Tables CNIL

Cette application facilite et enrichit la navigation dans les Tables Informatique et Libertés publiées par la CNIL. Elles assemblent l’essentiel de la jurisprudence française et européenne et des décisions pertinentes de l'autorité administrative en matière de protection des données à caractère personnel, et constituent à cet égard un outil précieux pour les DPO et les avocats

Dernière mise à jour : Version du 20/02/2026 – V 2.3 [PDF]

Décisions de jurisprudence

Juridiction
Toutes les juridictions

CJUE16 novembre 2023CJUE, 16 novembre 2023, Ligue des droits humains, C-333/22(source)

Exercice des droits de la personne concernée par l'intermédiaire de l'autorité de contrôle Décision de clôture de la vérification - Droit au recours contre cette décision – Existence

L'article 17 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, abrogeant le cadre 2008/977/JAI du Conseil, lu en combinaison avec l'article 46, paragraphe 1, sous g), l'article 47, paragraphes 1 et 2, et l'article 53, paragraphe 1, de cette directive ainsi qu'avec l'article 8, paragraphe 3, et l'article 47 de la Charte des droits fondamentaux de l'Union européenne doit être interprété en ce sens que lorsque les droits d'une personne ont été exercés, en application dudit article 17, par l'intermédiaire de l'autorité de contrôle compétente et que cette autorité informe ladite personne du résultat des vérifications opérées, cette dernière doit disposer d'un recours juridictionnel effectif contre la décision de ladite autorité de clôturer le processus de vérification.

CE10 novembre 2021CE, 10-9 chambres réunies, 10 novembre 2021, M. M... B..., n° 444992, Inédit., point 7(source)

Juridictions compétentes pour le contentieux portant sur les traitements mixtes

Il résulte des articles L. 841‑2 et R. 841‑2 du code de la sécurité intérieure que la formation spécialisée du Conseil d’État statuant au contentieux n’est compétente, en ce qui concerne les litiges relatifs à l’accès indirect aux données recueillies dans le fichier STARTRAC, que pour celles de ces données qui intéressent la sûreté de l’État. Le tribunal administratif et la cour administrative d’appel restent compétents en première instance et en appel pour connaître des litiges relatifs à l’accès indirect aux données recueillies dans ce même fichier n’intéressant pas la sûreté de l’État.

CE5 décembre 2011CE, 10ème/9ème SSR, 5 décembre 2011, M. X, n° 319545, 338379, Rec., point 3(source)

1) Procédure d'accès indirect 2) Refus par la CNIL de donner suite à une demande de mise en œuvre de ses pouvoirs d'enquête – a) Mesure susceptible de recours pour excès de pouvoir – b) Contrôle du juge – Contrôle restreint – Cas du rejet d'une demande formulée en termes généraux – Erreur manifeste d'appréciation – Absence

1) En procédant aux investigations prévues à l'article 41 de la loi n° 78‑17 du 6 janvier 1978 et en indiquant à l'intéressé qu’aucune information le concernant ne figurait dans les fichiers en question, la CNIL a mis un terme à la procédure d'accès indirect engagée. Elle doit être regardée comme satisfaisante en tiérant la demande du demandeur.

2) a) Une décision par laquelle la CNIL refuse de donner suite à une demande tendant à ce qu’elle mette en œuvre les pouvoirs d’enquête dont elle peut faire usage sur le fondement de l’article 11 de la loi n° 78‑17 du 6 janvier 1978, lorsqu’elle est saisie d’une réclamation, pétition ou plainte relative à la mise en œuvre des traitements de données à caractère personnel, est susceptible de faire l’objet d’un recours pour excès de pouvoir.

b) Toutefois, si l’intéressé se borne à demander à la CNIL de manière générale, de faire respecter la loi du 6 juillet 1978 relative à l’informatique, aux fichiers et aux libertés et de faire « effacer l’ensemble des fichiers contenant des données personnelles collectées par les services consulaires français sans information préalable des personnes concernées », la CNIL ne commet pas d’erreur manifeste d’appréciation en ne donnant pas suite à ces réclamations.

ème ème

CE7 avril 2006CE, Section, 7 avril 2006, M. A, n° 275216, Rec., points 8-12(source)

Convention d'application de l'accord de Schengen du 19 juin 1990 Fichier du système d'information Schengen (SIS) – Demande tendant à la rectification ou à l'effacement de données contenues dans ce fichier – Signalement opéré par un État autre que la France – 1 ) Obligations incombant à l'autorité de contrôle française – a ) Information des autorités des autres États en cas de doute – b ) Contrôle du bien-fondé du signalement – Nécessité d'une étroite coordination avec les autorités des autres États membres, au vu des informations communiquées par ces dernières – 2 ) Autorité de contrôle française se prononçant au vu d'informations insuffisantes pour exercer son contrôle – Erreur de droit – 3 ) Conséquences de l'annulation de la décision de l'autorité de contrôle française – Autorité tenue de reprendre la procédure de vérification

1) a) En application des stipulations de l'article 106 de la Convention d'application de l'accord de Schengen du 19 juin 1990, il incombe aux autorités françaises, saisies par une personne qui conteste son inscription dans le système informatique national du Système d'Information Schengen (SIS), de procéder, dans le cas d'un signalement opéré par la France, à l'effacement des données entachées d'erreur de droit ou d'erreur de fait. Dans le cas d'un signalement opéré par un État Partie autre que la France, il appartient à l'autorité de contrôle française, dès lors qu'elle estime disposer d'indices faisant présumer qu'une donnée est entachée d'erreur de droit ou de fait, d'en aviser les autorités de cet État.

b) Il ressort des stipulations des articles 106 et 114 de la convention du 19 juin 1990 que la Commission nationale de l'informatique et des libertés, lorsqu'elle saisit l'autorité de contrôle d'un État signalant en vue de la vérification et de l'effacement d'une inscription, est tenue de procéder à l'examen de ce signalement en étroite coordination avec celle‑ci, sans que sa responsabilité puisse être transférée à l'autorité requise. Elle doit demander l'ensemble des informations lui permettant de procéder à ce contrôle, et, en cas de désaccord avec l'autorité requise, saisir l'autorité de contrôle commune mentionnée par le paragraphe 3 de l'article 106. Si, dans certains cas limitativement énumérés par la convention, la Commission nationale de l'informatique et des libertés est tenue de ne pas communiquer au demandeur les informations le concernant, ces stipulations ne font pas obstacle à ce qu'elle exerce son contrôle sur le bien‑fondé du signalement en « étroite coordination » avec l'autorité correspondante de l'État signalant.

2) Le requérant, ressortissant français, a saisi la Commission nationale de l'informatique et des libertés d'une demande d'effacement des données le concernant contenues dans le système informatique national du Système d'Information Schengen (SIS), en faisant notamment état de sa mobilisation au début des années 1990 aux côtés d'opposants tunisiens pour dénoncer les violations par le régime tunisien des droits de l'homme et des libertés fondamentales, et en indiquant « avoir fait manifestement l'objet d'une dénonciation calomnieuse des services de ce pays ». La Commission nationale de l'informatique et des libertés, après avoir constaté que l'intéressé avait été signalé par les autorités allemandes, a saisi le 18 mai 2004 l'autorité de contrôle allemande chargée d'exercer un contrôle de la partie nationale du Système d'Information Schengen (SIS) dans le cadre de la procédure de coordination prévue au paragraphe 2 de l'article 114 de la convention du 19 juin 1990. L'autorité de contrôle allemande lui a répondu qu’« au terme de la vérification effectuée par le délégué régional compétent en matière de protection des données, (…) rien ne s'oppose, du point de vue du droit en matière de protection des données, au signalement de l'intéressé au Système d'Information Schengen (SIS) ».

Dans ces circonstances, et eu égard à l'ensemble des éléments d'information produits par le requérant, la Commission nationale de l'informatique et des libertés, en se fondant sur cette seule réponse, sans demander communication des informations nécessaires au contrôle sollicité, pour refuser de poursuivre la procédure relative à la demande d'effacement du signalement de l'intéressé, a méconnu les stipulations des articles 106 et 114 de la convention du 19 juin 1990. Elle a ainsi entaché sa décision d'erreur de droit. Le requérant est fondé à en demander l'annulation.

3) Cette annulation implique que la Commission nationale de l'informatique et des libertés reprenne la procédure de vérification relative au signalement du requérant, en « étroite coordination » avec l'autorité de contrôle allemande, aux fins d'aboutir soit au rejet de la demande en accord avec les autorités allemandes, soit à l'effacement des données litigieuses par les autorités allemandes, soit enfin, en cas de désaccord, à la saisine de l'autorité de contrôle commune mentionnée au paragraphe 3 de l'article 106 de la convention du 19 juin 1990.

CE30 juillet 2003CE, Section, 30 juillet 2003, Association L'a défense libre, n° 246870, Inédit., point 3 Voir aussi : CE, Section, 27 octobre 1999, M.X, n° 196306, Rec.(source)

Obligation de la CNI L d'aviser le procureur de la République des faits dont elle a connaissance dans l'exercice de ses fonctions Conditions

En vertu de l'article 21 de la loi du 6 janvier 1978, dans sa version applicable au litige, lequel renvoie à l'article 40 du code de procédure pénale qui oblige les autorités administratives à dénoncer les crimes et délits à l'autorité judiciaire, il appartient à la Commission nationale de l'informatique et des libertés d'aviser le procureur de la République des faits dont elle a connaissance dans l'exercice de ses attributions, si ces faits lui paraissent suffisamment établis et si elle estime qu'ils portent une atteinte suffisamment caractérisée aux dispositions dont elle a pour mission d'assurer l'application. En revanche, ces dispositions ne font pas obligation à la Commission nationale de l'informatique et des libertés de dénoncer des faits susceptibles d'être punis d'une contravention de police.

CC12 juin 2018CC, 2018-765 DC, 12 juin 2018, Loi relative à la protection des données personnelles, points 31, 34(source)

Publicité d'une mise en demeure Nature de sanction – Exclusion

Le 2° de l'article 7 de la loi relative à la protection des données personnelles réécrit l'article 45 de la loi n°78‑17 du 6 janvier 1978 pour prévoir les différentes mesures susceptibles d’être prises par la Commission nationale de l’informatique et des libertés en cas de manquement aux obligations découlant du règlement du 27 avril 2016 et de la loi du 6 janvier 1978. Les paragraphes I et II de cet article 45 permettent au président de la commission de prononcer respectivement des avertissements ou des mise en demeure. Son paragraphe III prévoit que le président de la commission, le cas échéant après avoir adressé un avertissement ou prononcé une mise en demeure, peut saisir la formation restreinte de la commission en vue du prononcé d’une ou plusieurs mesures, dont une amende pouvant atteindre, en vertu de la deuxième phrase de son 7°, 20 millions d’euros ou, s’agissant d’une entreprise, 4 % de son chiffre d’affaires.

Lorsqu’un manquement constaté est susceptible de faire l’objet d’une mise en conformité, le premier alinéa du paragraphe II de l’article 45 permet au président de la commission de mettre en demeure le responsable du traitement ou son sous‑traitant de prendre les mesures nécessaires à cette fin. Elle vise ainsi à permettre à son destinataire de se mettre en conformité avec le règlement du 27 avril 2016 ou la loi du 6 janvier 1978. Sa méconnaissance n’emporte aucune conséquence. Si cette mise en demeure peut être rendue publiée, à la demande du président et sur décision du bureau de la commission, cette publicité ne lui confère pas, en l’espèce, la nature d’une sanction ayant le caractère d’une punition. Le grief tiré de la méconnaissance du principe d’impartialité est écarté comme inopérant.

CE27 mars 2023CE, 10-9 chambres réunies, 27 mars 2023, Mme D…E…, n° 467774, T., points 4-5(source)

Contestation par l'auteur d'une plainte ou réclamation des suites données à celle-ci par la CNIL 1) Intérêt à déférer au juge le refus d'engager une procédure sur le fondement de l'article 20 de la loi Informatique et Libertés – Existence – 2) Cas où la formation restreinte a été saisie (III de l'art. 20) – a) Intérêt à contester la décision prise à l'issue de la procédure – Absence – b) Cas où le plaignant invoque la méconnaissance, par un responsable de traitement, de droits légalement garantis à l'égard de données personnelles le concernant – Intérêt à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de satisfaire à sa demande ou du refus de la formation restreinte de lui enjoindre d'y procéder – Existence

1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi n°78-17 du 6 janvier 1978, et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues au I et II de ce même article.

2) a) En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif.

b) Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder.

CE1 mars 2021CE, 10‑9 chambres réunies, 1 mars 2021, Société Futura Internationale, n° 437808, Inédit., point 2(source)

Manquements constatés avant la date d'entrée en application du RGPD et poursuivis au-delà du délai imparti par la mise en demeure Application du RGPD

La circonstance que des manquements aient été constatés avant la date d’entrée en application du RGPD ne fait pas obstacle à ce que le règlement soit applicable lorsque ces manquements se sont poursuivis après cette date, au-delà du délai imparti par une mise en demeure notifiée par la CNIL.

CE11 avril 2014CE, 10 SSJS, 11 avril 2014, Association Juricom et associés, n° 348111, point 2(source)

Mise en demeure Absence d’obligation de motivation en vertu de la loi du 11 juillet 1979

Il résulte du I de l’article 45 de la loi du 6 janvier 1978 que la mise en demeure, qui peut conduire à une sanction, n’est, par elle‑même, ni une sanction ni l’une des autres décisions individuelles défavorables devant être motivées en vertu des dispositions de l’article 1er de la loi du 11 juillet 1979 relative à la motivation des actes administratifs et à l’amélioration des relations entre l’administration et le public. Avant l’intervention desquelles, en vertu des dispositions de l’article 24 de la loi du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations, la personne intéressée doit avoir été mise à même de présenter des observations.

CE3 mars 2005CE, Section, 3 mars 2005, Société Eutelsat, n° 277736, Rec., point 4(source)

Opérateurs satellitaires Obligations de contrôle du contenu des services de télévision transportés – Mise en demeure adressées par le CSA en cas de non‑respect – Nature de cette mise en demeure – Sanction – Absence

La mise en demeure adressée sur le fondement de l'article 42 de la loi du 30 septembre 1986, qui n'a pas le caractère d'une sanction et qui, parce qu'elle engage une procédure au cours de laquelle l'opérateur sera à même de s'expliquer devant l'autorité de régulation, n'a pas à être elle‑même précédée d'une procédure contradictoire, a pour objet de prescrire, sans préjudice d'une éventuelle saisine du président de la section du contentieux du Conseil d'État selon la procédure prévue par l'article 42-10 de cette loi, des mesures proportionnées à la nature et à la gravité des manquements constatés et destinées à mettre fin à ceux‑ci.

CE16 octobre 2019CE, 10‑9 chambres réunies, 16 octobre 2019, La Quadrature du Net et Caliopen, n° 433069, Rec., point 6(source)

Prise de position publique de la CNIL sur le maniement de ses pouvoirs, notamment de sanction Compétence – Existence, eu égard au large pouvoir d'appréciation de la CNIL s'agissant de l'usage de ses prérogatives (art. 8 et 20 de la loi du 6 janvier 1978)

Pour l'application des articles 8 et 20 de la loi n° 78‑17 du 6 janvier 1978, la CNIL dispose, s'agissant de l'usage des prérogatives qui lui ont été conférées pour l'accomplissement de ses missions, d'un large pouvoir d'appréciation, en particulier pour ce qui concerne l'exercice de son pouvoir de sanction, que ce soit pour apprécier l'opportunité d'engager des poursuites de sa propre initiative ou pour décider des suites à donner aux plaintes qu'elle peut recevoir. À cet égard, la Commission peut tenir compte de la gravité des manquements en cause au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge. Il lui est loisible, dans ce domaine comme dans tout autre domaine relevant de ses attributions, de rendre publiques les orientations qu'elle a arrêtées pour l'exercice de ses pouvoirs.

CE11 mars 2015CE, 10ème/9ème SSR, 11 mars 2015, Société élection Europe, n° 372884, T., points 3-4(source)

Refus d'anonymisation d'une sanction de la CNIL comportant mention du nom d'un tiers aux poursuites 1) Organe compétent – Formation restreinte – Absence – Président – Existence – 2) Compétence liée – Existence – 3) Recours juridictionnel – Compétence du Conseil d'État en premier et dernier ressort – Existence

1) Si l’article 17 de la loi n°78‑17 du 6 janvier 1978 stipule que la formation restreinte de la Commission nationale informatique et libertés (CNIL), autorité investie du pouvoir de sanction, est seule compétente pour réexaminer les sanctions qu’elle a prononcées et, le cas échéant, pour mettre fin à tout ou partie de leurs effets, il n’est en revanche pas question d’examiner la demande d’un tiers aux poursuites visant l’absence de publication des mentions le concernant figurant dans une décision de sanction ou l’anonymisation de telles mentions. Cette démarche ne se rattache pas à l’exercice, par l’autorité investie du pouvoir de sanction, de ses fonctions répressives réservées par la loi, en ce qui concerne la CNIL et sa formation restreinte. Ainsi, le président de la CNIL peut compétemment se prononcer sur une telle demande.

2) Lorsqu’un tiers demande soit qu’il ne soit pas procédé à la publication des mentions le concernant figurant dans une décision de sanction prononcée par la CNIL dont le dispositif ne lui fait pas grief, soit l’anonymisation de telles mentions dans la version publiée de cette sanction, l’autorité compétente est tenue de faire droit à cette demande, sous la seule réserve de vérifier l’existence des mentions en litige.

3) Le Conseil d'État est compétent en premier et dernier ressort pour connaître d’un recours contre la décision prise sur une telle demande.

CNIL3 juin 2021CNIL, FR, 3 juin 2021, Sanction, Société X, n° SAN-2021-007, non publié

8.12.1 Compétence 1) Disposition limitant expressément les finalités d'un traitement Compétence de la formation restreinte de la CNIL pour sanctionner sa méconnaissance – 2) Application – Article L. 37 du code électoral

1) D'une part, les articles 5‑1a du RGPD et 4‑1° de la loi du 6 janvier 1978 disposent que tout traitement de données à caractère personnel doit être « licite ». D'autre part, l'article 16 de cette loi donne compétence à la formation restreinte de la Commission nationale de l'informatique et des libertés pour sanctionner les responsables de traitement ou sous‑traitants qui ne respectent pas les obligations découlant du RGPD et de la loi Informatique et Libertés. Il en résulte que, lorsqu'une disposition limite expressément les finalités d'un traitement de données à caractère personnel, que celle‑ci soit contenue dans un acte réglementaire autorisant et régissant un traitement particulier de données sur le fondement des articles 31 et suivants de la loi Informatique et Libertés ou des dispositions qui y renvoient, ou qu'elle résulte d'une disposition législative ou réglementaire spéciale limitant la ou les finalités d'un traitement ou d'une catégorie de traitement, la formation restreinte de la CNIL est compétente pour sanctionner le traitement illicite que constitue la méconnaissance de cette disposition. 2) La formation restreinte est donc compétente en l'espèce pour examiner le manquement à l'article 5‑1a du RGPD qui résulterait, selon la rapporteur, de la méconnaissance de l'article L. 37 du code électoral prohibant l'utilisation des listes électorales, qui contiennent des données personnelles, pour des finalités commerciales.

CE4 novembre 2020CE, 10‑9 chambres réunies, 4 novembre 2020, SERGIC, n° 433311, T., point 9 • Rapport(source)

Faculté, pour la CNIL, de sanctionner sans mise en demeure préalable un responsable de traitement Existence, même lorsque le manquement est régularisable

Le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable de traitement ou de son sous‑traitant par le président de la CNIL.

CE18 décembre 2015CE, 10ème/9ème SSR, 18 décembre 2015, SARL Loc Car Dream, n° 384794, Inédit., point 5(source)

Notification du rapport établi par l'un des membres de la CNIL Transmission des observations écrites du responsable du traitement au rapporteur et à la formation restreinte – Délai d'un mois à compter de la notification du rapport

Le délai d'un mois dont dispose le responsable du traitement pour transmettre au rapporteur et à la formation restreinte ses observations écrites en application de l'article 75 du décret du 20 octobre 2005 ne s'applique qu'à la notification du rapport et non à celle des procès‑verbaux de l'article 44 de la loi du 6 janvier 1978.

CE23 mars 2015CE, 10ème/9ème SSR, 23 mars 2015, Association Lexeek pour l'accès au droit, n° 353717, T., point 5(source)

Procédure de sanction Cumul entre le délai de réponse au rapport et le délai de convocation à la séance de la commission – Absence

Il ne résulte ni des dispositions de l’article 46 de la loi n°78‑17 du 6 janvier 1978, ni de celles des articles 75 et 76 du décret n°2005‑1309 du 20 octobre 2005 que le délai ouvert au responsable du traitement pour formuler des observations écrites en réponse au rapport qui lui a été notifié par la CNIL doive être cumulé avec celui dans lequel il est informé de la date de la séance de la commission à l’ordre du jour de laquelle est inscrite l’affaire qui le concerne.

CC12 juin 2018CC, 2018-765 DC, 12 juin 2018, Loi relative à la protection des données personnelles, point 22(source)

Garanties procédurales Agents de la CNIL, placés sous l'autorité du président, présents au cours des délibérés Absence de méconnaissance du principe d'impartialité

Le 2° de l'article 4 insère un deuxième alinéa à l'article 17 de la loi n°78-17 du 6 janvier 1978. Cet alinéa prévoit que seuls parmi les Agents de la CNIL peuvent être présents au cours des délibérés de sa formation restreinte ceux chargés de la tenue de la séance. La circonstance que ces agents soient placés sous l'autorité du président de cette commission ne méconnaît pas le principe d'impartialité.

CE5 octobre 2020CE, 10ème-9 chambres réunies, 5 octobre 2020, Office public de l'habitat de Rennes métropole-Archipel Habitat, n° 424440, Rec., point 2(source)

Les décisions de la formation restreinte ne doivent pas nécessairement rappeler que toutes les exigences procédurales des articles 17 et 18 de la loi du 6 janvier 1978 ont été respectées.

Les articles 17 et 18 de la loi du 6 janvier 1978, dans leur rédaction applicable au litige, prévoient respectivement que les membres de la formation restreinte délibèrent hors de la présence des agents de la commission, et que le commissaire du Gouvernement puisse assister aux séances de la formation restreinte sans être présent au délibéré n’impliquent pas que les décisions de la formation restreinte de la CNIL comportent des mentions attestant de la présence des seuls agents de la commission chargés de la tenue de la séance, de la présence ou de l’absence du commissaire du Gouvernement ou du vote de chacun des membres ayant délibéré.

CE12 mars 2014CE, 10ème/9ème SSR, 12 mars 2014, Société Pages Jaunes Groupe, n° 353193, T., point 3(source)

Sanctions infligées par la formation restreinte Applicabilité des stipulations de l'article 6§1 de la convention EDH

La formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL), lorsqu’elle est saisie d’agissements pouvant donner lieu à l’exercice de son pouvoir de sanction, doit être regardée comme décidant du bien‑fondé d’accusations en matière pénale au sens de l’article 6§1 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (conv. EDH).

CE15 octobre 2020CE, 10-9 chambres réunies, 15 octobre 2020, Banque d'escompte, n° 432873, T., points 4, 27(source)

Publicité Contrôle juridictionnel de la sanction complémentaire de publication d'une sanction 1) Obligation de motivation spéciale – Absence – 2) Contrôle des modalités de publication

1) Dans le cadre d'un contentieux opposant une banque à l'Autorité de contrôle prudentiel et de résolution (ACPR), si la décision par laquelle la commission des sanctions de l'ACPR rend publique la sanction prononcée a le caractère d'une sanction complémentaire, elle n'a pas à faire l'objet d'une motivation spécifique, distincte de la motivation d'ensemble de la sanction principale.

2) Les modalités de publication sont susceptibles d'avoir un impact sur la perception qu'aura le public de la décision de la commission des sanctions. Il y a en conséquence lieu pour le Conseil d'État de vérifier que ces modalités respectent un équilibre entre les exigences d'intérêt général citées au point précédent et les intérêts de la personne sanctionnée. Il y a lieu, dans les circonstances de l'espèce, de faire droit à la demande de la société sanctionnée et d'ordonner l'ajout, dans la version publiée, de membres de phrase susceptibles d'atténuer, aux yeux du public, la responsabilité de la société dans les griefs retenus (en l'espèce, une mention que les opérations étaient effectuées à l'initiative et sous la surveillance des pouvoirs publics).