Supervisory Authority Implicit Rejection of Database Complaint Upheld Despite Delay

Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés les 17 février et 9 août 2023 au secrétariat du contentieux du Conseil d'Etat, M. B A demande au Conseil d'Etat :

1°) d'annuler la décision implicite par laquelle la présidente de la Commission nationale de l'informatique et des libertés (CNIL) a rejeté sa plainte ;

2°) d'enjoindre à la CNIL d'instruire sa plainte jusqu'à la sanction à laquelle elle doit donner lieu ;

3°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) n° 2016/679 du Parlement européen et du conseil du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le décret n° 2019-536 du 29 mai 2019 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M. Bruno Delsol, conseiller d'Etat,

- les conclusions de M. Laurent Domingo, rapporteur public ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, par un courrier en date du 26 juillet 2019, M. A a saisi la Commission nationale de l'informatique et des libertés, CNIL, en lui demandant " de bien vouloir interroger le ministère de la justice sur l'existence, l'usage et la légalité " d'un fichier national d'incidents concernant les avocats, alimenté notamment par le tribunal de grande instance de Nice. Il demande au Conseil d'Etat d'annuler pour excès de pouvoir le rejet implicite né de l'absence de réponse de la CNIL à sa plainte.

2. L'article 77 du règlement (UE) du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), consacre le droit de toute personne concernée d'introduire une réclamation auprès d'une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. Cette autorité de contrôle informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'exercer un recours juridictionnel en vertu de l'article 78 lorsque l'autorité de contrôle compétente ne traite pas sa réclamation ou ne l'informe pas, dans un délai de trois mois, de l'état d'avancement ou de l'issue de sa réclamation.

3. En application du d) du 2° du I de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête est nécessaire.

4. Il ressort des pièces du dossier qu'en réponse au courrier que lui a adressé M. A le 26 juillet 2019, la CNIL l'a d'abord informé, le 5 août 2019, de ce qu'elle avait ouvert une instruction sur sa plainte. Puis, par une lettre du 31 décembre 2019, elle lui a indiqué qu'elle avait reçu une réponse du président du tribunal de grande instance de Nice qui était en cours d'analyse. Par un courrier du 5 mars 2020, elle a expliqué à M. A que des " fiches de déclarations d'incident sont transmises à la direction des services judiciaires (section de sûreté des juridictions) qui tient à jour une base de données nationale des incidents notamment dans le but de permettre à la Chancellerie de procéder à une étude des incidents survenus dans les juridictions et d'informer l'ensemble de la hiérarchie et des personnels de la survenance de ce type d'événement ". Elle a précisé que le traitement est mis en œuvre en application d'une circulaire du 16 mars 2005 et d'une note du ministre de la justice du 24 mars 2014. Elle a ajouté que l'instruction de sa plainte se poursuivait. Par lettre du 21 juillet 2020, elle a indiqué à M. A que sa plainte restait à l'instruction, puis, par message électronique du 1er avril 2022, qu'elle avait demandé des compléments au ministère de la justice et enfin, par message électronique du 31 juillet 2023, qu'elle procédait à l'analyse des compléments reçus.

5. Il ressort ainsi des pièces du dossier que la CNIL a engagé des investigations dans le délai initial de trois mois prévu par les dispositions de l'article 78 du RGPD et a donné à M. A, par son courrier du 5 mars 2020, une partie des informations qu'il avait sollicitées sur l'existence et la base juridique du traitement en litige. Toutefois, ensuite, la CNIL s'est bornée à lui adresser des réponses d'attente, souvent à la suite de relances de l'intéressé, lui confirmant la poursuite de l'instruction. Eu égard au temps écoulé depuis l'enregistrement de la plainte de M. A le 5 août 2019 et en l'absence de circonstances particulières justifiant un tel délai d'instruction, la CNIL ne peut être regardée comme ayant traité cette plainte dans le délai raisonnable exigé par les dispositions de l'article 8 de la loi du 6 janvier 1978. Elle doit alors être réputée l'avoir implicitement rejetée, de telle sorte que M. A puisse saisir le Conseil d'Etat aux fins de contester devant lui la légalité de cette décision de rejet. Dans ces conditions, la CNIL n'est pas fondée à soutenir que les conclusions présentées par M. A aux fins d'annulation d'une telle décision seraient dépourvues d'objet.

6. En l'espèce, toutefois, il ressort des pièces du dossier que M. A s'est borné à interroger la CNIL sur l'existence, le cadre juridique et l'usage du traitement de données qu'il mettait en cause, sans se prévaloir d'aucune illégalité entachant ce traitement, ni d'aucune atteinte à ses droits s'agissant des données à caractère personnel le concernant. La CNIL a confirmé à l'intéressé l'existence de ce traitement et lui a indiqué quelle était sa base juridique. Eu égard à la teneur de la plainte dont elle avait été saisie, la CNIL n'a pas commis d'erreur manifeste d'appréciation en s'abstenant de prendre des mesures dans le cadre du traitement de cette plainte. Par ailleurs, les circonstances que la CNIL ne l'a pas traitée dans un délai raisonnable et qu'elle n'a pas suffisamment informé M. A de son état d'avancement sont sans incidence sur la légalité de la décision attaquée.

7. Il s'ensuit que le requérant n'est pas fondé à demander l'annulation de la décision qu'il attaque. Les conclusions de sa requête à fin d'annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d'injonction et celles tendant à l'application de l'article L. 761-1 du code de justice administrative.

D E C I D E :

Article 1er : La requête de M. A est rejetée.

Article 2 : La présente décision sera notifiée à M. B A et à la Commission nationale de l'informatique et des libertés.

Délibéré à l'issue de la séance du 29 novembre 2023 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; Mme Nathalie Escaut, M. Alexandre Lallet, M. Nicolas Polge; M. Vincent Daumas, Mme Rozen Noguellou, conseillers d'Etat, et M. Bruno Delsol, conseiller d'Etat-rapporteur.

Rendu le 20 décembre 2023.

Le président :

Signé : M. Jacques-Henri Stahl

Le rapporteur :

Signé : M. Bruno Delsol

La secrétaire :

Signé : Mme Chloé-Claudia Sediang