Transfert de données personnelles : recours contre la CNIL et protection des droits fondamentaux

La décision implicite de rejet d’une plainte par la CNIL peut être contestée par voie de recours pour excès de pouvoir. Si la CNIL a émis une décision explicite de clôture, le recours devient sans objet. Le silence de la CNIL pendant trois mois a conduit à une décision implicite de rejet, mais l’instruction ultérieure a annulé cette situation. La CNIL doit informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête, ce qu’elle a fait dans ce cas.

Dans cette affaire, un administré a introduit deux requêtes auprès du Conseil d’État concernant le traitement de ses données personnelles par une société exploitant un site internet. La première requête, enregistrée le 31 janvier 2024, vise à annuler la décision implicite de rejet de la Commission nationale de l’informatique et des libertés (CNIL) concernant une plainte déposée le 1er novembre 2022. Cette plainte portait sur le transfert de données personnelles vers les États-Unis, en raison de l’utilisation d’un réseau de distribution de contenus, ainsi que sur le manque d’information sur ces transferts. L’administré demande également que la CNIL soit contrainte d’instruire à nouveau sa plainte sous astreinte.

La seconde requête, enregistrée le 17 mai 2024, demande au Conseil d’État de surseoir à statuer et de renvoyer une question préjudicielle à la Cour de justice de l’Union européenne concernant la conformité d’une décision d’exécution de la Commission européenne aux droits fondamentaux de l’Union. L’administré conteste également la clôture de sa plainte par la CNIL, intervenue par courrier le 28 mars 2024, et demande des mesures pour garantir un traitement diligent des réclamations.

Le Conseil d’État a constaté que les deux requêtes soulevaient des questions similaires et a décidé de les joindre pour statuer ensemble. Il a rappelé que, selon le règlement général sur la protection des données (RGPD), toute personne concernée a le droit de déposer une plainte auprès d’une autorité de contrôle. Toutefois, il a noté que la CNIL avait poursuivi l’instruction de la plainte au-delà du délai de trois mois, ce qui a conduit à une décision explicite de clôture. Par conséquent, le Conseil d’État a jugé qu’il n’y avait pas lieu de statuer sur les demandes d’annulation et d’injonction de l’administré.

La décision explicite de clôture d’une plainte par la CNIL peut-elle être contestée par voie de recours pour excès de pouvoir lorsque l’instruction a été poursuivie au-delà du délai de trois mois?

La décision implicite de rejet d’une plainte par la Commission nationale de l’informatique et des libertés (CNIL) peut être contestée par voie de recours pour excès de pouvoir, conformément à l’article 78 du règlement (UE) 2016/679. Toutefois, si la CNIL a poursuivi l’instruction de la plainte et a émis une décision explicite de clôture, le recours devient sans objet. En l’espèce, le silence gardé par la CNIL pendant trois mois a conduit à une décision implicite de rejet, mais la suite de l’instruction a annulé cette situation.

En ce qui concerne la clôture de la plainte, l’article 8 de la loi du 6 janvier 1978 stipule que la CNIL doit informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête. Si cette obligation n’est pas respectée, le plaignant peut demander un recours juridictionnel effectif. Dans le cas présent, la CNIL a informé le requérant de la clôture de sa plainte, ce qui répond à son obligation d’information.

Pour les demandes d’injonction, l’article 57 du RGPD confère à la CNIL le pouvoir de contrôler l’application du règlement et de veiller au respect des droits des personnes concernées. Si une décision de clôture est contestée, il est possible de demander à la CNIL de réexaminer la plainte, mais cela doit être fait dans le cadre des procédures établies.

Enfin, le renvoi d’une question préjudicielle à la Cour de justice de l’Union européenne peut être envisagé si des doutes subsistent quant à la conformité d’une décision d’exécution avec les droits fondamentaux. Cela permet d’assurer une interprétation uniforme du droit de l’Union européenne.

• Requête enregistrée le 31 janvier 2024 au secrétariat du contentieux du Conseil d’Etat.
• Plainte déposée le 1er novembre 2022 auprès de la CNIL concernant le transfert de données personnelles vers les États-Unis.
• Courrier de la CNIL du 3 novembre 2022 informant de la prise en charge de la demande.
• Courrier de la CNIL du 28 mars 2024 informant de la clôture de la plainte.
• Article 77 du règlement (UE) 2016/679 relatif à la protection des données à caractère personnel.
• Article 10 du décret du 29 mai 2019 précisant que le silence gardé pendant trois mois vaut décision de rejet.

Dans cette affaire, le demandeur conteste la décision implicite de rejet de sa plainte par la CNIL, ainsi que la décision de clôture ultérieure. La CNIL, en poursuivant l’instruction de la plainte et en émettant une décision explicite, a annulé la situation de rejet implicite, ce qui a des conséquences sur les recours possibles du demandeur.

• Annulation de la décision implicite de rejet, rendant le recours sans objet.
• Obligation pour la CNIL de poursuivre l’instruction des plaintes conformément aux délais réglementaires.
• Possibilité pour le demandeur de demander un réexamen de sa plainte si des éléments nouveaux apparaissent.
• Impact sur la perception de l’efficacité de la CNIL dans le traitement des plaintes relatives aux données personnelles.
• Conséquences potentielles sur la jurisprudence concernant les recours contre les décisions de la CNIL.

À faire

• Contester la décision implicite de rejet par recours pour excès de pouvoir.
• Vérifier l’état d’avancement de la plainte auprès de la CNIL.
• Demander un recours juridictionnel effectif si non informé de l’issue.
• Soumettre une demande de réexamen de la plainte si nécessaire.
• Envisager un renvoi préjudiciel à la Cour de justice de l’UE si des doutes subsistent.

À éviter

• Ignorer le silence de la CNIL pendant trois mois sans action.
• Ne pas respecter les procédures établies par la CNIL pour les contestations.
• Attendre sans suivre l’évolution de la plainte après la clôture.
• Omettre de se référer aux articles pertinents du RGPD et de la loi de 1978.
• Ne pas documenter les communications avec la CNIL pour référence future.

Quelle est la règle de droit applicable concernant le droit d’introduire une réclamation auprès d’une autorité de contrôle en matière de protection des données personnelles ?

Le droit d’introduire une réclamation auprès d’une autorité de contrôle est prévu par l’article 77 du règlement (UE) du 27 avril 2016 relatif à la protection des données à caractère personnel. Cet article stipule que toute personne concernée a le droit d’introduire une réclamation si elle considère que le traitement de ses données personnelles constitue une violation de ce règlement. De plus, l’article 78, paragraphe 2, précise que toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l’autorité de contrôle ne traite pas une réclamation ou n’informe pas la personne concernée dans un délai de trois mois.

Quelles sont les conditions de traitement des réclamations par la Commission nationale de l’informatique et des libertés (CNIL) ?

Les conditions de traitement des réclamations par la CNIL sont définies par l’article 8, d) du 2° du I de la loi n° 78-17 du 6 janvier 1978. Cet article stipule que la CNIL doit examiner ou enquêter sur l’objet de la réclamation dans la mesure nécessaire et informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable. Le décret du 29 mai 2019 précise que le silence gardé pendant trois mois par la CNIL sur une réclamation vaut décision de rejet.

Quels sont les effets juridiques du silence gardé par la CNIL sur une réclamation ?

Le silence gardé par la CNIL pendant trois mois sur une réclamation vaut décision de rejet, conformément à l’article 10 du décret du 29 mai 2019. Cela signifie que si la CNIL ne fournit pas d’information sur l’état d’avancement de la réclamation dans ce délai, le demandeur peut considérer que sa plainte a été rejetée.

Quelle est la portée de la décision explicite de clôture de la plainte par la CNIL ?

La décision explicite de clôture de la plainte par la CNIL, intervenue le 28 mars 2024, a pour effet de rendre sans objet les conclusions aux fins d’annulation et d’injonction présentées par le demandeur. En effet, la CNIL ayant poursuivi l’instruction de la plainte au-delà du délai de trois mois et ayant pris une décision explicite, il n’y a plus lieu de statuer sur les demandes d’annulation pour excès de pouvoir.

Quels sont les critères de recevabilité des recours juridictionnels en matière de protection des données personnelles ?

Les critères de recevabilité des recours juridictionnels en matière de protection des données personnelles sont établis par l’article 78 du règlement (UE) 2016/679. Ce texte précise que le recours est recevable lorsque l’autorité de contrôle ne traite pas une réclamation ou n’informe pas la personne concernée dans le délai de trois mois. Ainsi, la recevabilité dépend de l’absence de réponse de l’autorité de contrôle dans le délai imparti.

Quels éléments déterminants la juridiction a-t-elle retenus pour statuer sur la requête du demandeur ?

La juridiction a retenu que la CNIL a poursuivi l’instruction de la plainte au-delà du délai de trois mois et a pris une décision explicite de clôture de celle-ci. Cela a conduit à la conclusion qu’il n’y avait pas lieu de statuer sur les conclusions d’annulation et d’injonction, car la décision explicite de la CNIL a mis fin à la procédure de traitement de la plainte.