Vu la procédure suivante :

Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 19 septembre et 19 décembre 2024 et le 4 juillet 2025 au secrétariat du contentieux du Conseil d’Etat, la société TotalEnergies SE demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 19 juillet 2024 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) lui a adressé un rappel à ses obligations légales ;

2°) de mettre à la charge de la CNIL la somme de 20 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- le code des relations entre public et l’administration ;

- la loi n° 78-17 du 6 janvier 1978 ;

- l’ordonnance n° 2020-306 du 25 mars 2020 ;

- le décret n° 2019-535 du 29 mai 2019 ;

- l’arrêt C-312/23 du 27 mai 2024 de la Cour de justice de l’Union européenne ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M^me Alexandra Poirson, auditrice,

- les conclusions de M^me Leila Derouich, rapporteure publique ;

La parole ayant été donnée, après les conclusions, à la SARL Matuchansky, Poupot, Valdelièvre, Rameix, avocat de la Societe Totalenergies SE ;

Vu la note en délibéré, enregistrée le 25 novembre 2025, présentée par la société TotalEnergies SE;

Considérant ce qui suit :

1. Selon le 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la Commission nationale de l’informatique et des libertés (CNIL) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de cette loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France et, à ce titre, traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable.

2. En vertu des I et III de l’article 20 de la même loi, le président de la CNIL peut adresser au responsable d’un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit RGPD), ainsi que, lorsqu’un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales.

3. Il ressort des pièces du dossier qu’à la suite de réclamations présentées par trois salariés de la société TotalEnergies SE, la présidente de la CNIL a prononcé le 19 juillet 2024 à l’encontre de cette société, sur le fondement du III de l’article 20 de la loi du 6 janvier 1978, une mesure de rappel à ses obligations légales en raison de ses manquements aux obligations, prévues par le RGPD, premièrement, de motiver le refus de donner suite à l’exercice du droit d’opposition au traitement des données à caractère personnel des trois salariés concernés, deuxièmement, de leur fournir des informations relatives au traitement de leurs données personnelles complètes et compréhensibles et, troisièmement, de répondre à leurs demandes d’accès à leurs données personnelles. La société TotalEnergies SE demande l’annulation pour excès de pouvoir de cette décision.

Sur le moyen tiré de ce que la décision attaquée procéderait au retrait illégal d’une décision créatrice de droits :

4. En application des article 77 et 78 du RGPD, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement, et de former un recours juridictionnel effectif lorsque l’autorité de contrôle compétente ne traite pas sa réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de sa réclamation. L’article 10 du décret du 29 mai 2019 pris pour l’application de cette loi précise que : « (…) Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet ».

5. S’il résulte de ces dispositions qu’elles ouvrent à l’auteur d’une réclamation la possibilité d’exercer un recours juridictionnel contre la décision implicite de rejet née du silence gardé pendant trois mois par la CNIL, une telle décision, qui n’est créatrice d’aucun droit au profit de la personne visée par la réclamation, ne fait pas obstacle à ce que la CNIL décide de poursuivre ou reprendre l’instruction de cette réclamation au-delà du délai de trois mois et, à l’issue de cette instruction, de prononcer l’une des mesures prévues à l’article 20 de la loi du 6 janvier 1978. Par suite, la société requérante n’est pas fondée à soutenir qu’en raison du silence que la CNIL aurait, selon elle, gardé durant trois mois sur les réclamations dont elle était saisie, serait née à son profit une décision créatrice de droits, au retrait de laquelle la décision attaquée aurait illégalement procédé, en méconnaissance des dispositions de l’article L. 242-1 du code des relations entre le public et l’administration.

Sur la décision attaquée en tant qu’elle constate un manquement dans le refus de donner suite à l’exercice du droit d’opposition :

6. Aux termes du paragraphe 1 de l’article 6 du RGPD : « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: (…) / c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis; (…) / f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. » Aux termes du paragraphe 1 de l’article 21 du même texte : « La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice. »

7. Il ressort des pièces du dossier que les trois salariés concernés, impliqués dans une enquête ouverte par leur employeur à la suite de différents signalements les concernant ou dont ils étaient les auteurs, ont fait valoir, en vain, leur droit de s’opposer au traitement de leurs données personnelles dans le cadre de cette enquête, la société TotalEnergies SE estimant que ce traitement était nécessaire au respect d’une obligation légale et que, par suite, le droit d’opposition ne leur était pas ouvert. Pour caractériser un manquement de la société à ses obligations légales, la présidente de la CNIL a estimé que, si le traitement des données personnelles de salariés faisant l’objet d’une enquête pouvait être regardé comme nécessaire au regard des intérêts légitimes de l’employeur, au sens du f) du paragraphe 1 de l’article 6 du RGPD, il n’était pas nécessaire au respect d’une obligation légale à laquelle ce même employeur était soumis, au sens du c) du même article et qu’il revenait donc à la société TotalEnergies SE d’examiner la demande dont elle était saisie et de motiver son refus éventuel.

8. En premier lieu, il ressort des pièces du dossier et n’est pas contesté que la société TotalEnergies SE a été, en tout état de cause, informée des réclamations dont elle faisait l’objet et mise à même de présenter au préalable ses observations. Aucune disposition ni aucun principe n’imposait à la présidente de la CNIL de porter au surplus à la connaissance de la société, avant de prendre la décision de la rappeler à ses obligations légales, qu’elle estimait, contrairement à celle-ci, que le traitement trouvait en l’espèce son fondement légal dans le f) et non dans le c) du paragraphe 1 de l’article 6 du RGPD.

9. En second lieu, si la société requérante soutient qu’elle était tenue, au titre des obligations que le code du travail impose à l’employeur pour protéger la santé et la sécurité des travailleurs, de diligenter une enquête interne, le traitement de données personnelles éventuellement mis en œuvre dans une telle occasion ne saurait être regardé comme constituant une obligation légale au sens des dispositions du c) de l’article 6 du RGPD citées au point 6. Il en résulte que la présidente de la CNIL, à laquelle il n’incombait pas de rechercher si les autres moyens dont disposait la société requérante pour s’acquitter de ses obligations au titre du code du travail étaient aussi efficaces et proportionnés, n’a pas entaché sa décision, qui est en tout état de cause suffisamment motivée, d’une méconnaissance des dispositions citées au point 6 en considérant que le traitement en cause ne trouvait pas son fondement légal dans les dispositions du c) de l’article 6 du RGPD.

Sur la décision attaquée en tant qu’elle constate un manquement à l’obligation de répondre à des demandes d’accès :

10. En premier lieu, aux termes des dispositions du paragraphe 1 de l’article 15 du RGPD : « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel (…) ». Toutefois, lorsque le droit d’accès donne lieu à la fourniture d’une copie de ces données par le responsable de traitement, il s’exerce, conformément au paragraphe 4 du même article, sans porter atteinte aux droits et libertés d’autrui. D’autre part, aux termes du paragraphe 5 de l’article 12 du RGPD : « Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut : (…) / b) refuser de donner suite à ces demandes. / Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. » La Cour de justice de l’Union européenne, par son arrêt du 27 mai 2024, Addiko Bank d.d. c/Agencija za zaštitu osobnih podataka (C-312/23) a dit pour droit que l’article 15 du RGPD doit être interprété en ce sens que l’obligation de fournir à la personne concernée qui en fait la demande une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement s’impose au responsable du traitement, même lorsque cette demande est motivée par un autre but que celui de prendre connaissance du traitement et d’en vérifier la licéité.

11. Il résulte de ce qui précède que la circonstance que des données personnelles relatives à un salarié fassent l’objet d’un traitement par son employeur dans le cadre d’une enquête interne ne fait pas obstacle, par principe, à l’exercice de son droit d’accès à ces données par le salarié, à moins que l’employeur démontre le caractère manifestement infondé ou excessif de la demande ou que les modalités d’exercice de ce droit portent atteinte aux droits et libertés d’autrui. Ainsi, en estimant que la société TotalEnergies SE avait commis un manquement aux dispositions de l’article 15 du RGPD en opposant un refus aux demandes d’accès qui lui avaient été adressées, alors qu’il lui appartenait seulement, dans les circonstances de l’espèce, en l’absence de caractère manifestement infondé ou excessif de la demande, de procéder à l’occultation des informations susceptibles de porter atteinte aux droits et libertés d’autrui, la présidente de la CNIL n’a pas méconnu les dispositions citées au point 10.

12. En second lieu, la présidente de la CNIL a également relevé un manquement de la société, s’agissant d’une des demandes dont elle avait été saisie, aux dispositions du paragraphe 3 de l’article 12 du RGPD, selon lequel le responsable du traitement doit fournir à la personne concernée, en principe dans un délai d’un mois à compter de la réception de la demande, des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22 du RGPD, au motif qu’elle n’avait pas respecté ce délai pour une demande dont elle avait été saisie le 6 mai 2020. Toutefois, pour contester l’existence de ce manquement, la société requérante se borne à invoquer les dispositions de l’ordonnance du 25 mars 2020 relative à la prorogation des délais échus pendant la période d’urgence sanitaire et à l’adaptation des procédures pendant cette période, qui ne sauraient s’appliquer aux délais en cause, prévus par le RGPD.

13. Il résulte de tout ce qui précède que la société TotalEnergies SE n’est pas fondée à demander l’annulation de la décision de la présidente de la CNIL qu’elle attaque. Les conclusions qu’elles présente au titre de l’article L. 761-1 du code de justice administrative ne peuvent, en conséquence, qu’être rejetées.

D E C I D E :

--------------

Article 1er : La requête de la société TotalEnergies SE est rejetée.

Article 2 : La présente décision sera notifiée à la société TotalEnergies SE et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 3 novembre 2025 où siégeaient : M. Denis Piveteau, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, M^me Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, M^me Rozen Noguellou, M. Nicolas Polge, M. Vincent Daumas, M. Christophe Barthélemy, conseillers d’Etat et M^me Alexandra Poirson, auditrice-rapporteure.

Rendu le 1er décembre 2025.

Le président :

Signé : M. Denis Piveteau

La rapporteure :

Signé : M^me Alexandra Poirson

La secrétaire :

Signé : M^me Reine-May Solente