Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés les 11 décembre 2020 et 14 octobre 2021 au secrétariat du contentieux du Conseil d’Etat, M. A B demande au Conseil d’Etat :

1°) à titre principal, d’annuler pour excès de pouvoir, d’une part, la décision de la Commission nationale de l’informatique et des libertés (CNIL) du 10 juillet 2020 refusant d’enjoindre à la Caisse d’allocations familiales (CAF) de Seine-et-Marne de faire droit à sa demande tendant à la communication des informations relatives à l’identité des agents du bureau d’aide juridictionnelle de Meaux ayant consulté et exploité des données à caractère personnel le concernant figurant dans le traitement automatisé de données à caractère personnel dénommé « consultation des données allocataires pour les partenaires » (CAFPRO/CDAP) et, d’autre part, la décision implicite de rejet de son recours gracieux contre cette décision ;

2°) à titre subsidiaire, de saisir la Cour de justice de l’Union européenne d’une question préjudicielle portant sur l’interprétation du paragraphe 4 de l’article 15 du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;

3°) de mettre à la charge de la CNIL la somme de 100 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— le code des relations entre le public et l’administration ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Bruno Delsol, conseiller d’Etat,

— les conclusions de M^me Esther de Moustier, rapporteure publique ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que M. B a demandé à la caisse d’allocations familiales (CAF) de Seine-et-Marne, notamment, la communication du journal des connexions au traitement automatisé de données à caractère personnel dénommé « consultation des données allocataires pour les partenaires », CAFPRO/CDAP, permettant d’identifier les agents du bureau d’aide juridictionnelle (BAJ) près le tribunal de grande instance de Meaux ayant eu accès à son compte d’allocataire de la caisse depuis le 8 mars 2017. La CAF ayant opposé un refus à cette demande d’accès, M. B a formé une plainte auprès de la CNIL tendant à ce que celle-ci enjoigne à la CAF d’y faire droit. Par un courrier du 10 juillet 2020, la CNIL a informé l’intéressé que la transmission des données identifiantes du journal des connexions porterait atteinte aux droits et libertés des agents du bureau d’aide juridictionnelle en cause et a clôturé la plainte dans cette mesure. M. B demande l’annulation pour excès de pouvoir de cette décision et de celle rejetant le recours gracieux formé contre elle.

2. En vertu du premier alinéa de l’article 49 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016 ». L’article 15 de ce règlement (« RGPD ») prévoit que : " 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes : () / c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ; () / 3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. () / 4. Le droit d’obtenir une copie visée au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui ".

3. En premier lieu, aux termes de l’article L. 111-2 du code des relations entre le public et l’administration : " Toute personne a le droit de connaître le prénom, le nom, la qualité et l’adresse administratives de l’agent chargé d’instruire sa demande ou de traiter l’affaire qui la concerne ; ces éléments figurent sur les correspondances qui lui sont adressées. Si des motifs intéressant la sécurité publique ou la sécurité des personnes le justifient, l’anonymat de l’agent est respecté ". La circonstance que M. B dispose, en vertu de ces dispositions, du droit de connaître l’identité du ou des agents du bureau d’aide juridictionnelle chargés de traiter les affaires qui le concernent est sans incidence sur l’application de la loi du 6 janvier 1978 et du RGPD et, en particulier, sur l’étendue du droit d’accès ouvert par l’article 15 de ce règlement et la possibilité pour lui d’accéder aux données identifiantes des journaux de connexion de l’application CAFPRO/CDAP.

4. En deuxième lieu, M. B a formé auprès de la CAF de Seine-et-Marne une demande tendant à l’exercice du droit d’accès aux données à caractère personnel le concernant et aux informations relatives au traitement litigieux, sur le fondement de l’article 15 du RGPD, et non une demande d’accès à des documents administratifs, sur le fondement des dispositions du livre III du code des relations entre le public et l’administration. La circonstance que des données demandées sont susceptibles de figurer dans des documents administratifs qui lui seraient communicables à ce second titre est sans incidence sur la légalité des décisions de la CNIL refusant d’enjoindre à la CAF de faire droit à la demande présentée au premier titre. Par suite, le requérant ne peut utilement soutenir que la CNIL aurait méconnu les dispositions régissant la communication des documents administratifs.

5. En troisième lieu, le requérant ne peut utilement se prévaloir des dispositions de l’article 13 du RGPD qui garantit à une personne auprès de laquelle des données à caractère personnel sont collectées le droit d’obtenir du responsable de traitement les informations qu’il énumère, dès lors que les données identifiantes des journaux de connexion à l’application CAFPRO/CDAP qu’il réclame n’ont en tout état de cause pas été collectées auprès de lui.

6. En quatrième lieu, les dispositions du c) du paragraphe 1 de l’article 15 du RGPD, qui prévoient le droit pour la personne concernée d’obtenir communication des informations relatives aux « destinataires ou catégories de destinataires » auxquels les données à caractère personnel la concernant ont été communiquées, n’ont ni pour objet, ni pour effet d’autoriser une personne à connaître l’identité des agents publics ou des salariés ayant consulté les données à caractère personnel la concernant dans l’exercice de leurs fonctions au sein de la personne morale ou du service destinataire. Le moyen tiré de ce que les décisions attaquées méconnaîtraient ces dispositions ne peut donc, en tout état de cause, qu’être écarté.

7. En cinquième lieu, contrairement à ce que soutient M. B, il résulte clairement des dispositions du paragraphe 4 de l’article 15 du RGPD que le droit, pour une personne dont les données à caractère personnel sont traitées, d’obtenir une copie de ces dernières, ne doit pas porter atteinte aux droits et libertés d'« autrui », c’est-à-dire d’autres personnes que le demandeur. En particulier, aucune disposition de ce règlement n’exclut de cette catégorie les destinataires des données qui ont eux-mêmes la qualité de personne concernée à l’égard des données demandées. Par suite, M. B n’est, en tout état de cause, pas fondé à soutenir que la CNIL aurait méconnu ces dispositions en estimant que des destinataires de données au sens du c) du paragraphe 1 de l’article 15 du RGPD pouvaient être au nombre des personnes dont les droits et libertés sont susceptibles de justifier un refus d’accès aux données à caractère personnel.

8. En sixième et dernier lieu, selon l’article R. 114-9-7 du code des relations entre le public et l’administration, « les données relatives à la traçabilité des échanges sont conservées pendant une durée de trente-six mois, sans préjudice des obligations de conservation incombant aux administrations destinataires des informations échangées. Elles sont mises à la disposition de l’intéressé par le responsable des échanges ». La circonstance alléguée que la CAF aurait détruit prématurément les données demandées, en méconnaissance de ces dispositions, est sans incidence sur leur inexistence matérielle, laquelle fait obstacle à toute communication. Par suite, il ne peut être utilement reproché à la CNIL d’avoir méconnu ces dispositions en refusant d’enjoindre à la CAF de transmettre à M. B des données dont elle ne disposait plus.

9. Il résulte de tout ce qui précède, sans qu’il y ait lieu, en l’absence de tout doute raisonnable, ainsi qu’il a été dit au point 7, de saisir la Cour de justice de l’Union européenne à titre préjudiciel sur la portée du paragraphe 4 de l’article 15 du RGPD, que les conclusions de M. B tendant à l’annulation de la décision de la CNIL du 10 juillet 2020 et du rejet du recours gracieux introduit contre cette décision doivent être rejetées.

10. Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce qu’une somme soit mise à ce titre à la charge de la CNIL qui n’est pas, dans la présente instance, la partie perdante.

D E C I D E :

— -------------

Article 1er : La requête de M. B est rejetée.

Article 2 : La présente décision sera notifiée à M. A B et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 10 février 2022 où siégeaient : M^me Nathalie Escaut, conseillère d’Etat, présidant ; M. Alexandre Lallet, conseiller d’Etat et M. Bruno Delsol, conseiller d’Etat-rapporteur.

Rendu le 24 février 2022.

La présidente :

Signé : M^me Nathalie Escaut

Le rapporteur :

Signé : M. Bruno Delsol

La secrétaire :

Signé : M^me C D447495