CJUE9 janvier 2025CJUE, 9 janvier 2025, Österreischische Datenschutzbehörde, C‑416/23(source)
Missions de l'autorité de contrôle – Notions de (1) “demande” et de (2) “demandes excessives” – (3) Exigence de paiement de frais raisonnables ou refus de donner suite aux demandes en cas de demandes manifestement infondées ou excessives – Conditions
L'article 57, paragraphe 4, du règlement général sur la protection des données doit être interprété en ce sens que:
1) La notion de demande qui y figure recouvre les réclamations visées à l’article 57, paragraphe 1, sous f), et à l’article 77, paragraphe 1, de ce règlement.
2) Des demandes ne peuvent être qualifiées d’excessives, au sens de l’article 57, paragraphe 4, de ce règlement, uniquement en raison de leur nombre pendant une période déterminée, l’exercice de la faculté prévue à cette disposition étant subordonné à la démonstration, par l’autorité de contrôle, de l’existence d’une intention abusive de la part de la personne ayant introduit ces demandes.
3) Lorsqu’elle est confrontée à des demandes excessives, une autorité de contrôle peut choisir, par une décision motivée, entre exiger le paiement de frais raisonnables basés sur les coûts administratifs ou refuser de donner suite à ces demandes, en tenant compte de l’ensemble des circonstances pertinentes et en s’assurant du caractère approprié, nécessaire et proportionné de l’option choisie.
CJUEDate non renseignéeCJUE, 28 novembre 2024, Másdi, C-169/23, points 72, 73(source)
Réclamation fondée sur un grief à l'article 14 du RGPD – Vérifications du respect de l'article 32 - Absence
Les obligations consacrées à l’article 32 du RGPD, qui doivent être respectées en toute hypothèse et indépendamment de l'existence ou non d'une obligation d'information en vertu de l’article 14 de ce règlement, sont de nature et de portée différentes par rapport à l'obligation d'information prévue à l’article 14. Ainsi, en cas de Réclamation au titre de l’article 77, paragraphe 1, du RGPD, au motif que le responsable du traitement a invoqué, à tort, l'exception prévue à l’article 14, paragraphe 5, sous c), de ce règlement, l'objet des vérifications à effectuer par l'autorité de contrôle est circonscrit par le champ d'application du seul article 14 dudit règlement; le respect de l’article 32 de celui‑ci ne fait pas partie de ces vérifications.
Cass3 février 1998Cass, crim., 3 février 1998, n° 96-82.665, B., point 6(source)
Pouvoir d'appréciation de la CNIL de la suite à donner aux plaintes qui lui sont adressées
La Commission nationale de l'informatique et des libertés, autorité administrative indépendante chargée de veiller au respect des dispositions de la loi n°78‑17 du 6 janvier 1978, dispose du pouvoir d'appréciation de la suite à donner aux plaintes qui lui sont adressées, quelle que soit la décision prise ensuite par les autorités judiciaires, saisies en application des articles 21 4° de ladite loi et 40 du code de procédure pénale.
CE9 février 2024CE, 10-9 chambres réunies, 9 février 2024, MM. D…, n° 472215, Rec., points 7-8(source)
Respect d'une procédure contradictoire préalable à la décision de la CNIL clore une plainte - Absence d'obligation
Les dispositions de l'article L. 121‑1 du code des relations entre le public et l’administration, qui prévoient la mise en œuvre d’une procédure contradictoire préalable à certaines décisions « exception faite des cas où il est statué sur une demande », ne sont pas complétées par aucun autre texte ou principe imposant, à l’égard de l’auteur d’une plainte adressée à la CNIL, le respect d’une procédure contradictoire préalablement à la décision de cette commission de la clore.
CE24 juillet 2023CE, 10-9 chambres réunies, 24 juillet 2023, M. A… D…, n° 465229, T., points 2-4(source)
1) Réclamation auprès d'une autorité de contrôle introduite par une personne concernée – Informations à fournir par l'autorité de contrôle, notamment la possibilité d'exercer un recours juridictionnel – 2) Réclamation auprès de la CNIL – Décision implicite de rejet en cas de silence gardé – Réponse avant l'échéance du délai de trois mois – Exclusion
1) En application de l'article 77 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD), toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. Cette autorité de contrôle informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'exercer un recours juridictionnel en vertu de l'article 78 lorsque l'autorité de contrôle compétente ne traite pas sa réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de sa réclamation.
2) En application du 2° du I de l'article 8 de la loi n° 78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la Commission nationale de l'informatique et des libertés (CNIL) traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête est nécessaire. L'article 10 du décret n° 2019‑536 du 29 mai 2019 précise que le silence gardé pendant trois mois par la commission sur une réclamation vaut décision implicite de rejet. Une personne concernée à laquelle la Commission a adressé une réponse, avant l'échéance de ce délai de trois mois, l'informant de la saisine du délégué à la protection des données de la société faisant l'objet de la réclamation et de ce qu'elle serait tenue informée de la suite réservée à cette réclamation, et dont la plainte a finalement été clôturée par une décision répondant à l'ensemble de ses demandes, n'est pas fondée à soutenir qu'une décision implicite de rejet serait née du silence gardé par la CNIL sur ses demandes.
CE27 mars 2023CE, 10-9 chambres réunies, 27 mars 2023, Mme D… E…, n° 467774, T., points 4-5(source)
Contestation par l'auteur d'une plainte ou réclamation des suites données à celle-ci par la CNIL – 1) Intérêt à déférer au juge de l'excès de pouvoir le refus d'engager une procédure sur le fondement de l'article 20 de la loi du 6 janvier 1978 – Existence – 2) Cas où la formation restreinte a été saisie (III de l'art. 20) – a) Intérêt à contester la décision prise à l'issue de la procédure – Absence – b) Cas où le plaignant invoque la méconnaissance, par un responsable de traitement, de droits légalement garantis à l'égard de données personnelles le concernant – Intérêt à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de satisfaire à sa demande ou du refus de la formation restreinte de lui enjoindre d'y procéder – Existence
1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi n° 78‑17 du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues au I et II de ce même article.
2) a) En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif.
b) Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui‑ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder.
CE21 octobre 2022CE, 10 – 9 chambres réunies, 21 octobre 2022, Mme A…C..., n° 459254, Rec., points 6-7(source)
Obligation de motivation – 1) Rejet d'une plainte relative à la méconnaissance d'un droit individuel reconnu par le RGPD – Existence – 2) Rejet d'une plainte relative à la méconnaissance d'une autre disposition du RGPD – Absence
Le refus de la Commission nationale de l'informatique et des libertés (CNIL) de donner suite à une plainte fondée sur la méconnaissance d'un droit individuel reconnu par le RGPD est au nombre des décisions administratives individuelles défavorables qui refusent un avantage dont l'attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l'obtenir, au sens et pour l'application du 6° de l'article L. 211‑2 du code des relations entre le public et l'administration (CRPA), et qui doivent, à ce titre, être motivées.
En revanche, la décision de ne pas donner suite à une plainte fondée sur de potentiels manquements aux règles relatives au délégué à la protection des données au titre des articles 38 et 39 du RGPD n'est pas au nombre des décisions individuelles défavorables énumérées à l'article L. 211‑2 du CRPA et n'a pas, dès lors, à être motivée.
CE3 octobre 2018CE, 10-9 chambres réunies, 3 octobre 2018, M. A… B…, n° 405939, T., point 3(source)
Plainte fondée sur la méconnaissance de l'article 40 Loi Informatique et Libertés – Pouvoir d’appréciation de la CNIL sous contrôle du juge
Lorsque l’auteur d’une plainte se fonde sur la méconnaissance des droits qu’il tient du I de l’article 40 de la loi Informatique et Libertés du 6 janvier 1978, notamment du droit de rectification de ses données personnelles, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature des droits individuels en cause, sous l’entier contrôle du juge de l’excès de pouvoir.
CE21 juin 2018CE, 10-9 chambres réunies, 21 juin 2018, M. B… A…, n° 416505, T., point 2ème; CE, 10-9 chambres réunies, 3 octobre 2018, M. A… B…, n° 405939, T., point 2(source)
1) Contestation par l'auteur d'une plainte des suites données à celle - ci par la CNIL – Intérêt à déférer au juge de l'excès de pouvoir le refus de la CNIL d'engager une procédure de sanction sur le fondement du I de l'article 45 de la loi du 6 janvier 1978, y compris en cas de mesures d'instruction ou de constat d'un manquement – Existence – 2) Intérêt à contester la décision prise à l'issue de la procédure de sanction prévue à cet article et le sort réservé à sa plainte – Absence – Intérêt à contester devant le juge de l'excès de pouvoir le refus de la CNIL de lui fournir des informations des suites données à sa plainte – Existence
1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus de la CNIL d'engager une procédure de sanction, y compris lorsque la CNIL procède à des mesures d'instruction ou constate l'existence d'un manquement aux dispositions de la loi du 6 janvier 1978. Il appartient au juge de censurer ce refus en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir.
2) En revanche, lorsque la CNIL a décidé d'engager une telle procédure, l'auteur de la plainte n'a intérêt à contester ni la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif, ni le sort réservé à sa plainte à l'issue de cette dernière. Il est toutefois recevable à déférer au juge de l'excès de pouvoir le défaut d'information par la CNIL des suites données à sa plainte.
CE19 juin 2017CE, 10–9 chambres réunies, 19 juin 2017, M. A, n° 398442, T., points 3-5(source)
Contestation par l'auteur d'une plainte des suites données à celle-ci par la CNIL – 1) Intérêt à déférer au juge de l'excès de pouvoir le refus de la CNIL de donner suite à cette plainte – Existence – Intérêt à contester la décision prise à l'issue de l'instruction de la plainte – Absence – 2) Application au cas dans lequel une sanction a été prononcée après instruction de la plainte – Intérêt de l'auteur de la plainte à contester la sanction prononcée, en tant qu'elle n'est pas assez sévère – Absence – Intérêt à contester devant le juge de l'excès de pouvoir le refus de la CNIL de lui fournir des informations relatives à la clôture de sa plainte – Existence
1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus de la Commission nationale de l'informatique et des libertés (CNIL) d'y donner suite. Il appartient au juge de censurer ce refus en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. En revanche, lorsque la CNIL a décidé d'instruire une plainte, l'auteur de celle-ci n'a intérêt à contester ni la décision prise à l'issue de cette instruction, quel qu'en soit le dispositif, ni la clôture de sa plainte prononcée subséquemment.
2) Il s'ensuit que l'auteur d'une plainte n'est pas recevable à demander l'annulation de la sanction prononcée par la CNIL à l'encontre d'un tiers à l'issue de l'instruction de la plainte qu'il a formée, en tant que celle-ci ne serait pas assez sévère. En revanche, l'auteur d'une plainte est recevable à déférer au juge de l'excès de pouvoir le refus de la CNIL de lui fournir les informations relatives aux suites données à sa plainte auxquelles il a droit en application des dispositions de l'article 11 2° c) de la loi n°78‑17 du 6 janvier 1978. Il résulte de ces dispositions que, lorsque la plainte conduit à sanctionner la personne mise en cause, la complète information de son auteur comprend nécessairement, y compris lorsque la sanction a été rendue publique, la communication de la nature des manquements retenus et de la teneur de la sanction prononcée, sous réserve des secrets protégés par la loi.
CE10 avril 2015CE, 10ème/9ème SSR, 10 avril 2015, M. A, n° 376575, T., point 5(source)
Possibilité de rejeter une plainte comme abusive – Existence, même sans texte – Condition – Examen préalable de la plainte
La Commission nationale informatique et libertés (CNIL) dispose, dans le cadre de la mission qui lui est confiée par l’article 2° de l’article 11 de la loi n°78‑17 du 6 janvier 1978, de la faculté, ouverte même sans texte, de rejeter les plaintes dont elle est saisie et présentant un caractère abusif, sous le contrôle du juge. Si les dispositions de l’article 19 de la loi n°2000‑321 du 12 avril 2000 (loi DCRA) dispensent les autorités administratives d’accuser réception des demandes abusives dont elles sont saisies, la CNIL ne peut cependant rejeter ainsi des plaintes sans examen préalable de chacune d’elles.
CE5 décembre 2011CE, 10ème/9ème SSR, 5 décembre 2011, M. X, n° 319545, Rec., point 8(source)
Refus par la CNIL de donner suite à une demande de mise en œuvre de ses pouvoirs d'enquête – 1 ) Mesure susceptible de recours pour excès de pouvoir – 2 ) Contrôle du juge – Contrôle restreint – Cas du rejet d'une demande formulée en termes généraux – Erreur manifeste d'appréciation – Absence
1) Une décision par laquelle la CNIL refuse de donner suite à une demande tendant à ce qu'elle mette en œuvre les pouvoirs d'enquête dont elle peut faire usage sur le fondement de l'article 11 de la loi n°78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, lorsqu'elle est saisie d'une réclamation, pétition ou plainte relative à la mise en œuvre des traitements de données à caractère personnel, est susceptible de faire l'objet d'un recours pour excès de pouvoir.
2) Toutefois, si l'intéressé se borne à demander à la CNIL de manière générale, de faire respecter la loi du 6 juillet 1978 relative à l'informatique, aux fichiers et aux libertés et de faire « effacer l'ensemble des fichiers contenant des données personnelles collectées par les services consulaires français sans information préalable des personnes concernées », la CNIL ne commet pas d'erreur manifeste d'appréciation en ne donnant pas suite à ces réclamations.
CE30 mai 2001CE, 10ème/9ème SSR, 30 mai 2001, M.X, n° 219731, Inédit., point 3(source)
Existence d'un traitement d'informations nominatives révélée à l'occasion d'une procédure judiciaire – Compétence de la CNI L
La circonstance que l'existence d'un traitement automatisé d'informations nominatives aurait été révélée à l'occasion d'une procédure judiciaire ne saurait, à elle seule, faire obstacle à ce que la Commission nationale de l'informatique et des libertés (CNIL) exerce les attributions qu'elle confie la loi n°78-17 du 6 janvier 1978. En se déclarant incompétente pour connaître des faits dénoncés au seul motif qu'une juridiction avait à connaître de ces faits, la commission a entaché sa décision d'une erreur de droit.
CE10 décembre 1993CE, Section, 10 décembre 1993, Association « Fraternité blanche universelle », n° 106596, T.(source)
Pouvoirs de la CNIL – Étendue – Demande d'enquête relative à la saisie de copies d'un fichier – Opérations se rattachant au fonctionnement du service public judiciaire – Compétence liée de la CNIL pour rejeter une telle demande
La CNIL a compétence liée pour rejeter une demande tendant à ce qu'une enquête soit diligentée sur les conditions dans lesquelles ont été saisies et conservées des copies du fichier informatisé des membres d'une association, dès lors que cette opération, menée par la gendarmerie, en exécution d'une commission rogatoire délivrée dans le cadre d'une instruction pénale, se rattache au fonctionnement du service public judiciaire, qu'il n'appartient qu'à l'autorité judiciaire de connaître.
