Les autorités de contrôle européennes demandent à l’APD de se pencher sur une plainte de l’ONG NOYB

---

Contexte de la plainte

L’organisation NOYB a déposé une plainte auprès de l’autorité de protection des données autrichienne concernant les bannières de cookies du site Internet de la VRT. L’organisation agit au nom d’un plaignant, qu’elle représente dans le cadre de la procédure. Étant donné que la plainte concerne un site Internet belge, celle-ci a été transférée à l’autorité de protection des données belge (APD). Dans un premier projet de décision, envoyé aux autres autorités de protection des données dans le cadre du mécanisme de coopération, l’APD propose de classer la plainte sans suite. Cette proposition était basée sur des éléments selon lesquels NOYB aurait joué un rôle prépondérant dans le dépôt de la plainte en donnant des instructions au plaignant sur comment procéder, et non l’inverse, ce qui constituerait un abus de droit (de porter plainte). Il convient notamment de préciser que le plaignant était stagiaire chez NOYB au moment où le projet à l'origine de la plainte a été initié.

Ce raisonnement se fonde sur la jurisprudence de la Cour des marchés (Cour d’appel), qui a déjà conclu à un abus de droit dans le cadre d’autres plaintes déposées par NOYB (contre l’entreprise Mediahuis). La Cour des marchés avait alors annulé la décision quant au fond (113/2024 concernant les bannières de cookies de Mediahuis) de l’APD.

L’autorité autrichienne, en tant qu’autorité de contrôle concernée, s’est opposée au classement sans suite de la plainte. Vu la jurisprudence existante en Belgique sur ce sujet, l’APD a été dans l’obligation de ne pas suivre cette objection. De même, l’autorité autrichienne ne pouvait pas accepter le rejet de la plainte en raison d’une propre jurisprudence locale qui a réfuté des arguments selon lesquels des plaintes similaires avaient été déposées à tort. L’affaire a donc été transférée à l’EDPB.

Décisions transfrontalières et le règlement des litiges

La réglementation européenne (RGPD) prévoit que quand une autorité de protection des données dite « chef de file » prend une décision qui concerne d’autres autorités (par exemple parce que le plaignant a originellement porté plainte dans un autre pays), elle doit soumettre son projet  de décision à ces autorités concernées afin que celles-ci puissent exprimer une éventuelle objection « pertinente et motivée ». Si l’autorité chef de file refuse d’adapter sa décision en fonction de l’objection formulée, un mécanisme de résolution des litiges est déclenché : toutes les autorités de protection des données de l’UE, réunies au sein de l’EDPB, prennent alors une décision sur le cas. L’autorité de protection des données chef de file (ici, l’APD) doit alors respecter cette « décision contraignante ».

Décision contraignante de l’EDPB dans le cas de NOYB contre VRT

L’EDPB a estimé que, sur la base des informations disponibles et conformément aux critères établis par la Cour de Justice de l’Union européenne pour déterminer l’existence d’un abus présumé, le plaignant n’avait pas abusé des droits de porter plainte (art. 77 RGPD) et d’être représenté par une organisation (art. 80 RGPD). En effet, les éléments (objectifs et subjectifs) nécessaires pour prouver un tel abus n’ont, selon l’EDPB, pas été démontrés.

En conséquence, l’EDPB a donné instruction à l’APD de ne pas rejeter la plainte, mais de l’examiner quant au fond et de remettre un nouveau projet de décision aux autorités concernées une fois la plainte traitée.

L’APD accueille favorablement la conclusion de cette procédure et l’occasion qui lui a été offerte d’entendre l’opinion de ses homologues. Cette décision contraignante apporte une sécurité juridique aux différentes parties concernées. La procédure de règlement des litiges prévue par le RGPD constitue un instrument important pour garantir la cohérence dans l’application du RGPD à travers l’Europe.

Historique et ligne du temps : plaintes NOYB concernant des « bannières de cookies »

2021

• L’ONG NOYB a introduit des centaines de plaintes auprès d’autorités de protection des données dans toute l'Europe contre les bannières de cookies de sites Internet populaires (« cookie banner project »). L’APD a reçu quelques dizaines de ces plaintes.

2022

• Une seconde vague de plaintes similaires concernant des bannières de cookies sont déposées. 

2023 

• L'autorité autrichienne transmet à l’APD la plainte contre la VRT en question (déposée dans le cadre du « cookie banner project ») via la plateforme de collaboration en ligne de l'EDPB.

2024 

• L’APD classe deux plaintes déposées par NOYB sans suite, en raison d’un abus de droit. L’une de ces plaintes avait été déposée dans le cadre du « cookie banner project ». Ces classements sans suite n’ont pas fait l’objet d’un recours de la part des plaignants ou de NOYB. 
• L’APD traite quant au fond des plaintes de NOYB concernant les bannières de cookies des sites de presse de Mediahuis. Ces plaintes ne font pas partie du « cookie banner project ». La manière dont ces plaintes ont été déposées diffère des précédentes, raison pour laquelle elles n’ont pas été classées sans suite. L’APD prend la décision 113/2024, dans laquelle elle ordonne à Mediahuis d’apporter des modifications à ses bannières de cookies. 
• Mediahuis dépose un recours contre cette décision auprès de la Cour des marchés (Cour d’appel)

2025

• La Cour des marchés conclut à un abus du droit de porter plainte de la part de NOYB et annule la décision 113/2024 (dite « Mediahuis ») de l’APD pour des raisons procédurales (lire l’arrêt ici)
• L’APD classe sans suite 16 autres plaintes (déposées dans le cadre du « cookie banner project ») d’une part suite à la jurisprudence de la Cour des marchés, d’autre part en raison d'éléments laissant supposer que NOYB a joué un rôle prépondérant dans le dépôt coordonné de ces plaintes. Par souci de transparence, l’APD s’explique ici. Aucun recours n’a été introduit contre le classement sans suite de ces 16 plaintes. 
• L’APD transmet un projet de décision de classement sans suite dans le cadre de 3 autres dossiers concernant des bannières de cookies (en ce compris le dossier VRT) dans lesquels l’autorité autrichienne est une autorité concernée.
• L’autorité autrichienne émet des objections pertinentes et motivées dans le cadre des 3 dossiers
• Dans deux de ces 3 dossiers, les plaintes ont été retirées par la personne à l’origine de la plainte au cours de la phase d’échange de points de vue entre les parties précédant la procédure auprès de l’EDPB. Seule l’objection contre le classement sans suite de la plainte visant la VRT est maintenue. 
• L’APD ne peut pas modifier sa décision en raison de la jurisprudence de la Cour d’appel belge. L’autorité autrichienne ne peut pas accepter ce rejet de la plainte en raison de sa propre jurisprudence locale. En conséquence, le mécanisme de règlement des litiges doit être enclenché. 

2026

• 28 mai 2026 : l’EDPB adopte une décision contraignante : l’APD doit traiter le dossier NOYB contre VRT sur le fond
• 19 juin 2026 : après la traduction de la décision contraignante en allemand et en néerlandais, celle-ci est notifiée à l’autorité chef de file et aux autorités concernées par la présidente de l’EDPB 
• 9 juillet 2026 : l’APD décide formellement d’examiner le dossier sur le fond et en notifie la VRT. Elle ajoute la décision contraignante de l’EDPB, traduite en néerlandais, en annexe de sa décision. 
• L’autorité autrichienne informe également NOYB de la suite donnée au dossier en ajoutant en annexe la décision contraignante de l’EDPB.