Conseil d'État, 10ème - 9ème chambres réunies, 21 juin 2018, 416505

Vu la procédure suivante :

Par une requête, enregistrée le 12 décembre 2017 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 12 octobre 2017 par laquelle la présidente de la Commission nationale de l’informatique et des libertés l’a informé de la clôture de sa plainte relative à l’utilisation d’un dispositif de surveillance par la société Photobox qui l’emploie.

Vu les autres pièces du dossier ;

Vu :

 – la loi n° 78-17 du 6 janvier 1978 ;

 – le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Jacques Reiller, conseiller d’Etat,

— les conclusions de M. Edouard Crépey, rapporteur public ;

Vu la note en délibéré, enregistrée le 6 juin 2018, présentée par M. A… ;

Considérant ce qui suit :

1. Aux termes du 2° de l’article 11 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la Commission nationale de l’informatique et des libertés (CNIL) « veille à ce que les traitements de données à caractère personnel soient mis en oeuvre conformément aux dispositions de la présente loi. A ce titre : / (…) c) Elle reçoit les réclamations, pétitions et plaintes relatives à la mise en oeuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ». Aux termes du I de l’article 40 de la même loi : « Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ». Aux termes du I de l’article 45 de la même loi : " I. – Lorsque le responsable d’un traitement ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut le mettre en demeure de faire cesser le manquement constaté dans un délai qu’il fixe. En cas d’extrême urgence, ce délai peut être ramené à vingt-quatre heures. /Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. / Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes : / 1° Un avertissement ;/ 2° Une sanction pécuniaire, dans les conditions prévues à l’article 47, à l’exception des cas où le traitement est mis en oeuvre par l’Etat ; / 3° Une injonction de cesser le traitement, lorsque celui-ci relève de l’article 22, ou un retrait de l’autorisation accordée en application de l’article 25. Lorsque le manquement constaté ne peut faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable et après une procédure contradictoire, les sanctions prévues au présent I (…) ".Il résulte de ces dispositions qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en oeuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

2. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’engager à l’encontre de la personne visée par la plainte une procédure sur le fondement du I de l’article 45 de la loi du 6 janvier 1978 précité, y compris lorsque la CNIL procède à des mesures d’instruction ou constate l’existence d’un manquement aux dispositions de cette loi. Il appartient au juge de censurer ce refus en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. En revanche, lorsque la CNIL a décidé d’engager une procédure sur le fondement de l’article 45 précité, l’auteur de la plainte n’a intérêt à contester ni la décision prise à l’issue de cette procédure, quel qu’en soit le dispositif, ni le sort réservé à sa plainte à l’issue de cette procédure. Il est toutefois recevable à déférer, dans tous les cas, au juge de l’excès de pouvoir le défaut d’information par la CNIL des suites données à sa plainte.

3. Il ressort des pièces du dossier que M. A… a saisi la CNIL, le 24 avril 2017, d’une plainte à l’encontre de son ancien employeur, la société Photobox, relative à l’usage par cette dernière du dispositif de vidéosurveillance qu’elle avait mis en place. Il soutenait que l’utilisation, dans le cadre de la procédure de licenciement engagée à son encontre, des données collectées pour contrôler les circonstances dans lesquelles il avait été victime d’un accident sur son lieu de travail n’était pas compatible avec les finalités déclarées de ce traitement. Il demande l’annulation pour excès de pouvoir de la décision du 12 octobre 2017 l’informant de la clôture de sa plainte.

4. Aux termes de l’article 6 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction applicable au litige : " Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : / 1° Les données sont collectées et traitées de manière loyale et licite ;/ 2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités (…) ".

5. Il ressort des pièces du dossier que, dans la déclaration normale n° 1379858 qu’elle a effectuée auprès de la CNIL le 26 août 2009, la société Photobox a indiqué les finalités suivantes : « Vidéosurveillance des locaux incendie intrusion ». Il ressort des termes mêmes de la décision attaquée que, contrairement à ce qui est soutenu, la CNIL n’a pas relevé l’existence d’un manquement aux dispositions précitées de l’article 6 de la loi du 6 janvier 1978 mais a estimé au contraire, sans commettre d’erreur de droit, que l’usage litigieux des données collectées par le traitement de vidéosurveillance se rattachait à la sécurité des personnes sur le lieu de travail et n’était, dès lors, pas incompatible avec les finalités déclarées. Il s’ensuit qu’elle n’a pas commis d’erreur manifeste d’appréciation en décidant de ne pas engager de procédure sur le fondement du I de l’article 45 de la loi du 6 janvier 1978 et en ne donnant pas d’autre suite à la plainte de M. A…, tout en invitant, au titre de ses pouvoirs de régulation, la société, par courrier du même jour, à modifier sa déclaration afin de préciser la finalité du dispositif de vidéosurveillance.

6. Il résulte de ce qui précède que M. A… n’est pas fondé à demander l’annulation de la décision qu’il attaque.

D E C I D E :

--------------

Article 1^er : La requête de M. A… est rejetée.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.