1.L'arrêt de la cour d'appel de Bruxelles commenté ci-après concerne un litige opposant l'Autorité belge de contrôle en matière de protection des données personnelles, à savoir l'Autorité de protection des données (ou APD) [2], anciennement la Commission de la protection de la vie privée (ou CPVP) [3], à la société américaine Facebook Inc. et à ses filiales belges et irlandaises. L'Autorité belge reproche à Facebook Inc., Facebook Ireland et Facebook Belgium d'être, conjointement, les auteurs d'une violation grave et de grande échelle des règles légales en matière de protection des données à caractère personnel. En effet, selon l'APD [4], qui s'appuie sur un rapport détaillé de la KULeuven et de la Vrije Universiteit Brussel [5], Facebook collecterait et utiliserait des données personnelles relatives au comportement de navigation des internautes situés en Belgique [6], sans en informer ces derniers et, a fortiori, en l'absence de leur consentement. Concrètement, Facebook place sur des sites internet appartenant à des tiers deux types de logiciels, des modules sociaux [7] et des pixels, qui à chaque connexion transmettent des informations, telles que le site consulté, le moment de la consultation et l'adresse IP de l'appareil utilisé par l'internaute. En parallèle, Facebook télécharge sur les appareils de chaque internaute consultant une page de son site internet différents cookies [8], qui eux aussi sont des logiciels, permettant de collecter des informations sur les habitudes de navigation. Par ces méthodes, Facebook recueille un nombre important d'informations à l'égard de l'ensemble des internautes situés en Belgique, qu'ils possèdent ou non un compte Facebook.

2.Estimant que la collecte de données personnelles effectuée par Facebook violait la loi belge en matière de protection des données [9], la CPVP décida, après l'adoption d'une recommandation à l'égard de Facebook [10], d'agir en justice à l'encontre du réseau social. Ce litige donna lieu, premièrement, à deux décisions lors de la procédure en référé et, en second lieu, à deux décisions lors de la procédure au fond.

3.Le tribunal de première instance de Bruxelles fut ainsi saisi en référé le 10 juin 2015, par le président de la CPVP. Ce dernier demanda au président du tribunal de première instance d'ordonner à Facebook Belgium, Facebook Ireland et Facebook Inc. la cessation de toute collecte illicite de données à l'égard des internautes sur le territoire belge ainsi que la suppression des données obtenues en violation de la loi sur la protection des données personnelles [11]. Le président du tribunal de première instance fit pleinement droit à la demande du président de la CPVP [12]. Cependant, l'ordonnance du président du tribunal de première instance fut réformée en appel par un arrêt du 29 juin 2016 [13]. La cour d'appel de Bruxelles jugea que les juridictions belges n'étaient pas compétentes à l'égard ni de Facebook Inc. ni de sa filiale irlandaise. Du reste, concernant Facebook Belgium, la cour d'appel considéra que l'urgence, au sens de l'article 584 du Code judiciaire, n'étant pas démontrée, la requête en référé de la CPVP à l'encontre de la filiale belge devait être déclarée non fondée.

4.Entre-temps, la procédure au fond avait débuté devant le tribunal de première instance de Bruxelles le 11 septembre 2015. Comme lors de la procédure en référé, le tribunal de première instance fit droit à la requête de la CPVP. Ainsi, par jugement du 16 février 2018 [14], Facebook fut enjoint, d'une part, de cesser la collecte illicite des données personnelles relatives aux internautes se trouvant sur le territoire belge, et, d'autre part, de détruire les données déjà obtenues illicitement.

Dans la procédure au fond, le tribunal de première instance de Bruxelles considéra donc, contrairement à la cour d'appel, que les cours et tribunaux belges étaient internationalement compétents pour trancher l'action intentée par la CPVP contre Facebook Inc., Facebook Ireland et Facebook Belgium. A cet égard, le tribunal de première instance écarta très vite l'application de toute règle de droit international privé [15], au profit d'un raisonnement mêlant des principes de droit international public, les articles 4 et 28 de la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après directive n° 95/46) et la jurisprudence de la Cour de justice de l'Union européenne (ci-après la Cour de justice ou la C.J.U.E.). Le tribunal jugea ainsi que la loi belge en matière de protection des données était applicable aux opérations de traitement de Facebook et, par conséquent, que la CPVP, en tant qu'autorité de contrôle, ou plus exactement son président, pouvait soumettre le litige en cause aux tribunaux belges. C'est précisément la partie de ce jugement sur la compétence, et singulièrement la compétence internationale des cours et tribunaux belges, qui fut, avec fruit, l'objet de la requête d'appel introduite par Facebook.

5.Dans la décision commentée ci-après, Facebook demande à la cour d'appel de réformer le jugement du tribunal de première instance faisant droit à la requête de la CPVP, en se déclarant incompétente ou, à titre subsidiaire, en déclarant la requête introduite en première instance par la CPVP, devenue désormais l'APD, irrecevable ou encore, à titre infiniment plus subsidiaire, en posant une question préjudicielle à la Cour de justice sur la possibilité de l'APD d'agir en justice contre Facebook, compte tenu de l'entrée en vigueur du règlement général sur la protection des données (ci-après le règlement ou RGPD).

6.Dans son arrêt, la cour d'appel distingue logiquement la question de la compétence internationale du juge belge (I.) et celle de la recevabilité de l'action de l'Autorité (II.) [16], avant de poser plusieurs questions préjudicielles à la Cour de justice (III.). Nous suivons le même ordre en distinguant, toutefois, dans la première section la question de la compétence de l'Autorité de celle des juridictions belges.

7.La cour d'appel se prononce, en premier lieu, sur sa compétence à l'égard de Facebook Belgium (A.) avant de trancher la même question concernant Facebook Inc. et Facebook Ireland (B.).

8.La question de la compétence internationale à l'égard de Facebook Belgium a été tranchée de manière succincte par la cour d'appel. En effet, la cour a jugé que la requête étant introduite par une autorité belge, devant un juge belge et à l'encontre d'une société de droit belge, le litige n'était affecté d'aucun élément d'extranéité. Par conséquent, la juridiction d'appel s'est déclarée compétente pour connaître de ce litige [17].

9.A notre sens, l'absence d'élément d'extranéité suppose que les traitements des données litigieux, à savoir la collecte et les utilisations ultérieures, reprochés à Facebook se localisent sur le territoire belge. Or, il semble, notamment au vu des déclarations de Facebook, que cela ne soit pas le cas. Selon Facebook, sa filiale belge ne prend pas part au traitement des données des utilisateurs européens de Facebook [18], cette tâche étant confiée à Facebook Ireland. L'affirmation de la cour d'appel relative à l'absence d'élément d'extranéité est donc discutable. Si le fait litigieux, à savoir le traitement de données, est réellement effectué par Facebook en Irlande, le litige entre l'APD et Facebook Belgium serait, de fait, affecté d'un élément d'extranéité.

10.Cela ne signifie, cependant, pas que la cour d'appel de Bruxelles doive se déclarer incompétente. En effet, même si le traitement des données est réalisé en Irlande, il est possible que la cour d'appel puisse se déclarer compétente, notamment en vertu de la règle générale de droit international privé, contenue à la fois dans le Règlement Bruxelles Ibis [19] et le Code de droit international privé [20], selon laquelle les juridictions belges sont compétentes si le défendeur est domicilié sur le territoire belge. En l'espèce, lé défenderesse, à savoir Facebook Belgium, est bel et bien domicilié sur le territoire belge et peut donc être assigné devant le juge belge. Par ailleurs, c'est probablement cette règle à laquelle l'Autorité se réfère lorsqu'elle déclare, sans nuance, que les cours et tribunaux belges sont toujours compétents à l'égard des personnes morales de droit belge [21]. Le fait de souligner la présence d'un élément d'extranéité a, toutefois, pour conséquence de rendre, éventuellement, un autre juge européen compétent. Une option est alors ouverte au demandeur. A supposer que le traitement de données soit localisé en Irlande et qu'il s'agisse d'un fait dommageable pouvant être qualifié d'extracontractuel [22], le demandeur pourrait introduire son action devant le juge de l'Etat membre sur le territoire duquel se localise l'événement causal, en l'occurrence devant le juge irlandais [23].

11.Dans l'arrêt commenté, la cour d'appel traite, de manière simultanée et un peu confuse à notre sens, la question de la compétence internationale des cours et tribunaux belges et celle de la compétence de l'autorité de contrôle pour agir en justice à l'égard d'un responsable étranger. Il nous paraît plus clair de scinder ces deux questions [24] et d'examiner, en premier lieu, la compétence de l'autorité de contrôle belge à l'égard d'un responsable du traitement étranger, qui demeure incertaine au terme de cet arrêt (1.) et, en second lieu, la compétence internationale du juge belge, qui a été rejetée dans le présent arrêt par la cour d'appel, à propos des actions concernant Facebook Ireland et Facebook Inc. (2.).

12.Sous l'empire de la directive n° 95/46, les autorités de contrôles nationales devaient disposer d'une série de pouvoirs, dont celui d'ester en justice [25]. La loi belge transposant la directive n° 95/46 prévoyait bien cette possibilité pour la CPVP [26]. Dans le litige qui nous occupe, la question est donc de savoir si pour les faits antérieurs à l'entrée en vigueur du RGPD, la CPVP pouvait bien exercer son pouvoir d'ester en justice pour agir à l'encontre de Facebook Inc. et Facebook Ireland.

13.Selon la jurisprudence de la Cour justice « lorsque le droit national de l'Etat membre dont relève l'autorité de contrôle est applicable (…) en raison du fait que le traitement en cause est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de cet Etat membre, cette autorité de contrôle peut exercer l'ensemble des pouvoirs qui lui sont conférés par ce droit a l'égard de cet établissement, et ce indépendamment du point de savoir si le responsable du traitement dispose d'établissements également dans d'autres Etats membres » [27] (nous soulignons). La CPVP pouvait donc assurément agir vis-à-vis de Facebook Belgium [28]. En revanche, à l'égard de Facebook Ireland et de Facebook Inc., la compétence de la CPVP demeure incertaine [29].

L'arrêt Weltimmo [30] ne permet pas d'apporter plus de certitude. Dans cet arrêt, la Cour de justice limite la compétence de l'autorité nationale de contrôle, notamment en matière de sanction, lorsque le droit applicable au traitement des données concernées est celui d'un Etat membre autre que l'état dont relève l'autorité de contrôle. Toutefois, la limitation ne concerne pas explicitement le pouvoir d'ester en justice, mais bien celui d'infliger directement une sanction administrative [31]. De surcroît, la limitation de compétence prévue par la Cour de justice dans l'affaire Weltimmo vise l'hypothèse d'une autorité nationale agissant à l'égard d'une situation dans laquelle, d'une part, le droit national d'un autre Etat membre est applicable, et, d'autre part, le responsable du traitement n'est pas établi sur le territoire de l'Etat dont l'autorité nationale en question relève [32].

14.En l'espèce, rien ne permet donc d'affirmer ou d'infirmer qu'une autorité nationale, lorsque le droit de l'état dont elle relève s'applique, puisse exercer l'ensemble de ses pouvoirs, à tout le moins celui d'ester en justice, à l'égard des établissements du responsable situés sur le territoire des autres Etats membres.

15.Si, pour les faits antérieurs au 25 mai 2018, la cour d'appel n'a pas examiné plus en détail cette question, c'est probablement parce que la requête concernant les faits de cette période, encore soumis au régime de la directive n° 95/46, ne satisfaisait pas, en droit judiciaire belge, au test de la recevabilité [33].

16.En revanche, pour les faits postérieurs au 25 mai 2018 [34], c'est le RGPD qui s'applique. Ce règlement apporte, sur ce point, une solution nouvelle qui n'est, toutefois, pas dépourvu d'ambiguïté. En effet, pour les traitements de données transfrontaliers [35], le RGPD met en place un système de guichet unique [36]. En vertu de ce système, une autorité de contrôle, celle de l'établissement principal ou de l'établissement unique du responsable du traitement, est désignée comme « autorité chef de file » et, c'est, selon l'article 56 du RGPD, cette autorité qui est compétente, en cas de traitement transfrontalier opéré par ledit responsable [37]. La même disposition ajoute que l'autorité chef de file est, pour le traitement transfrontalier, « le seul interlocuteur du responsable du traitement » [38]. Ce système de guichet unique est accompagné d'un mécanisme de coopération entre l'autorité de contrôle chef de file et les autorités de contrôle [39] et d'un mécanisme de contrôle de la cohérence [40]. Ces mécanismes obligent l'autorité chef de file à associer à sa prise de décision toutes les autorités nationales d'un Etat membre qui seraient également concernées par le traitement transfrontalier [41]. Au-delà de la compétence internationale des juridictions belges, la question que suscite le litige opposant l'APD à Facebook Ireland et à Facebook Inc. est de savoir si le système du guichet unique, accompagné du mécanisme de coopération entre autorités de contrôle et du mécanisme de contrôle de la cohérence, fait obstacle à ce que l'autorité belge assigne en justice Facebook Ireland et Facebook Inc., compte tenu du fait que l'autorité chef de file de Facebook dans l'Union européenne est l'autorité irlandaise [42].

17.Selon la cour d'appel, la compétence des cours et tribunaux belges, à tout le moins à l'égard du cas d'espèce, ne peut se déduire ni de l'application du droit belge au présent litige [43] ni de la compétence de l'autorité [44]. En effet, la cour d'appel juge que sa compétence ne peut être fondée qu'en vertu d'une base légale explicite [45].

18.Il faut souligner en l'espèce que l'APD, et avant elle la CPVP, n'agissent pas directement, en adoptant une mesure ou en imposant une sanction, à l'égard de Facebook. L'Autorité agit, ici, par voie judiciaire et demande donc au juge judiciaire d'adopter une mesure à l'égard de Facebook. Dans la première hypothèse, l'Autorité prend elle-même la décision et un recours est légalement prévu pour permettre au destinataire de contester cette décision devant le juge belge [46]. Dans la seconde hypothèse, celle qui nous occupe, la décision est prise par un juge qui doit, à cette fin, pouvoir fonder sa compétence.

19.Nous examinons ici l'application du principe de territorialité, en tant que principe de droit international public, invoqué à titre principal par l'APD comme fondement de la compétence du juge belge (a.). Par la suite, nous analysons le fondement subsidiaire, à savoir l'application des règles de droit international privé (b.).

20.L'APD postule, comme la CPVP en première instance, que les cours et tribunaux belges sont compétents à l'égard de Facebook Ireland et Facebook Inc. en vertu du principe, coutumier en droit international public, de la territorialité. Selon l'Autorité, le juge d'un état est de plein droit compétent tant à l'égard des personnes qui se trouvent sur le territoire de l'état dont relève ledit juge que des activités qui se déroulent ou qui produisent des effets sur ce même territoire. Par conséquent, selon l'APD, le juge belge est compétent à l'égard de Facebook Ireland et Facebook Inc. en raison des activités de ces derniers qui ont lieu, ou à tout le moins, produisent des effets en Belgique [47].

21.La cour d'appel rejette l'argument de l'Autorité et juge que la simple référence au principe de souveraineté et de territorialité ne suffit pas à rendre les juridictions belges compétentes en l'espèce [48]. Cette décision nous paraît être conforme au rôle du principe de territorialité. En effet, ce principe, en tant que tel, ne permet pas à un juge national, en l'absence de toute disposition légale, de fonder sa compétence mais, il constitue plutôt, avec d'autres principes de droit international relatif à la compétence des états, un cadre, plus ou moins accepté, entourant l'exercice des compétences étatiques [49]. Pour le dire autrement, les compétences d'un état « lui appartiennent en propre en sa qualité d'ordre juridique primaire, elles ne lui sont pas dévolues par un ordre juridique supérieur, en l'occurrence le droit international » [50]. Ceci étant, il est vrai que certains principes, dont le principe de territorialité, ont émergé en droit international et permettent aux états, sur la scène internationale, de justifier, le cas échéant, le bien-fondé de leur compétence [51].

22.Au surplus, quand bien même, le principe de territorialité, en tant que principe de droit international, pourrait être considéré comme attributif de compétence, l'argument de l'APD demeure insuffisant dans la mesure où l'Autorité n'identifie pas le fondement qui permettrait d'invoquer directement ce principe devant le juge national à l'encontre d'un particulier. L'aptitude d'une règle de droit international à être directement invocable devant le juge national, appelée l'effet direct, découle de l'intention des auteurs de ladite règle [52]. Pour cette raison, il est douteux qu'une règle coutumière puisse produire un tel effet [53]. Par conséquent, il est généralement question d'effet direct qu'en présence d'une règle conventionnelle, qui doit, en outre, remplir certains critères [54]. Force est de constater qu'il n'existe, en l'espèce, aucune règle conventionnelle suffisamment précise qui permettrait de fonder, comme le postule l'APD, la compétence internationale du juge belge sur le principe de territorialité.

23.A titre subsidiaire, si les règles de droit international privé devaient être applicables, l'APD avance que le juge belge devrait alors être compétent en vertu de l'article 96, 2°, du Code de droit international privé [55].

24.Facebook conteste l'application du droit international privé dès lors que selon le réseau social, l'Autorité agit dans le cadre de l'exercice de la puissance publique. L'action de l'Autorité tomberait, dès lors, hors du champ d'application du droit international privé. Par ailleurs, Facebook ajoute qu'en l'espèce l'APD exerce la puissance publique de manière horizontale, en ce sens qu'elle agit par l'entremise d'une action civile à l'encontre d'une personne de droit privé en vue de protéger des intérêts privés [56]. Facebook distingue ainsi l'exercice de la puissance publique selon qu'il est horizontal ou vertical. Par l'exercice vertical de la puissance publique, le réseau social vise les pouvoirs de police, ou de quasi-police, de l'Autorité, tels que les pouvoirs d'enquête ou le dépôt d'une plainte auprès du ministère public [57].

25.La cour d'appel reprend la distinction opérée par Facebook entre l'exercice de la puissance publique vertical et horizontal et confirme que l'APD agit afin de protéger un intérêt d'ordre privé [58]. De surcroît, la cour ajoute même que, contrairement au droit de la concurrence, la protection des données à caractère personnel se limite à protéger un intérêt privé [59]. Cette dernière affirmation est, toutefois, contestée en doctrine [60].

Par ailleurs, la cour d'appel estime que le fondement juridique initial de l'action, à savoir l'article 32, § 3, de la loi du 8 décembre 1992, ne confère aucun ius imperii à l'Autorité [61].

26.C'est à partir de là que le raisonnement de la cour d'appel devient plus difficile à suivre. La cour d'appel considère qu'en assignant Facebook devant le juge belge, l'APD exerce sa compétence de manière horizontale car elle intervient dans le cadre d'un rapport de droit privé entre deux particuliers en vue de protéger un intérêt privé et, ce sur la base d'une disposition qui ne lui confère pas de ius imperii. De cette situation, la cour d'appel conclut que, premièrement, le droit international public n'est pas applicable, à l'exception des lois de police et des règles d'ordre public (sic) [62] et, que, deuxièmement, le droit international privé européen, à savoir le Règlement Bruxelles Ibis [63], n'est pas non plus applicable [64]. En effet, selon la cour d'appel, l'action de l'APD échappe au champ d'application du Règlement Bruxelles Ibis car il constitue un acte « commis dans l'exercice de la puissance publique (acta jure imperii) » [65]. Ce constat contraste, toutefois, avec les observations que la cour a formulées plus tôt; selon les termes mêmes de la cour, l'APD intervient dans le cadre d'un rapport de droit privé en vue de protéger un intérêt privé et sur la base d'une disposition qui ne lui confère pas de ius imperii [66].

27.Comme le rappelle la cour d'appel, le champ d'application du Règlement Bruxelles Ibis est circonscrit à « la matière civile et commerciale » [67]. Cette notion, dont ni le contenu ni la portée n'est défini par le règlement, fait l'objet d'une interprétation autonome de la Cour de justice [68]. Toutefois, lors de la réforme du Règlement Bruxelles I, aboutissant à l'adoption du Règlement Bruxelles Ibis, le législateur européen a précisé que la matière civile et commerciale exclut les actes ou omissions « commis dans l'exercice de la puissance publique (acta jure imperii) » [69]. Cette précision ne fait que codifier la jurisprudence antérieure de la C.J.U.E. selon laquelle les litiges opposant une autorité publique à une personne de droit privé ne sont pas nécessairement exclus du champ d'application du Règlement Bruxelles Ibis. En effet, les dispositions du Règlement Bruxelles Ibis ne sont écartées que si l'autorité agit dans l'exercice de la puissance publique [70].

28.A cet égard, ni la distinction entre l'exercice vertical et horizontal de la puissance publique, ni même la nature de l'intérêt protégé ne sont, directement et en tant que telles, les critères décisifs utilisés par la Cour de justice de l'Union européenne pour déterminer si l'Autorité a agi dans l'exercice de la puissance publique. En effet, pour déterminer si les actes d'une autorité sont posés dans l'exercice de la puissance publique, la C.J.U.E. analyse deux éléments. D'une part, la Cour de justice a égard au rapport juridique existant entre les parties au litige, et, d'autre part, elle examine le fondement et les modalités d'exercice de l'action de l'Autorité [71].

En l'espèce, aucun élément dans l'arrêt de la cour d'appel ne permet d'affirmer que le rapport juridique entre l'Autorité et l'opérateur privé est marqué par une manifestation de puissance publique de la part de l'Autorité de la protection des données, en ce qu'elle exercerait des « pouvoirs exorbitants par rapport aux règles applicables dans les relations entre particuliers » [72]. Ainsi, l'Autorité n'a pas imposé de sanction directement exécutoire à l'encontre de Facebook [73]. Elle n'a pas non plus, au vu des faits mentionnés, obtenu des éléments de preuve « au moyen de prérogative de puissance publique », ce qui peut avoir « une incidence sur la nature des rapports juridiques » entre une autorité et une entité privée [74]. En outre, s'agissant du fondement de l'action, à savoir l'article 32, § 3, de la loi du 8 décembre 1992, la cour d'appel a jugé explicitement qu'il ne confère pas de ius imperii à l'Autorité de contrôle [75].

29.Au vu de ces éléments, il nous semble donc possible de considérer, à l'instar de la Cour de justice dans son arrêt Henkel, qu'en l'espèce « le litige au principal n'a pas pour objet une manifestation de la puissance publique, puisqu'il ne concerne aucunement l'exercice de pouvoirs exorbitants par rapport aux règles de droit commun applicables dans les relations entre particuliers. Au contraire, l'action pendante devant la juridiction de renvoi (…) vise (…) à soumettre au contrôle du juge des rapports de droit privé. Partant, une action de cette nature relève de la matière civile au sens de l'article 1^er, 1., de la Convention de Bruxelles » [76].

30.A supposer, comme nous le présentons ci-avant, que l'action de l'Autorité ne constitue pas un acta jure imperii et, par conséquent, puisse entrer dans le champ d'application matériel du Règlement Bruxelles Ibis, le juge belge pourrait y trouver le fondement de sa compétence à l'égard de Facebook Ireland. En effet, outre la règle de compétence générale [77], le Règlement Bruxelles Ibis prévoit des compétences spéciales à la fois en matière contractuelle et extracontractuelle. Par analogie à l'arrêt Henkel [78], il faudrait, à notre sens, rattacher l'action de l'APD à la matière extracontractuelle, dès lors que l'action de l'Autorité est fondée directement sur une disposition légale et ne découle pas d'une relation contractuelle.

31.Ainsi, en matière de responsabilité extracontractuelle, le Règlement Bruxelles Ibis, en son article 7, 2., confère à la juridiction du lieu où le fait dommageable s'est produit, une compétente spéciale pour connaître du litige. Depuis l'arrêt Mine de Potasse [79], le demandeur agissant sur la base de l'article 7, 2., du Règlement Bruxelles Ibis, peut, à sa guise, introduire son action devant le juge soit du lieu de l'événement causal soit du lieu de la matérialisation du dommage. L'événement causal, se localisant a priori au lieu de l'établissement de Facebook où s'est opéré le traitement de données, à savoir Facebook Ireland, ne permet pas de rendre le juge belge compétent. Toutefois, la matérialisation du dommage devrait, elle, selon toute vraisemblance pouvoir se localiser en Belgique, puisque l'APD agit pour assurer la protection des données des internautes se situant sur le territoire belge [80].

32.Pareil raisonnement aurait, selon nous, pu justifier la compétence de la cour d'appel de Bruxelles à l'égard des prétendues violations reprochées à Facebook Ireland. Il convient, par ailleurs, de préciser que le Règlement Bruxelles Ibis, en ce compris son article 7, 2., ne pourrait fonder la compétence du juge belge à l'égard de la société de droit américaine, Facebook Inc. En effet, ledit règlement limite son champ d'application spatial au litige dont le défendeur est domicilié sur le territoire d'un Etat membre de l'Union européenne [81].

33.Après avoir écarté l'applicabilité du Règlement Bruxelles Ibis et constaté l'absence d'une autre source internationale applicable, la cour d'appel a été amenée à examiner les règles belges de droit international privé afin d'apprécier la compétence éventuelle des cours et tribunaux belges.

34.En premier lieu, la cour remarque que le champ d'application matériel du Code de droit international privé et celui du Règlement Bruxelles Ibis sont susceptibles de différer [82]. Nonobstant le fait que les deux textes visent la matière civile et commerciale, il est vrai que, contrairement au Règlement Bruxelles Ibis, les dispositions du Code de droit international privé ne sont pas interprétées de manière autonome par la Cour de justice, cette dernière n'étant pas compétente pour interpréter le droit belge. Il n'est, en outre, pas fait référence au champ d'application du Règlement Bruxelles Ibis dans les travaux préparatoires du Code de droit international privé [83]. Par conséquent, il est, en effet, bel et bien possible que le champ d'application entre les deux instruments diffère.

35.Toutefois, la cour d'appel constate qu'aucun élément n'a été avancé par les parties, singulièrement par l'Autorité, justifiant qu'une interprétation différente de celle développée par la Cour de justice à l'égard du Règlement Bruxelles Ibis soit, en l'espèce, donnée aux termes « matière civile et commerciale » dans le Code de droit international privé [84]. Dès lors, on aurait pu s'attendre à ce que la cour d'appel écarte l'application du Code de droit international privé puisqu'elle a écarté le Règlement Bruxelles Ibis, estimant que le litige en l'espèce ne relevait pas de la matière civile et commerciale.

36.Cependant, dans la suite de son arrêt, la Cour examine plusieurs dispositions du Code belge de droit international privé comme fondement potentiel de sa compétence. Ainsi, en premier lieu, la cour évoque l'article 9 selon lequel « lorsque les juridictions belges sont compétentes pour connaître d'une demande, elles le sont également pour connaître d'une demande qui y est liée par un rapport si étroit qu'il y a intérêt à instruire et à juger celles-ci en même temps afin d'éviter des solutions qui pourraient être inconciliables si les causes étaient jugées séparément ». Toutefois, bien que la cour d'appel s'estime compétente pour connaître de la demande dirigée contre Facebook Belgium, elle juge que cette demande n'est pas liée par un rapport si étroit aux demandes concernant Facebook Ireland et Facebook Inc. qu'il y a un intérêt à les instruire et à les juger en même temps [85]. En deuxième lieu, la cour d'appel fait référence à l'article 11 qui confère, exceptionnellement, une compétence au juge belge pour autant que la demande introduite vise une situation présentant des liens étroits avec la Belgique et qu'une procédure à l'étranger se révèle, soit impossible, soit ne puisse être raisonnablement exigée. La cour constate, à cet égard, que la deuxième condition n'est pas satisfaite; il n'est pas démontré que l'introduction d'une procédure à l'étranger, la cour vise notamment l'Irlande, soit impossible ou ne puisse pas être raisonnablement exigée [86]. En troisième lieu, la cour se penche sur l'article 96, 2°, du Code de droit international privé [87], qu'elle met en parallèle avec l'article 7, 1., du Règlement Bruxelles Ibis. Néanmoins, elle considère que l'action de l'Autorité ne concerne pas une obligation qui découlerait d'un fait illicite et, en outre, qu'elle ne relève pas de la matière civile et commerciale de telle sorte qu'elle sort du champ d'application tant de l'article 96 du Code de droit international privé que du Règlement Bruxelles Ibis [88].

37.Enfin, au titre de loi particulière, la cour d'appel de Bruxelles a également examiné et écarté l'article 32, § 3, de la loi du 8 décembre 1992 [89], comme fondement de sa compétence internationale. La juridiction d'appel a estimé que cette disposition, si elle rendait bien compétent le président de la CPVP pour agir devant le tribunal de première instance, n'avait, toutefois, pas vocation à conférer aux juges belges une compétence internationale. Il n'a, par ailleurs, jamais été question dans l'arrêt commenté des articles 209, 211 et 212 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel. Pourtant ces dispositions, qui succèdent à l'article 32, § 3, de la loi du 8 décembre 1992, prévoient, en conformité avec l'article 6 de la loi du 3 décembre 2017 portant création de l'APD, la possibilité pour l'Autorité d'agir en cessation devant le tribunal de première instance. De surcroît, l'article 212 de la loi du 30 juillet 2018 contient une règle explicite de compétence internationale qui aurait pu, nous semble-t-il, constituer un fondement pour la compétence des cours et tribunaux belges [90].

38.La conclusion de la cour d'appel est donc qu'à l'égard de Facebook Ireland et Facebook Inc., les cours et tribunaux belges sont sans compétence internationale pour se prononcer sur la requête du demandeur initial en première instance, à savoir la CPVP, ou de son successeur en appel, l'APD [91].

39.Au stade de la recevabilité, la cour d'appel n'examine plus que l'action dirigée contre Facebook Belgium, étant donné qu'elle s'est déclarée sans compétence internationale pour connaître des actions à l'encontre de Facebook Inc. et de Facebook Ireland. La cour débute son examen de la recevabilité par l'intervention volontaire à la procédure d'appel de la CPVP. La juridiction d'appel constate que c'est la Commission qui agit en tant que telle et, non pas, comme en première instance, son président. Cependant, comme l'observe la cour d'appel, la CPVP n'a pas de personnalité juridique et ne justifie pas, en l'espèce, sa capacité pour agir en justice à l'encontre de Facebook Belgium. Son intervention volontaire est donc déclarée irrecevable [92].

40.S'agissant de la recevabilité de l'action de l'APD contre Facebook Belgium, la cour d'appel distingue les faits reprochés à Facebook selon qu'ils sont antérieurs ou postérieurs à l'entrée en application du RGPD.

Pour les faits antérieurs au 25 mai 2018, la juridiction d'appel juge l'action de l'Autorité irrecevable [93]. Elle se base sur les articles 109 et 110 de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données. Ces deux dispositions prévoient, à partir du 25 mai 2018, l'abrogation de l'article 32, § 3, de la loi du 8 décembre 1992, qui constitue le fondement de l'action à l'encontre de Facebook pour les faits s'étant déroulés jusqu'au 25 mai 2018. L'article 112 de la loi du 3 décembre 2017 met, toutefois, en place un régime transitoire en vertu duquel « les plaintes ou demandes encore pendantes auprès de l'Autorité de protection des données au moment de l'entrée en vigueur de la présente loi » (nous soulignons) sont traitées par l'Autorité de protection des données en tant que « successeur juridique de la Commission de la protection de la vie privée, selon la procédure applicable avant l'entrée en vigueur de la présente loi ». La cour d'appel estime, néanmoins, que cette disposition ne peut s'appliquer à l'action menée par l'Autorité à l'encontre de Facebook Belgium car il ne s'agit pas, ici, d'une action pendante auprès de l'Autorité, mais d'une action introduite par l'Autorité devant une juridiction et dirigée contre une tierce partie. Cette interprétation très stricte de l'article 112 de la loi du 3 décembre 2017 est lourde de conséquences puisqu'elle permet à Facebook d'échapper à toute condamnation, à tout le moins dans l'affaire commentée, pour les traitements de données antérieurs au 25 mai 2018. De manière générale, une telle interprétation rend de facto impossible, puisque dénuée de fondement légal, toute action intentée par l'Autorité devant les cours et tribunaux à l'encontre d'une infraction commise avant le 25 mai 2018.

41.Pour ce qui est de la recevabilité de l'action de l'APD aux opérations de traitement effectuées après le 25 mai 2018, Facebook prétend que l'Autorité ne dispose plus de la possibilité d'agir en justice à l'encontre d'un opérateur privé. Le réseau social se base sur l'absence d'effet direct de l'article 58, 5., du RGPD [94]. Cette disposition appelle sans aucun doute une mise en oeuvre de la part des Etats membres [95]. La Belgique a, semble-t-il, effectué cette opération dans la loi du 3 décembre 2017 qui confère à l'APD « le pouvoir de porter toute infraction aux principes fondamentaux de la protection des données a caractère personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives a la protection du traitement des données a caractère personnel, a l'attention des autorités judiciaires et, le cas échéant, d'ester en justice en vue de voir appliquer ces principes fondamentaux » [96]. En outre, la loi du 30 juillet 2018 prévoit aussi, et précise même, la possibilité pour l'APD d'agir en justice, au moyen d'une action en cessation, en cas de violation des dispositions légales ou réglementaires concernant la protection des données personnelles [97].

42.A cet égard, sans faire mention de la loi du 30 juillet 2018, la cour estime que la seule référence à l'article 6 de la loi du 3 décembre 2017 n'est pas suffisante [98]. Elle ajoute, selon elle, que les autorités de contrôle, autre que celle de l'établissement principal ou de l'établissement unique du responsable, ne sont compétentes pour traiter d'une réclamation ou d'une violation du RGPD que dans deux hypothèses; soit la violation concerne uniquement l'établissement localisé dans l'Etat membre dont l'autorité relève, soit la violation n'affecte sensiblement que des personnes concernées dans l'Etat membre auquel se rapporte l'autorité [99]. La cour d'appel reprend ainsi le point 2. de l'article 56 du RGPD [100] en considérant qu'il s'agit des deux seules hypothèses où l'Autorité, qui n'est pas le chef de file, peut agir dans le cadre d'un traitement transfrontalier. En d'autres termes, dès lors que l'APD ne peut être considérée comme l'autorité chef de file au sens du RGPD, la cour semble être d'avis qu'il ne revient pas, en l'espèce, à l'APD d'agir contre Facebook Belgium.

43.Toutefois, la cour d'appel laisse la question de la recevabilité de l'action intentée par l'Autorité à l'égard de Facebook Belgium en suspens [101]. Selon la juridiction d'appel, la réponse dépend de la possibilité pour l'Autorité d'agir contre Facebook Belgium, compte tenu de l'entrée en vigueur du RGPD et du mécanisme de coopération entre autorités nationales de contrôle. Par conséquent, pour trancher la recevabilité de l'action de l'Autorité, la cour d'appel de Bruxelles estime devoir attendre la réponse à la question préjudicielle posée à la C.J.U.E.

44.Après avoir jugé, d'une part, que les cours et tribunaux belges sont sans compétence à l'égard de l'action dirigée contre Facebook Ireland et Facebook Inc., et, d'autre part, que l'action à l'égard de Facebook Belgium concernant les faits antérieurs au 25 mai 2018 est irrecevable, la cour d'appel déclare l'appel de Facebook Belgium, Facebook Ireland et Facebook Inc. recevable et, en grande partie, fondé. Seule l'action dirigée contre Facebook Belgium demeure pendante. A cet égard, la cour d'appel a décidé de poser plusieurs questions préjudicielles à la Cour de justice de l'Union européenne afin de savoir si l'APD pouvait introduire une action devant les cours et tribunaux belges en rapport avec un traitement transfrontalier, alors même qu'elle n'est pas l'autorité chef de file par rapport à ce traitement [102]. La cour d'appel souligne, par des questions supplémentaires, que le responsable, à savoir Facebook, n'a pas son établissement principal en Belgique, que l'APD agit à la fois contre un responsable du traitement dont l'établissement principal est situé à l'étranger et contre un établissement du responsable situé en Belgique et, enfin, que l'action a été introduite par l'Autorité avant l'entrée en application du RGPD.

45.La cour d'appel demande également si l'article 58, 5., du RGPD est de nature à produire un effet direct permettant à l'Autorité de fonder directement, sur cette disposition, une action en justice. Enfin, si ces questions devaient recevoir une réponse positive, la juridiction belge s'interroge sur l'effet que pourrait avoir sa décision sur une éventuelle procédure menée par l'autorité chef de file [103].

46.La première série de questions posées par la cour d'appel de Bruxelles consiste à se demander si l'article 56, 1., du RGPD, qui renvoie à l'article 60 du même règlement, rend formellement compétente l'autorité chef de file, à l'exclusion des autres autorités [104], pour exercer l'ensemble des pouvoirs conférés par l'article 58, en compris « le pouvoir de porter toute violation du présent règlement a l'attention des autorités judiciaires et, le cas échéant, d'ester en justice d'une manière ou d'une autre, en vue de faire appliquer les dispositions du présent règlement » [105].

47.Cette question est primordiale dans la coopération entre les autorités nationales de contrôle. Si une autorité peut, indépendamment de l'action de l'autorité chef de file, introduire une action en justice, cela risque de mettre à mal le système de coopération mis en place par le RGPD. De surcroît, comme l'anticipe la cour d'appel par sa dernière question, cela emporterait également le risque de voir apparaître deux ou plusieurs décisions, certes l'une de nature administrative et l'autre judiciaire, inconciliables relatives au même traitement de données.

48.Cela étant, quand bien même l'autorité chef de file serait la seule compétente pour introduire une action judiciaire en cas de traitement transfrontalier, le risque de décisions inconciliables n'en serait pas pour autant écarté. En effet, l'action des autorités de contrôle n'est pas la seule voie de mise en oeuvre des règles en matière de protection des données. Même si cela dépasse le cadre de ce litige, il convient de rappeler que les personnes concernées elles-mêmes [106] ainsi que les associations actives dans la protection des droits et libertés des personnes concernées [107] peuvent également agir en justice contre une entreprise qui ne respecterait pas, à leur égard, les règles en matière de protection des données personnelles et ce, quelle que soit l'autorité chef de file [108]. En fin de compte, si cette affaire permet de mettre en lumière la question de la coopération entre les autorités de contrôle au travers de leur possibilité d'agir en justice, elle soulève aussi, implicitement du moins, la question de la coordination entre les autorités nationales de contrôle et les juridictions judiciaires.