Vu la procédure suivante :

Par une requête, deux mémoires en réplique et un nouveau mémoire, enregistrés les 14 juillet et 22 décembre 2024 et les 24 mai et 13 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 22 mai 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative aux modalités de dépôt de traceurs sur le site internet de la société … et à l’utilisation de pixels de suivi dans les courriels de cette société ;

2°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte dans le respect des dispositions du règlement général relatif à la protection des données (RGPD) et de prendre une sanction dissuasive ;

3°) d’enjoindre à la CNIL de respecter les lignes directrices du comité européen de la protection des données en vigueur.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M^me Alexandra Poirson, auditrice,

- les conclusions de M. Frédéric Puigserver, rapporteur public ;

Vu la note en délibéré, enregistrée le 21 décembre 2025, présentée par M. A… ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, le 28 février 2024, M. A… a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de la société … relative aux modalités de dépôt de traceurs sur le site internet « carrefour.fr » et à l’utilisation par cette société de pixels de suivi dans ses courriels. Par un courrier du 22 mai 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès du responsable de traitement, et d’autre part, de la clôture de la plainte. M. A… demande l’annulation pour excès de pouvoir de cette décision et qu’il soit enjoint à la CNIL, d’une part, de réexaminer sa plainte, d’autre part, de respecter les lignes directrices du comité européen de la protection des données en vigueur.

2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.

4. En premier lieu, la circonstance que la CNIL aurait traité rapidement la plainte est sans incidence sur la légalité de la décision attaquée.

5. En second lieu, il ressort des pièces du dossier que la CNIL, saisie de la plainte de M. A…, a décidé de rappeler la société … à ses obligations légales. Elle lui a, à ce titre, indiqué que toute opération de lecture ou d’écriture d’informations réalisée dans l’équipement terminal de l’utilisateur devait être conforme aux dispositions de l’article 82 de la loi du 6 janvier 1978, notamment s’agissant du refus et du retrait du consentement, et l’a invité à se référer à ses lignes directrices. Elle lui a également rappelé la réglementation applicable aux traceurs et l’a invitée à suivre l’évolution des travaux relatifs aux pixels de suivi et aux liens traçants actuellement en cours au niveau européen.

6. En estimant, au vu de la réclamation dont elle était saisie et de la nature des manquements invoqués, qu’un rappel du responsable de traitement à ses obligations légales, dans les termes mentionnés au point 5, constituait une mesure appropriée, et en dépit de l’erreur matérielle relative au nom du responsable de traitement dans le courrier de clôture adressé à l’auteur de la plainte, la CNIL n’a pas entaché sa décision de clôture de plainte d’erreur manifeste d’appréciation.

7. Il s’ensuit que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Par suite, ses conclusions à fin d’injonction doivent également être rejetées.

D E C I D E :

--------------

Article 1er : La requête de M. A… est rejetée.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 18 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M^me Alexandra Poirson, auditrice-rapporteure.

Rendu le 31 décembre 2025.

Le président :

Signé : M. Bertrand Dacosta

La rapporteure :

Signé : M^me Alexandra Poirson

La secrétaire :

Signé : M^me Marie-Léandre Monnerville