Vu la procédure suivante :

Par une requête, un mémoire en réplique et deux nouveaux mémoires, enregistrés les 5 mai, 4, 24 et 30 décembre 2024 au secrétariat du contentieux du Conseil d’Etat, M. B A demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 3 mai 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative, d’une part, aux transferts de données à caractère personnel vers les Etats-Unis, et d’autre part, à la politique de confidentialité et d’usage des cookies par la société La Poste ;

2°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte dans le respect des dispositions du règlement général relatif à la protection des données (RGPD) et d’y statuer, sous astreinte de 500 euros par jour de retard à l’expiration d’un délai de trois mois.

3°) d’enjoindre à la CNIL d’instruire ses plaintes en conformité avec le RGPD.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M^me Alexandra Bratos, maîtresse des requêtes,

— les conclusions de M^me Esther de Moustier, rapporteure publique ;

Vu la note en délibéré, enregistrée le 8 février 2025, présentée par M. A ;

Considérant ce qui suit :

1. Aux termes de l’article 57 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), « Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / a) contrôle l’application du présent règlement et veille au respect de celui-ci () ». Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : /() 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre : / () d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire () ».

2. Aux termes de l’article 20 de la même loi : " II.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe : 1° De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ; 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ; 4° De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données. Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu’il a prises. Le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe. () ".

3. Il résulte des dispositions mentionnées aux points 1 et 2 qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.

4. Il ressort des pièces du dossier que, le 30 janvier 2023, M. B A a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de la société La Poste relative, d’une part, au transfert de données personnelles des utilisateurs du service Digiposte vers les Etats-Unis, et, d’autre part, au dépôt de cookies sur le terminal des utilisateurs malgré leur refus ou leur absence de consentement. Par un courrier du 24 novembre 2023, la CNIL est intervenue auprès de la société La Poste au sujet des outils impliquant des transferts de données vers les Etats-Unis et a procédé à la clôture de la plainte. Par un courrier du 26 janvier 2024, la CNIL, faisant droit au recours gracieux de M. A, a rouvert l’instruction de sa réclamation et procédé à de nouvelles vérifications. Par une décision du 3 mai 2024, la CNIL a constaté l’absence d’autre manquement de la part de la société La Poste et a informé le requérant de la clôture de la plainte. M. A demande l’annulation pour excès de pouvoir de cette décision et d’enjoindre à la CNIL de réexaminer sa plainte.

5. Aux termes de l’article 82 de la même loi : " Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : / 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; / 2° Des moyens dont il dispose pour s’y opposer. / Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. / Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : / 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; / 2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. "

6. En premier lieu, il ne ressort pas des pièces du dossier qu’en relevant, au vu du contrôle auquel elle avait procédé, que les « cookies » signalés par M. A dans le cadre de sa réclamation avaient pour objet l’élaboration de statistiques de fréquentation et de performance, sans permettre un suivi de la navigation, et devaient être ainsi regardés comme des « cookies » techniques nécessaires au bon fonctionnement du site, ce qui permettait de les dispenser du consentement de l’utilisateur, la CNIL ait entaché sa décision d’erreur matérielle ou d’erreur de droit. Si, dans un premier temps, elle n’a pas identifié l’existence d’un de ces cookies, il ressort également des pièces du dossier que celui-ci présentait également un caractère technique.

7. En deuxième lieu, en estimant que les pages d’informations relative aux « cookies » permettaient aux utilisateurs d’accepter ou de refuser leur dépôt en étant suffisamment éclairés sur les conséquences de leur choix, et que les autres éléments mentionnés dans la réclamation ne caractérisaient pas l’existence de manquements, la CNIL n’a pas entaché sa décision d’erreur manifeste d’appréciation.

8. En troisième lieu, en s’abstenant de vérifier le respect par le responsable du traitement de ses obligations sur d’autres points que ceux qui lui avaient été expressément signalés par M. A, la CNIL n’a pas, dans les circonstances de l’espèce, entaché sa décision d’erreur manifeste d’appréciation.

9. En dernier lieu, le moyen tiré du délai de traitement excessif de la réclamation est sans incidence sur la légalité de la décision attaquée.

10. Il s’ensuit que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Les conclusions de sa requête à fin d’annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d’injonction et celles tendant à l’application de l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : La requête de M. A est rejetée.

Article 2 : La présente décision sera notifiée à M. B A et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 6 février 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M^me Rozen Noguellou, conseillère d’Etat et M^me Alexandra Bratos, maîtresse des requêtes-rapporteure.

Rendu le 12 mars 2025.

Le président :

Signé : M. Bertrand Dacosta

La rapporteure :

Signé : M^me Alexandra Bratos

La secrétaire :

Signé : M^me Sylvie Leporcq