La CNIL a ensuite rejeté cette demande, ce qui a incité l’individu à saisir le Conseil d’État pour annuler cette décision, arguant d’un excès de pouvoir. Selon la législation en vigueur, la CNIL a le pouvoir d’examiner les plaintes et de décider des suites à donner, en tenant compte de divers facteurs, notamment la gravité des manquements allégués. Le Conseil d’État a examiné si la CNIL avait commis une erreur dans sa décision de clore la plainte initiale.
Il a été établi que la CNIL n’avait pas commis d’erreur en considérant que la transmission des données par le ministère de la Justice mettait fin au refus de communication. De plus, le Conseil d’État a confirmé que la CNIL avait agi correctement en ne donnant pas suite à la demande de l’individu concernant l’identité des agents, car cela aurait pu porter atteinte aux droits d’autres personnes. En conséquence, le Conseil d’État a rejeté la requête de l’individu, confirmant la légalité des décisions prises par la CNIL.. Consulter la source documentaire
Le cadre juridique applicable à la réclamation relative à la communication des données à caractère personnel est principalement régi par la loi n° 78-17 du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés, ainsi que par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, connu sous le nom de RGPD.
L’article 8 de la loi de 1978 stipule que « toute personne a le droit d’accéder aux données à caractère personnel la concernant ». De plus, l’article 20 de cette même loi précise que la Commission nationale de l’informatique et des libertés (CNIL) est chargée d’examiner les plaintes relatives à la mise en œuvre de ces droits. La CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner à une plainte, en tenant compte de la gravité des manquements allégués et du contexte.
Le droit d’accès aux données à caractère personnel est défini par l’article 15 du RGPD. Cet article stipule que « la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données ».
Le paragraphe 1 de l’article 5 du RGPD précise également que la personne concernée a le droit d’obtenir des informations sur les destinataires ou catégories de destinataires auxquels les données ont été ou seront communiquées. En vertu du paragraphe 3, le responsable du traitement doit fournir une copie des données à caractère personnel faisant l’objet d’un traitement. Toutefois, le paragraphe 4 indique que ce droit ne doit pas porter atteinte aux droits et libertés d’autrui.
La CNIL dispose d’un pouvoir d’appréciation important lorsqu’elle est saisie d’une plainte. Selon l’article 20 de la loi du 6 janvier 1978, elle doit examiner les faits à l’origine de la plainte et décider des suites à donner. Ce pouvoir d’appréciation est exercé sous le contrôle du juge de l’excès de pouvoir, notamment lorsque la plainte concerne la méconnaissance des droits garantis par la loi à la personne concernée.
La CNIL peut tenir compte de divers éléments, tels que la gravité des manquements allégués, le sérieux des indices relatifs à ces faits, et le contexte dans lequel ils se sont produits. Cela lui permet de déterminer si une suite favorable doit être donnée à la plainte.
La CNIL est chargée d’examiner les demandes de réouverture d’instruction en vertu de son pouvoir d’appréciation. Dans le cas présent, le demandeur a sollicité la réouverture de sa plainte après avoir reçu des données, mais en raison de l’occultation de certaines informations. La CNIL doit alors évaluer si les motifs avancés justifient la réouverture de l’instruction.
Cependant, la CNIL n’est pas tenue d’accéder à toutes les demandes de réouverture. Elle peut décider de ne pas donner suite si elle estime que les éléments fournis ne remettent pas en cause la légalité de sa décision initiale. Cela a été le cas dans la décision du 27 mai 2024, où la CNIL a considéré que la communication des données effectuée par le ministère de la justice mettait fin au refus initial.
L’article 15 du RGPD, notamment son paragraphe 4, stipule que le droit d’obtenir une copie des données à caractère personnel ne doit pas porter atteinte aux droits et libertés d’autrui. Cela signifie que lorsque des données à caractère personnel sont traitées, la CNIL doit s’assurer que la communication de ces données ne compromet pas les droits d’autres personnes.
Dans le cas présent, la CNIL a justifié son refus de communiquer l’identité des agents du bureau d’aide juridictionnelle en se fondant sur cette disposition. Elle a estimé que la divulgation de ces informations pourrait porter atteinte aux droits des agents concernés, ce qui a conduit à la décision de rejet de la plainte du demandeur.
Le demandeur a la possibilité de contester le refus de la CNIL devant le juge de l’excès de pouvoir. Selon l’article 20 de la loi du 6 janvier 1978, l’auteur d’une plainte peut déférer au juge le refus de la CNIL d’y donner suite. Ce recours permet au demandeur de faire examiner la légalité de la décision de la CNIL.
Le juge de l’excès de pouvoir va alors vérifier si la CNIL a respecté les dispositions légales et réglementaires en vigueur, notamment en ce qui concerne l’exercice des droits d’accès, de rectification, d’effacement, de limitation et d’opposition, tels que prévus aux articles 49, 50, 51, 53 et 56 de la loi de 1978.
Approfondir ce sujet :