Vu la procédure suivante :

Par une requête enregistrée le 15 juin 2024 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

1°) de surseoir à statuer et de renvoyer à la Cour de justice de l’Union européenne une question préjudicielle portant sur l’obligation d’information des auteurs d’une réclamation auprès de l’autorité de contrôle en application du f) du paragraphe 1 de l’article 57 et du paragraphe 2 de l’article 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

2°) d’annuler pour excès de pouvoir la décision du 16 avril 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de sa plainte relative à l’exercice de son droit d’accès à ses données à caractère personnel auprès de la … ;

3°) d’enjoindre à la CNIL, sous astreinte, d’instruire à nouveau sa plainte et de prendre toute mesure utile visant à garantir une instruction effective des plaintes, ainsi qu’une motivation et une information de l’auteur de la plainte suffisantes.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M^me Alexandra Poirson, auditrice,

- les conclusions de M. Frédéric Puigserver, rapporteur public ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, le 1er avril 2024, M. A… a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte à l’encontre de la …, relative à l’exercice de son droit d’accès aux données à caractère personnel le concernant en lien avec l’utilisation de sa carte de crédit. Par un courrier du 8 avril 2024, la CNIL a informé le requérant de la prise en charge de sa demande par le service des réclamations et des plaintes. Par un courrier du 16 avril 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès du responsable de traitement et, d’autre part, de la clôture de sa plainte.

2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. Il ressort des pièces du dossier que la CNIL, saisie de la plainte de M. A…, a décidé de rappeler la … à ses obligations légales, résultant de l’article 12 du RGPD, en lui indiquant qu’il lui appartenait de répondre à une demande d’accès dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande. Elle a également informé le responsable de traitement des possibilités de prolonger ce délai et de l’obligation d’informer le demandeur des motifs d’un éventuel refus, ainsi que de la possibilité d’introduire une réclamation auprès de la CNIL et de former un recours juridictionnel.

5. En premier lieu, la circonstance que la CNIL n’aurait pas suffisamment informé l’auteur de la plainte de l’état de son avancement est sans incidence sur la légalité de la décision attaquée.

6. En second lieu, il ressort des termes mêmes de la décision attaquée qu’elle se fonde sur le rappel du responsable du traitement à ses obligations légales, auquel la CNIL a parallèlement procédé, tout en invitant M. A…, dans l’hypothèse où le responsable de traitement ne donnerait pas suite à sa demande, à saisir la CNIL d’une nouvelle réclamation. Elle n’a, ce faisant, dans les circonstances de l’espèce, pas entaché sa décision de clôture de plainte, qui est suffisamment motivée, d’erreur d’appréciation.

7. Il résulte de tout ce qui précède, sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne à titre préjudiciel, que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Ses conclusions à fin d’injonction ne peuvent, par suite, qu’être rejetées.

D E C I D E :

--------------

Article 1er : La requête de M. A… est rejetée.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 18 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M^me Alexandra Poirson, auditrice-rapporteure.

Rendu le 31 décembre 2025.

Le président :

Signé : M. Bertrand Dacosta

La rapporteure :

Signé : M^me Alexandra Poirson

La secrétaire :

Signé : M^me Marie-Léandre Monnerville