Vu la procédure suivante :

Par une requête, un nouveau mémoire et un mémoire en réplique, enregistrés les 25 février, 16 mars et 10 juin 2024 au secrétariat du contentieux du Conseil d’Etat, M. B A demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 29 décembre 2023 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative à la présence de liens traçants dans les courriels émis par la Caisse primaire d’assurance maladie ;

2°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte ;

3°) d’enjoindre à la CNIL de respecter les dispositions du règlement général relatif à la protection des données (RGPD) lors de l’instruction de ses plaintes.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M^me Isabelle Lemesle, conseillère d’Etat,

— les conclusions de M. Frédéric Puigserver, rapporteur public ;

Vu la note en délibéré, enregistrée le 14 décembre 2024, présentée par M. A ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, le 3 novembre 2023, M. B A a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de la Caisse primaire d’assurance maladie (CPAM) relative à l’utilisation de pixels de suivi et de liens traçants dans des communications électroniques. Par un courrier du 29 décembre 2023, la CNIL a rappelé à la CPAM les règles applicables à l’information et au recueil du consentement des personnes concernées en matière d’opérations de lecture et d’écriture d’informations dans un terminal. Le même jour, la CNIL a informé le plaignant de ce qu’elle était intervenue auprès de la CPAM et a procédé à la clôture de sa plainte, en lui indiquant qu’il lui était loisible, s’il constatait que le manquement subsistait malgré cette première intervention, de déposer une nouvelle plainte. M. A demande l’annulation pour excès de pouvoir de cette décision et d’enjoindre à la CNIL de réexaminer sa plainte.

2. Aux termes de l’article 57 du RGPD, « Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / a) contrôle l’application du présent règlement et veille au respect de celui-ci () ». Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : /() 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre : / () d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire () ».

3. Aux termes de l’article 20 de la même loi : " II.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe : 1° De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ; 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ; 4° De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données. Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu’il a prises. Le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe. () ".

4. Il résulte des dispositions mentionnées aux points 2 et 3 qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.

5. Il ressort des pièces du dossier qu’ainsi qu’il a été dit au point 1, la CNIL, saisie de la plainte de M. A, a décidé de rappeler la CPAM à ses obligations légales, en lui indiquant que toute opération de lecture ou d’écriture d’informations réalisée dans l’équipement terminal de l’utilisateur devait être conforme aux dispositions de l’article 82 de la loi du 6 janvier 1978, que l’utilisation de « pixels de suivi » entrait dans le champ d’application de cet article et que celle de « liens traçants » était susceptible d’y entrer. Elle lui demandait donc de se mettre en conformité avec ces dispositions en ce qui concerne les « pixels de suivi » et, pour les « liens traçants », de se mettre en mesure de prendre, le cas échéant, des mesures correctrices. Elle n’a, ce faisant, dans les circonstances de l’espèce, pas entaché sa décision de clôture de plainte d’une erreur manifeste d’appréciation, une telle décision ne faisant, en tout état de cause, pas obstacle, s’il apparaissait ultérieurement que le manquement n’a pas été corrigé, au dépôt d’une nouvelle plainte. Par ailleurs, la circonstance que la CNIL n’aurait pas spontanément communiqué à M. A les documents relatifs à l’instruction de sa plainte est sans incidence sur la légalité de la décision attaquée.

6. Il s’ensuit que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Les conclusions de sa requête à fin d’annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d’injonction et celles tendant à l’application de l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : La requête de M. A est rejetée.

Article 2 : La présente décision sera notifiée à M. B A et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 12 décembre 2024 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M^me Isabelle Lemesle, conseillère d’Etat-rapporteure.

Rendu le 30 décembre 2024.

Le président :

Signé : M. Bertrand Dacosta

La rapporteure :

Signé : M^me Isabelle Lemesle

La secrétaire :

Signé : M^me Sylvie Leporcq