Beslissing ten gronde nr. 65/2024

1/20 Chambre Contentieuse Décision quant au fond 65/2024 du 26 avril 2024 Numéro de dossier : DOS-2020-04419 Objet : Plainte relative à un refus d’effacement par un éditeur de presse La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président, et de messieurs Yves Poullet et Christophe Boeraeve, membres; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : La plaignante: Madame X, ayant pour conseils Me Nicolas BERTHOLD et Me Estelle DESWYSEN, avocats au barreau de Bruxelles, dont le cabinet est établi à 1000 Bruxelles, chaussée de Waterloo 880 ; Ci-après « la plaignante » ; La défenderesse : Y , ayant pour conseils Me Sandrine CARNEROLI et Me Alain BERENBOOM, avocats, dont le cabinet est établi à 1000 Bruxelles, rue de Florence 13 ; Ci-après « la défenderesse ». Décision quant au fond 65/2024 — 2/20 I. Faits et procédure 1. La plainte dénonce l’absence de suite donnée par la défenderesse à la demande d’effacement (formulée sur pied de l’article 17.1 du RGPD) de la plaignante de certains articles de presse mis en ligne par le journal A dont la défenderesse est propriétaire sur le site web dudit journal A [ site internet A ]. 2. Le 16 septembre 2020, la plaignante introduit une plainte auprès de l’Autorité de protection des données (APD) contre la défenderesse. Les faits à l’origine de la plainte et les articles litigieux sont détaillés ci-dessous : - Le premier article est paru dans l’édition papier du journal A du (….) 2017, sous le titre « ……. » (article 1). Il relate la mise en cause de la plaignante dans une procédure correctionnelle relative à un trafic de cannabis et (….). L’article est illustré par une photographie de la plaignante revêtue de sa robe d’avocate dans un palais de justice, avec un bandeau noir sur le visage. La plaignante dénonce que ce cliché n’a pas pu être réalisé lors de l’audience évoquée, puisqu’elle n’y était pas présente, mais y était représentée par son conseil. De surcroît elle n’était pas entendue en sa qualité d’avocate. Cet article est disponible en ligne à l’adresse […] sur le site internet A. - Le journal A revient sur cette affaire dans son édition papier du (….) 2017, soit le lendemain de l’audience devant le Tribunal correctionnel, avec un deuxième article intitulé : « ….. » (article 2). également disponible en ligne à […]. Cet article rend compte de l’audience et de la défense de la plaignante. Il est illustré de la même photographie que celle publiée dans le premier article, sans bandeau noir sur le visage cette fois. - Le (…) 2017, le journal A relate l’acquittement dont la plaignante a fait l’objet dans un troisième article titré :« …… » (article 3). L’article est illustré par la même photographie de la plaignante, sans bandeau noir sur le visage. 3. Le 17 avril 2020, le précédent conseil de la plaignante s’adresse à la défenderesse par email envoyé à l’adresse []. à 14h18 très précisément. 4. Il y expose que les articles de presse précités s’inscrivent dans un acharnement médiatique contre sa cliente et bafouent son droit à la présomption d’innocence. Il ajoute que la publication de la photographie de cette dernière porte atteinte à son droit à l’image et que certains passages des articles litigieux heurtent son honneur et sa réputation. Les archives électroniques du journal A continuant à perpétuer la mémoire de ces faits, il indique que la plaignante exerce par ledit courriel son droit à l’oubli et à l’effacement que lui reconnait l’article 17.1. du RGPD à l’encontre de la défenderesse. Décision quant au fond 65/2024 — 3/20 5. Il ressort des pièces du dossier que cet envoi est immédiatement suivi d’un forward sans autre message d’accompagnement à l’adresse [privacy@... = adresse 2]. le même jour à 14h23. 6. Sans nouvelle de la défenderesse, le conseil de la plaignante lui adresse un rappel par courrier électronique le 2 juin 2020. A 14h19, un forward des e-mails du 17 avril 2020 (point 3) est ainsi adressé à [privacy@... = adresse 2] et à [dpo@ … soit l’adresse du délégué à la protection des données du groupe = adresse 3]. Cet envoi est immédiatement suivi d’un forward sans autre message d’accompagnement à [info@ journal A .be = adresse 4] à 14h30. Enfin, un autre forward est opéré à l’adresse [info@... = adresse 5] à 14h34. 7. En l’absence de toute réaction de la défenderesse à ces envois, la plaignante dépose plainte à l’APD le 16 septembre 2020 ainsi qu’il a été exposé au point 2 ci-dessus. 8. Le 17 septembre 2020, le précédent conseil de la plaignante informe la défenderesse qu’il a déposé plainte auprès de l’APD, rappelant que ses envois des 17 avril (point 3) et 2 juin 2020 (point 6) sont restés sans réaction. 9. Le 30 septembre 2020, les conseils de la défenderesse adressent un courrier officiel au précédent conseil de la plaignante. Aux termes de celui-ci, ils demandent d’obtenir une copie du courriel du 17 avril, ainsi que des rappels et de la plainte qui a initié la procédure devant l’APD. Dans le même courrier, les conseils de la défenderesse font également savoir que leur cliente refuse d’accorder le droit à l’oubli sollicité par la plaignante et qu’aucune modification ne sera apportée aux articles concernés à l’appui de différents arguments détaillés dans ledit courrier. 10. Le 27 octobre 2020, la plainte est déclarée recevable par le Service de Première Ligne (SPL) de l’APD sur la base des articles 58 et 60 de la LCA et transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 11. Le 1er avril 2021, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 12. A cette même date, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. 13. Le 6 avril 2021, la défenderesse demande une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 9 avril 2021. Elle manifeste également son intention de recourir à la possibilité d'être entendue, ce conformément à l'article 98 de la LCA. 14. Dans un courrier ultérieur du 15 avril 2021 adressé aux parties, la Chambre Contentieuse, remplacent ces délais de conclusions précédemment communiqués comme suit : la date Décision quant au fond 65/2024 — 4/20 limite pour la réception des conclusions en réponse de la défenderesse est fixée au 2 juin 2021; la date limite pour la réception des conclusions en réponse de la plaignante est fixée au 6 juillet 2021 et la date limite pour la réception des conclusions en réplique de la défenderesse est fixée au 9 août 2021. 15. Le 2 juin 2021, la Chambre Contentieuse reçoit les conclusions en réponse de la défenderesse. La défenderesse ayant déposé des conclusions de synthèse, son argumentation est résumée au point 17 ci-dessous. 16. Le 6 juillet 2021, la Chambre Contentieuse reçoit les conclusions en réplique de la plaignante. a. A l’appui de sa demande d’effacement (basée sur l’article 8 de la Convention européenne des droits de l’homme (Conv. eur. D.H.) et sur l’article 17.1 du RGPD), la plaignante fait valoir l’intérêt réduit des articles de presse litigieux dans le cadre d’un débat d’intérêt général ainsi que l’ancienneté des faits, l’absence de proportionnalité (l’affaire pénale relatée n’ayant aucun lien avec le travail d’avocat de la plaignante et la nécessité de l’oubli en droit pénal a fortiori pour les personnes acquittées) et les répercussions du maintien en ligne des publications sur sa vie privée et professionnelle. b. Quant au grief tiré de la violation de l’article 12.3. du RGPD, la plaignante dénonce que plus de 5 mois se sont écoulés entre sa demande du 17 avril 2020 (point 3) visant à exercer son droit à l’oubli et à l’effacement et la réponse de la défenderesse du 30 septembre 2020 (point 9). Même à considérer que sa demande ne serait parvenue à la défenderesse que le 2 juin 2020 (rappel), la défenderesse a laissé courir un délai de 4 mois entre cette dernière date et le 30 septembre 2020 en violation dudit article 12.3. du RGPD. c. La plaignante dénonce également que la défenderesse ne satisfait pas à son obligation de faciliter l’exercice des droits des personnes concernées prévue à l’article 12.2. du RGPD ni à celle d’informer « de façon concise, transparente, compréhensible et aisément accessible » les personnes concernées sur la manière d’exercer leurs droits ainsi que l’exigent les articles 12.1, 13 et 14 du RGPD. 17. Le 9 août 2021, la Chambre Contentieuse reçoit les conclusions de synthèse de la défenderesse. a. Au départ des critères dégagés par la Cour européenne des droits de l’homme 1 pour effectuer la mise en balance entre le droit au respect de la vie privée d’une part et 1 La défenderesse y inclut : la contribution à un débat d’intérêt général, la notoriété de la personne concernée, l’objet de la publication, le comportement antérieur de la personne concernée, le contenu, la forme et les répercussions de la publication ainsi que le mode et les circonstances dans lesquelles les informations ont été obtenues et leur véracité. Quant aux mesures Décision quant au fond 65/2024 — 5/20 le droit à la liberté d’expression et d’information d’autre part, la défenderesse estime qu’elle peut valablement s’appuyer sur l’exception de l’article 17.3.

1. a)du RGPD. b. Dès lors que les traitements de données concernés sont nécessaires à la liberté d’expression et d’information au sens de cet article, la défenderesse s’estime autorisée à poursuivre la publication en ligne des 3 articles litigieux. c. S’agissant du grief tiré de la violation de l’article 12.3. du RGPD, la défenderesse expose qu’effectivement elle n’a pas adressé de réponse à la plaignante dans le délai d’un mois de l’article 12.3. en réponse à ses courriels des 17 avril et 2 juin 2020. Elle expose à cet égard qu’elle n’a jamais réceptionné de demande d’effacement adressée à l’adresse dédiée [adresse 1] signalée à l’article XII de la Politique de confidentialité disponible à partir de toutes les pages du site du journal A sur lequel les articles litigieux étaient publiés. Pour le surplus, hormis l’adresse e-mail de son délégué à la protection des données (DPO), les autres adresses e-mail utilisées par le précédent conseil de la plaignante soit n’existaient plus (adresse 4) soit n’étaient pas celles auxquelles une demande d’effacement aurait dû être adressée (adresse 2 et adresse 5 ). d. Quant au grief tiré de la violation de l’article 12.2. du RGPD, la défenderesse indique que la plaignante a elle-même compliqué la situation en adressant sa demande à de multiples adresses e-mail non gérées par le journal A alors même que les adresses pertinentes devant être utilisées étaient aisément accessibles dans la politique de confidentialité disponible au départ de chaque page du site internet du journal A sur lequel les articles litigieux étaient publiés. e. Enfin, quant au grief tiré de la violation des articles 12.1, 13 et 14 du RGPD, la défenderesse indique que la plaignante n’expose pas les raisons qui motivent cette extension de la plainte et en quoi elle n’aurait pas (adéquatement) informé la plaignante. 18. Le 7 février 2024, la défenderesse dépose une nouvelle pièce consistant en un jugement de 2023 du Tribunal de Première Instance (TPI) francophone de Bruxelles – section civile (R.G. : 22/3662/A). Il ressort de ce jugement que la plaignante a introduit une procédure civile postérieurement à l’introduction de sa plainte à l’APD tendant notamment, au regard des mêmes articles de presse litigieux et de la même photographie, à ce qui suit, ce sur la base de l’article 8 de la Conv. eur. D.H et de l’article 17.1. du RGPD : a. S’agissant du texte des trois articles litigieux précités : permettant de limiter l’ingérence dans la vie privée, la défenderesse indique également en avoir tenu compte dans la balance qu’elle a effectuée. Décision quant au fond 65/2024 — 6/20 o À titre principal, que les articles ne soient plus diffusés sur le site web du journal ( lisez le journal A) de la défenderesse, en ce compris sur la partie payante de celui-ci (cette mesure n’emportant aucune suppression des articles, la défenderesse pouvant les conserver intacts dans ses archives électroniques) ; o A titre subsidiaire, que les articles soient anonymisés, de la manière suivante : le nom et le prénom de la plaignante soient remplacés par ses initiales dans le texte même des articles litigieux et les balises méta du code source des pages concernées d’une part et en indiquant la valeur « no index » dans la balise meta « robots » des pages concernées d’autre part (ce qui n’empêcherait pas la défenderesse de conserver l’identité complète de la plaignante dans la base de données de ses archives électroniques). b. S’agissant de la photographie litigieuse : o A titre principal, que la photographie ne soit plus diffusée en ligne sur le site du journal A (ce qui n’empêcherait pas la défenderesse de conserver celle-ci intacte dans ses archives électroniques) ; o À titre subsidiaire, que l’image de la plaignante, présente sur la photo, soit entièrement floutée, de sorte qu’elle ne soit plus aucunement reconnaissable (ce qui n’empêcherait pas la défenderesse de conserver la photo, telle qu’elle a été publiée au départ, dans la base de données de ses archives électroniques). 19. Aux termes de son jugement du (…) le TPI de Bruxelles déclare la demande d’interdiction de diffusion des articles de presse litigieux et de la photographie, ainsi que la demande d’anonymisation et de floutage de ceux-ci non fondées et en déboute la plaignante. 20. Le TPI déclare en revanche la demande de désindexation formée par la plaignante fondée et condamne la défenderesse à procéder à la désindexation des trois articles litigieux, en indiquant la valeur « no index » dans la balise meta « robots » des pages concernées, sous peine d’une astreinte de 25€ par jour de retard à compter de la signification du jugement. 21. Dans son jugement, le tribunal énonce qu’il n’est pas contesté que l’article 17.1. du RGPD s’applique aux archives de presse, en ce compris au regard des photographies qu’elles contiendraient. Il rappelle que le droit à l’effacement n’est pas absolu et doit notamment être concilié avec le droit à la liberté d’expression et d’information, cette liberté constituant un des fondements essentiels d’une société démocratique. A l’issue de la mise en balance des intérêts en présence dans le cas d’espèce, le tribunal écarte la demande de suppression ou d’anonymisation (avec floutage de la photographie) des articles litigieux au départ de critères liés au contenu des articles, à la manière dont et au lieu où les informations ont été obtenues, à la véracité et l’exactitude des données, au rôle de la plaignante dans la vie Décision quant au fond 65/2024 — 7/20 publique et aux valeurs d’intérêt général et d’actualité des articles de presse concernés. Le jugement souligne par ailleurs, à l’appui notamment de la jurisprudence de la Cour eur. D.H., que si l’action des moteurs de recherche amplifie certes l’accessibilité aux informations concernées, il n’en demeure pas moins que la personne désireuse d’exercer son droit à l’effacement peut choisir de diriger son action contre l’éditeur du site web sur lequel les articles litigieux ont été publiés. Le jugement conclut que la demande de désindexation des articles litigieux formulée à l’égard de la défenderesse se justifie dans le cas d’espèce et est de nature à assurer un juste équilibre entre le droit au respect de la vie privée légitimement invoqué par la plaignante d’une part et le droit à la liberté d’expression défendu par la défenderesse d’autre part. 22. Compte tenu du dépôt de cet élément neuf inconnu des parties au moment de l’échéance du calendrier de conclusions (point 14), la Chambre Contentieuse invite les parties à conclure une dernière fois eu égard à cette nouvelle pièce le 20 février 2024. Les délais pour le dépôt de ces ultimes conclusions sont fixés au 6 mars 2024 pour la plaignante et au 21 mars 2024 pour la défenderesse. 23. Le 23 février 2024, les parties sont informées du fait que l'audition aura lieu le 25 mars 2024. 24. Le 6 mars 2024, la plaignante communique ses dernières conclusions. La plaignante y indique qu’à la suite du jugement du TPI, elle a pu constater que la défenderesse avait procédé à la désindexation des trois articles litigieux. Elle ajoute que ces derniers sont désormais introuvables – aussi bien en effectuant une recherche par leur URL respective, que par leur titre, par des mots clés, dont notamment ses nom et prénom – via les moteurs de recherche, mais également via le site internet du journal A sur lequel ils étaient auparavant publiés. Quant à la photographie litigieuse, la plaignante précise qu’elle ne semble également plus disponible ni sur internet ni sur le site du journal A. 25. Sur la base de ce qui précède, la plaignante indique qu’elle réduit les demandes à l’origine de la procédure qu’elle a intentée devant l’APD dès lors que certaines d’entre-elles, soit celles liées à l’application de l’article 17.1 du RGPD, sont devenues sans objet à la suite du jugement précité. 26. La plaignante maintient en revanche les griefs tirés des manquements allégués à l’article 12.3. 12.2 ainsi que 12.1, 13 et 14 du RGPD tels que développés dans ses précédentes conclusions (point 16) et demande à la Chambre Contentieuse de conclure à la violation, par la défenderesse, de ses obligations découlant de ces dispositions. 27. Le 21 mars 2024, la défenderesse dépose ses dernières conclusions (secondes conclusions de synthèse). Elle y souligne que les dernières conclusions du 6 mars 2024 de la plaignante font valoir qu’à la suite du jugement du TPI de Bruxelles du (…) (point 18), la Décision quant au fond 65/2024 — 8/20 question de l’effacement de ses données personnelles est devenue sans objet et que sa plainte est désormais limitée au non-respect des articles 12.1. , 12.2 et 12.3 ainsi que 13 et 14 du RGPD. La défenderesse conclut au regard des seuls griefs tirés de ces articles dans la lignée de ses conclusions de synthèse du 9 août 2021 (point 17). 28. Le 25 mars 2024, les parties sont entendues par la Chambre Contentieuse. 29. Le 17 avril 2024, le procès-verbal de l’audition est soumis aux parties. 30. Le 20 avril 2024, la Chambre Contentieuse reçoit de la défenderesse quelques remarques relatives au procès-verbal qu’elle joint à celui-ci conformément à l’article 54 du Règlement d’ordre intérieur de l’APD et dont elle tient compte dans sa prise de décision. II. Motivation II.1. Quant au grief tiré de la violation de l’article 17.1. du RGPD 31. Ainsi qu’il a été exposé ci-dessus, la défenderesse produit un jugement du TPI francophone de Bruxelles du (…) qui fait droit à la demande de désindexation des articles litigieux formulée au civil par la plaignante contre la défenderesse. La plaignante précise comme mentionné au point 25 qu’en conséquence de l’exécution de ce jugement, elle réduit l’objet de la plainte déposée et abandonne le grief tiré d’une potentielle violation de l’article 17.1. du RGPD par la défenderesse pour ne conserver que ceux tirés de violations des articles 12.3, 12.2 et 12.1, 13 et 14 du RGPD. 32. S’agissant de la violation allégée de l’article 17.1. du RGPD, la Chambre Contentieuse décide de classer ce grief sans suite pour motif d’opportunité à l’appui de la motivation qu’elle détaillera ci-dessous aux points 67-76 de la présente décision. II.2. Quant à l’absence de suite donnée dans le mois à la demande d’effacement de la plaignante (article 12.3.du RGPD) II.2.1. Position de la plaignante 33. Ainsi qu’il a été exposé en résumé au point 16.
2. b)ci-dessus, la plaignante dénonce l’absence de réponse de la défenderesse à ses demandes datées tant du 17 avril que du 2 juin 2020 ce, avant le 30 septembre 2020. Elle précise qu’elle a adressé celles-ci à des adresses email (5 au total) qui figuraient toutes sur les politiques de confidentialité de la défenderesse, soit tant celle disponible sur le site du journal A ( adresse 4) que celle disponible sur le site de Y(site de la défenderesse ). Ce faisant, la plaignante a indiqué lors de l’audition du 25 mars 2024 qu’elle entendait maximiser ses chances de recevoir une réponse de la part de la défenderesse, réponse qu’elle n’avait pas reçue à son premier envoi du 17 avril 2020 adressé à l’adresse [adresse 1]renseignée sur la politique de confidentialité disponible à Décision quant au fond 65/2024 — 9/20 partir du site du journal A, suivi d’un forward à l’adresse [adresse 2] renseignée sur la politique de confidentialité disponible sur le site de la défenderesse quelques minutes après ce premier envoi. A supposer même comme le défend la défenderesse, que cette dernière n’ait pas reçu ces premiers envois, 4 mois se sont écoulés entre la date des rappels du 2 juin 2020 (point 6) (adressés dans un premier temps aux adresses [adresse 2] et [adresse 3 du DPO] et suivis de forward à [adresse 4] et [adresse 5]) et la réponse de la défenderesse du 30 septembre 2020 (point 9). 34. La plaignante estime que l’article 12.3 du RGPD a incontestablement été violé par la défenderesse. II.2.2. Position de la défenderesse 35. La défenderesse indique qu’elle n’a certes pas répondu dans le délai d’un mois prescrit par l’article 12.3. du RGPD aux demandes qui lui ont été adressées les 17 avril et 2 juin 2020. Lors de l’audition du 25 mars 2024, elle a indiqué être un responsable de traitement sérieux, soucieux de ne pas se soustraire à ses responsabilités, Elle expose cependant le contexte du cas d’espèce. 36. La défenderesse détaille ainsi que certaines des adresses e-mail utilisées par la plaignante le 17 avril 2020 (soit l’adresse [adresse 1]) et le 2 juin 2020 (soit l’adresse [adresse 3 du DPO]) sont « correctes » en ce, qu’issues de la politique de confidentialité disponible sur le site du journal A, c’était effectivement à ces adresses que la demande d’exercice par la plaignante de son droit à l’effacement d’articles publiés par le journal A devait être adressée. La défenderesse indique qu’elle ne peut que constater qu’il n’a jamais été retrouvé trace des envois à l’adresse [adresse 1] sur ses serveurs et qu’un problème technique a dû survenir. Elle indique le transfert (forward) à l’adresse [adresse 2] trouvée, de l’aveu même de la plaignante, sur le site de la défenderesse (et non sur le site du journal A spécifiquement) quelques minute seulement après l’envoi à l’adresse [adresse 1] laisse penser que l’expéditeur (soit le précédent conseil de la plaignante) aurait reçu un message d’erreur indiquant que son message n'aurait pu être délivré. La défenderesse ajoute en ce sens que depuis l’entrée en vigueur du RGPD, les messages envoyés à cette adresse font systématiquement l’objet d’un accusé de réception automatique comme la Chambre Contentieuse a elle-même pu le constater lors de son envoi du 1er avril 2021 (voy. pièce 5 du dossier de procédure de la Chambre Contentieuse). 37. Quant à l’adresse [adresse 2], la défenderesse expose qu’elle n’est pas gérée par le journal A. La défenderesse est un grand groupe qui compte de nombreux sites web et chaque site web diffuse sa politique de confidentialité avec ses propres adresses de contact. Décision quant au fond 65/2024 — 10/20 38. La défenderesse regrette également que la plaignante ne se soit adressée à elle que par email et non par courrier simple ou recommandé. 39. Quant à l’adresse [adresse 5], la défenderesse indique qu’il s’agit d’une adresse générale, non renseignée par la politique de confidentialité du journal A, et qui n’est pas destinée à recevoir le type de message envoyé par la plaignante et que, par conséquent, ce message n’a pas été traité. 40. Enfin, quant à l’adresse [adresse 4] la défenderesse indique qu’il s’agit d’une ancienne adresse qui n’est plus active et qui redirige automatiquement vers une autre. La seule explication est que la plaignante ou ses conseils auraient conservé cette adresse et l’auraient copiée directement dans leur mail. Cette adresse ne figure pas non plus dans la politique de confidentialité du journal A. Tant ce dernier envoi que l’envoi à l’adresse [adresse 5] dont question ci-dessus, ont eu lieu via forward quelques minutes après l’envoi du 2 juin 2020 aux adresses [adresse 2] et [adresse 3 du DPO], ce qui donne également à penser que des messages d’erreur ont pu être reçus par la plaignante en réponse à ces envois. 41. Pour le surplus, la défenderesse ajoute qu’il s’agit d’un incident exceptionnel et isolé. La célérité et le sérieux avec lesquels elle a répondu à la demande du 17 septembre 2020 dès le 30 septembre 2020 (point 9) en témoignent et devraient être tenus en compte par la Chambre Contentieuse dans sa décision. Sa proposition de prévoir l’envoi d’un accusé de réception standardisé à toute personne introduisant une demande à l’adresse du DPO (adresse 3) comme il en existe par ailleurs un pour l’adresse [adresse 1] est également un élément que la Chambre Contentieuse devrait apprécier. II.2.3. Appréciation de la Chambre Contentieuse 42. La Chambre Contentieuse rappelle qu’en exécution de l’article 12.3. du RGPD, « le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement »2. 2 C’est la Chambre Contentieuse qui souligne Décision quant au fond 65/2024 — 11/20 43. La plaignante ayant formulé une demande d’exercice de son droit à l’effacement basée sur l’article 17 du RGPD, l’article 12.3. du RGPD est d’application. La Chambre Contentieuse s’emploiera dès lors à vérifier que les conditions de celui-ci ont bien été respectées. 44. S’agissant du calcul du délai d’un mois dont dispose le responsable du traitement pour fournir des informations sur les suites données à une demande d’exercice des droits en exécution dudit article 12.3. 3, ce calcul doit s’opérer conformément au droit de l’Union européenne. C’est par ailleurs la date de la réception de la demande par le responsable du traitement qui déclenche ce délai4. En d’autres termes, le délai d’un mois commence à courir lorsque le responsable du traitement a reçu une demande et il n'est pas nécessaire à cet égard qu’il ait effectivement pris connaissance de celle-ci. Le Comité européen de la protection des données (CEPD) considère à cet égard comme une bonne pratique que les responsables du traitement confirment la réception des demandes par écrit, par exemple en envoyant des courriers électroniques (ou postaux, le cas échéant) aux personnes qui ont fait la demande, confirmant que leurs demandes ont été reçues et que le délai d'un mois court du jour B au jour C5. 45. La réception par le responsable de traitement implique également que la demande lui soit parvenue par l’un de ses canaux pertinents au sens précisé ci-dessous. 46. La Chambre Contentieuse rappelle qu’aux termes de Lignes directrices précitées, le CEPD encourage ainsi les responsables du traitement à fournir les canaux de communication les plus appropriés et les plus conviviaux, conformément aux articles 12.2 et 25 du RGPD afin de permettre à la personne concernée d'introduire une demande efficace. Il peut s'agir, par exemple, de données de communication du responsable du traitement fournies dans ses communications adressées directement aux personnes concernées ou de données de contact fournies publiquement par le responsable du traitement, par exemple dans sa politique de confidentialité ou dans d'autres mentions légales obligatoires du responsable du traitement (par exemple, les coordonnées du propriétaire ou de l'entreprise sur un site web)6. 3 Le délai pour répondre à une demande d'accès doit être calculé conformément au Règlement (CEE, Euratom) n° 1182/71 du Conseil, du 3 juin 1971, portant détermination des règles applicables aux délais, aux dates et aux termes), OJ L 124/1. 4 Ce délai peut être suspendu lorsque le responsable du traitement doit communiquer avec l’auteur de la demande en raison de l'incertitude liée à son identité (s’agit-il effectivement de la personne concernée au sens de l’article 4.1. du RGPD ?). Le délai peut être suspendu jusqu'à ce que le responsable du traitement ait obtenu de la personne concernée les informations nécessaires, à condition que le responsable du traitement ait demandé des informations supplémentaires sans retard injustifié. . en ce sens : Comité européen de la protection des données (CEPD), Lignes directrices 01/2022 du 28 mars 2023 sur les droits des personnes concernées droit d’accès : https://www.edpb.europa.eu/system/files/202404/edpb guidelines 202201 data subject rights access v2 fr.pdf (point 159). Le CEPD y détaille la manière dont il convient de comprendre les modalités d’exercice de ce droit, en ce compris la manière dont la demande doit être formulée et à qui ainsi que la manière dont le délai d’un mois prévu à l’article 12.3. doit s’appliquer. Cet article 12.3 étant applicable pour l’exercice de l’ensemble des droits visés aux articles 15 à 22 du RGPD, ces considérations s’appliquent au cas d’espèce qui aborde le respect de l’article 12.3. du RGPD au regard d’une demande d’exercice du droit à l’effacement prévu par l’article 17 du RGPD. 5 Idem, points 57 et 159. 6 Idem, point 53. Décision quant au fond 65/2024 — 12/20 47. Néanmoins, le CEPD précise que si une personne concernée formule une demande en utilisant un canal de communication certes fourni par le responsable du traitement mais qui est différent de celui indiqué comme étant préférable, cette demande doit, en général, être prise en considération et le responsable du traitement doit la traiter en conséquence. Les responsables du traitement doivent en effet déployer tous les efforts raisonnables pour s'assurer que l'exercice des droits de la personne concernée est facilité 7. 48. Toujours selon le CEPD, le responsable du traitement n'est en revanche pas tenu de donner suite à une demande envoyée à une adresse électronique (ou postale) aléatoire ou incorrecte, non fournie directement par le responsable du traitement, ou à un canal de communication qui n'est manifestement pas destiné à recevoir des demandes concernant les droits de la personne concernée, si le responsable du traitement a fourni un canal de communication approprié à la personne concernée8. 49. Il n’est pas contesté qu’en l’espèce, la défenderesse s’est abstenue de toute réaction vis-àvis la plaignante dans le mois des envois des 17 avril et 2 juin 2020 qu’elle lui a adressés, la première réaction de la défenderesse intervenant comme déjà mentionné le 30 septembre 2020 par l’intermédiaire de ses conseils en réponse au courrier du 17 septembre 2020 de la plaignante. 50. La Chambre Contentieuse relève que dès cette réponse du 30 septembre 2020, la défenderesse a affirmé ne pas avoir reçu l’envoi adressé à l’adresse [adresse 1] qu’elle estime « correcte » car reprise dans la politique de confidentialité disponible sur le site Internet du journal A, site sur lequel étaient publiés les articles litigieux dont l’effacement était demandé. 51. La Chambre Contentieuse n’est pas totalement insensible à la remarque de la défenderesse selon laquelle le forward qui a immédiatement suivi ce message pourrait s’expliquer par le fait que le précédent conseil de la plaignante aurait reçu un message d’erreur ou d’absence de réception de cet envoi ni au fait que partant, un doute subsiste quant à la réception ou non de celui-ci. 52. Quant à la mise en place d’un message automatique de réception au départ de l’adresse dédiée à l’exercice des droits (tel qu’il existe déjà à l’adresse [adresse 1] référencée par la politique de confidentialité) ainsi qu’au départ de l’adresse du DPO, la Chambre Contentieux estime comme le CEPD qu’il s’agit d’une bonne pratique à encourager dans le cadre de l’obligation de responsabilité (accountability) des responsables de traitement. 7 Idem, point 53. 8 Idem, point 54 et les exemples. Décision quant au fond 65/2024 — 13/20 53. Pour autant, la Chambre Contentieuse ne peut que constater que la défenderesse n’a pas répondu à la plaignante lorsque que celle-ci s’est, le 2 juin 2020, adressée tant à elle qu’ à son DPO. 54. S’agissant de l’envoi du 2 juin à l’adresse [adresse 2] non spécifiquement dédiée à l’exercice des droits de la personne concernée selon la défenderesse, à tout le moins au regard des articles publiés sur le site du journal A, la Chambre Contentieuse est d’avis que si cette adresse n’est en effet pas celle qui est référencée par la politique de confidentialité du journal A, la demande de la plaignante adressée à celle-ci n’en aurait pas moins dû être traitée par la défenderesse. 55. En effet, il ressort de l’examen des pièces que l’adresse [adresse 2] est renseignée dans un document intitulé « Politique Vie privée – Y ( nom de la défenderesse) » (pièce 10 du dossier de pièces produit par la défenderesse). Or pour rappel, la politique de confidentialité disponible sur le site internet du journal A qualifie bien la défenderesse de responsable de traitement et porte par ailleurs le même titre que ce document (pièce 9 du dossier de pièces produit par la défenderesse). En introduction de ces deux textes, au deuxième paragraphe, il est explicitement fait référence au journal A en ces termes « Y ( la défenderesse) est un groupe de société actif dans les domaines de l’information ( s’en suit une énumération de journaux dont le journal A) etc. » Plus loin dans les deux documents, il est précisé, au titre des finalités de traitement poursuivies, que des données personnelles sont traitées à des fins journalistiques, en ce compris la diffusion et l’archivage à des fins d’informer le public à l’aide de tout média. De manière générale, la structure des deux politiques de confidentialité est identique, les titres des rubriques sont identiques et leur contenu est similaire, à l’exception d’un point
3. c)au titre V.C. de la politique disponible sur le site du journal A qui a trait aux mesures d’audience de plusieurs sites dont celui du journal A. Il ne peut pour autant en être déduit par celui qui consulterait cette politique de confidentialité que celle-ci serait spécifique au journal A. De manière générale, la politique de confidentialité disponible sur le site du journal A ne précise à aucun moment qu’elle est limitée aux traitements de données opérés par ledit journal. Telle information ne se trouve pas non plus sur le site en tant que tel. Le seul fait que cette politique de confidentialité soit disponible sur le site du journal A ne suffit pas à écarter d’emblée la pertinence des autres politiques de confidentialité du groupe de la défenderesse, notamment pour les raisons liées à leur similitude exposée cidessus. Une autre différence entre les deux politiques de confidentialité réside dans le fait que celle disponible sur le site du journal A mentionne comme adresse de contact l’adresse [adresse 1] et que celle disponible sur le site du groupe de la défenderesse mentionne [l’adresse 2]. La différence est subtile et dans les deux cas l’internaute identifie clairement les termes « privacy » et «Y », soit le nom de la défenderesse » dans chacune de ces deux adresses. Celles-ci ne sont de surcroît pas mentionnées dans la rubrique « Comment exercer Décision quant au fond 65/2024 — 14/20 vos droits’ (Titre VIII) » qui ne mentionne pas d’adresse e-mail mais bien dans les données de contact. 56. A l’appui de ce qui précède, la Chambre Contentieuse estime que l’adresse [adresse 2] communiquée par la défenderesse dans la politique de confidentialité disponible sur le site qui porte son nom est également à considérer comme un canal officiel pour l’exercice des droits des personnes concernées. Il ne peut dès lors être reproché à la plaignante d’avoir également adressé ses demandes à cette adresse, a fortiori au titre de rappel en l’absence de toute réponse à son envoi, adressé 6 semaines plus tôt, à l’adresse spécifiquement référencée par le site du journal A. La demande de la plaignante adressée à cette adresse aurait dû être traitée. On est très loin de l’hypothèse décrite par le CEPD de l’envoi à une adresse aléatoire ou à une adresse manifestement non appelée à recevoir ce type de demande. 57. En toute hypothèse, ces e-mails du 2 juin 2020 relayant de surcroît les envois précédents du 17 avril 2020, la défenderesse ne pouvait, à la date du 2 juin à tout le moins, plus ignorer que la demande lui avait précédemment été adressée le 17 avril 2020 notamment à l’adresse [adresse 1] qu’elle qualifie de « correcte ». La réception du message à l’adresse du DPO de la défenderesse le 2 juin 2020 également, n’est par ailleurs pas contestée. 58. A l’appui de l’ensemble des éléments et constats qui précèdent, la Chambre Contentieuse considère d’une part qu’à tout le moins à la date du 2 juin, 2020, la défenderesse avait bien reçu la demande de la plaignante qui lui a été adressée via son DPO ainsi qu’à l’adresse [adresse 2] dont elle ne pouvait pas ne pas tenir compte et d’autre part qu’elle s’est abstenue de répondre à cette demande dans le mois prescrit par l’article 12.3. du RGPD dès lors que sa première réponse à la plaignante date du 30 septembre 2020 9.Partant, la défenderesse a violé l’article 12.3. du RGPD. II.3. Quant au grief tiré de la violation de l’article 12.2. du RGPD II.3.1. Position de la plaignante 59. Ainsi qu’il a été exposé dans les rétroactes de procédure, la plaignante indique par voie de conclusions qu’outre la violation de l’article 12.3. du RGPD, la défenderesse s’est également rendue coupable d’un manquement à l’article 12.2. du RGPD, ne facilitant pas l’exercice des droits des personnes concernées. La plaignante mentionne à cet égard que la défenderesse 9 S’agissant des envois aux adresses (adresse 4.) et (adresse 5), la Chambre Contentieuse ne peut que noter que la défenderesse indique que l’une d’elle (adresse 4) n’existe plus mais que s’il est cliqué sur celle-ci il y a redirection automatique ce qui n’est pas le cas si l’adresse est copiée dans un courriel. Pour le surplus, la Chambre Contentieuse applique à l’adresse (adresse 5) (qualifiée d’adresse générale et non dédiée à l‘exercice des droits renseignée dans la politique de confidentialité du journal A le même raisonnement que celui développé à la section II.2. Décision quant au fond 65/2024 — 15/20 se perd dans les informations qu’elle donne aux personnes concernées et s’égare dans la multitude de ses adresses e-mails. II.3.2. Position de la défenderesse 60. La défenderesse relève que la plaignante fait valoir ce reproche pour la première fois dans ses conclusions. Elle ajoute que la politique de confidentialité est aisément accessible dans son intégralité et croit comprendre que le reproche est lié à la problématique des adresses e-mail dont question ci-dessus. Elle estime que la plaignante est en partie responsale de la complication de la situation ; elle est allée chercher différentes adresses à différents endroits. La plaignante aurait aussi pu, voyant que l’envoi par e-mail ne fonctionnait pas, s’adresser à la défenderesse par courrier. II.3.3. Appréciation de la Chambre Contentieuse 61. Quant à ce grief tiré de l’article 12.2. du RGPD, la Chambre Contentieuse se limite à rappeler qu’il appartient en effet au responsable de traitement de faciliter l’exercice des droits des personnes concernées. Si ce dernier dispose de plusieurs adresses e-mail auxquelles il peut être contacté, il est de bonne pratique de prévoir des accusés de réception, qui le cas échéant redirigent l’auteur de l’envoi vers une adresse spécifique pertinente. De même, il est de bonne pratique de prévoir une procédure interne qui aboutit à ce que même mal adressées, les demandes d’exercice des droits des personnes soient traitées comme elles doivent l’être, avec toutefois la limite posée par le CEPD telle que rappelée ci-dessus quant à l’envoi à des adresses qui ne sont, a fortiori dans un grand groupe comme la défenderesse qui compte de nombreux acteurs et sites internet, manifestement pas destinées à recevoir de telles demandes. La Chambre Contentieuse a à cet égard pris bonne note de l’accusé de réception systématique que la défenderesse va implémenter (voy. points 53 et 78). 62. La Chambre Contentieuse rappelle aussi le considérant 59 du RGPD qui souligne au regard de cette obligation que le responsable du traitement devrait «également fournir les moyens de présenter des demandes par voie électronique, en particulier lorsque les données à caractère personnel font l’objet d’un traitement électronique».10 De manière générale, la modalité fournie par un responsable du traitement pour que la personne concernée puisse exercer ses droits devrait être adaptée au contexte et à la nature de la relation et des interactions entre le responsable du traitement et la personne concernée. Partant, il ne peut selon la Chambre Contentieuse être reproché à la plaignante de s’être adressée exclusivement par e-mail à la défenderesse et non par courrier simple ou recommandé. 10 On peut penser à un formulaire électronique qui permet également au demandeur de se ménager une preuve de l’envoi de ce formulaire avec copie de celui-ci. Décision quant au fond 65/2024 — 16/20 II.4. Quant aux griefs tirés de la violation des articles 12.1., 13 et 14 du RGPD II.4.1. Position de la plaignante 63. Ainsi qu’il a été exposé dans les rétroactes de procédure, c’est, comme pour l’article 12.2. discuté ci-dessus, par voie de conclusions que la plaignante dénonce qu’outre la violation de l’article 12.3. du RGPD, la défenderesse s’est également rendue coupable d’un manquement aux articles 12.1, 13 et 14 du RGPD. La plaignante mentionne à cet égard que la défenderesse se perd dans les informations qu’elle donne aux personnes concernées et s’égare dans la multitude de ses adresses e-mail et n’informe pas « de façon concise, transparente, compréhensible et aisément accessible » les personnes concernées sur la manière d’exercer leurs droits comme l’exigent ces dispositions. II.4.2. Position de la défenderesse 64. Comme pour le grief tiré de la violation de l’article 12.2. du RGPD, la défenderesse relève que la plaignante fait valoir ce reproche pour la première fois dans ses conclusions. Elle ajoute que la politique de confidentialité est aisément accessible dans son intégralité et croit comprendre que le reproche est lié à la problématique des adresses e-mail dont question cidessus. La défenderesse estime que ce grief n’est pas étayé de preuves suffisantes. II.4.3. Appréciation de la Chambre Contentieuse 65. Quant au grief tiré de l’article 12.1., 13 et 14 du RGPD, la Chambre Contentieuse considère que ces violations alléguées par voie de conclusions ne sont pas suffisamment étayées par la plaignante. Elle est d’avis que si certes, dans le cas d’espèce, il n’a pas été répondu dans le délai de l’article 12.3. du RGPD à la plaignante dans les circonstances décrites ci-dessus, ce, en violation de cet article, il ne peut, sans autre argument ni débat, en être déduit que l’information donnée à la plaignante ne serait pas conforme au RGPD. La Chambre Contentieuse n’est pas en mesure de constater de manquement à ces dispositions dans le chef de la défenderesse III. Mesures correctrices et sanctions 66. Aux termes de l’article 100.1 de la LCA, la Chambre Contentieuse a le pouvoir de: 1° classer la plainte sans suite; 2° ordonner le non-lieu; 3° prononcer une suspension du prononcé; 4° proposer une transaction; Décision quant au fond 65/2024 — 17/20 5° formuler des avertissements ou des réprimandes; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits; 7° ordonner que l'intéressé soit informé du problème de sécurité; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement; 9° ordonner une mise en conformité du traitement; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données; 11° ordonner le retrait de l'agréation des organismes de certification; 12° donner des astreintes; 13° donner des amendes administratives; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données. 67. Quant au grief tiré de la violation alléguée de l’article 17.1. du RGPD (titre II.1.), la Chambre Contentieuse décide de le classer sans suite sur la base de l’article 100.1. 1° de la LCA pour motif d’opportunité. 68. En matière de classement sans suite, la Chambre contentieuse doit motiver sa décision par étape et11: - prononcer un classement sans suite technique si le dossier ne contient pas ou pas suffisamment d’éléments susceptibles d’aboutir à une sanction ou s’il comporte un obstacle technique l’empêchant de rendre une décision; - ou prononcer un classement sans suite d’opportunité, si malgré la présence d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du dossier ne lui semble pas opportune compte tenu des priorités de l’APD telles que spécifiées et illustrées dans la Politique de classement sans suite de la Chambre Contentieuse12. 11 12 Cour des marchés (Cour d’appel de Bruxelles), 2 septembre 2020, 2020/AR/329, p. 18. https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambrecontentieuse.pdf . Décision quant au fond 65/2024 — 18/20 69. En cas de classement sans suite sur la base de plusieurs motifs (respectivement, classement sans suite technique et/ou d’opportunité), les motifs du classement sans suite doivent être traités en ordre d’importance13. 70. Dans le cas présent, la Chambre Contentieuse décide de procéder à un classement sans suite pour motif d’opportunité sur la base de l’article 100.1.1° de la LCA. A l’appui de cette décision, la Chambre Contentieuse tient compte des circonstances spécifiques du cas d’espèce et plus particulièrement du fait que le TPI francophone de Bruxelles a pris une décision sur pied notamment de l’article 17.1 du RGPD, ordonnant la désindexation des articles litigieux et du fait qu’à la suite de ce jugement, la plaignante confirme que les articles de presse litigieux ne sont au jour de la présente décision, plus disponibles sur le site web du journal A et que la défenderesse a ainsi pris les mesures destinées à exécuter ledit jugement. Sur cette base, la plaignante indique, de manière claire et non ambigüe, renoncer au volet de sa plainte dénonçant une violation de l’article 17.1. du RGPD par la défenderesse. 71. Aux termes de sa Politique de classement sans suite, la Chambre Contentieuse expose au critère B.2.1. que souvent, si un jugement ou un arrêt a été prononcé sur un des griefs de la plainte déposée à l’APD, la Chambre Contentieuse estimera qu’il n’est pas opportun qu’elle traite ce grief dans une décision propre. Il n’entre en effet pas dans les priorités de la Chambre Contentieuse de juger une deuxième fois des mêmes faits et manquements allégués afin de permettre de revoir une décision judiciaire ou administrative prise par une autre instance compétente en-dehors des voies de recours propres à celle-ci. 72. Comme le précise la note de Politique de classement sans suite, telle décision résultera d’une appréciation en opportunité par la Chambre Contentieuse dans chaque cas d’espèce. 73. Outre le jugement intervenu, la plaignante a par ailleurs, ainsi qu’il a été mentionné, renoncé au volet de sa plainte basé sur l’article 17.1. du RGPD en raison de l’exécution dudit jugement. 74. Certes, le retrait de sa plainte par un plaignant ou la réduction de celle-ci à l’un ou l’autre grief ne dessaisit pas ipso facto la Chambre Contentieuse du dossier. En effet, le contrôle par la Chambre Contentieuse ne vise pas tant à régler des litiges entre parties que d’être un des instruments dont dispose l’APD pour veiller au respect des règles relatives à la protection des données, conformément aux dispositions des traités européens, du RGPD et de la LCA. Ainsi, si une plainte est introduite et ensuite transmise pour examen à la Chambre Contentieuse en tant que plainte recevable, la Chambre Contentieuse doit évaluer si les faits relatés constituent une atteinte à l’une des dispositions légales dont le respect est soumis 13 Politique de classement sans suite de la Chambre Contentieuse, 18/06/2021, point 3(«Dans quels cas ma plainte est-elle susceptible d’être classée sans suite par la Chambre Contentieuse?»), disponible sur https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambrecontentieuse.pdf Décision quant au fond 65/2024 — 19/20 au contrôle de l’APD. Le simple constat que le plaignant retire sa plainte (comme le constat qu’il aurait été remédié au manquement en cours de procédure par exemple) n’est pas de nature à lever toute violation (passée) qui aurait pu être commise par le responsable de traitement ni de nature à priver les organes compétents de l’APD, dont la Chambre Contentieuse, de l’exercice de leurs compétences respectives. Ainsi, des circonstances propres au dossier peuvent justifier que nonobstant le retrait de la plainte, la Chambre Contentieuse poursuive l’examen de celle-ci dans l’exercice de sa compétence. Le retrait n’est qu’un élément dont la Chambre Contentieuse peut tenir compte pour, le cas échéant, classer la plainte sans suite. 75. En l’espèce, la Chambre Contentieuse retient que ce retrait est motivé par l’exécution, confirmée par la plaignante, du jugement du TPI francophone de Bruxelles du (…). Ce retrait est ainsi pris en compte par la Chambre Contentieuse comme un élément additionnel dans son appréciation quant à l’opportunité de poursuivre l’examen dudit volet de la plainte alors qu’une décision judiciaire est intervenue notamment sur pied de l’article 17.1. du RGPD, laquelle décision ne fait pas d’application manifestement erronée du RGPD. Si tel devait être le cas, cela pourrait amener la Chambre Contentieuse - à qui il incombe également de veiller à une application cohérente du RGPD -, à adopter une autre décision. 76. En conclusion, à l’appui de ce qui précède, la Chambre Contentieuse n’estime pas opportun de poursuivre l’examen du volet de la plainte que la plaignante tirait de la violation de l’article 17.1. du RGPD et le classe sans suite pour motif d’opportunité. 77. Quant à la violation de l’article 12.3. du RGPD constatée au point titre II.2., la Chambre Contentieuse décide de la sanctionner moyennant une réprimande adressée à la défenderesse sur la base de l’article 100.1. 5° de la LCA. 78. La Chambre Contentieuse est d’avis que ce faisant, elle adopte la sanction adéquate au manquement constaté conformément aux exigences de l’article 84 du RGPD. La Chambre Contentieuse sanctionne ainsi un manquement passé auquel il ne peut plus être remédié au regard de la plaignante à tout le moins. La défenderesse dispose d’une politique de confidentialité qui mentionne des adresses de contact ainsi que d’un DPO. La défenderesse se propose de compléter son dispositif par un message de réception automatique lors de l’envoi d’un courriel à son DPO comme c’est déjà le cas pour tout envoi à l’adresse dédiée à l’exercice des droits disponible sur le site du journal A (adresse 1). Dans ce contexte, la Chambre Contentieuse juge suffisante la réprimande qu’elle adresse à la défenderesse complétée par le rappel des règles relatives aux modalités de l’exercice des droits des personnes concernées, en particulier la question de l’utilisation d’adresses e-mail dédiées et du traitement qui doit être réservé aux demandes adressées via celles-ci. 79. Enfin, quant aux griefs tirés de la violation de l’article 12.2 du RGPD (titre II.3.), ainsi que des articles 12.1, 13 et 14 du RGPD (titre II.4.), la Chambre Contentieuse les classe