Vu la procédure suivante :

Par une requête et deux nouveaux mémoires, enregistrés les 28 octobre 2024, 16 janvier et 27 février 2025 au secrétariat du contentieux du Conseil d’Etat, M. D… C… B… demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 8 octobre 2024 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de sa plainte relative à l’accès à des images de vidéosurveillance de la Régie autonome des transports parisiens (RATP) dans le cadre d’une procédure judiciaire le concernant ;

2°) de mettre à la charge de la CNIL la somme de 3 000 euros, à verser à M^e Thomas Haas, son avocat, au titre de l’article 37 de la loi du 10 juillet 1991.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- la loi n° 91-647 du 10 juillet 1991 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M^me Sophie Delaporte, conseillère d’Etat,

- les conclusions de M. Frédéric Puigserver, rapporteur public ;

La parole ayant été donnée, après les conclusions, à M^e Haas, avocat de M. C… B… ;

Vu la note en délibéré, enregistrée le 29 avril 2026, présentée par M. C… B… ;

Considérant ce qui suit :

1. Par un courrier de son avocat du 2 mai 2024, M. C… B… a demandé à la Régie autonome des transports parisiens (RATP), d’une part, de lui confirmer avoir été destinataire d’une réquisition des services de police tendant à la communication d’enregistrements de vidéosurveillance et avoir remis aux services de police les images sollicitées et, d’autre part, de lui adresser une copie de cet enregistrement. Par des courriels du 24 juillet 2024 et un courrier reçu le 29 juillet par la RATP, M. C… B… a renouvelé sa demande auprès des services de la RATP. Par un courrier du 29 août 2024, la RATP lui a indiqué que « les images de vidéosurveillance sont conservées très peu de temps, entre 4 h et 72h selon les équipements » et lui a répondu que « les images de février 2024 ne sont plus disponibles ». Par un message du 30 septembre 2024, M. C… B… a adressé une plainte à la Commission nationale de l’informatique et des libertés (CNIL) concernant les difficultés qu’il rencontrait dans le cadre de l’exercice du droit à la communication de ses données à caractère personnel auprès de la RATP. Par la décision attaquée du 8 octobre 2024, la CNIL l’a informé qu’elle clôturait sa plainte.

2. Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I. La Commission nationale de l’informatique et des libertés (…) exerce les missions suivantes : / (…) / Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. / À ce titre : / (…) / d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable (…) ». En vertu des I et III de l’article 20 de la même loi, le président de la CNIL peut adresser au responsable d’un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit A…), ainsi que, lorsqu’un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales ou, si le manquement est susceptible de faire l’objet d’une mise en conformité, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, de mettre les opérations de traitement en conformité avec les dispositions applicables, de rectifier ou d’effacer des données à caractère personnel, d’en limiter le traitement ou, à l’exception des traitements intéressant la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel. Selon le IV du même article, s’il estime qu’un manquement a été commis, le président de la CNIL peut également, le cas échéant après avoir mis en œuvre les mesures prévues aux I et III de cet article, saisir la formation restreinte de la commission en vue du prononcé des mesures correctrices, notamment l’injonction de mettre en conformité le traitement avec les obligations résultant du A… ou de la loi du 6 janvier 1978 ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, et des sanctions énumérées à ce IV.

3. En premier lieu, la décision attaquée comporte l’énoncé de considérations de droit et de fait qui la fondent et est ainsi suffisamment motivée.

4. En second lieu, le requérant soutient que la CNIL a commis une erreur d’appréciation en clôturant sa plainte et en l’invitant à attendre un délai de six semaines avant, le cas échéant, de la saisir de nouveau, alors qu’il avait besoin des images demandées avant cette échéance afin d’assurer sa défense dans le cadre des poursuites pénales dont il faisait l’objet.

5. Il ressort des pièces du dossier, ainsi qu’il a été dit au point 1, que la RATP avait préalablement informé l’intéressé que les images demandées n’avaient pas été conservées et n’étaient plus disponibles. Par suite, la CNIL n’a pas commis d’erreur d’appréciation en clôturant la plainte de M. C… B….

6. Il résulte de tout ce qui précède que la requête de M. C… B… doit être rejetée, y compris les conclusions présentées par son avocat au titre des dispositions de l’article 37 de la loi du 10 juillet 1991.

D E C I D E :

--------------

Article 1er : La requête de M. C… B… est rejetée.

Article 2 : La présente décision sera notifiée à M. D… C… B… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 26 mars 2026 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M^me Rozen Noguellou, conseillère d’Etat et M^me Sophie Delaporte, conseillère d’Etat-rapporteure.

Rendu le 18 mai 2026.

Le président :

Signé : M. Bertrand Dacosta

La rapporteure :

Signé : M^me Sophie Delaporte

La secrétaire :

Signé : M^me Marie-Léandre Monnerville