CE28 septembre 2016CE, 10-9 chambres réunies, 28 septembre 2016, Théâtre national de Bretagne, n° 389448, Rec., points 9-10(source)
Sanction complémentaire de publication de la sanction – 1) Condition de légalité – Proportionnalité de la durée de la publication – 2) Espèce – Annulation d'une sanction complémentaire de publication en tant qu'elle ne fixe pas de durée
1) Lorsque la Commission nationale de l'informatique et des libertés (CNIL) prononce une sanction complémentaire de publication de sa décision de sanction, celle‑là se trouve nécessairement soumise, même si la loi ne le prévoirait pas expressément, au respect du principe de proportionnalité. La légalité de cette sanction s'apprécie notamment au regard du support de diffusion retenu et, le cas échéant, de la durée pendant laquelle cette publication est accessible de façon libre et continue.
2) En l’espèce, la délibération infligeant une sanction complémentaire de publication, qui est justifiée dans son principe, prévoit que cette publication est effectuée sur le site internet de la CNIL et sur le site Légifrance sans préciser la durée de son maintien en ligne sur ces deux sites. La CNIL doit être regardée comme ayant infligé une sanction sans borne temporelle. Dans ces conditions, la sanction complémentaire est, dans cette mesure, excessive. Annulation de cette sanction complémentaire en tant qu’elle n’a pas fixé la durée de son maintien en ligne de manière non anonyme.
CE12 mars 2014CE, 10ème/9ème SSR, 12 mars 2014, Société Foncia Groupe, n° 354629, T., point 8(source)
Publication de la sanction de la CNIL – Obligation de motivation spéciale – Absence
Si la décision par laquelle CNIL rend publique la sanction prononcée a le caractère d'une sanction complémentaire, aucune disposition ni principe n'impose qu'elle fasse l'objet d'une motivation spécifique distincte de la motivation d'ensemble de la sanction principale qu'elle complète.
CNIL30 avril 2021CNIL, FR, 30 avril 2021, Délibération de clôture d'injonction, Sociétés X et Y, n° SAN-2021-004, publié(source)
Anonymisation et durée de publication des délibérations de clôture d'injonction
Lorsqu'une délibération de la formation restreinte relative à la clôture d'une injonction prononcée à l'encontre d’une société est rendue publique, cette délibération ne devra plus identifier nommément la société à l'expiration du délai de publication de la sanction, afin d'éviter que la clôture de l'injonction ne prolonge la publicité de la condamnation.
CJUE5 décembre 2023CJUE, grande chambre, 5 décembre 2023, Deutsche Wohnen, C-807/21, points 54,56-57(source)
Montant Détermination du montant de l'amende administrative infligée à une personne morale – Notion d'« entreprise » au sens des articles 101 et 102 TFUE
Pour déterminer le montant de la amende administrative infligée au titre de l'article 83 RG PD par une autorité de contrôle à une personne morale, responsable de traitement, la CJUE affirme que ladite autorité est tenue de se fonder sur la notion d'« entreprise » au sens des articles 101 et 102 TFUE. Cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une « entreprise », au sens des articles 101 et 102 TFUE, le montant maximal de la amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée.
CE1 mars 2021CE, 10‑9 chambres réunies, 1 mars 2021, Société X, n° 437808, point 6(source)
La CNIL peut prononcer des sanctions d'un montant supérieur au bénéfice net d'une entreprise.
En présence de manquements graves et persistants, notamment le caractère excessif des données collectées, le défaut d'information des personnes concernées, le non‑respect de leur droit d'opposition et le manquement caractérisé à l'obligation de coopération avec l'autorité de contrôle, la CNIL a pu légalement infliger une sanction pécuniaire d'un montant de 500 000 euros, représentant 2,5 % du chiffre d'affaires de l'entreprise, alors même que son bénéfice net était de 180 000 euros.
CJUE5 décembre 2023CJUE, grande chambre, 5 décembre 2023, Deutsche Wohnen, C-807/21, points 48, 60, 65, 75-77 Voir aussi: CJUE, grande chambre, 5 décembre 2023, Nacionalinis visuo menės sveikatos centras, C-683/21(source)
Principes 1) Amende imposée à l'encontre de personnes morales – Illicéité d'une réglementation prévoyant qu'une amende administrative ne peut être infligée à une personne morale que pour autant que la violation a été imputée à une personne physique – 2) Sanction d'une personne morale – Conditions
1) Aucune disposition du RGPD ne permet de considérer que l'infliction d’une amende administrative à une personne morale en tant que responsable du traitement serait soumise à la constatation préalable que cette violation a été commise par une personne physique identifiée. En effet, si le règlement donne aux États membres la possibilité de prévoir des exigences concernant la procédure à suivre par les autorités de contrôle pour imposer une amende, il ne confère pas de marge d’appréciation aux États membres pour prévoir des conditions de fonds supplémentaires, relevant uniquement du droit de l’Union.
Une réglementation nationale ne peut donc prévoir qu’une amende administrative ne peut être infligée à une personne morale en sa qualité de responsable du traitement pour une violation visée aux paragraphes 4 à 6 de l’article 83 RGPD que pour autant que cette violation a été imputée préalablement à une personne physique identifiée.
2) La CJUE rappelle que les conditions de fond devant être respectées par une autorité de contrôle lorsqu’elle impose une amende administrative à un responsable du traitement relèvent uniquement du droit de l’Union, ces conditions étant fixées, de manière précise et sans laisser aux États membres de marge d’appréciation, à l’article 83, paragraphes 1 à 6, du RGPD. Or, l’article 83 du RGPD ne permet pas d’imposer une amende administrative pour une violation visée à ses paragraphes 4 à 6, sans qu’il soit établi que cette violation a été commise délibérément ou par négligence par le responsable du traitement, et que, partant, une violation fautive constitue une condition à l’imposition d’une telle amende.
Un responsable du traitement peut donc être sanctionné pour un comportement entrant dans le champ d’application du RGPD dès lors qu’il ne pouvait ignorer le caractère infractionnel de son comportement, qu’il ait eu ou non conscience d’enfreindre les dispositions du RGPD. Lorsque le responsable du traitement est une personne morale, la CJUE rappelle que l’application de l’article 83 du RGPD ne suppose pas une action ou même une connaissance de l’organe de gestion de cette personne morale.
CC22 avril 1997CC, 97-389 DC, 22 avril 1997, Loi portant diverses dispositions relatives à l'immigration, point 30(source)
Sanctions infligées par une autorité administrative – Exclusion de toute privation de liberté – Conditions d'exercice
Le principe de la séparation des pouvoirs, non plus qu'aucun principe ou règle de valeur constitutionnelle ne fait obstacle à ce qu'une autorité administrative, agissant dans le cadre de prérogatives d'émission publique, puisse exercer un pouvoir de sanction dès lors, d'une part, que la sanction susceptible d'être infligée est exclusive de toute privation de liberté et, d'autre part, que l'exercice de ce pouvoir de sanction est assorti par la loi de mesures destinées à assurer les droits et libertés constitutionnellement garantis. En particulier doivent être respectés les principes de la nécessité et de la légalité des peines, ainsi que les droits de la défense, principes applicables à toute sanction ayant le caractère d'une punition, même si le législateur a laissé le soin de la prononcer à une autorité administrative de nature non juridictionnelle.
CE19 juin 2020CE, 10‑9 chambres réunies, 19 juin 2020, Google LLC, n° 430810, Rec., point 26(source)
Obligation de se prononcer sur l'ensemble des critères prévus au 2° de l'article 83 du RGPD et d'expliquer le mode de détermination du montant de la sanction prononcée – Absence
Lorsqu'elle prononce une sanction, la formation restreinte de la CNIL n'est pas tenue de se prononcer sur l'ensemble des critères mentionnés au 2° de l'article 83 du RGPD mais uniquement sur ceux sur lesquels elle fonde sa décision. Par ailleurs, la formation restreinte n'est pas tenue de procéder à une explicitation du mode de détermination du montant de la sanction qu'elle prononce.
CE11 mars 2015CE, 10ème/9ème SSR, 11 mars 2015, Sociétés Total Raffinage Marketing et E…, n° 368748, 368819, T., point 4 Voir aussi: CE, 10ème-9ème chambres réunies, 30 avril 2024, n° 472864, Inédit, points 4 et 5(source)
Possibilité pour la CNIL de tenir compte de l'une de ses propres recommandations pour le prononcé de sanctions
Si la CNIL ne saurait légalement sanctionner la méconnaissance, en tant que telle, de l'une des recommandations qu'elle adopte sur le fondement de l'article 11 de la loi n°78-17 du 6 janvier 1978, telle que la délibération n°2010-371 du 21 octobre 2010 portant recommandation relative à la sécurité des systèmes de vote électronique, elle peut en tenir compte pour apprécier le respect des dispositions législatives et réglementaires dont cette recommandation a pour seul objet de contribuer à la mise en œuvre et, le cas échéant, prononcer une sanction.
CJUE22 mars 2022CJUE, grande chambre, 22 mars 2022, bpost, C-117/20, points 33, 57(source)
Application du principe non bis in idem en droit de l'Union – 1) Droit de la concurrence – Amende pour infraction au droit de la concurrence à l'encontre d'une personne morale ayant déjà fait l'objet d'une décision définitive à l'issue d'une procédure relative à une infraction à une réglementation sectorielle – 2) Critère d'appréciation de l'existence d'une même infraction – 3) Cas d'une amende infligée dans le cadre de la seconde procédure supérieure à celle imposée dans le cadre de la première procédure
1) L'article 50 de la Charte des droits fondamentaux de l'Union européenne, lu en combinaison avec l'article 52, paragraphe 1, de cette dernière, doit être interprété en ce sens qu'il ne s'oppose pas à ce qu'une personne morale soit sanctionnée par une amende pour infraction au droit de la concurrence lorsqu'elle a déjà fait l'objet d'une décision définitive à l'issue d'une procédure relative à une infraction à une réglementation sectorielle, à condition qu'il existe des règles claires et précises permettant de prévoir quels actes et omissions sont susceptibles de faire l'objet d'un cumul des poursuites et des sanctions ainsi que la coordination entre les deux autorités compétentes, que les deux procédures aient été menées de manière suffisamment coordonnée dans un intervalle de temps rapproché et que l'ensemble des sanctions imposées corresponde à la gravité des infractions commises. 2) Le Critère d'appréciation de l'existence d'une même infraction pertinent aux fins d'apprécier l'identité des faits matériels, compris comme l'existence d'un ensemble de circonstances concrètes indissociablement liées entre elles qui ont conduit à l'acquittement ou à la condamnation définitive de la personne concernée. 3) La circonstance que l'amende infligée dans le cadre de la seconde procédure supérieure à celle imposée dans le cadre de la première procédure, par une décision définitive, ne permet pas, en soi, de conclure au caractère disproportionné du cumul de poursuites et de sanctions à l'égard de la personne morale concernée, eu égard, notamment, au fait que ces deux procédures peuvent constituer des réponses juridiques complémentaires et liées, mais néanmoins distinctes, face au même comportement.
CJUE22 mars 2022CJUE, grande chambre, 22 mars 2022, Nordzucker e.a, C-151/20(source)
Application du principe non bis in idem en droit de l'Union – Droit de la concurrence – Amende pour infraction au droit de la concurrence dans un État membre et poursuite par une autorité dans un autre État membre pour un même comportement
L'article 50 de la Charte des droits fondamentaux de l'Union européenne doit être interprété en ce sens qu'il ne s'oppose pas à ce qu'une entreprise soit poursuivie, par l'autorité de concurrence d'un État membre, et se voie, le cas échéant, infliger une amende pour une infraction à l'article 101 TFUE et aux dispositions correspondantes du droit de la concurrence national, en raison d'un comportement qui a eu un objet ou un effet anticoncurrentiel sur le territoire de cet État membre. Ceci alors que ce comportement a déjà été mentionné, par une autorité de concurrence d'un autre État membre, dans une décision définitive que celle‑ci a adoptée, à l'égard de cette entreprise, au terme d'une procédure d'infraction à l'article 101 TFUE et aux dispositions correspondantes du droit de la concurrence de cet autre État membre, pour autant que cette décision ne repose pas sur le constat d'un objet ou d'un effet anticoncurrentiel sur le territoire du premier État membre.
CE27 juin 2022CE, 10-9 chambres réunies, 27 juin 2022, Amazon Europe Core, n° 451423, T., point 24(source)
Règle du non bis in idem (art. 50 de la Charte des droits fondamentaux de l'UE) – Condition – Procédure pénale définitivement close
Selon l'article art. 50 de la Charte des droits fondamentaux de l'UE, tel qu'interprété par la Cour de Justice de l'Union européenne (CJUE) dans ses arrêts Aklagaren c/ Akerberg Fransson du 26 février 2013 (C‑617/10), Powszechny Zaklad Ubezpieczen na Zycie SA du 3 avril 2019 (C‑617/17) et Bpost SA c/ Autorité belge de la concurrence du 22 mars 2022 (C‑117/20), ce n'est que lorsqu'une procédure à caractère pénal, au sens de ces dispositions, est procédure pénale définitivement close, notamment lorsqu’une sanction pénale est devenue définitive, ce qui suppose qu’une décision a été rendue à la suite d’une appréciation portant sur le fond de l'affaire et n’est plus susceptible de recours, que ces dispositions s'opposent à ce que des poursuites de nature pénale pour la même infraction soient par la suite diligentées contre une même personne et, le cas échéant, qu’une sanction à caractère pénal soit prononcée.
CE27 mars 2023CE, 10‑9 chambres réunies, 27 mars 2023, Mme D…E…, n° 467774, T., points 4‑5(source)
Contestation par l'auteur d'une plainte ou réclamation des suites données à celle - ci par la CNIL – 1) Intérêt à déférer au juge le refus d'engager une procédure sur le fondement de l'article 20 de la loi Informatique et Libertés – Existence – 2) Cas où la formation restreinte a été saisi e (III de l'art. 20) – a) Intérêt à contester la décision prise à l'issue de la procédure – Absence – b) Cas où le plaignant invoque la méconnaissance, par un responsable de traitement, de droits légalement garantis à l'égard de données personnelles le con cernant – Intérêt à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de satisfaire à sa demande ou du refus de la formation restreinte de lui enjoindre d'y procéder – Existence
1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi n°78-17 du 6 janvier 1978, et, notamment, saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues au I et II de ce même article.
2) a) En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif.
b) Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder.
CE27 juin 2022CE, 10 – 9 chambres réunies, 27 juin 2022, Amazon Europe Core, n° 451423, T., point 10ème Voir aussi: CE, 10 – 9 chambres réunies, 28 janvier 2022, Sociétés Google LLC et Google Ireland Limited, n° 449209, Rec.(source)
Traitement effectué « dans le cadre » des activités d'un établissement présent sur le territoire – Établissement se borna nt à assurer, en France, la promotion et la vente d'espaces publicitaires permettant de rentabiliser les services offerts par le responsable d'un traitement de données – Inclusion
Il résulte de la jurisprudence de la Cour de justice de l'Union européenne (CJUE), notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein contre Wirtschaftsakademie Schleswig‑Holstein GmbH (C‑210/16), qu’au vu de l’objectif poursuivi par la directive 95/46/CE du 24 octobre 1995, consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué « dans le cadre des activités » d’un établissement national non seulement si cet établissement intervient lui‑même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d'un État membre, la promotion et la vente d'espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d'un site. Il résulte de l'arrêt de la CJUE du 15 juin 2021, Facebook Ireland Ltd e.a. (C‑645/19), que le paragraphe 1 de l’article 3 du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD) doit être interprété de la même façon. Au I de l'article 3 de la loi n°78‑17 du 6 janvier 1978, le législateur a repris les termes figurant tant au paragraphe 1 de l’article 4 de la directive 95/46/CE du 24 octobre 1995 que, désormais, au paragraphe 1 de l'article 3 du RGPD et a entendu définir le champ d'application de la loi du 6 janvier 1978, y compris de son article 82‑et, en conséquence, le champ de compétence de la Commission nationale de l'informatique et des libertés (CNIL) pour sanctionner les manquements à ces dispositions, en référence à l'interprétation, rappelée au paragraphe précédent, que la CJUE a donnée de la directive 95/46/CE et, désormais, du RGPD.
CE26 avril 2022CE, 10e chambre, 26 avril 2022, Optical Center, n° 449284, Inédit., points 2-3(source)
1) Prononcé d'une sanction en l'absence d'une mise en demeure préalable – 2) Application du principe d'impartialité au rapporteur
1) Le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous‑traitant, par le président de la CNIL. 2) Alors même que le rapporteur n’a pas voix délibérative, le moyen tiré de la méconnaissance du principe d’impartialité par le rapporteur est de nature, s’il s’avère fondé, à entraîner l’annulation de la sanction prononcée par la formation restreinte de la CNIL.
CE28 janvier 2022CE, 10ème – 9 chambres réunies, 28 janvier 2022, Société Google LLC et Google Ireland Limited, n° 449209, Rec.(source)
ème ème Voir aussi: CE, 10 - 9 chambres réunies, 4 novembre 2020, SERGIC, n° 433311, T. Exigence du recueil du consentement (art. 82 de la loi du 6 janvier 1978) – Traitements de données consistant en l'utilisation de traceurs de connexion (« cookies ») – Édiction, par la CNIL, de nouvelles lignes directrices à la suite de l'entrée en vigueur du RGPD – Circonstance sans incidence sur la légalité de la sanction, relative au respect des règles antérieures
Il résulte de art. 82 de la loi du 6 janvier 1978 que toute opération de recueil ou de dépôt d'informations stockées dans le terminal d'un utilisateur doit faire l'objet d'une information préalable, claire et complète relative à la finalité des traceurs de connexion (« cookies ») ou autres traceurs et aux moyens dont les utilisateurs disposent pour s'y opposer.
La CNIL a, par une délibération en date du 4 juillet 2019, postérieure à l'entrée en application, le 25 mai 2018, du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), adopté des lignes directrices relatives à l'application de art. 82 de la loi du 6 janvier 1978 aux opérations de lecture ou écriture dans le terminal d'un utilisateur et abrogé sa recommandation antérieure du 5 décembre 2013. Ces nouvelles lignes directrices du 4 juillet 2019, destinées à adapter le cadre de référence du consentement compte tenu de la modification de la loi Informatique et Libertés par l'ordonnance n° 2018‑1125 du 12 décembre 2018 en conséquence du RGPD, n'ont pas remis en cause le régime préexistant, prévu au II de l'article 32 de cette même loi, lequel posait déjà le principe d'un consentement préalable au dépôt des cookies, celui d'une information claire et complète de l'utilisateur, ainsi que d'un droit d'opposition. Il s'ensuit, dès lors que la procédure engagée par la CNIL ne portait que sur des règles antérieures au RGPD et encadrées par la CNIL depuis 2013, que la formation restreinte de la CNIL a pu, sans méconnaître le principe de légalité des délits et des peines, engager une procédure de contrôle et de sanction quant au respect, par des sociétés, des obligations prévues à art. 82 de la loi du 6 janvier 1978, dont la portée n'a pas été modifiée à cet égard par la mise en conformité de la loi du 6 janvier 1978 avec le RGPD, s'agissant en particulier du caractère préalable du consentement.
CE21 juin 2018CE, 10-9 chambres réunies, 21 juin 2018, M. B… A …, n° 416505, T., point 2(source)
Contestation par l'auteur d'une plainte des suites données à celle-ci par la CNIL – Intérêt à déférer au juge d'excès de pouvoir le refus de la CNIL d'engager une procédure de sanction – Existence – Intérêt à contester la décision prise à l'issue de la procédure de sanction et le sort réservé à sa plainte – Absence – Intérêt à contester devant le juge de l'excès de pouvoir le refus de la CNIL de lui fournir des informations des suites données à sa plainte – Existence
L'auteur d'une plainte peut déférer au juge d'excès de pouvoir le refus de la CNIL d'engager une procédure de sanction, y compris lorsque la CNIL procède à des mesures d'instruction ou constate l'existence d'un manquement aux dispositions de la loi n°78‑17 du 6 janvier 1978. Il appartient au juge de censurer ce refus en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir.
En revanche, lorsque la CNIL a décidé d'engager une telle procédure, l'auteur de la plainte n'a intérêt à contester ni la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif, ni le sort réservé à sa plainte à l'issue de cette dernière. Il est toutefois recevable à déférer au juge d'excès de pouvoir le défaut d'information par la CNIL des suites données à sa plainte.
CE19 juin 2017CE, 10-9 chambres réunies, 19 juin 2017, M. A., n° 398442, Rec., points 3-4(source)
Contestation par l'auteur d'une plainte des suites données à celle-ci par la CNIL – 1) Intérêt à déférer au juge de l'excès de pouvoir le refus de la CNIL de donner suite à cette plainte – Existence – Intérêt à contester la décision prise à l'issue de l'instruction de la plainte – Absence – 2) Application au cas dans lequel une sanction a été prononcée après instruction de la plainte – Intérêt de l'auteur de la plainte à contester la sanction prononcée, en tant qu'elle n'est pas assez sévère – Absence – Intérêt à contester devant le juge de l'excès de pouvoir le refus de la CNIL de lui fournir des informations relatives à la clôture de sa plainte – Existence
1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus de la Commission nationale de l'informatique et des libertés (CNIL) d'y donner suite. Il appartient au juge de censurer ce refus en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. En revanche, lorsque la CNIL a décidé d'instruire une plainte, l'auteur de celle-ci n'a intérêt à contester ni la décision prise à l'issue de cette instruction, quel qu'en soit le dispositif, ni la clôture de sa plainte prononcée subséquemment.
2) Il s'ensuit que l'auteur d'une plainte n'est pas recevable à demander l'annulation de la sanction prononcée par la CNIL à l'encontre d'un tiers à l'issue de l'instruction de la plainte qu'il a formée, en tant que celle-ci ne serait pas assez sévère. En revanche, l'auteur d'une plainte est recevable à déférer au juge de l'excès de pouvoir le refus de la CNIL de lui fournir les informations relatives aux suites données à sa plainte auxquelles il a droit en application des dispositions de l'article 11 2° c) de la loi n° 78‑17 du 6 janvier 1978 dans sa rédaction applicable. Il résulte de ces dispositions que, lorsque la plainte conduit à sanctionner la personne mise en cause, la complète information de son auteur comprend nécessairement, y compris lorsque la sanction a été rendue publique, la communication de la nature des manquements retenus et de la teneur de la sanction prononcée, sous réserve des secrets protégés par la loi.
CE30 décembre 2015CE, 10ème/9ème SSR, 30 décembre 2015, Société Orange, n° 385019, T., point 7(source)
Obligation des fournisseurs de services de communications électroniques accessibles au public d'informer la CNIL en cas de violation de données à caractère personnel (art. 34 bis de la loi du 6 janvier 1978) – 1) Moyen tiré de ce que cette obligation méconnaît l'art. 6‑1 de la CEDH et les art. 47 et 48 de la Charte des droits fondamentaux – Inopérance – 2) Moyen tiré de ce qu'une sanction prononcée à raison d'un manquement révélé du fait de cette obligation méconnaît ces mêmes stipulations – Opération
1) Les dispositions de l'article 34 bis de la loi n°78‑17 du 6 janvier 1978 imposent seulement aux fournisseurs de services de communications électroniques accessibles au public d'informer la CNIL et, le cas échéant, les personnes intéressées lorsqu'ils constatent une violation de données à caractère personnel. Elles n'ont ni pour objet ni pour effet de leur imposer de révéler des manquements qui leur seraient imputables. Un requérant ne saurait dès lors utilement soutenir qu'elles méconnaîtraient les stipulations du 1 de l'article 6 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH), qui garantissent le droit de ne pas contribuer à sa propre incrimination, et les articles 47 et 48 de la Charte des droits fondamentaux de l'Union européenne, qui garantissent le droit d'accéder à un tribunal impartial et les droits de la défense.
2) En revanche, un requérant peut utilement soutenir qu'une sanction prononcée par la CNIL contre un fournisseur de services de communications électroniques accessibles au public à raison d'un manquement révélé du fait de l'obligation prévue par les dispositions de l'article 34 bis méconnaît ces stipulations.
ème ème
CE16 février 2015CE, 10ème/9ème SSR, 16 février 2015, M. et Mme A … B…, n° 362781, T., point 3(source)
Moyen tiré de la méconnaissance du règlement intérieur de la CNIL auquel renvoie la loi – Opérance
Un requérant peut utilement se prévaloir de la méconnaissance du règlement intérieur de la Commission nationale de l’informatique et des libertés (CNIL), auquel renvoient les dispositions du dernier alinéa de l’article 13 de la loi n°78‑17 du 6 janvier 1978, selon lesquelles la CNIL établit un règlement intérieur qui fixe les règles relatives à l’organisation et au fonctionnement de la commission et précise notamment les règles relatives aux délibérations, à l’instruction des dossiers et à leur présentation devant la commission.
