Vu la procédure suivante :

Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 12 juin, 3 novembre et 19 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, M^me A… B… demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 29 avril 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a rejeté sa plainte relative à l’utilisation de ses données de santé par le centre hospitalier universitaire de Bordeaux ;

2°) d’enjoindre à la CNIL de réexaminer sa plainte ;

3°) de mettre à la charge de la CNIL et de la société Bothnia International Insurance Company Limited la somme de 1 500 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

 – la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

 – la charte des droits fondamentaux de l’Union européenne ;

 – le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

 – la loi n° 78-17 du 6 janvier 1978 ;

 – le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M^me Sophie Delaporte, conseillère d’Etat,

— les conclusions de M. Frédéric Puigserver, rapporteur public ;

La parole ayant été donnée, après les conclusions, à la SARL Matuchansky, Poupot, Valdelièvre, Rameix, avocat de la société la société Bothnia International Insurance Company Limited ;

Vu la note en délibéré, enregistrée le 30 mars 2026, présentée par M^me B…;

Considérant ce qui suit :

1. M^me A… B… a saisi le 20 février 2025 la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte relative à l’utilisation de ses données de santé par le centre hospitalier universitaire de Bordeaux. La CNIL a prononcé la clôture de cette plainte par une décision du 1er avril 2025, confirmée le 29 avril 2025 à la suite d’un recours gracieux de l’intéressée. M^me B… demande l’annulation de cette décision et qu’il soit enjoint à la CNIL de réexaminer sa plainte.

2. En premier lieu, il ressort des termes mêmes de la décision attaquée qu’elle comporte l’énoncé des considérations de droit et de fait qui en constituent le fondement. Elle indique notamment les finalités et les conditions de mise en œuvre du traitement des données à caractère personnel concernant M^me B…. Par suite et en tout état de cause, le moyen tiré d’un défaut de motivation doit être écarté.

3. En deuxième lieu, d’une part, aux termes de l’article 4 du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) : « Aux fins du présent règlement, on entend par : / 1. »données à caractère personnel« , toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée »personne concernée") ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale (…) « . Aux termes du paragraphe 1 de l’article 5 du RGPD : » 1. Les données à caractère personnel doivent être : / a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence); / b ) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités (…) ; / c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) (…) ".

4. D’autre part, aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- La Commission nationale de l’informatique et des libertés (…) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre : / (…) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée (…) ».

5. Il ressort des pièces du dossier que M^me B… a subi au centre hospitalier universitaire de Bordeaux une première intervention chirurgicale le 24 octobre 2018, puis une seconde le 5 mai 2020, au cours de laquelle un prélèvement biologique a été réalisé. Contrairement à ce que soutient la requérante, il n’appartenait pas à la CNIL, saisie de sa plainte sur le fondement du d) du I de l’article 8 de la loi du 6 janvier 1978, d’examiner les conditions dans lesquelles ce prélèvement biologique, qui ne constitue pas en lui-même une donnée à caractère personnel, a été effectué, conservé puis utilisé à des fins médicales par le centre hospitalier. Par suite, les moyens tirés de la méconnaissance de l’article 5 du RGPD, de l’article 8 de la loi du 6 janvier 1978 et de dispositions du code de la santé publique ne peuvent qu’être écartés.

6. En troisième lieu, aux termes du paragraphe 1 de l’article 6 du RGPD : « 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : / (…) / f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. / Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions ». Aux termes de l’article 9 du même règlement : « 1. (…) le traitement (…) des données concernant la santé (…) sont interdits. / 2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie : / f) le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle (…) ».

7. Il ressort des pièces du dossier que le prélèvement biologique mentionné au point 5 a fait l’objet, pour rechercher si des fautes médicales avaient été commises lors de la prise en charge de l’intéressée, d’une première expertise médicale le 20 décembre 2022 à la demande de la présidente du tribunal administratif de Bordeaux, puis d’une seconde expertise médicale le 11 juin 2024 à l’initiative du centre hospitalier de Bordeaux, qui l’a transmise au même tribunal, devant lequel M^me B… avait formé un recours indemnitaire aux fins d’engager sa responsabilité.

8. Si M^me B… soutient que le centre hospitalier aurait ainsi réalisé un traitement illicite de ses données de santé, il ressort des pièces du dossier que ces analyses avaient pour seul objet la défense contentieuse des intérêts de l’établissement. Par suite, et en tout état de cause, la CNIL, à laquelle il n’appartenait pas d’apprécier la régularité ou le caractère probant des deux expertises médicales, a pu estimer, que ce traitement se justifiait par un « intérêt légitime » et la « défense d’un droit en justice » au sens des articles 6 et 9 du RGPD et qu’il avait été ainsi légalement mis en œuvre sans le recueil préalable du consentement de l’intéressée. Par suite, les moyens tirés de la méconnaissance des articles 6 et 9 du RGPD, de l’article 8 de la charte des droits fondamentaux de l’Union européenne et de l’article 8 de la loi du 6 janvier 1978 doivent être écartés.

9. En quatrième lieu, si la requérante soutient que l’expertise médicale réalisée à l’initiative du centre hospitalier porterait atteinte au droit au respect de sa vie privée, elle ne produit aucun élément précis et circonstancié à l’appui de ses allégations, alors que cette expertise n’a été transmise par le centre hospitalier qu’à la juridiction saisie de son recours indemnitaire. Par suite, les moyens tirés de la méconnaissance de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, ainsi que de ce que la CNIL aurait commis une erreur manifeste d’appréciation doivent être écartés.

10. Il résulte de tout ce qui précède, sans qu’il soit besoin de se prononcer sur la fin de non-recevoir opposée par société Bothnia International Insurance Company Limited, que les conclusions aux fins d’annulation présentées par M^me B… doivent être rejetées, ainsi que, par voie de conséquence, ses conclusions aux fins d’injonction.

11. Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce qu’une somme soit mise à ce titre à la charge de la CNIL et de la société Bothnia International Insurance Company Limited, qui ne sont pas, dans la présente instance, les parties perdantes. Il n’y a pas lieu, dans les circonstances de l’espèce, de faire droit aux conclusions présentées au même titre par société Bothnia International Insurance Company Limited.

D E C I D E :

--------------

Article 1er : La requête de M^me B… est rejetée.

Article 2 : Les conclusions présentées par la société Bothnia International Insurance Company Limited au titre de l’article L. 761-1 du code de justice administrative sont rejetées.

Article 3 : La présente décision sera notifiée à M^me A… B…, à la Commission nationale de l’informatique et des libertés, au centre hospitalier universitaire de Bordeaux et à la société Bothnia International Insurance Company Limited.

Délibéré à l’issue de la séance du 26 mars 2026 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M^me Rozen Noguellou, conseillère d’Etat et M^me Sophie Delaporte, conseillère d’Etat-rapporteure.

Rendu le 18 mai 2026.

Le président :

Signé : M. Bertrand Dacosta

La rapporteure :

Signé : M^me Sophie Delaporte

La secrétaire :

Signé : M^me Marie-Léandre Monnerville