Vu la procédure suivante :

Par une requête enregistrée le 3 janvier 2025 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

1°) d’annuler les décisions des 13 et 26 décembre 2024 par lesquelles la Commission nationale de l’informatique et des libertés (CNIL) a clos ses plaintes ;

2°) d’enjoindre à la CNIL d’ouvrir une procédure de sanction à l’encontre du centre régional des œuvres universitaires et scolaires (CROUS) de Poitiers.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M^me Sophie Delaporte, conseillère d’Etat,

- les conclusions de M^me Leila Derouich, rapporteure publique ;

Considérant ce qui suit :

1. M. A… demande au Conseil d’Etat d’annuler pour excès de pouvoir les décisions des 13 et 26 décembre 2024 par lesquelles la Commission nationale de l’informatique et des libertés (CNIL) a clos deux de ses plaintes contre le centre régional des œuvres universitaires et scolaires (CROUS) de Poitiers concernant sa demande d’effacement de ses données à caractère personnel et d’enjoindre à la CNIL d’engager une procédure de sanction.

2. Il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur de la plainte est recevable à contester le refus d’engager une procédure de sanction. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits individuels garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 précitée, le pouvoir d’appréciation de la CNIL s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

3. Il ressort des pièces du dossier que, le 14 mars 2024, M. A… a demandé au CROUS de Poitiers d’effacer les données à caractère personnel le concernant et de transmettre sa demande d’effacement aux autres organismes auxquels le CROUS aurait communiqué ces mêmes données. Le 18 avril 2024, n’ayant pas reçu de réponse, il a présenté une réclamation à la CNIL. Le 22 avril suivant, la CNIL a rappelé au CROUS qu’il avait l’obligation de répondre et lui a demandé de répondre à M. A… dans le délai d’un mois. Elle en a informé M. A… le même jour et a clos sa plainte. Le 2 mai suivant, le CROUS a répondu à M. A… que la suppression était « dorénavant effective ». Ayant cependant reçu, le 16 mai, une « newsletter » électronique envoyée par le centre national des oeuvres universitaires et scolaires (CNOUS), M. A… en a déduit que ses données n’avaient pas été effacées et a réitéré sa demande auprès du CROUS. Celui-ci lui a confirmé qu’il avait, pour sa part, effacé ses données et lui a indiqué qu’il saisissait le CNOUS. Le 18 septembre 2024, M. A… a reçu une nouvelle « newsletter » du CNOUS. Invoquant cette transmission et des messages ultérieurs, M. A… a présenté une nouvelle plainte à la CNIL. Le 3 décembre, la CNIL a rappelé au CROUS son obligation de répondre à l’intéressé et lui a demandé de lui rendre compte sous quinze jours. Le CROUS a indiqué à la CNIL qu’il avait fait part de la demande d’effacement au CNOUS le 21 mai 2024 puis l’avait relancé le 4 décembre et que le CNOUS avait donné suite le 10 décembre. Le 13 décembre, la CNIL a fait part à M. A… de la réponse du CROUS et a clos la plainte. Enfin, se fondant sur de nouvelles communications reçues les 23 et 29 novembre, M. A… a présenté, le 16 décembre, une nouvelle plainte, que la CNIL a clôturée le 26 décembre 2024.

4. D’une part, dès lors que les communications reçues par M. A… en novembre 2024 étaient antérieures à la réponse du CROUS, la CNIL n’a pas commis d’erreur d’appréciation en retenant qu’il ressortait de ses échanges avec le CROUS que les données de M. A… avaient été effacées par le CNOUS le 10 décembre 2024. D’autre part, eu égard aux faits en cause, aux diligences qu’elle a accomplies et aux résultats qu’elle a obtenus, la CNIL n’a pas davantage entaché ses décisions de clore les plaintes d’erreur d’appréciation en estimant que les rappels du responsable du traitement à ses obligations légales avaient constitué des mesures appropriées et qu’il n’était pas nécessaire de mettre en œuvre ses pouvoirs d’enquête ni d’engager une procédure de sanction.

5. Il résulte de tout ce qui précède que la requête de M. A… doit être rejetée, y compris ses conclusions aux fins d’injonction.

D E C I D E :

--------------

Article 1er : La requête de M. A… est rejetée.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 13 novembre 2025 où siégeaient : M^me Rozen Noguellou, conseillère d’Etat, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M^me Sophie Delaporte, conseillère d’Etat-rapporteure.

Rendu le 23 décembre 2025.

La présidente :

Signé : M^me Rozen Noguellou

La rapporteure :

Signé : M^me Sophie Delaporte

La secrétaire :

Signé : M^me Sylvie Leporcq