Vu la procédure suivante :

Par une requête et trois mémoires en réplique, enregistrés les 19 mars, 17 octobre, 16 décembre et 26 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, M. C… B… demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 6 février 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de sa plainte tendant à ce que la société Air France lui communique les grilles d’évaluation relatives à sa candidature de pilote professionnel ;

2°) d’enjoindre à la CNIL de réexaminer sa plainte et de mettre en demeure la société Air France de communiquer en urgence les grilles d’évaluation en litige.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- le code de commerce ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M^me Alexandra Poirson, auditrice,

- les conclusions de M. Frédéric Puigserver, rapporteur public ;

Considérant ce qui suit :

1. Après avoir saisi sans succès la déléguée à la protection des données de la société Air France et après qu’une première plainte a fait l’objet d’une clôture prononcée le 29 juillet 2024 par la Commission nationale de l’informatique et des libertés (CNIL), M. B… a, le 10 septembre 2024, saisi la CNIL d’une réclamation à l’encontre de la société Air France relative aux difficultés rencontrées dans le cadre de l’exercice de son droit d’accès aux données à caractère personnel le concernant qui figurent dans son dossier de candidature à la sélection de pilote professionnel et qui sont détenues dans les fichiers informatisés et manuels de la société, en particulier les grilles d’évaluation et leurs synthèses. A la suite d’un courrier électronique du 18 octobre 2024 par lequel la CNIL a rappelé à la société Air France à ses obligations en matière de droit d’accès, celle-ci a transmis à l’intéressé des données à caractère personnel relatives au traitement de sa candidature. M. B… a, le 9 janvier 2025, informé les services de la CNIL du maintien de sa demande tendant à la communication des grilles d’évaluation ayant servi à son évaluation. Par un courrier électronique du 6 février 2025, la société Air France a refusé de communiquer des grilles d’évaluation au motif qu’elles sont couvertes par le secret des affaires protégé par les dispositions de l’article L. 151-1 du code de commerce et le paragraphe 4 de l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (A…). Par une décision du 6 février 2025, la CNIL a procédé à la clôture de la plainte de M. B…. M. B… demande, d’une part, l’annulation pour excès de pouvoir de cette décision ainsi que la réouverture de sa plainte par la CNIL et, d’autre part, que la société Air France soit mise en demeure de communiquer les grilles d’évaluation le concernant.

2. D’une part, il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. D’autre part, il résulte du premier alinéa de l’article 49 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés que le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 (droit d’accès de la personne concernée) du règlement (UE) 2016/679 du 27 avril 2016 du règlement général de protection des données à caractère personnel dit A…. En vertu des dispositions du paragraphe 1 de l’article 15 de ce règlement, la personne concernée a le droit d’obtenir du responsable du traitement l’accès aux données à caractère personnel la concernant qui ont été traitées par lui. En vertu du paragraphe 3 du même article, le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le paragraphe 4 du même article dispose enfin que : « Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui ». Au titre des droits et libertés d’autrui figure le respect du secret des affaires ainsi que le précise le considérant 63 du A….

5. Enfin, aux termes de l’article L. 151-1 du code de commerce : « Est protégée au titre du secret des affaires toute information répondant aux critères suivants : / 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité ; / 2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; / 3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret ».

6. Il ressort des pièces du dossier que la société Air France a communiqué au requérant la copie des données à caractère personnel relatives à ses candidatures au poste d’officier pilote de ligne au sein de la société Air France, notamment ses résultats aux tests « PSY1 », les commentaires des recruteurs concernant ses tests « PSY2 », la synthèse de « débriefing oral » auquel il a été procédé à l’issue de sa première candidature, ainsi que les documents fournis par le requérant à l’occasion de ses candidatures, conservés dans son dossier. Elle l’a également informé de la disponibilité de documents complémentaires dans son espace candidat sur le site de recrutement dédié. En revanche, dans le cadre des limites posées par le paragraphe 4 de l’article 15 du A…, et, en vertu des dispositions de l’article L. 151-1 du code de commerce rappelées au point précédent, la société Air France a refusé de lui transmettre la grille d’évaluation « PSY 2 » le concernant.

7. En premier lieu, il est constant que la grille d’évaluation « PSY 2 » en litige consiste en un traitement de données à caractère personnel en lien avec M. B…. La société Air France fait valoir, sans être sérieusement contredite, que les grilles d’évaluation qu’elle élabore et qui reposent sur un savoir-faire particulier de l’entreprise sont destinées à la sélection de pilotes sur la base de critères multiples et pondérés, destinés à assurer la sécurité des passagers, le respect des normes réglementaires, la validation des compétences et une évaluation psychologique qualifiée de robuste. Il ne ressort pas des pièces du dossier qu’en estimant que l’information contenue dans ces grilles d’évaluation, et en particulier celle non communiquée par la société Air France à M. B…, qui ne sont pas au nombre de celles qui sont librement accessibles, devaient être protégées par le secret des affaires, la CNIL ait entaché sa décision d’illégalité. En procédant à la clôture de la plainte, la CNIL, saisie par M. B… au titre de l’exercice d’un droit d’accès plein et complet à ses données à caractère personnel, garanti par l’article 15 du A…, auquel renvoie l’article 49 de la loi du 6 janvier 1978, a, implicitement mais nécessairement, mis en balance ce droit d’accès avec la protection du secret des affaires dont la société Air France s’est prévalue au titre des droits ou libertés d’autrui visés par le paragraphe 4 du même article. Eu égard, d’une part, à l’ensemble des informations déjà communiquées à l’intéressé par la société Air France qui lui permettaient de faire valoir ses autres droits individuels garantis par les articles 50, 51, 53 et 56 de la loi du 6 janvier 1978 et, d’autre part, aux motifs tirés de ce que la communication des informations contenues dans la grille d’évaluation « PSY 2 », en tant qu’elle porterait atteinte à la qualité du processus de sélection et, partant, à la sécurité des passagers, méconnaîtrait le secret des affaires, la CNIL n’a pas entaché sa décision d’une erreur d’appréciation. Elle n’a pas davantage, dans les circonstances de l’espèce, entaché sa décision d’illégalité en s’abstenant de se faire produire, préalablement à sa décision, la grille d’évaluation en litige. Enfin, la mesure attaquée ne remet pas, par elle-même, en cause le droit à la preuve dont se prévaut l’intéressé.

8. En deuxième lieu, il ne ressort pas des pièces du dossier que les documents qui ont été communiqués à l’intéressé n’étaient pas intelligibles. Par ailleurs, le droit d’accès prévu par l’article 49 de la loi du 6 janvier 1978 ne s’oppose pas à la communication de documents sous la forme d’une retranscription manuelle.

9. En troisième lieu, en clôturant la plainte de M. B… alors même que certains documents lui ont été communiqués avec retard par la société Air France, la CNIL n’a, en tout état de cause, pas entaché sa décision d’une erreur d’appréciation au regard des droits individuels dont il s’est prévalu.

10. En quatrième lieu, la circonstance que le dossier qui lui a été communiqué comportait des commentaires relatifs à un autre candidat n’est pas, par elle-même, de nature à établir que le traitement mis en œuvre par la société Air France méconnaîtrait le principe d’exactitude posé par le d) du paragraphe 1 de l’article 5 du A…. M. B… ne peut, par ailleurs, utilement se prévaloir à l’encontre de la CNIL, au regard des compétences qui lui sont reconnues par la loi du 6 janvier 1978, de ce que la société Air France n’établit pas que les erreurs qu’elle a commises n’ont pas exercé d’influence sur la décision que cette société a prise pour écarter sa candidature.

11. En cinquième et dernier lieu, il ne ressort pas des pièces du dossier que la CNIL aurait fondé sa décision sur des faits matériellement inexacts en ce qu’elle indique ne pas avoir été saisie de faits relatifs à la modification des dossiers et à la dissimulation d’informations essentielles postérieurement à la mise en demeure qu’elle a adressée à la société Air France.

12. Il résulte de tout ce qui précède que M. B… n’est pas fondé à demander l’annulation de la décision du 6 février 2025 de la CNIL qu’il attaque. Il s’ensuit que ses conclusions doivent être rejetées, y compris ses conclusions à fin d’injonction.

D E C I D E :

--------------

Article 1er : La requête de M. B… est rejetée.

Article 2 : La présente décision sera notifiée à M. C… B…, à la Commission nationale de l’informatique et des libertés et à la société Air France

Délibéré à l’issue de la séance du 2 avril 2026 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M^me Alexandra Poirson, auditrice-rapporteure.

Rendu le 27 mai 2026.

Le président :

Signé : M. Bertrand Dacosta

La rapporteure :

Signé : M^me Alexandra Poirson

La secrétaire :

Signé : M^me Sylvie Leporcq