Vu la procédure suivante :

Par une requête, un mémoire en réplique et deux nouveaux mémoires, enregistrés le 4 juin 2024 et les 21 janvier, 5 mars et 27 mai 2025 au secrétariat du contentieux du Conseil d’Etat, M^me A B demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 7 avril 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clos sa plainte relative à la prospection par SMS réalisée par l’association « Comité français pour l’UNICEF » (UNICEF) ainsi qu’à l’utilisation, par le site internet de cette association, de traceurs de connexion (cookies) et d’outils impliquant le transfert de données à caractère personnel vers les Etats-Unis ;

2°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte ;

3°) d’enjoindre à la CNIL de prendre toutes mesures utiles pour traiter les plaintes conformément aux articles 57 et 83 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), notamment, d’une part, d’instruire les plaintes avec attention, en particulier en considérant l’ensemble des éléments de violation portés à son attention, conformément aux dispositions du a) du 1 de l’article 57 de ce règlement et, d’autre part, d’entrer, le cas échéant, en voie de condamnation de manière dissuasive envers le responsable du traitement, conformément aux dispositions des 1, 2 et 5 de l’article 83 du même règlement ;

4°) de saisir la Cour de justice de l’Union européenne de questions préjudicielles relatives au niveau de détail à fournir dans une plainte ainsi que le niveau d’accompagnement attendu d’une autorité de contrôle.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M^me Sophie Delaporte, conseillère d’Etat,

— les conclusions de M. Frédéric Puigserver, rapporteur public ;

Vu la note en délibéré, enregistrée le 24 juin 2025, présentée par M^me B ;

Considérant ce qui suit :

Sur le cadre juridique :

1. Selon le 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la Commission nationale de l’informatique et des libertés (CNIL) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de cette loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France et, à ce titre, traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable.

2. En vertu des I et III de l’article 20 de la même loi, le président de la CNIL peut adresser au responsable d’un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement général pour la protection des données, ainsi que, lorsqu’un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales ou, si le manquement est susceptible de faire l’objet d’une mise en conformité, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, de mettre les opérations de traitement en conformité avec les dispositions applicables, de rectifier ou d’effacer des données à caractère personnel, d’en limiter le traitement ou, à l’exception des traitements intéressant la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel. Selon le IV du même article, s’il estime qu’un manquement a été commis, le président de la CNIL peut également, le cas échéant après avoir mis en œuvre les mesures prévues aux I et II de cet article, saisir la formation restreinte de la commission en vue du prononcé de mesures correctrices, notamment l’injonction de mettre en conformité le traitement avec les obligations résultant du RGPD ou de la loi du 6 janvier 1978 ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, et des sanctions énumérées à ce IV.

3. Il résulte de l’ensemble de ces dispositions qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

4. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus du président de la CNIL d’engager une procédure sur le fondement de l’article 20 de la loi du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du IV de cet article, y compris lorsque la commission a procédé à des mesures d’instruction, constaté l’existence d’un manquement aux dispositions de cette loi et pris l’une des mesures prévues aux I et III de ce même article. Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d’illégalité externe ou, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du IV de cet article, l’auteur de la plainte n’a pas intérêt à contester la décision prise à l’issue de cette procédure, quel qu’en soit le dispositif.

Sur la requête :

5. Il ressort des pièces du dossier que M^me A B a saisi la CNIL, le 30 décembre 2023, d’une plainte à l’encontre de l’association « Comité français pour l’UNICEF » (UNICEF), relative à la prospection par SMS réalisée par cette association ainsi qu’à l’utilisation, par le site internet de cette dernière, de traceurs de connexion (cookies) et d’outils impliquant le transfert de données à caractère personnel vers les Etats-Unis. Le 5 avril 2024, la CNIL a informé M^me B qu’elle prononçait la clôture de sa plainte, en précisant qu’elle avait rappelé à l’association ses obligations en matière de prospection par SMS et l’avait alertée sur la nécessité de respecter les règles en vigueur. Elle a également indiqué à M^me B que, dans le cadre de l’instruction de sa plainte, elle avait constaté que la bannière du site internet relative aux traceurs de connexion permettait tout aussi facilement d’en accepter le dépôt que de le refuser et qu’un refus du dépôt des traceurs de connexion non nécessaires au fonctionnement du site était effectif. Elle l’a, enfin, informée de ce que les transferts de données à caractère personnel vers les Etats-Unis, tels que ceux évoqués par sa plainte, étaient en principe conformes aux exigences du RGPD en raison de l’adoption, le 10 juillet 2023, d’une décision d’adéquation par la Commission européenne. M^me B demande l’annulation pour excès de pouvoir de cette décision de clôture.

6. En premier lieu, il ressort des pièces du dossier que la CNIL, qui, en tout état de cause, n’était pas tenue par les lignes directrices ou les rapports, dénués de force contraignante, du comité européen de protection des données, a considéré, au terme d’un examen des faits de l’espèce dont il n’est pas démontré qu’il serait erroné, que la bannière relative aux traceurs de connexion n’était pas manifestement trompeuse dès lors, notamment, qu’elle comportait un bouton « continuer sans accepter » qui permettait tout aussi facilement de refuser que d’accepter le dépôt des traceurs. Par suite, la CNIL n’a pas entaché sa décision d’une erreur manifeste d’appréciation sur ce point.

7. En deuxième lieu, la requérante fait valoir que la consultation du site de l’association « UNICEF » donnerait lieu, après l’intervention de la décision attaquée, au dépôt sur le terminal de l’utilisateur d’un traceur de connexion lié à Youtube avant même que l’utilisateur n’ait fait un choix quant aux traceurs non nécessaires. Elle ne démontre toutefois pas que ce traceur, non visé dans sa plainte, était déjà utilisé par le site mis en cause à la date de cette plainte ni, surtout, à la date de la décision de clôture qu’elle attaque. Elle ne peut donc pas, en tout état de cause, utilement se prévaloir de cette circonstance pour soutenir que sa plainte n’aurait pas été traitée avec la diligence requise.

8. En troisième lieu, eu égard aux termes mêmes de la plainte de la requérante, la CNIL a pu, sans commettre d’erreur manifeste d’appréciation ni manquer à son obligation de diligence, estimer ne pas être saisie de griefs mettant en cause la décision d’adéquation adoptée le 10 juillet 2023 par la Commission européenne.

9. En quatrième lieu, s’agissant du manquement lié à l’envoi de SMS de prospection, il ressort de la décision attaquée que la CNIL a, de manière non ambiguë contrairement à ce qui est allégué, adressé à l’association « UNICEF » un rappel à ses obligations et une alerte portant sur la nécessité de respecter les règles en vigueur. Ce rappel et cette alerte constituent des mesures correctrices au sens des dispositions du b) du 2 de l’article 58 du RGPD et du III de l’article 20 de la loi du 6 janvier 1978, dont le choix était justifié en droit par les constats opérés par la CNIL et n’apparaît pas entaché d’une erreur manifeste d’appréciation au regard des éléments du dossier et notamment de l’absence de préjudice grave pour la requérante et de condamnation préalable du responsable de traitement. Dès lors que la décision attaquée n’a, à la date où elle a été prise, constaté aucun autre manquement, le moyen tiré de ce que la CNIL aurait laissé certains manquements sans mesure correctrice, doit être écarté.

10. En dernier lieu, la requérante ne peut, en tout état de cause, utilement se prévaloir, pour contester la légalité de la décision attaquée, de la pratique de contrôle de la CNIL qu’elle regarde, de manière générale, comme trop laxiste.

11. Il résulte tout ce qui précède que M^me B n’est pas fondée à soutenir que c’est à tort que, par la décision attaquée, la présidente de la CNIL a prononcé la clôture de sa plainte. Il s’ensuit que, sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne d’une question préjudicielle en l’absence de doute raisonnable quant à l’interprétation du droit de l’Union européenne, que sa requête doit être rejetée, y compris ses conclusions à fin d’injonction.

D E C I D E :

— -------------

Article 1er : La requête de M^me B est rejetée.

Article 2 : La présente décision sera notifiée à M^me A B et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 19 juin 2025 où siégeaient : M^me Rozen Noguellou, conseillère d’Etat, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M^me Sophie Delaporte, conseillère d’Etat-rapporteure.

Rendu le 23 juillet 2025.

La présidente :

Signé : M^me Rozen Noguellou

La rapporteure :

Signé : M^me Sophie Delaporte

La secrétaire :

Signé : M^me Sylvie Leporcq