Vu la procédure suivante :

Par une requête, enregistrée le 30 août 2024 au secrétariat du contentieux du Conseil d’Etat, M. B A demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 2 juillet 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative à l’exercice de son droit d’opposition dans le cadre du traitement de ses données par la société Décathlon à des fins de prospection commerciale par voie électronique ;

2°) d’enjoindre à la CNIL de prononcer à l’égard de la société Décathlon une sanction dissuasive et d’instruire les plaintes qu’elle reçoit dans le respect du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, en les traitant avec diligence, en prononçant des sanctions dissuasives et en informant de façon complète les plaignants.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Philippe Bachschmidt, maître des requêtes en service extraordinaire,

— les conclusions de M. Frédéric Puigserver, rapporteur public ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, le 4 janvier 2023, M. A a saisi la CNIL d’une plainte dirigée contre la société Décathlon, au motif que celle-ci lui avait adressé un courrier électronique de prospection commerciale, alors qu’il avait, dans le cadre de précédents échanges, demandé à ne plus en être destinataire et signalé l’absence de possibilité de désinscription dans le courrier lui-même. Par une décision du 2 juillet 2024, la CNIL a informé M. A de ce qu’elle avait procédé à un rappel de la règlementation applicable auprès de la société Décathlon, qui a répondu à la demande d’informations de la CNIL que l’envoi de ce courrier électronique résultait d’une erreur technique, et que la demande d’exercice de son droit d’opposition par le requérant, effectuée le 25 juillet 2022, dont la prise en compte avait été confirmée par courrier du 26 juillet 2022, avait bien été enregistrée. La CNIL a également informé M. A que les liens de désinscription figuraient désormais dans les courriers électroniques adressés par la société Décathlon. Compte tenu de ces éléments, elle l’a informé de la clôture de sa plainte. M. A demande l’annulation pour excès de pouvoir de cette décision et d’enjoindre à la CNIL de réexaminer sa plainte.

2. Selon le 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de cette loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France et, à ce titre, traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable.

3. En vertu des I et III de l’article 20 de la même loi, le président de la CNIL peut adresser au responsable d’un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le RGPD ainsi que, lorsqu’un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales ou, si le manquement est susceptible de faire l’objet d’une mise en conformité, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, de mettre les opérations de traitement en conformité avec les dispositions applicables, de rectifier ou d’effacer des données à caractère personnel, d’en limiter le traitement ou, à l’exception des traitements intéressant la sûreté de l’État ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel. Selon le IV du même article, s’il estime qu’un manquement a été commis, le président de la CNIL peut également, le cas échéant après avoir mis en œuvre les mesures prévues aux I et III de cet article, saisir la formation restreinte de la Commission en vue du prononcé des mesures correctrices, notamment l’injonction de mettre en conformité le traitement avec les obligations résultant du RGPD ou de la loi du 6 janvier 1978 ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, et des sanctions énumérées à ce IV.

4. Il résulte de l’ensemble de ces dispositions qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

5. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus du président de la CNIL d’engager une procédure sur le fondement de l’article 20 de la loi du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du IV de cet article, y compris lorsque la Commission a procédé à des mesures d’instruction, constaté l’existence d’un manquement aux dispositions de cette loi et pris l’une des mesures prévues aux I et II de ce même article. Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d’illégalité externe ou, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du IV de cet article, l’auteur de la plainte n’a pas intérêt à contester la décision prise à l’issue de cette procédure, quel qu’en soit le dispositif. Toutefois, lorsque l’auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s’il ne peut contester devant le juge l’absence ou l’insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l’annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d’y procéder. Le pouvoir d’appréciation de la CNIL s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

6. Il ressort des pièces du dossier qu’ainsi qu’il a été dit au point 1, la CNIL, saisie de la plainte de M. A, a décidé de rappeler la société Décathlon à ses obligations légales et, au terme de l’instruction, de clôturer cette plainte. Elle a estimé, dans son appréciation de la gravité du manquement, qu’il résultait d’un dysfonctionnement involontaire des services de la société. Alors que la même société a fait l’objet d’autres réclamations auprès de la CNIL en 2023 pour des manquements au RGPD et que le requérant soutient avoir ultérieurement reçu un courriel non sollicité de Décathlon, la CNIL n’a pas, dans les circonstances de l’espèce, commis d’erreur d’appréciation en prenant une mesure de rappel au respect de la réglementation n’impliquant pas la saisine de la formation restreinte avant de clôturer la plainte dont elle était saisie. Quant au délai de traitement de la plainte, il est sans incidence sur la légalité de la décision attaquée, de même que la circonstance que la CNIL n’aurait pas spontanément communiqué à M. A des documents retraçant ses échanges avec le responsable du traitement.

7. Il s’ensuit que M. A n’est pas fondé à demander l’annulation de la décision qu’il attaque. Les conclusions de sa requête à fin d’annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d’injonction.

D E C I D E :

— -------------

Article 1er : La requête de M. A est rejetée.

Article 2 : La présente décision sera notifiée à M. B A et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 22 mai 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M^me Rozen Noguellou, conseillère d’Etat et M. Philippe Bachschmidt, maître des requêtes en service extraordinaire-rapporteur.

Rendu le 25 juillet 2025.

Le président :

Signé : M. Bertrand Dacosta

Le rapporteur :

Signé : M. Philippe Bachschmidt

La secrétaire :

Signé : M^me Marie-Léandre Monnerville