Protection des données personnelles : recours contre la clôture d’une plainte CNIL

La décision du Conseil d’État rappelle que la Commission nationale de l’informatique et des libertés (CNIL) n’est pas compétente pour se prononcer sur la licéité de la communication de pièces dans un contentieux administratif. Seule la juridiction saisie peut apprécier la pertinence et la légalité des preuves. Les requérants doivent articuler leurs plaintes en fonction des compétences de la CNIL, en évitant de soulever des questions relevant du pouvoir judiciaire. Les moyens invoqués doivent être directement liés au litige pour être recevables.

Un étudiant de l’université de Toulon a contesté une décision de refus de redoublement devant le tribunal administratif de Toulon. Dans le cadre de ce litige, l’université a produit des courriers électroniques échangés avec l’étudiant. Ce dernier a alors saisi la Commission nationale de l’informatique et des libertés (CNIL) en déposant une plainte, estimant que l’université avait illégalement diffusé ses données personnelles. Le 22 janvier 2025, la CNIL a clôturé cette plainte, décision que l’étudiant a contestée devant le Conseil d’État.

Dans sa requête, l’étudiant demande l’annulation de la décision de la CNIL, ainsi qu’une injonction pour qu’elle réexamine sa plainte. Il souhaite également que les faits rapportés soient transmis au procureur de la République et que le rectorat de Nice ou la CNIL produisent les pièces ayant fondé la transmission d’informations le concernant à la direction générale des finances publiques.

Le Conseil d’État a examiné la décision de la CNIL et a constaté que l’étudiant se limitait à affirmer que l’université n’aurait pas dû communiquer les courriers électroniques dans le cadre du contentieux. La CNIL a rappelé qu’elle n’était pas compétente pour juger de la légalité de la transmission de pièces dans un litige administratif, cette compétence revenant au juge administratif. Par conséquent, la CNIL n’a pas commis d’erreur de droit dans sa décision.

De plus, les arguments de l’étudiant concernant des violations du code pénal et des principes de loyauté de l’administration, ainsi que l’absence de réponse du rectorat, ont été jugés inopérants car non pertinents au litige. En conséquence, le Conseil d’État a rejeté la requête de l’étudiant, confirmant la décision de la CNIL.

La CNIL peut-elle être saisie pour contester la légalité de la communication de données personnelles dans le cadre d’un contentieux administratif ?

La décision du Conseil d’État rappelle que la Commission nationale de l’informatique et des libertés (CNIL) n’est pas compétente pour se prononcer sur la licéité de la communication de pièces dans le cadre d’un contentieux administratif. En effet, seule la juridiction saisie est habilitée à apprécier la pertinence et la légalité des preuves présentées. Les requérants doivent donc veiller à articuler leurs plaintes en fonction des compétences de la CNIL, en évitant de soulever des questions qui relèvent du pouvoir judiciaire.

Les moyens invoqués concernant des violations du code pénal ou des principes de loyauté administrative, ainsi que des décisions de justice antérieures, doivent être directement liés au litige en cours pour être recevables. En l’espèce, ces arguments ont été jugés inopérants, ce qui souligne l’importance de la pertinence des moyens soulevés dans une requête.

Les articles applicables, tels que ceux relatifs à la protection des données personnelles, doivent être mobilisés de manière précise et contextualisée. La décision du Conseil d’État illustre également que les conclusions tendant à l’annulation d’une décision pour excès de pouvoir doivent être fondées sur des éléments juridiques clairs et pertinents, sans se disperser sur des questions accessoires.

Enfin, la notification de la décision aux parties concernées est une étape cruciale, garantissant le respect des droits de la défense et la transparence de la procédure. Les praticiens doivent donc s’assurer que toutes les étapes procédurales sont respectées pour éviter des vices de forme susceptibles d’entacher la validité de la décision.

• Courriers électroniques échangés entre M. A… et l’université de Toulon.
• Décision de la CNIL du 22 janvier 2025 clôturant la plainte de M. A…
• Arguments de M. A… concernant la transmission de données personnelles.
• Ordonnance du juge des référés du tribunal administratif de Toulon du 17 octobre 2024.

Dans cette affaire, le demandeur, étudiant à l’université de Toulon, a vu sa requête rejetée par le Conseil d’État, ce qui a des conséquences significatives pour lui et pour l’université. Le rejet de sa plainte contre la CNIL signifie qu’il ne pourra pas contester la communication de ses données personnelles dans le cadre de son litige administratif, et l’université peut continuer à utiliser les preuves qu’elle a fournies sans crainte de sanctions.

• Rejet de la plainte du demandeur, limitant ses recours juridiques.
• Maintien de la légitimité de la communication des données par l’université.
• Absence de sanctions pour l’université concernant la gestion des données personnelles.
• Possibilité pour l’université de continuer à défendre sa position dans le contentieux administratif.
• Impact sur la stratégie de preuve du demandeur dans son litige avec l’université.

À faire

• Vérifier la compétence de la CNIL pour les plaintes.
• Articuler les moyens en lien direct avec le litige.
• Fournir des éléments juridiques clairs pour les conclusions.
• Notifier la décision aux parties concernées.
• Respecter toutes les étapes procédurales requises.

À éviter

• Soulever des questions hors du champ de compétence de la CNIL.
• Présenter des arguments inopérants ou non liés au litige.
• Disperser les conclusions sur des questions accessoires.
• Omettre la notification des décisions aux parties.
• Ignorer les délais de procédure et de contestation.

Quelle est la règle de droit applicable concernant la protection des données personnelles dans le cadre d’un contentieux administratif ?

La décision fait référence à plusieurs textes régissant la protection des données personnelles, notamment la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ainsi que le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016. Ces textes établissent les principes de traitement des données personnelles, y compris la nécessité d’une base légale pour la communication de ces données dans le cadre d’un contentieux.

Quels sont les critères de recevabilité d’une plainte auprès de la Commission nationale de l’informatique et des libertés (CNIL) ?

La CNIL a jugé que la plainte du demandeur se bornait à contester la communication de courriers électroniques dans le cadre d’un contentieux administratif. La CNIL a précisé qu’elle ne se prononçait pas sur la licéité de la transmission de pièces à une juridiction, ce qui implique que la recevabilité d’une plainte doit être fondée sur des éléments démontrant une violation des droits liés à la protection des données personnelles.

Quels moyens peuvent être invoqués pour contester une décision de la CNIL ?

Le demandeur a invoqué plusieurs moyens, notamment la violation par l’université de dispositions du code pénal et du principe de loyauté de l’administration envers les administrés. Cependant, la CNIL a considéré que ces moyens ne se rapportaient pas au litige en question, ce qui souligne que seuls les moyens directement liés à la protection des données personnelles peuvent être pertinents pour contester une décision de la CNIL.

Quels éléments déterminants ont conduit à rejeter la demande d’annulation pour excès de pouvoir ?

La juridiction a retenu que la CNIL n’avait pas commis d’erreur de droit en considérant qu’elle ne pouvait pas se prononcer sur la licéité de la communication de pièces dans un contentieux administratif. De plus, les moyens relatifs à des violations du code pénal et à l’absence de réponse du rectorat n’étaient pas pertinents pour le litige, ce qui a conduit à un rejet des conclusions du demandeur.