Vu la procédure suivante :

Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 22 décembre 2023 et les 22 mars et 23 septembre 2024 au secrétariat du contentieux du Conseil d’Etat, M^me B D demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir les décisions du 24 octobre 2023 par lesquelles la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de ses plaintes contre les docteurs G F et C E pour l’utilisation de données à caractère personnel concernant sa santé ;

2°) de prononcer à l’encontre des docteurs F et E les injonctions qu’elle a demandées à la CNIL de prononcer ;

3°) à titre subsidiaire, de saisir la Cour de justice de l’Union européenne d’une question préjudicielle portant sur l’interprétation de l’article 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

4°) à titre subsidiaire, d’enjoindre à la CNIL de donner suite à ses plaintes ;

5°) de mettre à la charge de la CNIL la somme de 5 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— le code des relations entre le public et l’administration ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le décret n° 2019-536 du 29 mai 2019 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Philippe Bachschmidt, maître des requêtes en service extraordinaire,

— les conclusions de M. Frédéric Puigserver, rapporteur public ;

La parole ayant été donnée, après les conclusions, à la SAS Boulloche, Colin, Stoclet et associés, avocat de M^me D ;

Vu la note en délibéré, enregistrée le 10 janvier 2025, présentée par M^me D

Considérant ce qui suit :

1. Par deux plaintes formées devant la Commission nationale de l’informatique et des libertés (CNIL) le 7 juin 2023, M^me D a demandé à la Commission d’enjoindre aux docteurs F et E, auxquels elle reproche d’avoir réalisé une expertise médicale à la demande de l’assureur avec lequel elle est en litige à la suite d’un accident dont elle a été victime, de supprimer toutes les données à caractère personnel concernant sa santé qu’ils ont reçues de l’assureur et conservées, au titre de l’article 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (dit RGPD), d’interrompre tout traitement de ces données, au titre de l’article 21 de ce règlement, et de retirer les rapports qu’ils ont établis à partir de ces données des mains de l’assureur ainsi que des débats judiciaires auxquels ils ont été versés. Par deux décisions du 24 octobre 2023, la CNIL a procédé à la clôture de ces plaintes, regardées comme manifestement infondées, en retenant qu’elle n’avait pas à se substituer aux personnes concernées par un traitement dans l’exercice de leurs droits garantis notamment par la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et qu’il leur appartenait préalablement de les exercer auprès du responsable du traitement avant de la saisir des difficultés rencontrées dans l’exercice de ceux-ci. Elle a ajouté qu’elle n’était pas habilitée à contrôler ou apprécier la pertinence des informations médicales communiquées à titre de preuves dans le cadre d’un débat judiciaire. M^me D demande l’annulation pour excès de pouvoir de ces décisions.

2. En premier lieu, le paragraphe 1 de l’article 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) dispose que la « personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant » et énumère les motifs devant en principe conduire. Le paragraphe 3 de cet article prévoit toutefois que le paragraphe 1 ne s’applique pas, notamment, « dans la mesure où le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice ». Selon le I de l’article 51 de la loi du 6 janvier 1978 : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 ». Selon le II du même article : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés () ».

3. Pour sa part, l’article 21 du RGPD dispose que : « 1. La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice ». Selon l’article 56 de la loi du 6 janvier 1978 : « Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016 ». Selon l’article 113 du décret du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « La personne qui entend s’opposer au traitement des données à caractère personnel dans le domaine de la santé la concernant peut exprimer son refus par tout moyen auprès soit du responsable du traitement, soit de l’établissement ou du professionnel de santé détenteur de ces données excepté dans le cas prévu au II de l’article R. 1461-9 du code de la santé publique ».

4. Lorsqu’une personne entend exercer, à l’égard d’un traitement de données à caractère personnel la concernant, les droits garantis par le RGPD et la loi du 6 janvier 1978, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de cette loi, il lui appartient, ainsi que cela découle des dispositions qui fondent ces droits, d’adresser sa demande au responsable du traitement auquel incombent les obligations définies par ces dispositions, préalablement à une éventuelle saisine de la CNIL, chargée, en application du 2° du I de l’article 8 de la même loi, de traiter les réclamations, pétitions et plaintes introduites par une personne concernée. A défaut d’une telle saisine préalable du responsable du traitement, la CNIL peut prononcer la clôture de la plainte qui lui a été adressée directement.

5. En l’espèce, si M^me D produit un courriel de son avocat du 19 mars 2021 rappelant qu’elle entendait faire valoir son droit au respect du secret médical lors des échanges entre parties à un litige judiciaire et une sommation interpellative du 3 février 2022 adressée par huissier au docteur F afin qu’il retire un rapport médical de débats judiciaires en cours, il ne ressort pas des pièces du dossier qu’elle aurait justifié avoir, sur le fondement du RGPD ou de la loi du 6 janvier 1978, adressé aux docteurs F et E, responsables des traitements litigieux des données de santé la concernant, une demande tendant à leur effacement, ni avoir fait valoir auprès d’eux son droit d’opposition à leur traitement. La CNIL était, par suite, en droit de clôturer les plaintes que Mme D lui a adressées directement sans avoir au préalable saisi de ses demandes les responsables des traitements.

6. Si M^me D fait valoir que la CNIL aurait dû l’inviter à régulariser ses plaintes en saisissant les responsables des traitements, elle ne peut à cette fin utilement se prévaloir des dispositions de l’article L. 114-5 du code des relations entre le public et l’administration, selon lesquelles « Lorsqu’une demande adressée à l’administration est incomplète, celle-ci indique au demandeur les pièces et informations manquantes exigées par les textes législatifs et réglementaires en vigueur. Elle fixe un délai pour la réception de ces pièces et informations », ses plaintes n’ayant pas été clôturées en raison de leur caractère incomplet. Elle ne peut davantage utilement invoquer les dispositions de l’article L. 114-6 du code des relations entre le public et l’administration, qui prévoient que « Lorsqu’une demande adressée à une administration est affectée par un vice de forme ou de procédure faisant obstacle à son examen et que ce vice est susceptible d’être couvert dans les délais légaux, l’administration invite l’auteur de la demande à la régulariser en lui indiquant le délai imparti pour cette régularisation, les formalités ou les procédures à respecter ainsi que les dispositions légales et réglementaires qui les prévoient », le défaut de saisine préalable des responsables des traitements ayant pour conséquence non pas d’entacher les plaintes d’un simple vice de forme ou de procédure au sens de ces dispositions, mais de les priver de leur objet.

7. En second lieu, aux termes de l’article 9 du RGPD : " 1. () le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. / 2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie : () / f) le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle ; / () ". Il résulte de ces dispositions, ainsi que de celles citées aux points 2 et 3, que les données à caractère personnel concernant la santé peuvent faire l’objet d’un traitement, sans que puissent y faire obstacle une demande d’effacement ni une demande d’opposition au traitement, lorsque ce traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

8. Après avoir ainsi rappelé les termes et la portée des articles 9, 17 et 21 du RGPD et avoir énoncé qu’il appartient au juge, conformément au code de procédure civile, de faire respecter la loyauté dans l’administration de la preuve et les débats devant lui, c’est sans illégalité que la CNIL a exposé qu’il ne lui appartenait pas d’apprécier la pertinence des informations médicales communiquées à titre de preuve dans le cadre de débats judiciaires.

9. Il résulte ce qui précède que c’est à bon droit que la CNIL a retenu que les plaintes de la requérante étaient manifestement infondées et en a prononcé la clôture. Il s’ensuit que, sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne en l’absence, en tout état de cause, de doute raisonnable quant à l’interprétation du droit de l’Union européenne, la requérante n’est pas fondée à demander l’annulation pour excès de pouvoir des décisions qu’elle attaque. Ses requêtes doivent, par suite, être rejetées, y compris leurs conclusions présentées au titre des dispositions de l’article L. 761-1 du code de justice administrative.

10. Il n’y a pas lieu, dans les circonstances de l’espèce, de mettre à la charge de M^me D la somme que le docteur F demande au titre de l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : La requête de M^me D est rejetée.

Article 2 : Les conclusions présentées par le docteur F au titre de l’article L. 761-1 du code de justice administrative sont rejetées.

Article 3 : La présente décision sera notifiée à M^me B D, au docteur G F, au docteur C E et à la Commission nationale de l’informatique et des libertés.