Protection des données → Clôture de plainte par la CNIL : recours et enjeux juridiques

RÉPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

Vu la procédure suivante :

Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés le 22 mai 2024 et les 13 janvier et 13 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

1. d’annuler pour excès de pouvoir la décision du 6 mai 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative à l’utilisation, par …, d’outils impliquant des transferts de données à caractère personnel vers les Etats-Unis ;
2. d’enjoindre à la CNIL d’instruire à nouveau sa plainte dans le respect des dispositions du règlement général relatif à la protection des données (RGPD) et de prendre une sanction dissuasive, dans un délai de trois mois.

Vu les autres pièces du dossier ;

Vu :

• le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
• la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ;
• la loi n° 78-17 du 6 janvier 1978 ;
• le code de justice administrative ;

Après avoir entendu en séance publique :

• le rapport de Mme Sophie Delaporte, conseillère d’Etat,
• les conclusions de M. Frédéric Puigserver, rapporteur public ;

Vu la note en délibéré, enregistrée le 21 décembre 2025, présentée par M. A… ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, le 20 mars 2023, M. A… a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de … relative à l’utilisation, par celle-ci, d’outils impliquant des transferts de données à caractère personnel vers les Etats-Unis. Par un courrier du 6 mai 2024, la CNIL a informé le requérant de l’adoption par la Commission européenne, depuis la réception de sa plainte, d’une décision d’adéquation constatant que les Etats-Unis assurent un niveau de protection des données à caractère personnel équivalent à celui de l’Union européenne. Elle lui a également indiqué, d’une part, être intervenue auprès du responsable de traitement pour les transferts de données à caractère personnel vers les Etats-Unis ayant eu lieu avant l’entrée en vigueur de cette décision d’adéquation, le 10 juillet 2023, d’autre part, prononcer la clôture de sa plainte. M. A… demande l’annulation pour excès de pouvoir de cette décision et qu’il soit enjoint à la CNIL, d’une part, de réexaminer sa plainte et de sanctionner …, d’autre part, d’étudier la légitimité de la décision d’adéquation prise par la Commission européenne.
2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.
3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.
4. Il ressort des pièces du dossier que la CNIL, saisie de la plainte de M. A…, a décidé de rappeler … à ses obligations légales. Elle lui a, à ce titre, indiqué que conformément à l’article 44 du RGPD, il lui appartient d’encadrer juridiquement tout transfert de données à caractère personnel, collectées à partir d’un outil utilisé par son site internet, vers un pays tiers. S’agissant des transferts de données vers les Etats-Unis, elle a rappelé l’intervention de la nouvelle décision d’adéquation européenne du 10 juillet 2023 et invité le responsable de traitement à vérifier que les organismes destinataires des données figurent sur la liste des organismes certifiés par les autorités américaines, que les finalités pour lesquelles les transferts de données ont lieu entrent dans le périmètre de la certification octroyée et que sa politique de confidentialité a été mise à jour. Elle lui a également indiqué que si des données à caractère personnel avaient été transférées illégalement à des tiers, il lui appartenait de leur demander d’effacer ces données.
5. D’une part, la CNIL a rappelé à … que les transferts vers les Etats-Unis intervenus entre l’invalidation, par la Cour de justice de l’Union européenne, de la précédente décision d’adéquation et l’intervention de la nouvelle décision d’adéquation du 10 juillet 2023 devaient, à peine d’illégalité, faire l’objet d’un autre encadrement juridique. Il suit de là que le moyen tiré de ce que la CNIL aurait commis une erreur de droit en appliquant la décision d’adéquation de manière rétroactive manque en fait.
6. D’autre part, en adressant, dans les termes rappelés au point 4, un rappel au responsable de traitement sur ses obligations, la CNIL, compte tenu des griefs invoqués devant elle et, au surplus, des nombreuses réclamations dont M. A… reconnaît lui-même l’avoir saisie, n’a pas entaché, dans les circonstances de l’espèce, sa décision de clôture de plainte d’erreur manifeste d’appréciation ou d’erreur de droit.
7. Il s’ensuit que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Par suite, ses conclusions à fin d’injonction doivent également être rejetées.

D E C I D E :

Article 1er : La requête de M. A… est rejetée.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 18 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et Mme Sophie Delaporte, conseillère d’Etat-rapporteure.

Rendu le 31 décembre 2025.

Le président :
Signé : M. Bertrand Dacosta

La rapporteure :
Signé : Mme Sophie Delaporte

La secrétaire :
Signé : Mme Marie-Léandre Monnerville

ECLI:FR:CECHS:2025:494474.20251231