Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés les 12 mars et 8 juillet 2024 au secrétariat du contentieux du Conseil d’Etat, M. A B doit être regardé comme demandant au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 8 janvier 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative au refus du centre national de gestion des praticiens hospitaliers et des personnels de direction de la fonction publique hospitalière (CNG) de faire droit à sa demande tendant à ce que ne soient plus accessibles les données personnelles le concernant figurant dans l’arrêté du 30 juillet 2010 fixant par rang de classement la liste des étudiants et des internes de médecine ayant satisfait aux épreuves classantes nationales anonymes donnant accès au troisième cycle des études médicales organisées au titre de l’année universitaire 2010-2011 ;

2°) d’enjoindre à la CNIL de poursuivre ses démarches auprès du CNG.

M. B soutient que la CNIL a entaché sa décision d’erreur d’appréciation.

Par un mémoire en défense, enregistré le 6 juin 2024, la CNIL conclut au rejet de la requête. Elle soutient, à titre principal, que la requête tend à l’annulation d’une décision de refus du CNG et, à titre subsidiaire, que le moyen soulevé par le requérant n’est pas fondé.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Philippe Bachschmidt, maître des requêtes en service extraordinaire,

— les conclusions de M. Frédéric Puigserver, rapporteur public ;

Une note en délibéré, enregistrée le 4 juin 2025, a été présentée par M. B.

Considérant ce qui suit :

1. Aux termes de l’article 57 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), « Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / a) contrôle l’application du présent règlement et veille au respect de celui-ci () ». Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : / () 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. À ce titre : / () d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire () ».

2. Aux termes de l’article 20 de la même loi : " III.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe : / 1° De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ; / 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; / 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ; / 4° De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données. / Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu’il a prises. / Le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe. () ".

3. Il résulte des dispositions mentionnées aux points 1 et 2 qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. Toutefois, lorsque l’auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s’il ne peut contester devant le juge l’absence ou l’insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l’annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d’y procéder. Le pouvoir d’appréciation de la CNIL s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. Il ressort des pièces du dossier que, le 14 février 2022, M. B a saisi la Commission nationale de l’informatique et des libertés d’une plainte sollicitant l’arrêt de la diffusion de données à caractère personnel le concernant, à savoir ses nom, prénom, date de naissance et classement aux épreuves classantes nationales anonymes donnant accès au troisième cycle des études médicales (ECN) au titre de l’année universitaire 2010-2011. Après instruction et échanges avec le centre national de gestion des praticiens hospitaliers et des personnels de direction de la fonction publique hospitalière (CNG), la CNIL a, par un courrier du 8 janvier 2024, procédé à la clôture de la plainte au motif que les dispositions réglementaires applicables imposaient la publication au Journal officiel de la République française de l’arrêté fixant le rang de classement aux ECN. M. B demande l’annulation pour excès de pouvoir de cette décision.

5. En premier lieu, aux termes de l’article 51 de la loi du 6 janvier 1978 : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 ». L’article 17 du RGPD prévoit que les dispositions relatives au droit à l’effacement ne s’appliquent pas " dans la mesure où ce traitement est nécessaire : / () / b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ; ".

6. Ainsi que l’a relevé la CNIL, à la date à laquelle a été publié l’arrêté du 30 juillet 2010 fixant par rang de classement la liste des étudiants et des internes de médecine ayant satisfait aux épreuves classantes nationales anonymes donnant accès au troisième cycle des études médicales organisées au titre de l’année universitaire 2010-2011, l’arrêté du 24 février 2005 relatif à l’organisation des épreuves classantes nationales anonymes donnant accès au troisième cycle des études médicales prévoyait, à son article 12, la publication au Journal officiel de la République française de la liste des candidats classés par ordre de mérite, cette obligation résultant désormais d’un arrêté du 20 juillet 2015 ayant le même objet. Par suite, elle n’a entaché sa décision ni d’erreur de droit, ni d’erreur d’appréciation en déduisant de ces dispositions que le requérant ne pouvait utilement se prévaloir d’un droit à l’effacement de ses données personnelles figurant dans l’arrêté précité qui serait opposable au responsable de traitement,

7. En second lieu, à supposer que la requête de M. B doive être regardée comme contestant le refus du CNG de faire droit à une demande tendant à l’exercice de son droit au déréférencement des données personnelles le concernant, une telle demande doit, au préalable, être adressée à l’exploitant du moteur de recherche en cause. Ainsi, la CNIL n’a pas non plus commis d’erreur d’appréciation à ce titre en clôturant la plainte dirigée contre le refus opposé par le CNG.

8. Il résulte de tout ce qui précède que M. B n’est pas fondé à demander l’annulation de la décision qu’il attaque. Ses conclusions à fin d’injonction doivent être rejetée, ainsi que ses conclusions présentées sur le fondement de l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : La requête de M. B est rejetée.

Article 2 : La présente décision sera notifiée à M. A B et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 22 mai 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M^me Rozen Noguellou, conseillère d’Etat et M. Philippe Bachschmidt, maître des requêtes en service extraordinaire-rapporteur.

Rendu le 25 juillet 2025.

Le président :

Signé : M. Bertrand Dacosta

Le rapporteur :

Signé : M. Philippe Bachschmidt

La secrétaire :

Signé : M^me Marie-Léandre Monnerville