Vu les procédures suivantes :

1° Sous le n° 503360, par une requête enregistrée au secrétariat du contentieux du Conseil d’Etat le 10 avril 2025, M. B… A… demande au Conseil d’Etat d’annuler la décision implicite par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a rejeté sa plainte du 14 octobre 2024 contre, d’une part, CNP Assurances, pour conservation illicite de données de santé de son épouse décédée et, d’autre part, le médiateur de l’assurance, faute pour celui-ci d’avoir mis en œuvre un dispositif de recueil explicite de son consentement lorsqu’il lui a demandé communication de données de santé de son épouse.

Il soutient que la décision implicite de rejet de sa plainte méconnaît les dispositions du 2 de l’article 78 du règlement général sur la protection des données (RGPD) et ne constitue pas une mesure appropriée au sens du considérant 129 de ce règlement, faute pour la CNIL de l’avoir informé, dans un délai de trois mois, de l’état d’avancement ou de l’issue de sa réclamation.

Par un mémoire en défense, enregistré le 4 août 2025, la Commission nationale de l’informatique et des libertés conclut à ce qu’il n’y ait pas lieu de statuer sur la requête. Elle soutient que l’objet de la requête a disparu, dès lors qu’elle a instruit la plainte de M. A… et qu’elle l’a informé de la clôture de sa plainte par lettre du 26 mai 2025, au motif que le RGPD ne s’applique pas aux données à caractère personnel des personnes décédées.

Par un nouveau mémoire, enregistré le 25 juillet 2025, M. A… demande au Conseil d’Etat d’annuler la décision du 26 mai 2025 par laquelle la CNIL a procédé à la clôture de sa plainte.

Il soutient que cette décision est entachée :

 – d’erreur de droit en ce qu’elle écarte, à tort, l’application du RGPD alors que son considérant 27 ne porte que sur les données traitées postérieurement au décès de la personne concernée et non sur les données recueillies et stockées avant le décès de celle-ci ;

 – d’erreur de droit, en ce qu’elle retient que sa saisine n’entre pas dans le champ des articles 77 et 78 du RGPD au motif qu’elle porte sur des données à caractère personnel ne le concernant pas, alors que le traitement des données de santé de son épouse qui, s’inscrit dans l’exécution d’un contrat d’assurance qu’ils ont souscrit ensemble pour acquérir un bien entrant dans la communauté de leur couple, porte atteinte à ses intérêts patrimoniaux.

2° Sous le n° 506619, par une requête enregistrée au secrétariat du contentieux du Conseil d’Etat le 25 juillet 2025, M. A… demande au Conseil d’Etat d’annuler la décision du 26 mai 2025 par laquelle la CNIL a procédé à la clôture de sa plainte du 14 octobre 2024.

Il développe les mêmes moyens que sous le n° 503360.

Par un mémoire en défense, enregistré le 27 mars 2026, la Commission nationale de l’informatique et des libertés conclut au rejet de la requête. Elle soutient que les moyens soulevés sont inopérants ou non fondés.

Vu les autres pièces du dossier ;

Vu :

 – le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

 – la loi n° 78-17 du 6 janvier 1978 ;

 – le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Clément di Marino, maître des requêtes en service-extraordinaire ;

— les conclusions de M. Frédéric Puigserver, rapporteur public ;

Considérant ce qui suit :

1. Les requêtes n° 503360 et 506619 sont dirigées contre une même décision de la CNIL. Il y a lieu de les joindre pour statuer par une seule décision.

2. Il ressort des pièces des dossiers que, le 14 octobre 2024, M. A… a saisi la CNIL d’une plainte, dont il a été accusé réception le jour même, relative, d’une part, à la conservation, l’exploitation et la transmission par la société CNP Assurances de données de santé concernant son épouse décédée, sans recueil du consentement de celle-ci de son vivant, d’autre part, à la sollicitation des mêmes données auprès de lui, par le médiateur de l’assurance, sans formalisation du recueil de son consentement à l’utilisation de ces données. Le 15 octobre 2024, la CNIL a informé M. A… de la transmission de sa plainte au service de l’exercice des droits et des plaintes. Sous le n° 503360, M. A… demande l’annulation pour excès de pouvoir, d’une part, de la décision implicite de rejet de sa plainte née du silence gardé ensuite par la CNIL pendant plus de trois mois, d’autre part, de la décision prise en cours d’instance, le 26 mai 2025, par laquelle la CNIL a procédé à la clôture de sa plainte. Sous le n° 506619, M. A… demande l’annulation pour excès de pouvoir de la même décision du 26 mai 2025.

3. Aux termes du paragraphe 1 de l’article 4 du règlement général sur la protection des données (RGPD), on entend par données à caractère personnel, « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée » personne concernée« ) ». Selon le paragraphe 1 de l’article 77 de ce règlement : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. » Aux termes du d) du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL « traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association (…) ». Enfin, aux termes du second alinéa de l’article 84 de la loi du 6 janvier 1978 : « Les droits mentionnés au chapitre II s’éteignent au décès de la personne concernée. Toutefois, ils peuvent être provisoirement maintenus dans les conditions fixées à l’article 85 ». L’article 85 de la même loi dispose que : « I.-Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont générales ou particulières. (…) / II.- En l’absence de directives ou de mention contraire dans ces directives, les héritiers de la personne concernée peuvent exercer, après son décès, les droits mentionnés au chapitre II du présent titre II dans la mesure nécessaire : / 1° A l’organisation et au règlement de la succession du défunt. (…) / 2° A la prise en compte, par les responsables de traitement, de son décès. (…) ».

4. Pour justifier de son intérêt à demander l’annulation des décisions de la CNIL relatives au traitement des données de santé de son épouse, M. A… se prévaut du fait que le traitement de ces données porterait atteinte à ses intérêts patrimoniaux en raison de leur souscription commune d’un contrat d’assurance pour l’acquisition d’un bien entrant dans la communauté de leur couple. Toutefois, d’une part, il ne se trouve dans aucune des hypothèses visées par l’article 85 de la loi du 6 janvier 1978 cité au point 3 lui permettant d’exercer les droits de son épouse décédée et il ne peut, d’autre part, être regardé comme une personne concernée au sens de l’article 8 précité de la même loi. Par suite, il ne peut justifier d’un intérêt pour saisir la CNIL lui donnant qualité pour demander l’annulation pour excès de pouvoir des décisions qu’il attaque.

5. Il résulte de ce qui précède que les requêtes de M. A… doivent être rejetées comme irrecevables.

D E C I D E :

--------------

Article 1er : Les requêtes de M. A… sont rejetées.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 13 mai 2026 où siégeaient : M. Olivier Yeznikian, assesseur, présidant ; M^me Rozen Noguellou, conseillère d’Etat et M. Clément di Marino, maître des requêtes en service extraordinaire-rapporteur.

Rendu le 17 juin 2026.

Le président :

Signé : M. Olivier Yeznikian

Le rapporteur :

Signé : M. Clément di Marino

La secrétaire :

Signé : M^me Sylvie Leporcq

La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

Pour la secrétaire du contentieux, par délégation :

Nos 503360, 506619- 2 -