Vu les procédures suivantes :

1° Sous le n° 490880, par une requête enregistrée le 12 janvier 2024 au secrétariat du contentieux du Conseil d’Etat, M. B A demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision implicite par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a rejeté sa plainte, introduite le 13 octobre 2022, relative à l’utilisation de pixels de suivi et de liens traçants dans des courriels de Pôle Emploi ;

2°) d’enjoindre à la CNIL, sous astreinte, d’instruire à nouveau sa plainte ;

3°) de mettre à la charge de la CNIL la somme de 2 000 euros au titre de l’article L. 761-1 du code de justice administrative.

2° Sous le n° 493931, par une requête et deux mémoires en réplique enregistrés le 1er mai 2024 et les 10 et 23 février 2025 au secrétariat du contentieux du Conseil d’Etat, M. B A demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 5 mars 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte n° 44-1164, introduite le 17 septembre 2024, relative au téléchargement automatique, sur le site de Pôle Emploi, de scripts conduisant à des transferts de données à caractère personnel en dehors de l’Union européenne, sa plainte n° 44-1747, introduite le 13 octobre 2022, relative à l’utilisation de pixels de suivi et de liens traçants dans des courriels de Pôle Emploi, sa plainte n° 44-2853, introduite le 3 novembre 2022, relative à une convocation par Pôle Emploi à une visio-conférence impliquant des transferts de données à caractère personnel en dehors de l’Union européenne et sa plainte n° 44-9033, introduite le 26 décembre 2022, relative à divers manquements au RGPD liés à l’envoi de courriels de Pôle Emploi, notamment l’utilisation de pixels de suivi et de liens traçants et des transferts de données à caractère personnel en dehors de l’Union européenne ;

2°) de surseoir à statuer et de renvoyer à la Cour de justice de l’Union européenne, d’une part, une question préjudicielle portant sur l’obligation de motivation des décisions des autorités de contrôle, et d’autre part, une question préjudicielle portant sur l’obligation d’information des auteurs d’une réclamation auprès de l’autorité de contrôle en application du f) du paragraphe 1 de l’article 57 et du paragraphe 2 de l’article 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

3°) d’enjoindre à la CNIL, sous astreinte, d’instruire à nouveau sa plainte, de corriger le courrier-type qu’elle envoie aux responsables de traitement dans le cadre d’une réclamation portant sur l’utilisation de traceurs ou sur des transferts de données à caractère personnel en dehors de l’Union européenne, de prendre toute mesure utile visant à garantir un traitement diligent et une instruction effective des réclamations qu’elle reçoit, une réaction appropriée et proportionnée aux manquements invoqués, une motivation suffisamment précise et détaillée de ses décisions prises dans le cadre du traitement des réclamations et une information suffisamment précise et détaillée de leurs auteurs tout au long de leur traitement.

Vu les autres pièces des dossiers ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;

— le décret n° 2019-536 du 29 mai 2019 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Philippe Bachschmidt, maître des requêtes en service extraordinaire,

— les conclusions de M^me Esther de Moustier, rapporteure publique ;

Vu la note en délibéré, enregistrée le 13 juillet 2025, présentée par M. A ;

Considérant ce qui suit :

1. Les deux requêtes de M. A présentent à juger les mêmes questions. Il y a lieu de les joindre pour statuer par une seule décision.

2. Il ressort des pièces du dossier que, les 17 septembre, 13 octobre, 3 novembre et 26 décembre 2022, M. A a saisi la Commission nationale de l’informatique et des libertés (CNIL) de plaintes à l’encontre de l’établissement Pôle Emploi, devenu France Travail, en raison de divers manquements allégués au règlement (UE) du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), ainsi qu’à la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment l’utilisation de pixels de suivi et de liens traçants dans des courriels adressés à ses affiliés ainsi que des transferts de données à caractère personnel en dehors du territoire de l’Union européenne. Par un courrier du 15 septembre 2022, la CNIL a informé le requérant de la prise en charge de sa demande par le service des réclamations et des plaintes. Par un courrier du 5 mars 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès du responsable de traitement et, d’autre part, de la clôture de ses plaintes.

Sur la requête n° 490980 :

3. D’une part, en application de l’article 77 du RGPD, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. Cette autorité de contrôle informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’exercer un recours juridictionnel en vertu de l’article 78 lorsque l’autorité de contrôle compétente ne traite pas sa réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de sa réclamation.

4. D’autre part, en application du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête est nécessaire. L’article 10 du décret du 29 mai 2019 pris pour l’application de cette loi précise que : « () Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet ».

5. M. A demande l’annulation pour excès de pouvoir de la décision implicite de rejet née du silence gardé pendant trois mois par la CNIL sur sa plainte du 13 octobre 2022. Les indications données à M. A lors de l’enregistrement de sa plainte ne peuvent être regardées, en l’espèce, comme ayant été de nature à faire obstacle à la naissance d’une décision implicite de rejet, en l’absence de toute information sur l’état d’avancement de son dossier dans le délai de trois mois. Il ressort toutefois des pièces du dossier que la CNIL a poursuivi l’instruction de sa plainte au-delà du délai de trois mois et a pris une décision explicite de clôture de celle-ci, le 5 mars 2024, procédant ainsi au retrait de sa décision implicite de rejet. Par suite, il n’y a pas lieu de statuer sur les conclusions aux fins d’annulation et d’injonction présentées par M. A, ni de faire droit à ses conclusions tendant à l’application de l’article L. 761-1 du code de justice administrative, le requérant ne justifiant pas qu’il aurait exposé des frais dans le cadre de cette instance.

Sur la requête n° 493931 :

6. Aux termes de l’article 57 du RGPD : « Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / a) contrôle l’application du présent règlement et veille au respect de celui-ci () ». Aux termes de l’article 8 de la loi du 6 janvier 1978 : « I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : / () 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre : / () d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire () ».

7. Aux termes de l’article 20 de la même loi : " III.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi (), le président de la Commission nationale de l’informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe. Le responsable de traitement ou son sous-traitant ne respectant pas les obligations du règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 précité ou de la présente loi peut être mis en demeure : 1° De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ; 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ; 4° De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données. Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu’il a prises. Le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe. () ".

8. Il résulte des dispositions mentionnées aux points 6 et 7 qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.

9. Il ressort des pièces du dossier que la CNIL, saisie de quatre plaintes de M. A, a décidé de rappeler l’établissement public France Travail à ses obligations légales. Elle lui a, à ce titre, indiqué que toute opération de lecture ou d’écriture d’informations réalisée dans l’équipement terminal de l’utilisateur devait être conforme aux dispositions de l’article 82 de la loi du 6 janvier 1978, transposant celles du paragraphe 3 de l’article 5 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), que l’utilisation de pixels de suivi entrait dans le champ d’application de cet article et que celle de liens traçants était susceptible d’y entrer. Elle lui a donc demandé de se mettre en conformité avec ces dispositions en ce qui concerne les pixels de suivi. En ce qui concerne les liens traçants, la CNIL a indiqué à France Travail qu’elle avait engagé une concertation en vue de l’élaboration de lignes directrices permettant de préciser les contours de l’exemption de consentement prévue par l’article 82 de la loi du 6 janvier 1978 et que le Comité européen de protection des données, de son côté, avait ouvert une consultation, non encore aboutie, sur des lignes directrices relatives au périmètre des technologies couvertes par le paragraphe 3 de l’article 5 de la directive du 12 juillet 2002. Elle lui a dès lors demandé de se mettre à même de prendre, le cas échéant, les mesures correctives qui apparaîtraient nécessaires à l’issue de ces travaux. La CNIL a également appelé France Travail à procéder à une évaluation de la légalité des transferts de données en dehors du territoire de l’Union européenne qu’elle réalise, dans le cadre de la nouvelle décision d’adéquation européenne du 10 juillet 2023, en vérifiant que les organismes destinataires des données figurent sur la liste des organismes certifiés par les autorités américaines, que les finalités pour lesquelles les transferts de données ont lieu entrent dans le périmètre de la certification octroyée et que sa politique de confidentialité a été mise à jour. Elle lui a également indiqué que si des données à caractère personnel avaient été transférées illégalement à des tiers, il lui appartenait de leur demander d’effacer ces données. Elle a attiré son attention sur la nécessité de traiter le cas particulier d’une des sociétés destinataires de données à caractère personnel qui ne figurait pas sur la liste des sociétés certifiées. En ce qui concerne les courriels envoyés par France Travail et signalés par M. A, elle a demandé à l’établissement public de justifier de l’existence d’une base légale à ces envois et de l’indiquer dans les mentions relatives à sa politique de confidentialité. En ce qui concerne les traceurs présents sur l’un de ses sites, elle a rappelé à France Travail qu’il lui revenait de rendre accessible un mécanisme permettant d’exprimer un refus avec la même facilité que le mécanisme permettant d’exprimer un consentement et de s’assurer que l’un des outils utilisés pour la gestion de son site et signalé par M. A ne présentait pas de failles de sécurité. En ce qui concerne les politiques de confidentialité des sites « France-travail.fr » et « sphère-emploi.fr », elle a enfin appelé l’attention de France Travail sur la nécessité de procéder à une information complète des utilisateurs, notamment dans le cas d’un transfert de données en dehors du territoire de l’Union européenne.

10. En premier lieu, les circonstances que la CNIL n’aurait pas traité la plainte dans un délai raisonnable et qu’elle n’aurait pas suffisamment informé son auteur de son état d’avancement sont, en tout état de cause, sans incidence sur la légalité de la décision attaquée.

11. En deuxième lieu, il ressort des termes mêmes de la décision attaquée, laquelle se fonde notamment sur le rappel du responsable du traitement à ses obligations légales auquel la CNIL a parallèlement procédé, qu’elle comporte les énoncés de droit et de fait qui en constituent le fondement. Par suite, alors même qu’elle ne répondrait pas à l’intégralité des nombreux éléments soulevés par M. A dans ses réclamations, le moyen tiré de ce qu’elle serait insuffisamment motivée doit être écarté.

12. En troisième lieu, la circonstance que le rappel à la réglementation adressé à France Travail n’aurait pas été signé par un agent bénéficiant d’une délégation de signature régulière est, en tout état de cause, sans incidence sur la légalité de la décision attaquée.

13. En dernier lieu, en estimant, au vu des réclamations dont elle était saisie, de la nature des manquements invoqués et des incertitudes affectant encore la portée exacte de certaines des dispositions applicables, qu’un rappel du responsable du traitement à ses obligations légales, dans les termes mentionnés au point 9, constituait une mesure correctrice appropriée, sans qu’il soit nécessaire à ce stade de mettre en œuvre ses pouvoirs d’enquête, la CNIL, qui ne saurait être regardée en l’espèce, eu égard à l’argumentation qui était soumise, comme ayant omis de se prononcer sur certains des manquements allégués, n’a entaché sa décision ni d’erreur de droit, ni d’erreur manifeste d’appréciation, une telle décision ne faisant, en tout état de cause, pas obstacle, s’il apparaissait ultérieurement que les manquements n’ont pas été corrigés, au dépôt d’une nouvelle plainte, ni à ce que la CNIL, en l’absence même d’une nouvelle plainte, prenne de nouvelles mesures correctrices, voire engage une procédure de sanction.

14. Il résulte de tout ce qui précède, sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne à titre préjudiciel, eu égard à ce qui a été dit aux points 10 et 11 et en l’absence de doute raisonnable quant à l’interprétation des règles invoquées, que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Les conclusions de sa requête à fin d’annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d’injonction et celles présentées au titre de l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : Les requêtes de M. A sont rejetées.

Article 2 : La présente décision sera notifiée à M. B A et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 10 juillet 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M^me Rozen Noguellou, conseillère d’Etat et M. Philippe Bachschmidt, maître des requêtes en service extraordinaire-rapporteur.

Rendu le 31 juillet 2025.

Le président :

Signé : M. Bertrand Dacosta

Le rapporteur :

Signé : M. Philippe Bachschmidt

La secrétaire :

Signé : M^me Marie-Léandre Monnerville, 493931