Protection des données personnelles : recours contre la CNIL pour inaction et insuffisance d’information

RÉPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

Vu la procédure suivante :

Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 31 janvier 2024, 10 février et 23 février 2025 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

1. d’annuler pour excès de pouvoir, d’une part, la décision du 5 mars 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de ses plaintes nos 44-820 et 44-1492, introduites les 4 septembre et 3 octobre 2022, relatives à l’utilisation de pixels de suivi et de liens traçants dans les courriels envoyés par la société …, aux transferts de données à caractère personnel que l’utilisation de ces outils engendre, et aux modalités de dépôt de cookies sur son site internet, et d’autre part, la décision du 5 mars 2024 par laquelle la CNIL a procédé à la clôture de sa plainte n° 44-1831, introduite le 15 octobre 2022, relative à l’utilisation de pixels de suivi et de liens traçants dans les courriels envoyés par la société Decitre et aux transferts de données à caractère personnel que l’utilisation de ces outils engendre ;
2. d’enjoindre à la CNIL, sous astreinte, d’instruire à nouveau ses plaintes, de corriger le courrier-type qu’elle envoie aux responsables de traitement dans le cadre d’une réclamation portant sur l’utilisation de traceurs ou sur des transferts de données à caractère personnel en dehors de l’Union européenne, de prendre toute mesure utile visant à garantir un traitement diligent et une instruction effective des réclamations qu’elle reçoit, une réaction appropriée et proportionnée aux manquements invoqués, une motivation suffisamment précise et détaillée de ses décisions prises dans le cadre du traitement des réclamations et une information suffisamment précise et détaillée de leurs auteurs tout au long de leur traitement.

Vu les autres pièces du dossier ;

Vu :

• le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
• la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ;
• la loi n° 78-17 du 6 janvier 1978 ;
• le code de justice administrative ;

Après avoir entendu en séance publique :

• le rapport de Mme Alexandra Poirson, auditrice,
• les conclusions de M. Frédéric Puigserver, rapporteur public ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que M. A… a, d’une part, saisi la Commission nationale de l’informatique et des libertés (CNIL) de plaintes, les 5 septembre et 3 octobre 2022, à l’encontre de la société …, portant sur les transferts de données à caractère personnel des visiteurs de son site internet et des destinataires de courriels de suivi de livraison vers des pays tiers à l’Union européenne, en particulier les Etats-Unis, sur l’utilisation de liens et images de traçage dans des courriels de suivi de livraison ainsi que sur l’absence de base légale compatible avec les finalités de l’envoi de ces courriels. Par des courriers des 3 et 17 octobre 2022, la CNIL a informé le requérant de la prise en charge de ces demandes par le service des réclamations et des plaintes. D’autre part, M. A… a déposé une plainte à l’encontre de la société Decitre portant sur les liens et images de traçage figurant dans les courriels de suivi de commande envoyés par cette société, ainsi que sur les transferts de données à caractère personnel vers un pays tiers en résultant. Par un courrier du 17 octobre 2022, la CNIL a informé le requérant de la prise en charge de sa demande par le service des réclamations et des plaintes. Par deux courriers du 5 mars 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès de chaque responsable de traitement, et d’autre part, de la clôture de ses plaintes.
2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.
3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.
4. Il ressort des pièces du dossier, d’une part, qu’ainsi qu’il a été dit au point 1, la CNIL, saisie des deux plaintes de M. A… contre la société …, a décidé de rappeler cette société au respect de ses obligations. Elle lui a demandé, à ce titre, s’agissant de l’utilisation de pixels de suivi et de liens traçants sur son site internet et dans les courriels qu’elle envoie, de se mettre en conformité avec la réglementation applicable aux traceurs et de suivre l’évolution des travaux actuellement en cours au niveau de l’Union européenne sur le sujet. Elle a rappelé que le dépôt de cookies lors de la visite d’un site internet, s’agissant d’une opération de lecture ou d’écriture d’information dans l’équipement terminal de l’utilisateur, était soumis aux dispositions de l’article 82 de la loi du 6 janvier 1978. S’agissant du traitement de données à caractère personnel correspondant à l’envoi des courriels, la CNIL a rappelé la nécessité de justifier d’une base légale adéquate en application de l’article 6 du RGPD. Quant au transfert de données à caractère personnel que l’usage des outils visés par la plainte pourrait engendrer, la CNIL a demandé à la société … de procéder à une évaluation de la légalité des transferts de données en dehors du territoire de l’Union européenne, s’agissant des transferts vers les Etats-Unis, au regard de la nouvelle décision d’adéquation européenne du 10 juillet 2023, en s’assurant que le ou les organismes destinataires de données à caractère personnel étaient bien certifiés sur la base de cette décision.
5. D’autre part, la CNIL a également rappelé la société Decitre au respect de ses obligations. Elle lui a demandé, s’agissant de l’utilisation de pixels de suivi et de liens traçants dans les courriels qu’elle envoie, de se mettre en conformité avec la réglementation applicable aux traceurs et de suivre l’évolution des travaux actuellement en cours au niveau de l’Union européenne sur le sujet. Quant au transfert de données à caractère personnel, la CNIL a demandé à la société Decitre de procéder à une évaluation de la légalité de tels transferts en dehors du territoire de l’Union européenne, s’agissant des transferts vers les Etats-Unis, au regard de la nouvelle décision d’adéquation européenne du 10 juillet 2023, en s’assurant que le ou les organismes destinataires de données à caractère personnel étaient bien certifiés sur la base de cette décision, et s’agissant des transferts intervenus avant le 10 juillet 2023, au vu de l’invalidation de la précédente décision d’adéquation par la Cour de justice de l’Union européenne.
6. En premier lieu, les circonstances que la CNIL n’aurait pas traité la plainte dans un délai raisonnable, qu’elle n’aurait pas suffisamment informé son auteur de son état d’avancement et qu’elle n’aurait pas motivé ses décisions de poursuivre l’instruction sont, en tout état de cause, sans incidence sur la légalité de la décision attaquée.
7. En deuxième lieu, la circonstance que le rappel à la réglementation adressé au responsable du traitement n’aurait pas été signé par un agent bénéficiant d’une délégation de signature régulière est, en tout état de cause, sans incidence sur la légalité de la décision attaquée.
8. En dernier lieu, en estimant, au vu des réclamations dont elle était saisie et de la nature des manquements invoqués, qu’un rappel du responsable du traitement à ses obligations légales, dans les termes mentionnés aux points 4 et 5, constituait une mesure correctrice appropriée, sans qu’il soit nécessaire à ce stade de mettre en œuvre ses pouvoirs d’enquête, la CNIL n’a entaché sa décision ni d’erreur de droit, ni d’erreur manifeste d’appréciation.
9. Il résulte de tout ce qui précède que le requérant n’est pas fondé à demander l’annulation des décisions qu’il attaque. Les conclusions de sa requête à fin d’annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d’injonction.

D E C I D E :

Article 1er : La requête de M. A… est rejetée.

Article 2 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 18 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et Mme Alexandra Poirson, auditrice-rapporteure.

Rendu le 31 décembre 2025.

Le président :
Signé : M. Bertrand Dacosta

La rapporteure :
Signé : Mme Alexandra Poirson

La secrétaire :
Signé : Mme Marie-Léandre Monnerville

ECLI:FR:CECHS:2025:494011.20251231