dans les limites de l’objet du recours, par une décision nouvelle, conforme à la loi. De même, dans le cadre d’un recours en annulation, les compétences du tribunal se limiteraient à annuler la décision, sans pouvoir donner des injonctions à l’administration sur la manière de réparer le vice ayant conduit à l’annulation, tel que cela ressortirait de la jurisprudence des juridictions administratives.
Madame (A) conclut, dans le cadre de son mémoire en réplique, à la compétence du tribunal pour connaître de sa demande d’injonction, telle que sollicitée au dispositif de sa requête introductive d’instance, laquelle serait relative aux conditions d’application de l’article 2, paragraphe (2), point c) du RGPD, dont le contentieux relèverait bien de la compétence ratione materiae du tribunal administratif, tout en faisant valoir, dans ce contexte, d’une part, que la CNPD estimerait que le tribunal serait uniquement incompétent pour connaître d’une partie de ses demandes, et, d’autre part, que concernant la demande d’injonction sollicitée,celle-ci aurait pour finalité de pallier un refus ou une abstention de la CNPD à l’origine de l’existence ou de la persistance du dommage subi par elle.
Comme l’injonction serait fondée sur les pouvoirs de pleine juridiction du juge administratif, lesquels ne seraient pas définis, ni par conséquent limités, Madame (A) soutient que le juge aurait une latitude importante pour y faire entrer toute prérogative qu’il estimerait nécessaire, alors qu’il s’agirait de mesures qui viseraient à mettre fin, non pas spécifiquement à un comportement fautif, mais au dommage qui perdurerait, ou à en pallier les effets.
Ainsi, elle fait valoir que pour remédier à la défaillance supposée des textes administratifs luxembourgeois et/ou du droit communautaire en la matière et pour éviter tout reproche de déni de justice, le tribunal administratif disposerait du même arsenal juridique que le juge judiciaire et pourrait bien évidemment emprunter, ce qu’il ferait couramment, aux règles et dispositions du socle du droit commun existant, dont le droit civil et la procédure civile.
Par ailleurs, le droit administratif n’étant pas vraiment un droit dérogatoire au droit commun, la frontière entre les règles et principes régissant le droit privé et le droit public ne serait pas étanche. Si dans le cadre du recours en annulation, le juge administratif luxembourgeois ne saurait dicter des dispositions que l’administration devrait respecter dans la procédure de révision de l’objet du litige, il pourrait néanmoins, à travers les motifs de sa décision, baliser la nouvelle décision que sera amenée à prendre l’administration sur renvoi après annulation de sa décision précédente.
Madame (A) fait encore plaider qu’il serait incontestable, tel que cela résulterait tant de son recours, que de son mémoire en réplique ainsi que des différentes pièces versées en la cause, que le refus ou l’abstention d’agir de la CNPD constituerait une atteinte intolérable à ses droits à l’origine de la persistance de son dommage, que le tribunal de céans aurait le pouvoir de faire cesser immédiatement, le cas échéant sous astreinte, en enjoignant à la CNPD de faire usage des pouvoirs de coercitions légaux les plus étendus à l’encontre de Monsieur (B).
Pour le surplus, la CNPD se rapporte à prudence de justice quant à la recevabilité du recours quant aux délais et quant à la forme.
Il échet d’abord de constater qu’aux termes de l’article 55 de la loi du 1er août 2018 « Un recours contre les décisions de la CNPD prises en application de la présente loi est ouvert devant le Tribunal administratif qui statue comme juge du fond. », ladite disposition ne distinguant pas le type de décisions de la CNPD susceptibles de recours et incluant dès lors a priori toute décision émanant de cette dernière à condition de faire grief.
Il s’ensuit que le tribunal est compétent pour connaître du recours en réformation introduit à titre principal.
Il n’y a dès lors pas lieu de statuer sur le recours subsidiaire en annulation.
Concernant le moyen relatif à l’absence d’un acte administratif faisant grief, il convient de rappeler qu’un acte administratif individuel, pour répondre au qualificatif de décision administrative et donc pour être susceptible d’un recours devant les juridictions administratives, doit également constituer une véritable décision de nature à faire grief, c’est-
5 à-dire un acte susceptible de produire par lui-même des effets juridiques affectant la situation personnelle et patrimoniale de celui qui réclame1.
En vue de déterminer si le courriel de la CNPD du 6 octobre 2022, ensemble sa prise de position antérieure du 29 juillet 2022, affecte négativement la situation personnelle de Madame (A) et constitue partant une décision de nature à lui faire grief, il convient en premier lieu de délimiter l’objet de la réclamation adressée le 20 juin 2022 par Madame (A) à la CNPD.
Ainsi, il ressort de ladite réclamation que Madame (A) a critiqué un traitement de ses données, à savoir son adresse personnelle, réalisé par Monsieur (B) et qu’elle a indiqué dans la rubrique « objet de la plainte », « Ne m’a pas fourni les informations nécessaires relatives à un traitement de données personnelles me concernant ».
Il s’ensuit que Madame (A) a partant fait valoir qu’elle estimait que Monsieur (B) avait utilisé ses données personnelles en violation des droits lui reconnus par le RGPD. Si elle n’a pas expressément énoncé par quels moyens elle souhaitait que la CNPD remédie à cette violation alléguée de ses droits, il en ressort néanmoins, au vu des enseignements de la Cour administrative, qu’elle a toutefois implicitement, mais nécessairement demandé à cette dernière de réserver une suite à sa réclamation en vue de faire la lumière sur les violations alléguées et de prendre, le cas échéant, des mesures adéquates pour tenter d’y remédier, voire prononcer des sanctions2.
Ce constat est corroboré par les éléments du dossier desquels il se dégage que l’objet de la demande initiale de Madame (A) à l’adresse de la CNPD ne visait pas uniquement le constat, d’une violation du RGPD par Monsieur (B), mais incluait également de le voir sanctionné ainsi que de voir cesser le dommage ainsi subi par elle du fait de ce traitement de données, qu’elle considère comme étant illégal, ainsi qu’à voir ordonner à Monsieur (B) de communiquer à la CNPD et à Madame (A) le nom de la source qui lui aurait divulgué ses coordonnées et informations personnelles, conformément aux pouvoirs conférés à la CNPD par l’article 58 du RGPD.
Dans ce contexte, il convient encore de relever que tant l’article 77, paragraphe (2) du RGPD, disposant que « L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. », que l’article 78, paragraphe (2) du même texte, selon lequel « Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77. », prévoient expressément, au profit de la personne concernée, un droit à un recours juridictionnel effectif.
Au vu de ce qui précède, il échet de conclure que le courriel de la CNPD du 6 octobre 2022, tel que déféré, en ce qu’il ne donne pas de suites aux demandes de Madame (A), constitue une décision de nature à faire grief, de sorte que le moyen d’irrecevabilité afférent est à rejeter.
1 Trib. adm., 18 juin 1998, n° 10617 et 10618 du rôle, Pas. adm. 2024, V° Actes administratifs, n° 51 et les autres références y citées.
2 Cour adm., 28 novembre 2023, n° 48964C du rôle, Pas. adm. 2024, V° Protection des données, n° 2.Quant au moyen formulé par la CNPD tiré de l’incompétence des juridictions administratives de prononcer des injonctions à l’encontre d’une autorité administrative, force est au tribunal de rappeler qu’il n’appartient pas au juge administratif, même dans le cadre d’un recours en réformation, de prononcer des injonctions à l’égard d’une autorité administrative en l’absence d’une disposition expresse l’y autorisant3, le tribunal, saisi du contrôle d’une décision déférée, est nécessairement cantonné au même niveau décisionnel que celui dans lequel se trouvait l’autorité administrative concernée, à savoir en l’occurrence la décision de procéder ou non à une enquête dirigée contre Monsieur (B).
Il s’ensuit que c’est à bon droit que la CNPD a conclu à l’incompétence du tribunal de connaître des demandes formulées par Madame (A), dans le dispositif de sa requête introductive d’instance, tendant à ordonner à la CNPD de faire usage des pouvoirs lui conférés par l’article 58 à l’encontre de Monsieur (B).
Le tribunal doit dès lors se déclarer incompétent pour connaître des demandes d’injonctions à l’égard de la CNPD.
Par ailleurs, la CNPD n’a pas refusé d’ordonner des mesures correctrices à l’issue d’une enquête dirigée contre Monsieur (B), mais s’est limitée à ne pas donner de suites à la réclamation de Madame (A), en décidant, sur base de l’article 2, paragraphe (2), point c) du RGPD, que le traitement de données dénoncé par celle-ci, échapperait à sa compétence pour avoir été effectué « par une personne physique dans le cadre d’une activité strictement personnel ou domestique ».
Ainsi, si le tribunal devait arriver à la conclusion que ce serait à tort que la CNPD s’est déclaré incompétente pour connaître de la réclamation de Madame (A), la conséquence en serait de prononcer l’annulation de ladite décision, dans le cadre du recours en réformation sous examen et de renvoyer le dossier à la CNPD, afin de maintenir dans le chef de Madame (A) la possibilité de voir toiser sa réclamation à un niveau non contentieux sur base d’une enquête en bonne et due forme diligentée par la CNPD dans le cadre des pouvoirs lui attribués à cet effet.
Il s’ensuit que le recours en ce qu’il sollicite la réformation de la décision du 6 octobre 2022 est dès lors recevable pour avoir, par ailleurs, été introduit dans les formes et délai de la loi.
Cette conclusion n’est pas énervée par le fait que la CNPD se rapporte à prudence de justice en ce qui concerne la recevabilité en la pure forme dudit recours et quant aux délais, car s’il est exact que le fait, pour une partie, de se rapporter à prudence de justice équivaut à une contestation, il n’en reste pas moins qu’une contestation non autrement étayée est à écarter, étant donné qu’il n’appartient pas au juge administratif de suppléer la carence des parties au litige et de rechercher lui-même les moyens juridiques qui auraient pu se trouver à la base de leurs conclusions4.
3 Trib. adm., 11 mars 2015, n° 33444 du rôle, Pas. adm. 2024, V° Recours en réformation, n° 38 et les autres références y citées.
4 Trib. adm., 23 janvier 2013, n° 30455 du rôle, Pas. adm. 2024, V° Procédure contentieuse, n° 930 (2e volet) et les autres références y citées.Dès lors, étant donné que la CNPD est restée en défaut de préciser dans quelle mesure la forme du recours, respectivement les délais n’auraient pas été respectés, le moyen d’irrecevabilité afférent encourt le rejet.
A l’appui de son recours et en fait, la demanderesse, outre de rappeler les rétroactes passés en revue ci-avant, explique qu’elle exercerait la profession d’avocat depuis le mois de décembre 2018.
Elle relate ensuite qu’en date du 14 juin 2022, elle aurait reçu un courrier recommandé à son domicile privé, expédié par un ancien client de l’étude d’avocats dans laquelle elle aurait effectué son stage judiciaire entre mars 2020 et mai 2022, lequel aurait contenu un ensemble de reproches infondés quant au traitement de son dossier par elle-même et Maître … .
Dans la mesure où ni elle-même, ni aucun membre de son ancienne étude n’aurait divulgué son adresse privée à cet ancien client, la demanderesse lui aurait alors demandé, par courriel du 15 juin 2022, de lui révéler le nom de la source qui lui avait divulgué ses données personnelles, question laissée sans réponse par ce dernier.
La demanderesse fait valoir, dans ce contexte, que compte tenu des conséquences gravissimes que la divulgation de l’adresse du domicile privé d’un avocat à un client éventuellement insatisfait pourrait engendrer non seulement pour sa sécurité, mais également pour celle de sa famille, du fait que l’adresse précitée n’aurait figuré nulle part sur Internet et du fait que ladite adresse n’aurait pas été divulguée ni par elle-même ni par un quelconque collaborateur de l’ancienne étude, elle aurait décidé de porter une réclamation devant la CNPD en date du 20 juin 2022 en vue d’obtenir, par l’entremise, de cette dernière, l’identification de la source de cette divulgation.
La demanderesse fait encore relever, à cet égard, que le nombre de courriers envoyés par Monsieur (B) à son adresse privée importerait peu et ne serait pas pertinent pour prétendre que le traitement illicite, respectivement « l'infraction » ne serait en quelque sorte pas caractérisée, d’autant plus que le soupçon sur l’obtention illégale de l’adresse serait désormais établi dès lors que Monsieur (B) aurait refusé de divulguer sa source.
A cela s’ajouterait le fait qu’elle n’aurait jamais usé et accepté d’envoyer et de recevoir communication des correspondances professionnelles à son adresse privée, ce qui serait contraire non seulement à la déontologique, mais également à l’obligation faite à l’avocat de disposer d’un cabinet conforme aux usages et qui le mettrait en mesure de satisfaire à l’ensemble des obligations professionnelles, parmi lesquelles celles de disposer de coordonnées propres au Grand-Duché de Luxembourg lui permettant de se conformer aux obligations de confidentialité, de secret professionnel et de gestion des conflits d’intérêts auxquelles la profession d’avocat serait astreinte.
La demanderesse fait, par ailleurs, valoir que l’exercice de l’activité d’avocat au sein de son domicile privé ne satisferait pas aux exigences prévues par le Règlement Intérieur de l’Ordre des Avocats du Barreau de Luxembourg, ci-après dénommé « le R.I.O. des avocats », et qu’il ne serait d’ailleurs pas non plus avéré qu’elle aurait établi, au moment des infractions constatées, son cabinet à son adresse privée d’une manière qui serait conforme au R.I.O. des avocats, de sorte qu’il ne saurait être soutenu qu’il y aurait pu y avoir eu confusion en la matière.
Elle critique encore le mandataire de la CNPD d’avoir affirmé qu’« il serait même possible que Mr (B) ait trouvé l'adresse lui-même et ne l'ait pas obtenue de la part d'une source tierce tel que soupçonné par Me (A) », en s’appuyant sur un extrait du site web … sur lequel figurerait uniquement son code postal et la localité de son domicile, alors que Monsieur (B) n’aurait jamais indiqué avoir trouvé son adresse privée en procédant à des recherches sur le site web …. Même à supposer que l’hypothèse ainsi lancée serait vraie, la demanderesse estime que cela confirmerait d’autant plus son inquiétude de devoir faire face à une personne dangereuse, disposée à se déplacer à son lieu de domicile afin de vérifier toutes les boîtes aux lettres rattachées au code postal en question, uniquement pour trouver son adresse privée, alors même que ce dernier aurait eu plusieurs options pour la contacter.
Elle affirme d’ailleurs, que le simple fait que Monsieur (B) aurait refusé de lui communiquer la source lui ayant permis d’obtenir l’adresse de son domicile privé prouverait qu’il se l’aurait procurée illicitement et qu’il en aurait fait un traitement illégal.
S’agissant de la publicité et de la disponibilité de son adresse professionnelle au jour de l’envoi du courrier litigieux de Monsieur (B), la demanderesse fait rappeler qu’elle aurait effectué son stage judiciaire au sein de l’étude …. jusqu’au …, avant d’être admise au barreau de Diekirch avec effet au …. Suite à l’ouverture de sa propre étude à partir de cette dernière date, les barreaux de Luxembourg et de Diekirch auraient mis plusieurs semaines pour mettre à jour son adresse et ses coordonnées de contact professionnels. Au jour de l’envoi du courrier litigieux, le site web du barreau de Luxembourg n’aurait renseigné que son numéro de téléphone professionnel portable, ainsi que la localité de la situation de son cabinet, sans mention du code postal y rattaché.
La demanderesse considère dès lors que si Monsieur (B) aurait voulu obtenir son adresse professionnelle à jour, il aurait tout simplement pu l’appeler sur son numéro de téléphone portable professionnel renseigné sur le site internet susmentionné, d’ailleurs déjà en possession de ce dernier depuis leur mise en relation par Maître …, ce dernier ayant encore pu lui adresser un courriel à son adresse professionnelle attitrée par le barreau dont Monsieur (B) aurait aussi parfaitement eu connaissance. Elle souligne encore que même à supposer qu’il n’aurait plus pu prendre contact avec elle, Monsieur (B) aurait très bien pu appeler soit le barreau de Luxembourg sinon celui de Diekirch pour obtenir ses informations professionnelles, sinon encore envoyer sa correspondance à sa dernière adresse professionnelle connue chez Maître … qui la lui aurait très certainement transmise.
Elle conclut finalement qu’au jour de l’envoi du courrier litigieux, son adresse privée n’aurait été ni publique, ni disponible pour avoir été introuvable tant sur internet que sur un quelconque annuaire en format papier, tout en précisant qu’elle n’aurait jamais divulgué son adresse privée à Monsieur (B), de même qu’aucun membre de l’étude … ne la lui aurait communiqué, étant encore relevé que Monsieur (B) aurait eu tout intérêt à révéler si un membre de ladite étude aurait été sa source, alors que les reproches contenus dans le courrier litigieux viseraient non seulement elle, mais aussi Maître ….
En droit, la demanderesse reproche à la CNPD d’avoir retenu que le traitement de données réalisé par Monsieur (B) tomberait sous le champ de l’article 2, paragraphe (2), point c) du RGPD.
A cet égard, elle conteste d’abord que le traitement de données litigieux serait caractérisé par la non-publicité des données traitées, alors que Monsieur (B) aurait remis à laPOST un courrier recommandé lequel indiquerait son adresse privée, suivie de sa qualité d’avocat et de son nom complet, de sorte qu’il serait impossible de savoir le nombre de personnes qui auraient manipulé ce courrier et qui auraient potentiellement appris son adresse privée, de même que le risque de perte ou de dépôt dudit courrier dans une mauvaise boîte aux lettres ne saurait être ignoré. En s’appuyant sur un arrêt rendu en date du 11 décembre 2014 par la Cour de justice de l’Union européenne, ci-après dénommée « la CJUE », dans l’affaire Frantisek Rynes, C-212/13, ayant retenu qu’une activité s’étendant « même partiellement, à l'espace public et, de ce fait, [étant] dirigée vers l'extérieur de la sphère privée de celui qui procède au traitement de données par ce moyen, (…) ne saurait être considérée comme une activité exclusivement personnelle ou domestique », la demanderesse estime qu’à partir du moment où Monsieur (B) aurait remis le courrier à la POST, son activité aurait été à considérer comme dirigée vers l’extérieur de sa sphère privée, de sorte à ne plus pouvoir être considérée comme une activité exclusivement personnelle ou domestique, tel que l’aurait retenu à tort la CNPD.
Elle en conclut que le traitement de données personnelles effectué par Monsieur (B) ne tomberait dès lors pas sous le champ d’application de l’article 2, paragraphe (2), point c) du RGPD.
Quant au critère du risque réduit pour les personnes dont les données seraient traitées, la demanderesse considère que compte tenu des reproches émis par Monsieur (B) et de la conviction de ce dernier relative à sa responsabilité professionnelle, le risque serait loin d’être réduit, non seulement à son égard, mais également à l’égard des membres de sa proche famille, demeurant à la même adresse qu’elle-même, les réactions de Monsieur (B) étant impossibles d’anticiper en cas d’échec de son action en justice.
En ce qui concerne les critères proposés par le Groupe de travail Article 29, ci-après dénommé « le G29 », dans son avis du 27 février 2013, la demanderesse indique que ledit groupe de travail serait d’avis qu’une combinaison de deux ou plusieurs facteurs devrait être utilisée pour déterminer si un traitement de données personnelles relèverait ou non de l’activité personnelle ou domestique du responsable du traitement, notamment (i) si les données à caractère personnel seraient diffusées à un nombre indéfini de personnes, plutôt qu’à une communauté limitée d’amis, de membres de la famille ou de connaissances, la demanderesse indiquant, dans ce contexte, qu’en l’espèce, les employés de la POST ne seraient pas à considérer ni comme amis, ni comme membres de la famille ni comme des connaissances de Monsieur (B), (ii) si les données à caractère personnel concerneraient des personnes qui n’auraient aucun lien personnel ou domestique avec la personne qui les publie, la demanderesse relevant qu’elle n’aurait aucun lien personnel ou domestique avec Monsieur (B), leur relation ayant été strictement professionnelle, (iii) si l’ampleur et la fréquence du traitement des données personnelles suggéreraient une activité professionnelle ou à plein temps, (iv) s’il y aurait des preuves qu’un certain nombre d’individus agiraient ensemble de manière collective et organisée, (v) s’il y aurait un impact négatif potentiel sur les personnes, y compris une intrusion dans leur vie privée, critère par rapport auquel la demanderesse affirme que l’impact négatif potentiel serait évident, tel qu’exposé ci-avant.
Elle en conclut qu’il résulterait de ces éléments que le traitement de données personnelles effectué par Monsieur (B) ne relèverait pas d’une activité personnelle ou domestique et que l’article 2, paragraphe (2), point c) du RGPD ne lui serait pas opposable en l’espèce.
La demanderesse déplore finalement qu’en prenant la décision déférée, la CNPD n’aurait pas tenu compte du fait que, par le traitement de données effectué par Monsieur (B), le droit au respect de sa vie privée et familiale, garanti par l’article 7 de la Charte des droits fondamentaux de l’Union européenne, ci-après désignée par « la Charte », aurait été gravement violé.
Elle fait encore répliquer que la CNPD rappellerait le caractère doublement exceptionnel des traitements visés par l’article 2, paragraphe (2), point c) du RGPD. D’un côté, (i) l’exception dudit article aurait pour objectif d’éviter de mettre à la charge des personnes physiques des obligations déraisonnables découlant du RGPD; et, d’un autre côté, (ii) cette exception devrait être vue à la lumière de l’équilibre à garder entre les droits fondamentaux de la personne dont les données personnelles sont traitées, entre autres le droit de toute personne au respect de sa vie privée et familiale et le droit de toute personne à la protection des données à caractère personnel la concernant, mais aussi de la personne qui traite ces données, comme son droit au respect de sa vie privée et familiale.
La demanderesse affirme que la CNPD consacrerait quasi l’intégralité de son argumentaire sur le point (i) précité en vue de prouver le bien-fondé de sa décision, alors qu’elle n’apporterait aucune réponse circonstanciée et plausible quant au point (ii) ci-dessus, à savoir si dans le cas d’espèce le traitement des données personnelles effectué par Monsieur (B) respecterait l’équilibre entre les droits fondamentaux susmentionnés.
Or, elle estime que le principe précité de l’équilibre entre les droits fondamentaux serait rappelé par le G29 prévoyant : « It is essential that the proposed Regulation adopts an approach to personal or household processing that: (…) strikes the right balance between the protection of privacy and the right to receive and import information. », lequel serait nécessaire pour assurer une juste interprétation du considérant 18 du RGPD et afin de pouvoir fournir des réponses circonstanciées quant aux traitements des données personnelles rentrant dans le champ d’application de l’article 2, paragraphe (2), point c) du RGPD.
Après avoir cité la première phrase du considérant 18 du RGPD, la demanderesse indique que l’exception y prévue trouverait application dans l’hypothèse où la condition tenant à l’inexistence d’un lien entre le traitement de données personnelles effectué et toute activité professionnelle ou commerciale, serait remplie non seulement à l’égard de la personne physique effectuant le traitement de données à caractère personnel, mais aussi vis-à-vis de la personne visée par le traitement précité.
La demanderesse fait relever que ce raisonnement serait confirmé par le critère n°2 de l’avis du 27 février 2013 du G29, selon lequel, lorsque les données à caractère personnel concerneraient des personnes sans aucun lien personnel ou domestique avec la personne qui les publie/diffuse, le traitement des données personnelles sous examen ne ferait pas partie de l’exclusion prévue à l’article 2, paragraphe (2), point c) du RGPD, sinon, l’équilibre entre les droits fondamentaux évoqués ne serait ni garanti ni établi. Elle en conclut que pour que l’exception prévue à l’article 2, paragraphe (2), point c) du RGPD puisse trouver application au cas sous examen, il faudrait que le traitement de données personnelles effectué par Monsieur (B) n’ait aucun lien avec une activité professionnelle ou commerciale ni de Monsieur (B), ni d’elle-même.
Or, elle estime que compte tenu du contenu du courrier expédié en date du 14 juin 2022 par Monsieur (B) à l’adresse de son domicile privé, lequel aurait contenu des reproches liés àson activité professionnelle, il ressortirait que l’emploi par Monsieur (B) de son adresse serait indubitablement en lien direct avec son activité professionnelle à elle, état de fait également reconnu par la CNPD. Comme l’ingérence dans sa vie privée serait démesurée, la demanderesse fait retenir que le traitement de ses données personnelles, effectué par Monsieur (B), n’assurerait pas l’équilibre entre leurs droits fondamentaux respectifs et il ne permettrait ni de garantir le droit au respect de sa vie privée et familiale, tel que prévu par les articles 7 de la Charte et 8 de la Convention de sauvegarde des droits de l’Homme et des libertés fondamentales, ci-après dénommée « la CEDH », ni le droit à la protection de ses données à caractère personnel dont la protection serait assurée par l’article 8 précité de la CEDH. En d’autres termes, la CNPD, par sa décision, aurait erronément privilégié le droit à la vie privée de Monsieur (B) au détriment de ses droits fondamentaux énoncés ci-dessus, alors que Monsieur (B) aurait eu beaucoup d’autres options licites à sa portée pour la contacter sans violer sa vie privée.
Concernant la deuxième phrase du considérant 18 du RGPD, la demanderesse fait valoir que dans le même effort de garder l’équilibre entre les droits fondamentaux des uns et des autres, l’échange de correspondance visé par ce paragraphe devrait être vu comme un échange de correspondance entre deux parties qui auraient de leur propre gré échangé leurs adresses courriels ou postales respectives en vue d’entamer une communication. Une autre hypothèse qui pourrait être considérée comme un échange de correspondance entrant dans le champ d’application de l’article 2, paragraphe (2), point c) du RGPD serait celle où une partie arriverait à contacter une autre à l’aide d’informations publiques soit trouvées sur internet utilisant un moteur de recherche, soit disponibles dans un annuaire classique.
Elle estime que dans le cas d’espèce, le courrier litigieux ne saurait être protégé par les dispositions de l’article 2, paragraphe (2), point c) du RGPD, étant donné que la situation existante entre les parties ne décrirait aucune des hypothèses énoncées ci-dessus, alors qu’elle-même n’aurait jamais divulgué son adresse privée à Monsieur (B) ni consenti à y recevoir ses courriers dans le cadre de leur relation professionnelle. Le fait qu’elle aurait immédiatement réagi en demandant à l’intéressé de lui révéler la source d’obtention de son adresse serait la preuve incontestable qu’elle aurait toujours voulu la garder secrète, préserver sa vie privée et protéger ses données à caractère personnel, ce qui constituerait son droit le plus absolu.
La demanderesse en conclut qu’il y aurait lieu de constater que le traitement de ses données personnelles, tel qu’effectué par Monsieur (B), n’assurerait pas l’équilibre entre leurs droits fondamentaux respectifs, alors que tant le droit au respect de sa vie privée et familiale, que le droit à la protection de ses données à caractère personnel se trouveraient en l’espèce violés de manière flagrante.
La demanderesse reproche ensuite à la CNPD de s’être contentée d’invoquer deux critères d’application de l’exception de l’article 2, paragraphe (2), point c) du RGPD, en les jugeant plus pertinents et déterminants que ceux présentés par elle-même.
Or, les deux critères mentionnés par la CNPD représenteraient, selon la demanderesse, seulement un courant doctrinal, alors qu’elle-même reprendrait, dans son analyse, non seulement les critères discutés par la doctrine, comprenant ceux énoncés par la CNPD, mais aussi les 5 critères proposés par le G29, qui ne seraient pas à exclure de l’analyse tendant à déterminer si le traitement effectué par Monsieur (B) tomberait sous le coup de l’article 2, paragraphe (2), point c) du RGPD.
Elle fait ainsi préciser que le critère n°2 proposé par le G29 serait identique à la première condition retenue par la CNPD, tandis que le critère n°1 proposé par ledit G29 serait identique à la deuxième condition retenue par la CNPD. Elle cite les propos dudit G29 ayant retenu que « ces critères pourraient être particulièrement utiles dans la première partie d'une procédure d'enquête, lorsque, par exemple à la suite d'une plainte, l'autorité de protection des données doit déterminer avec objectivité et certitude si le traitement en question est effectué ou non pour des activités personnelles ou domestiques », comme ce serait le cas en l’espèce. La demanderesse en conclut que l’ensemble des critères d’analyse utilisés par elle-même trouveraient toute leur utilité et application dans la présente affaire et seraient à retenir par le tribunal.
S’agissant des deux conditions d’application de l’exception personnelle ou domestique, telles que proposées par la CNPD, la demanderesse fait valoir quant au critère de la nature de l’activité en cause qu’eu égard aux arguments tenant à l’équilibre qui devrait être gardé entre les droits fondamentaux respectifs des parties lors du traitement des données personnelles à effectuer, que les arguments de la CNPD tendant à prouver que la nature de l’activité serait personnelle ou domestique ne sauraient pas prévaloir sur les conclusions tirées par elle-même.
Ainsi, selon le deuxième critère retenu par le G29, si les données à caractère personnel concerneraient des personnes qui n’auraient aucun lien personnel ou domestique avec la personne qui les publie, le traitement desdites données personnelles ne tomberait pas sous le champ de l’article 2, paragraphe (2), point c) du RGPD. Or, dans le présent cas, la demanderesse indique n’avoir aucun lien personnel ou domestique avec Monsieur (B), leur relation ayant été strictement professionnelle. De même, toujours sur base des mêmes conclusions, le courrier envoyé par Monsieur (B) à son adresse privée ne saurait pas être vu comme un échange de correspondance couvert par l’article 2, paragraphe (2), point c) du RGPD, précité, alors que l’objet de cet échange concernerait des rapports professionnels entre Monsieur (B) et elle-même.
La demanderesse en conclut que tous les arguments de la CNPD à cet égard seraient donc à écarter pour ne pas être fondés. Aussi, la CNPD soutiendrait erronément que l’arrêt précité Frantisek Rynes ne trouverait pas application dans le cas d’espèce, dans la mesure où « les actes de traitement à l'origine dudit arrêt sont très éloignés de ceux du cas d'espèce », la demanderesse estimant, dans ce contexte, que même la doctrine viendrait à contredire cette position, alors que l’arrêt précité préciserait que « la Jurisprudence de la Cour de justice sur la portée de l'exclusion à des fins personnelles ou domestiques va dans le sens d'une interprétation stricte de l'exclusion » prévue à l’article 2, paragraphe (2), point c) du RGPD.
Dès lors, contrairement à l’opinion de la CNPD, l’arrêt précité trouverait toute son application dans le cas d’espèce.
Concernant le critère de l’accessibilité aux données, la demanderesse soutient que la CNPD arriverait à la conclusion que « le nombre de destinataires n'est pas l'unique élément à prendre en compte dans le cadre du critère de l'accessibilité aux données, mais que la qualité des destinataires peut également avoir toute son importance ». Elle relève, à cet égard, que la CNPD affirmerait à tort et sans aucune preuve palpable à l’appui, que le nombre des destinataires serait extrêmement limité, alors qu’il serait pratiquement impossible d’établir si le nombre de personnes ayant manipulé le courrier litigieux serait limité ou déterminable, même s’il s’agirait uniquement des employés de la POST.
Selon la jurisprudence de la CJUE, la diffusion de données à caractère personnel sortirait de la sphère personnelle ou domestique par le fait que les données seraient rendues accessibles à un nombre indéterminé et illimité de personnes. La demanderesse rappelle encore, à cet égard, que la probabilité que le courrier aurait pu être distribué à une autre personne et que ce destinataire aurait ainsi pu prendre connaissance de son adresse privée ne serait guère limitée, voire inexistante, tel que la CNPD le soutiendrait à tort. Elle estime qu’il aurait suffi que l’avis de passage aurait été remis dans une mauvaise boîte postale pour qu’un mauvais destinataire puisse récupérer le courrier et apprendre non seulement son adresse, mais aussi le contenu dudit courrier, ce qui aurait pu engendrer des conséquences également sur sa réputation.
La demanderesse, critique encore la position erronée de la CNPD, selon laquelle tous les destinataires du courrier litigieux auraient été tenus à la confidentialité sinon au secret des lettres et que de ce fait, l’envoi dudit courrier par voie postale ne représenterait aucun risque ou inconvénient pour elle, alors que dans cette optique, si Monsieur (B) avait décidé d’envoyer son adresse à tous les avocats inscrits au barreau de Luxembourg, elle aurait dû accepter cela sans aucune réserve ni la moindre contestation, pour la simple raison que tous les avocats seraient soumis au secret professionnel et à la confidentialité. Elle qualifie le raisonnement de la CNPD comme étant pour le moins illogique et ne pouvant pas être accueilli, alors que toute personne aurait le droit de garder secret son domicile privé, même vis-à-vis de ses confrères.
La demanderesse fait encore relever que contrairement aux affirmations de la CNPD, les destinataires du courrier litigieux ne seraient pas tous tenus au secret des lettres et des communications: En effet, dans l’hypothèse où un courrier recommandé avec accusé de réception, tel que le courrier litigieux, ne pourrait pas être remis en mains propres du destinataire, un avis de passage serait déposé dans sa boîte aux lettres et le courrier recommandé serait déposé à un point de collecte, lequel se trouverait en l’espèce dans une station essence à …, de sorte que dès l’arrivée d’une telle correspondance au point de collecte, elle serait manipulée et remise au destinataire par des salariés de ladite station essence qui ne seraient pas couverts par le secret des lettres et n’auraient d’ailleurs aucune formation ou conscience quant à la manipulation de la correspondance pour préserver le secret des lettres et des communications. Ces affirmations seraient confirmées par la POST qui, sur question afférente, aurait indiqué dans un courriel du 18 avril 2023 que les envois attachés au code postal 8521 seraient toujours à récupérer au point de collecte POST … et que « Les salariés ne sont pas officiellement assermentés, mais le secret des correspondances s'applique à tous au Luxembourg et en Europe. ».
La demanderesse demande au tribunal de retenir que les salariés d’un point de collecte POST, tel que celui précité, ne seraient pas assermentés, mais que pour autant qu’ils pourraient réceptionner toutes sortes de correspondance, sans être tenus – à l’instar des salariés et fonctionnaires POST ayant prêté un serment professionnel – d’exécuter avec probité les opérations confiées à la POST, partant de respecter l’intégrité des objets déposés par les clients, le secret professionnel, le secret dû aux correspondances, l’obligation de discrétion professionnelle concernant tout renseignement, fait ou document dont ils auraient connaissance dans l’exercice de leurs fonctions, la primauté de l’intérêt des clients dans l’exercice des activités bancaires, financières et d’assurance, et d’en être sanctionnés civilement et pénalement avec la même rigueur que le salarié ayant prêté un serment professionnel, le risque de fuite et de diffusion d’informations concernant le client POST serait parfaitement envisageable.
Contrairement à ce qui serait affirmé par la CNPD, le considérant 18 du RGPD ne poserait guère un garde-fou dans l’application de l’exception personnelle ou domestique alléguée par la CNPD en ce qui concerne le circuit d’un courrier recommandé avec accusé de réception qui devrait être manipulé par les salariés d’une station essence. Aussi, le premier critère du G29 ferait référence tant au nombre des destinataires, mais aussi à leur qualité, de sorte que si les données à caractère personnel seraient diffusées à un nombre indéfini de personnes, plutôt qu’à une communauté limitée d’amis, de membres de la famille ou de connaissances, le traitement desdites données personnelles ne tomberait pas sous l’exception de l’article 2, paragraphe (2), point c) du RGPD.
La demanderesse estime que dans le présent cas de figure, (i) ni elle-même, ni les employés de la POST, ni les salariés de la station essence précitée ne sauraient être considérés comme des « amis », ni comme des membres de la famille ni des connaissances de Monsieur (B) et (ii) leur nombre ne serait pas défini ou déterminable, de sorte que le traitement des données personnelles effectué par Monsieur (B) ne tomberait pas sous le champ de l’article 2, paragraphe (2), point c) du RGPD. Elle en conclut qu’il ressortirait de ce qui précède que l’examen de la CNPD quant à l’application de l’article 2, paragraphe (2), point c) du RGPD au cas d’espèce, serait très lapidaire et n’énerverait en rien sa conclusion selon laquelle le traitement des données personnelles effectué par Monsieur (B) ne tomberait pas dans le champ d’application de l’article 2, paragraphe (2), point c) du RGPD.
En ce qui concerne la combinaison des critères proposées par le G29, la demanderesse critique la CNPD d’avoir trouvé curieux qu’elle n’aurait pas apporté une réponse à chacun des 5 critères. L’explication en serait pourtant simple et logique, alors que la demanderesse indique avoir apporté une réponse aux seuls critères qui prouveraient que le traitement des données personnelles effectué par Monsieur (B) ne tomberait pas dans le champ d’application de l’article 2, paragraphe (2), point c) du RGPD, à savoir, les critères n°1, 2 et 5.
Dans tous les cas, afin de vérifier si le traitement de données personnelles effectué par Monsieur (B) ne tomberait pas sous la protection de l’article 2, paragraphe (2), point c) du RGPD, il ne serait pas nécessaire que tous les 5 critères seraient remplis.
D’ailleurs, elle estime que son affirmation selon laquelle il suffirait que deux facteurs seraient remplis pour déterminer si l’on se trouverait en présence d’un traitement exclu du RGPD ne serait pas erronée, contrairement à ce que la CNPD soutiendrait, dans la mesure où le G29 ne préciserait pas combien de critères devraient être combinés au minimum, et tenant compte du fait qu’une combinaison présuppose au moins 2 critères.
Ainsi, compte tenu des toutes ces explications, la demanderesse conteste le bien-fondé des arguments de la CNPD apportés aux critères n°1, 2 et 5.
Concernant la réponse donnée par la CNPD à la question n°5, la demanderesse soutient que celle-ci omettrait sciemment le risque réel auquel non seulement elle-même serait soumise, mais aussi les membres de sa famille demeurant à la même adresse. Dès lors, contrairement aux allégations de la CNPD, ce risque trouverait toute sa pertinence par rapport à la problématique concernée et au contexte litigieux existant entre elle et Monsieur (B). Ce risque représenterait encore une des raisons principales de la présente action en justice, l’autre étant la violation de ses droits fondamentaux plus amplement exposés ci-avant. La demanderesse fait encore relever que même si ce dernier critère tenant au risque pour la personne concernéene serait pas déterminant à lui seul, il demeurerait un critère proposé par le G29 qui devrait être pris en considération et analysé sérieusement, ce que la CNPD n’aurait pas fait.
Si la CNPD affirmerait que le RGPD viserait à protéger la vie privée des personnes physiques à l’égard du traitement de leurs données personnelles par des tiers, il ressortirait de l’analyse de l’argumentaire de la CNPD, que cette dernière traiterait l’exception de l’article 2, paragraphe (2), point c) du RGPD comme étant la règle, alors que le principe du RGPD serait d’effectivement protéger la vie privée des personnes physiques à l’égard du traitement de leurs données personnelles par des tiers. En d’autres termes, la demanderesse estime que la CNPD, qui aurait dû être le garant du but déclaré du RGPD, défendrait les agissements de Monsieur (B), à savoir son utilisation de son adresse privée obtenue de façon illicite jusqu’à preuve du contraire, et lui reprocherait presque d’avoir fait usage de son droit de saisir le tribunal administratif pour résoudre judiciairement la situation, compte tenu de la carence de la CNPD.
Par ailleurs, la CNPD déclarerait encore à tort que l’objectif du RGPD ne serait pas de protéger les personnes contre des atteintes à leur intégrité physique.
Or, une utilisation illégale des données personnelles et, dans un contexte conflictuel, tel que dans la présente affaire, pourrait avoir de nombreuses et variées conséquences, y compris de possibles atteintes à son intégrité physique, de sorte que cette protection contre de probables atteintes à l’intégrité physique serait incluse et donc sous-entendue dans l’objectif du RGPD rappelé ci-avant par la CNPD.
La demanderesse estime que ce serait encore à tort que la CNPD soutiendrait que le risque pour son intégrité physique ou celle de sa famille ne serait pas donnée en l’espèce, alors que l’affaire de Monsieur (B) serait très probablement toujours en cours et que personne, y compris la CNPD, ne pourrait garantir que des éventuels actes de harcèlement ou menaces d’atteintes à son intégrité physique ou à celle de sa famille ne se produiraient pas en cas de décisions défavorables le concernant, sachant que l’individu est en possession de son adresse privée.
Elle fait valoir qu’il serait évident que la CNPD tournerait en dérision la question des risques auxquels elle et les siens pourraient être confrontés par la découverte et l’utilisation de l’adresse privée obtenue illicitement par Monsieur (B).
La demanderesse critique encore le fait que la CNPD aurait déclaré que dans l’hypothèse où le traitement des données effectué par Monsieur (B) ne tomberait pas dans le champ d’application de l’article 2, paragraphe (2), point c) du RGPD, le RGPD ne s’appliquerait de toute façon pas au cas d’espèce, au motif que rien n’indiquerait que Monsieur (B) aurait intégré son adresse privée dans un fichier structuré, alors que la CNPD n’indiquerait pas en quoi les données personnelles traitées par Monsieur (B) ne seraient pas appelées à être contenues dans un fichier. À défaut d’une justification circonstanciée, ce moyen de la CNPD serait à écarter pour être non fondé, prématuré et d’ailleurs, non pertinent dans cette affaire.
Aussi, la demanderesse conteste les conclusions de la CNPD, alors que (i) les faits relatés et les éléments de preuve présentés conduiraient vers une situation présentant un degré élevé de gravité pour elle-même, (ii) l’impact sur ses droits et libertés fondamentaux serait substantiel et (iii) l’accueil et l’examen de sa réclamation serait une mesure non seulement nécessaire, mais indispensable.
La CNPD conclut, quant à elle, au rejet du recours pour n’être fondé en aucun de ses moyens.
Force est tout d’abord au tribunal de constater qu’en vertu du considérant 18 du RGPD, selon lequel « Le présent règlement ne s'applique pas aux traitements de données à caractère personnel effectués par une personne physique au cours d'activités strictement personnelles ou domestiques, et donc sans lien avec une activité professionnelle ou commerciale. Les activités personnelles ou domestiques pourraient inclure l'échange de correspondance et la tenue d'un carnet d'adresses, ou l'utilisation de réseaux sociaux et les activités en ligne qui ont lieu dans le cadre de ces activités. Toutefois, le présent règlement s'applique aux responsables du traitement ou aux sous-traitants qui fournissent les moyens de traiter des données à caractère personnel pour de telles activités personnelles ou domestiques. », ainsi qu’aux termes de l’article 2, paragraphe (2), point c) du RGPD, prévoyant que « Le présent règlement ne s'applique pas au traitement de données à caractère personnel effectué : (…) c) par une personne physique dans le cadre d'une activité strictement personnelle ou domestique ; ».
Ainsi, un traitement de données à caractère personnel effectué par une personne physique à des fins strictement personnelles ou domestiques est expressément exclu du champ d’application du RGPD.
Tel que relevé, à juste titre, par la CNPD, la raison d’être de l’exception prévue par l’article 2, paragraphe (2), point c) du RGPD, permet, d’une part, d’éviter de mettre à la charge des personnes physiques des obligations déraisonnables découlant du RGPD, lorsqu’elles traitent des données à caractère personnel dans le cadre de leur vie privée ou familiale, telles que la tenue d’un registre des activités de traitement conformément à l’article 30 du RGPD ou encore la fourniture d’une notice d’information conformément à l’article 13 du RGPD, et, d’autre part, d’établir un équilibre entre les droits fondamentaux des uns et des autres, à savoir des personnes traitant des données personnelles et des personnes concernées par ces traitements, cette exception permettant « d’assurer la protection prévue à l’article 7 de la Charte en faveur de celui qui se livre au traitement de données à caractère personnel dans sa vie privée et familiale »5, protection ayant notamment pour finalité de ne pas violer l’intimité de celui qui traite des données dans le cadre de sa vie privée et familiale.
Force est ensuite au tribunal de rappeler que l’exception prévue à l’article 2, paragraphe (2), point c) du RGPD s’applique uniquement « dans le cadre d’une activité strictement personnelle ou domestique » de la personne physique qui procède à ce traitement.
Partant, les conditions d’application de l’exception prévue à l’article 2, paragraphe (2), point c) du RGPD, au traitement de données à caractère personnel concerné, se vérifient par rapport à, (i) la nature de l’activité en cause, laquelle doit s’inscrire dans la sphère personnelle ou domestique de la personne physique procédant audit traitement, et, (ii) l’accessibilité limitée aux données traitées à un cercle restreint de destinataires et la non-publicité de ces données.
Il échet dès lors de vérifier si, en l’espèce, l’utilisation des données personnelles de Madame (A) par Monsieur (B), personne physique, et plus particulièrement l’utilisation de son adresse privée en vue de l’envoi d’un courrier à cette adresse, constitue un traitement de données effectué dans le cadre d’une activité strictement personnelle ou domestique, au sens de l’article 2, paragraphe (2), point c) du RGPD, exclu du champ d’application du RGPD.
5 Conclusions de l’avocat général N. JÄÄSKINEN, 10 juillet 2014, affaire František Ryneš contre Úřad pro ochranu osobních údajů, C-212/13, n° 52.Compte tenu des enseignements de la CJUE, dans son arrêt František Ryneš contre Úřad pro ochranu osobních údajů, du 11 décembre 2014, C-212/13, selon lesquels « (…) en ce qui concerne les personnes physiques, la correspondance et la tenue de répertoires d’adresses constituent (…) des « activités exclusivement personnelles ou domestiques » même si, incidemment, elles concernent ou peuvent concerner la vie privée d’autres personnes », il y a d’ores et déjà lieu de retenir que l’échange de correspondance entre personnes physiques, par voie de lettres ou messages, est expressément exclu du champ d’application du RGPD pour relever, de par sa nature même, de la sphère personnelle ou domestique.
Il s’ensuit qu’il y a lieu de retenir que (i) la nature de l’activité en cause, à savoir, en l’espèce, l’utilisation d’une adresse privée aux fins d’envoyer une lettre à son ancienne avocate, s’inscrit purement dans le cadre de la vie privée de Monsieur (B), ce dernier ayant agi comme personne physique à des fins privées, pour son propre compte, notamment en vue d’exprimer son mécontentement quant à une affaire dans le cadre de laquelle Madame (A) l’avait anciennement conseillé en sa qualité d’avocat, le lien personnel entre Monsieur (B) et Madame (A) se trouvant également vérifié, contrairement aux développements de la demanderesse, dans ce contexte.
Ledit critère de la nature privée de l’activité en cause est dès lors vérifié.
S’agissant du critère de (ii) l’accessibilité limitée aux données traitées à un cercle restreint de destinataires et la non-publicité de ces données, par la personne physique procédant au traitement litigieux, force est au tribunal de relever que le courrier litigieux a uniquement été adressé à deux destinataires, à savoir à la demanderesse et à Maître …, et qu’aucune publicité ne saurait être tirée du fait que le courrier litigieux a été transmis aux services de la POST ou à ses sous-traitants pour être remis auxdits destinataires, étant encore précisé, à cet égard, que seuls quelques employés de la POST, soumis aux secrets des lettres et traitant quotidiennement, de par la nature même de leur métier, l’adresse privée de la demanderesse, ont été amenées à manipuler l’enveloppe de l’envoi muni de l’adresse privée de cette dernière, de sorte que l’adresse privée de Madame (A) n’a pas été rendue accessible par Monsieur (B) à un nombre indéfini de personnes et n’a donc pas non plus été rendue publique.
Il échet, par ailleurs, de constater que le courrier litigieux a été envoyé par Monsieur (B) sous forme d’envoi recommandé, lequel n’est remis à son destinataire qu’en échange de sa signature ou de celle d’une personne habilitée par le destinataire à le réceptionner, respectivement, en cas d’absence lors du passage du facteur, ledit envoi ne peut être retiré qu’en présentant l’avis de passage du facteur et sa carte d’identité, de sorte que tant l’argumentation de la demanderesse selon laquelle le risque de perte ou de dépôt dudit courrier dans une mauvaise boîte aux lettres, que celle critiquant l’absence d’assermentation des salariés d’une station d’essence, ne sauraient tenir, étant relevé, à cet égard, que la demanderesse a elle-même bien réceptionné le courrier litigieux dont question.
Il s’ensuit que le critère de l’accessibilité limitée aux données traitées à un cercle restreint de destinataires et la non-publicité de ces données est partant également vérifié.
Ce constat n’est pas ébranlé par l’argumentation de la demanderesse suggérant que le traitement de ses données personnelles effectué par Monsieur (B) ne respecterait pas l’équilibre entre leurs droits fondamentaux respectifs, alors qu’une telle affirmation se fonde sur la prémisse erronée que l’exception domestique de l’article 2, paragraphe (2), point c) du RGPD devrait être vérifiée dans le chef de la personne physique dont les données seraient traitées,dans la mesure où l’exception se vérifie exclusivement en examinant si le traitement des données à caractère personnel s’inscrit dans le cadre de la sphère privée de la personne physique qui procède au traitement, afin d’éviter à cette dernière des obligations déraisonnables découlant du RGPD dans l’hypothèse où l’impact limité de ce traitement se trouve vérifié, même si ce traitement concerne incidemment la vie privée d’autrui, en l’espèce celle de la demanderesse.
Le même constat s’impose quant à l’invocation par la demanderesse du critère du risque réduit pour les personnes dont les données seraient traitées, alors que les conclusions tirées par cette dernière dudit critère, à savoir un risque à son égard et à l’égard des membres de sa famille demeurant à son adresse privée, ne concernent aucunement le traitement de données à caractère personnel litigieux effectué par Monsieur (B), mais plutôt un sentiment général d’insécurité de cette dernière par rapport à son ancien client, litige échappant à la compétence du tribunal administratif pour s’inscrire, le cas échéant, dans un contexte pénal.
S’agissant finalement de l’affirmation de la demanderesse selon laquelle la CNPD aurait invoqué deux critères plus pertinents pour son analyse afin de voir écarter les critères proposés par le G29, force est au tribunal de constater que la demanderesse admet elle-même, dans le cadre de son mémoire en réplique, que les critères d’application de l’exception domestique, tels qu’examinés par la CNPD, sont identiques à ceux proposés par le G29, de sorte que cette affirmation est à écarter pour manquer de fondement, étant encore relevé à cet égard que la demanderesse est restée en défaut d’établir que les autres critères proposés par le G29 seraient remplis, voir applicables en l’espèce.
Force est dès lors au tribunal de retenir que c’est à bon droit que la CNPD a décidé, dans le cadre de la décision déférée, de se déclarer incompétente pour connaître de la réclamation de Madame (A), alors que le traitement de données litigieux effectué par Monsieur (B) tombe sous le champ d’application de l’article 2, paragraphe (2), point c) du RGPD, pour avoir été effectué par une personne physique dans le cadre d’une activité strictement personnelle ou domestique de cette dernière.
Sur base de l’ensemble des considérations qui précèdent, le recours de la demanderesse est à rejeter pour manquer de fondement.
La demande en allocation d’une indemnité de procédure d’un montant de 3.000 euros sur le fondement de l’article 33 de la loi modifiée du 21 juin 1999 portant règlement de procédure devant les juridictions administratives, telle que formulée par la CNPD, laisse d’être fondée, les conditions légales afférentes n’étant pas remplies en cause.
Par ces motifs, le tribunal administratif, quatrième chambre, statuant contradictoirement ;
reçoit en la forme le recours principal en réformation en ce qu’il est dirigé contre la décision déférée de la CNPD du 6 octobre 2022, en ce qu’elle a confirmé sa décision du 29 juillet 2022 par laquelle elle s’est déclarée incompétente pour connaître de la réclamation introduite par la demanderesse en date du 20 juin 2022 ;
se déclare incompétent pour le surplus ;
au fond, le déclare non justifié, partant en déboute ;
dit qu’il n’y a pas lieu de statuer sur le recours subsidiaire en annulation ;
rejette la demande en allocation d’une indemnité de procédure formulée par la CNPD ;
condamne la demanderesse aux frais et dépens de l’instance.
Ainsi jugé et prononcé à l’audience publique du 3 juin 2025 par :
Paul Nourissier, premier vice-président, Olivier Poos, vice-président, Emilie Da Cruz De Sousa, premier juge, en présence du greffier Shania Hames.
s. Shania Hames s. Paul Nourissier Reproduction certifiée conforme à l’original Luxembourg, le 4 juin 2025 Le greffier du tribunal administratif 20
