Imprimer → Enregistrer en PDF. Adresse : https://communes.legalplanet.pro/ressource/2018877/

Protection des données → Clôture de plainte par la CNIL : recours et enjeux juridiques

Le Conseil d’État a confirmé le large pouvoir d’appréciation de la CNIL dans le traitement des plaintes relatives aux transferts de données personnelles. La décision souligne l’importance de l’examen des faits par la CNIL et valide la clôture d’une plainte suite à l’adoption d’une décision d’adéquation par la Commission européenne.

Fiche d’analyse
Direction éditoriale : Maxence Abdelli — Expériences en cabinets internationaux (Clifford Chance, etc.), CAPA, double master Panthéon-Assas
Dernière mise à jour : 5 février 2026

Sommaire

L’essentiel

La décision du Conseil d’État rappelle que la CNIL dispose d’un large pouvoir d’appréciation dans le traitement des plaintes relatives aux transferts de données à caractère personnel. Lorsqu’elle est saisie d’une réclamation, la CNIL doit examiner les faits et décider des suites à donner. En l’espèce, la CNIL a informé le plaignant de l’adoption d’une décision d’adéquation par la Commission européenne, ce qui a conduit à la clôture de la plainte. Le Conseil d’État a jugé que la CNIL n’avait pas commis d’erreur manifeste d’appréciation.
Points clés
  • CNIL a un large pouvoir d’appréciation sur les plaintes.
  • .
  • Décision d’adéquation de la Commission européenne a clôturé la plainte.
  • Requérant n’a pas prouvé l’illégalité de la décision de la CNIL.
  • Importance de la conformité aux exigences du RGPD.
  • Responsables de traitement doivent respecter les normes en vigueur.

Contexte de l’affaire

Un administré a saisi la Commission nationale de l’informatique et des libertés (CNIL) le 20 mars 2023, en déposant une plainte concernant l’utilisation par une société de divers outils impliquant des transferts de données à caractère personnel vers les États-Unis. Le 6 mai 2024, la CNIL a informé l’administré de la clôture de sa plainte, en se basant sur une décision d’adéquation adoptée par la Commission européenne, qui établissait que les États-Unis offraient un niveau de protection des données équivalent à celui de l’Union européenne. La CNIL a également précisé qu’elle avait déjà intervenu auprès de la société concernée pour les transferts de données effectués avant l’entrée en vigueur de cette décision.

L’administré a contesté cette décision, demandant son annulation pour excès de pouvoir et enjoignant la CNIL à réexaminer sa plainte tout en prenant une sanction dissuasive. Il a également souhaité que la légitimité de la décision d’adéquation soit examinée. Selon la , la CNIL a l’obligation d’examiner les plaintes qui lui sont soumises et de décider des suites à donner, en tenant compte de divers facteurs, tels que la gravité des manquements allégués.

Le Conseil d’État a examiné la requête et a constaté que la CNIL avait rappelé à la société ses obligations légales concernant les transferts de données. Il a également noté que la CNIL avait agi conformément à la nouvelle décision d’adéquation et que les griefs de l’administré ne justifiaient pas l’annulation de la décision de clôture. En conséquence, le Conseil d’État a rejeté la requête de l’administré, confirmant que la CNIL n’avait pas commis d’erreur manifeste d’appréciation.

Question juridique

La décision d’adéquation de la Commission européenne peut-elle justifier la clôture d’une plainte relative aux transferts de données à caractère personnel vers les États-Unis sans réexamen des circonstances spécifiques de chaque cas ?

Règle de droit & textes applicables

Textes cités
Conditions / critères (ce que le juge vérifie)
  • Large pouvoir d’appréciation de la CNIL dans le traitement des plaintes.
  • Examen des faits et des circonstances entourant la plainte.
  • Gravité des manquements allégués et contexte des transferts de données.
  • Rappel des obligations légales du responsable de traitement.
  • Application de la décision d’adéquation de manière conforme aux exigences légales.
  • Absence d’erreur manifeste d’appréciation dans la décision de clôture de la plainte.

Réflexe juridique

La décision du Conseil d’État rappelle que la CNIL dispose d’un large pouvoir d’appréciation dans le traitement des plaintes relatives aux transferts de données à caractère personnel, conformément aux . Lorsqu’elle est saisie d’une réclamation, la CNIL doit examiner les faits et décider des suites à donner, en tenant compte de la gravité des manquements allégués et du contexte. En l’espèce, la CNIL a informé le plaignant de l’adoption d’une décision d’adéquation par la Commission européenne, ce qui a conduit à la clôture de la plainte. Le Conseil d’État a jugé que la CNIL n’avait pas commis d’erreur manifeste d’appréciation en rappelant au responsable de traitement ses obligations légales, notamment en ce qui concerne les transferts de données intervenus avant l’entrée en vigueur de la nouvelle décision d’adéquation. Le requérant n’a pas réussi à établir une illégalité dans la décision de la CNIL, et ses demandes d’injonction ont également été rejetées. Cette décision souligne l’importance de la conformité aux exigences du RGPD et la nécessité pour les responsables de traitement de s’assurer que leurs pratiques respectent les normes en vigueur.

Preuves retenues (ce qui a fait pencher la décision)

  • La réclamation déposée par M. A… auprès de la CNIL le 20 mars 2023.
  • Le courrier de la CNIL du 6 mai 2024 informant M. A… de la clôture de sa plainte.
  • La décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023.
  • Les rappels faits par la CNIL à la société concernant ses obligations légales en matière de transferts de données.
  • Les nombreuses réclamations dont M. A… a reconnu avoir saisi la CNIL.

Conséquences pratiques

Cette décision du Conseil d’État a des conséquences significatives pour les parties impliquées. Le plaignant, qui a contesté la décision de la CNIL, se voit refuser l’annulation de la clôture de sa plainte, ce qui limite ses recours. De son côté, la CNIL renforce sa position en matière de conformité aux normes de protection des données, tout en rappelant aux responsables de traitement leurs obligations légales.

  • Le plaignant ne peut pas contester la décision de la CNIL, limitant ses options de recours.
  • La CNIL maintient sa légitimité et son autorité dans le traitement des plaintes relatives aux transferts de données.
  • Les responsables de traitement doivent s’assurer de la conformité de leurs pratiques avec la nouvelle décision d’adéquation.
  • La décision souligne l’importance de la mise à jour des politiques de confidentialité par les entreprises.
  • Le plaignant pourrait envisager d’autres voies de recours ou de nouvelles plaintes si des violations sont constatées.
  • La CNIL pourrait être amenée à renforcer ses actions de sensibilisation auprès des responsables de traitement concernant leurs obligations.

Checklist (à faire / à éviter)

À faire

  • Vérifier les .
  • Examiner les faits et le contexte de la plainte.
  • Documenter les manquements allégués de manière précise.
  • Respecter les obligations légales en matière de transferts de données.
  • Suivre les décisions d’adéquation de la Commission européenne.

À éviter

  • Ignorer les rappels de la CNIL sur les obligations légales.
  • Déposer des réclamations sans preuves suffisantes.
  • Contester sans fondement juridique solide.
  • Ne pas respecter les délais de réponse de la CNIL.
  • Omettre de tenir compte des décisions précédentes de la CNIL.

FAQ / Q-R juridiques

Quelle est la règle de droit applicable en matière de protection des données personnelles lors de transferts vers les États-Unis ?

La règle de droit applicable est le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, connu sous le nom de Règlement général sur la protection des données (RGPD). Ce règlement impose que tout transfert de données à caractère personnel vers un pays tiers doit être encadré juridiquement, conformément à l’article 44 du RGPD, qui stipule que de tels transferts ne peuvent avoir lieu que si le pays tiers assure un niveau de protection adéquat des données.

Quelles sont les conditions de recevabilité d’une plainte auprès de la Commission nationale de l’informatique et des libertés (CNIL) ?

La CNIL est tenue d’examiner les plaintes ou réclamations qui lui sont soumises, conformément aux dispositions combinées des . Elle dispose d’un large pouvoir d’appréciation pour décider des suites à donner à une plainte, en tenant compte de la gravité des manquements allégués, du sérieux des indices relatifs aux faits, et du contexte dans lequel ils se sont produits.

Quel est l’office du juge en cas de recours contre une décision de la CNIL ?

Le juge de l’excès de pouvoir est compétent pour censurer le refus de la CNIL de donner suite à une plainte. Il doit examiner si la décision de la CNIL est entachée d’illégalité externe ou si elle présente un bien-fondé, en vérifiant l’existence d’erreurs de fait ou de droit, d’erreurs manifestes d’appréciation ou de détournement de pouvoir.

Quels éléments déterminants la juridiction a-t-elle retenus pour rejeter la demande d’annulation de la décision de la CNIL ?

La juridiction a retenu que la CNIL a rappelé au responsable de traitement ses obligations légales concernant les transferts de données à caractère personnel vers les États-Unis, en tenant compte de la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023. Elle a également constaté que la CNIL n’avait pas commis d’erreur manifeste d’appréciation en clôturant la plainte, car elle avait pris en compte les nombreux griefs invoqués et les réclamations antérieures.

Afficher la version officielle et intégrale de cette décision de justice – A conserver pour votre dossier
Conseil d’État, 10ème chambre, 31/12/2025, 494474, Inédit au recueil Lebon
Lecture du
mercredi
31 décembre 2025
RapporteurMme Sophie Delaporte / Rapporteur publicM. Frédéric Puigserver

RÉPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

Vu la procédure suivante :

Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés le 22 mai 2024 et les 13 janvier et 13 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

  1. d’annuler pour excès de pouvoir la décision du 6 mai 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative à l’utilisation, par …, d’outils impliquant des transferts de données à caractère personnel vers les Etats-Unis ;
  2. d’enjoindre à la CNIL d’instruire à nouveau sa plainte dans le respect des dispositions du règlement général relatif à la protection des données (RGPD) et de prendre une sanction dissuasive, dans un délai de trois mois.

Vu les autres pièces du dossier ;

Vu :

  • le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
  • la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ;
  • la ;
  • le code de justice administrative ;

Après avoir entendu en séance publique :

  • le rapport de Mme Sophie Delaporte, conseillère d’Etat,
  • les conclusions de M. Frédéric Puigserver, rapporteur public ;

Vu la note en délibéré, enregistrée le 21 décembre 2025, présentée par M. A… ;

Considérant ce qui suit :

  1. Il ressort des pièces du dossier que, le 20 mars 2023, M. A… a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de … relative à l’utilisation, par celle-ci, d’outils impliquant des transferts de données à caractère personnel vers les Etats-Unis. Par un courrier du 6 mai 2024, la CNIL a informé le requérant de l’adoption par la Commission européenne, depuis la réception de sa plainte, d’une décision d’adéquation constatant que les Etats-Unis assurent un niveau de protection des données à caractère personnel équivalent à celui de l’Union européenne. Elle lui a également indiqué, d’une part, être intervenue auprès du responsable de traitement pour les transferts de données à caractère personnel vers les Etats-Unis ayant eu lieu avant l’entrée en vigueur de cette décision d’adéquation, le 10 juillet 2023, d’autre part, prononcer la clôture de sa plainte. M. A… demande l’annulation pour excès de pouvoir de cette décision et qu’il soit enjoint à la CNIL, d’une part, de réexaminer sa plainte et de sanctionner …, d’autre part, d’étudier la légitimité de la décision d’adéquation prise par la Commission européenne.
  2. Il résulte des dispositions combinées des relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.
  3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.
  4. Il ressort des pièces du dossier que la CNIL, saisie de la plainte de M. A…, a décidé de rappeler … à ses obligations légales. Elle lui a, à ce titre, indiqué que conformément à l’article 44 du RGPD, il lui appartient d’encadrer juridiquement tout transfert de données à caractère personnel, collectées à partir d’un outil utilisé par son site internet, vers un pays tiers. S’agissant des transferts de données vers les Etats-Unis, elle a rappelé l’intervention de la nouvelle décision d’adéquation européenne du 10 juillet 2023 et invité le responsable de traitement à vérifier que les organismes destinataires des données figurent sur la liste des organismes certifiés par les autorités américaines, que les finalités pour lesquelles les transferts de données ont lieu entrent dans le périmètre de la certification octroyée et que sa politique de confidentialité a été mise à jour. Elle lui a également indiqué que si des données à caractère personnel avaient été transférées illégalement à des tiers, il lui appartenait de leur demander d’effacer ces données.
  5. D’une part, la CNIL a rappelé à … que les transferts vers les Etats-Unis intervenus entre l’invalidation, par la Cour de justice de l’Union européenne, de la précédente décision d’adéquation et l’intervention de la nouvelle décision d’adéquation du 10 juillet 2023 devaient, à peine d’illégalité, faire l’objet d’un autre encadrement juridique. Il suit de là que le moyen tiré de ce que la CNIL aurait commis une erreur de droit en appliquant la décision d’adéquation de manière rétroactive manque en fait.
  6. D’autre part, en adressant, dans les termes rappelés au point 4, un rappel au responsable de traitement sur ses obligations, la CNIL, compte tenu des griefs invoqués devant elle et, au surplus, des nombreuses réclamations dont M. A… reconnaît lui-même l’avoir saisie, n’a pas entaché, dans les circonstances de l’espèce, sa décision de clôture de plainte d’erreur manifeste d’appréciation ou d’erreur de droit.
  7. Il s’ensuit que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Par suite, ses conclusions à fin d’injonction doivent également être rejetées.

D E C I D E :

Article 1er : La requête de M. A… est rejetée.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 18 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et Mme Sophie Delaporte, conseillère d’Etat-rapporteure.

Rendu le 31 décembre 2025.

Le président :
Signé : M. Bertrand Dacosta

La rapporteure :
Signé : Mme Sophie Delaporte

La secrétaire :
Signé : Mme Marie-Léandre Monnerville

ECLI:FR:CECHS:2025:494474.20251231

🛡️ Ce point juridique ne constitue pas une consultation. Pour une analyse appliquée à votre dossier (délais, stratégie, preuves), demandez un devis d’honoraires à un Avocat partenaire.

🇫🇷 Point juridique LegalPlanet.pro rédigé à partir de cette décision de justice Conseil d’État, 10ème chambre, 31/12/2025, 494474, Inédit au recueil Lebon — Thématiques associées : RGDP / CNIL — Clôture de plainte — Paternité des données brutes : Ministère de la justice — Licence Open Data — Date de dernière mise à jour des données réutilisées 5 février 2026.

📘 Guide associé

RGPD & protection des données

Approfondir ce sujet :

Voir les mini-guides Voir le guide complet