Vu la procédure suivante :

Par une requête enregistrée le 25 octobre 2024 au secrétariat du contentieux du Conseil d’Etat, M. C A demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 25 octobre 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative à l’exercice de son droit d’accès aux données à caractère personnel le concernant détenues par l’hôtel du Parc situé à Obernai (67).

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— le code de sécurité intérieure ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Renaud Vedel, conseiller d’Etat,

— les conclusions de M^me Esther de Moustier, rapporteure publique ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, le 19 octobre 2023, M. A a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte dirigée contre la société exploitant l’hôtel du Parc situé à Obernai (67) au motif que celle-ci n’avait pas fait droit à sa demande de communication d’une copie de l’ensemble des données personnelles le concernant figurant dans les fichiers de la société. La CNIL a, par une décision du 25 octobre 2024, informé M. A que, compte tenu des éléments qu’elle avait reçus de la société, selon lesquels celle-ci n’avait conservé aucune donnée personnelle concernant M. A, elle clôturait sa plainte. M. A demande l’annulation pour excès de pouvoir de cette décision.

2. Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I. La Commission nationale de l’informatique et des libertés () exerce les missions suivantes : / () / Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. / À ce titre : / () / d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable () ». En vertu des I et III de l’article 20 de la même loi, le président de la CNIL peut adresser au responsable d’un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit B), ainsi que, lorsqu’un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales ou, si le manquement est susceptible de faire l’objet d’une mise en conformité, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, de mettre les opérations de traitement en conformité avec les dispositions applicables, de rectifier ou d’effacer des données à caractère personnel, d’en limiter le traitement ou, à l’exception des traitements intéressant la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel. Selon le IV du même article, s’il estime qu’un manquement a été commis, le président de la CNIL peut également, le cas échéant après avoir mis en œuvre les mesures prévues aux I et III de cet article, saisir la formation restreinte de la commission en vue du prononcé des mesures correctrices, notamment l’injonction de mettre en conformité le traitement avec les obligations résultant du B ou de la loi du 6 janvier 1978 ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, et des sanctions énumérées à ce IV.

3. Il résulte de ces dispositions qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus du président de la CNIL d’engager une procédure sur le fondement de l’article 20 de la loi du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la Commission a procédé à des mesures d’instruction, constaté l’existence d’un manquement aux dispositions de cette loi et pris l’une des mesures prévues aux I et II de ce même article. Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d’illégalité externe ou, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l’auteur de la plainte n’a pas intérêt à contester la décision prise à l’issue de cette procédure, quel qu’en soit le dispositif. Toutefois, lorsque l’auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s’il ne peut contester devant le juge l’absence ou l’insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l’annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d’y procéder. Le pouvoir d’appréciation de la CNIL s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. En premier lieu, il ressort des pièces du dossier que, en réponse à la demande de la CNIL et au rappel effectué par celle-ci des obligations incombant aux responsables de traitements, le responsable des ressources humaines de l’hôtel du Parc a indiqué à la Commission qu’il avait été répondu le 27 octobre 2023 à l’intéressé qu’aucune des données personnelles le concernant n’avaient été conservée et, en particulier, que les images de vidéosurveillance étaient effacées dans un délai de 15 jours. Relevant qu’un tel délai était souvent pratiqué pour des questions de stockage et que les images d’un dispositif ne peuvent en tout état de cause être conservées que pendant un délai maximal d’un mois en vertu du code de la sécurité intérieure, la CNIL en a conclu que l’hôtel était dans l’impossibilité matérielle de répondre favorablement à la demande de M. A. La CNIL n’a donc pas commis d’erreur d’appréciation ou d’erreur de droit en clôturant la plainte compte tenu des diligences qu’elle avait accomplies.

5. En deuxième lieu, M. A soutient que la CNIL aurait dû s’assurer que son droit à l’information en tant que salarié avait été respecté par son employeur au moment de la remise de son contrat de travail. Ce moyen est toutefois sans incidence sur légalité de la décision de la CNIL, dont l’objet était de répondre à une réclamation de l’intéressé relative à l’exercice de son droit d’accès aux données à caractère personnel le concernant.

6. Il résulte de tout ce qui précède que la requête de M. A doit être rejetée.

D E C I D E :

— -------------

Article 1er : La requête de M. A est rejetée.

Article 2 : La présente décision sera notifiée à M. C A et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 6 mai 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M. Renaud Vedel, conseiller d’Etat-rapporteur.

Rendu le 25 juin 2025.

Le président :

Signé : M. Bertrand Dacosta

Le rapporteur :

Signé : M. Renaud Vedel

La secrétaire :

Signé : M^me Sylvie Leporcq