Le cadre juridique de cette affaire repose sur plusieurs textes, notamment la loi du 6 janvier 1978 relative à l’informatique, ainsi que le code de la sécurité intérieure. Ces textes stipulent que les traitements de données à caractère personnel, en lien avec la sécurité de l’État, doivent être autorisés par arrêté ministériel après avis de la CNIL. Le Conseil d’État est compétent pour examiner les requêtes relatives à l’accès à ces données.
La CNIL a mené des investigations suite à la demande du requérant, mais a conclu que la procédure était terminée sans fournir d’informations supplémentaires. Le ministre de l’intérieur a également communiqué des éléments au Conseil d’État, conformément aux règles de procédure.
La formation spécialisée du Conseil d’État a examiné les éléments fournis et a constaté qu’aucune illégalité n’était présente dans le traitement des données du requérant. En conséquence, le Conseil d’État a rejeté la requête, confirmant que les droits du requérant n’avaient pas été violés et que les données en question étaient conformes aux exigences légales. La décision a été rendue le 15 juillet 2025, et une notification a été adressée au requérant ainsi qu’au ministre de l’intérieur.. Consulter la source documentaire
En vertu de l’article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l’État et intéressant la sûreté de l’État, la défense ou la sécurité publique sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé de la Commission nationale de l’informatique et des libertés (CNIL).
Cet article précise également que les traitements portant sur des données mentionnées au I de l’article 6 de la même loi doivent être autorisés par décret en Conseil d’État, pris après avis motivé de la CNIL, et publié avec ce décret. Il est à noter qu’un décret en Conseil d’État peut dispenser de publication l’acte réglementaire autorisant la mise en œuvre de ces traitements, et que le sens de l’avis émis par la CNIL doit être publié avec ce décret.
L’article L. 841-2 du code de la sécurité intérieure stipule que le Conseil d’État est compétent pour connaître, dans les conditions prévues au chapitre III bis du titre VII du livre VII du code de justice administrative, des requêtes concernant la mise en œuvre du droit d’accès aux traitements de données à caractère personnel mis en œuvre pour le compte de l’État et intéressant la sûreté de l’État ou la défense.
De plus, l’article R. 841-2 du même code précise que le fichier des personnes recherchées (FPR) figure parmi ces traitements, mais uniquement pour les données intéressant la sûreté de l’État mentionnées aux 8° et 10° du III de l’article 2 du décret du 28 mai 2010.
L’article L. 773-8 du code de justice administrative dispose que, lorsqu’elle traite des requêtes relatives à la mise en œuvre du droit d’accès, la formation de jugement se fonde sur les éléments contenus dans le traitement sans les révéler, ni indiquer si le requérant figure ou non dans le traitement.
Cependant, si la formation constate que le traitement comporte des données à caractère personnel inexactes, incomplètes, équivoques ou périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite, elle en informe le requérant sans faire état d’éléments protégés par le secret de la défense nationale. Elle peut également ordonner que ces données soient rectifiées, mises à jour ou effacées, et peut indemniser le requérant si cela est requis.
Selon l’article R. 773-20 du code de justice administrative, le défendeur doit indiquer au Conseil d’État, lors du dépôt de ses mémoires et pièces, les passages protégés par le secret de la défense nationale. Les mémoires et pièces produites sont communiqués au requérant, à l’exception des passages contenant des informations protégées, confirmant ou infirmant la mise en œuvre d’une technique de renseignement à l’égard du requérant, ou révélant des éléments contenus dans le traitement de données.
La formation spécialisée, créée par l’article L. 773-2 du code de justice administrative, est chargée de vérifier si le requérant figure ou non dans le fichier litigieux, et si les données y figurant sont pertinentes, adéquates et proportionnées. Si des informations relatives au requérant sont présentes et entachées d’illégalité, la formation doit en informer le requérant et ordonner la rectification ou l’effacement des données illégales.
Si le Conseil d’État constate que des données à caractère personnel concernant le requérant sont inexactes, incomplètes, équivoques ou périmées, ou que leur collecte, utilisation, communication ou consultation est interdite, il doit en informer le requérant sans révéler d’éléments protégés par le secret de la défense nationale.
Dans ce cas, l’autorité gestionnaire du fichier est tenue de rétablir la légalité en effaçant ou en rectifiant les données illégales. L’article L. 773-8 précise que cette situation, relevée d’office par le juge, implique nécessairement l’annulation de la décision implicite refusant de procéder à un tel effacement ou à une telle rectification.
Approfondir ce sujet :