Droit des données personnelles : recours contre la clôture d’une plainte CNIL

La décision implicite de rejet d’une plainte par la CNIL peut être contestée devant le Conseil d’État, à condition de vérifier si l’instruction a dépassé le délai de trois mois. Selon l’article 10 du décret du 29 mai 2019, le silence de la CNIL vaut rejet, sauf si des informations ont été communiquées. Si la CNIL continue d’instruire, cela annule la décision implicite de rejet. Les articles 77 du RGPD et 8 de la loi du 6 janvier 1978 imposent à la CNIL d’informer le plaignant.

Dans cette affaire, un administré a introduit une requête auprès du Conseil d’État pour contester une décision implicite de la Commission nationale de l’informatique et des libertés (CNIL) qui a prononcé la clôture de sa plainte. Cette plainte, déposée le 19 août 2024, concernait les modalités de dépôt de traceurs par des courriels de prospection commerciale et l’exercice de ses droits relatifs aux données personnelles auprès d’une société. L’administré demandait également à la CNIL de l’informer de l’issue de sa plainte dans un délai d’une semaine et de prendre des sanctions dissuasives.

Le Conseil d’État a examiné les éléments du dossier, notamment le règlement (UE) 2016/679 et la loi n° 78-17 du 6 janvier 1978, qui encadrent le traitement des données personnelles. Selon l’article 77 du RGPD, toute personne concernée a le droit de déposer une réclamation auprès d’une autorité de contrôle, qui doit informer l’auteur de la réclamation de l’état d’avancement et de l’issue de celle-ci. De plus, la CNIL est tenue d’examiner les plaintes et d’informer l’auteur dans un délai raisonnable.

Il a été constaté que la CNIL avait effectivement poursuivi l’instruction de la plainte de l’administré au-delà du délai de trois mois, ce qui a conduit à l’annulation de la décision implicite de rejet. Par conséquent, le Conseil d’État a décidé qu’il n’y avait pas lieu de statuer sur les conclusions de l’administré, car la CNIL avait agi en continuant l’instruction de la plainte. Les autres conclusions présentées par la CNIL ont également été rejetées. La décision a été rendue le 31 décembre 2025.

La décision implicite de rejet d’une plainte par la CNIL peut-elle être contestée si l’instruction a dépassé le délai de trois mois et que la CNIL a continué à traiter la plainte ?

La décision implicite de rejet d’une plainte par la CNIL peut être contestée devant le Conseil d’État, mais il est crucial de vérifier si la CNIL a effectivement poursuivi l’instruction de la plainte au-delà du délai de trois mois. En vertu de l’article 10 du décret du 29 mai 2019, le silence gardé pendant trois mois vaut décision de rejet, sauf si des informations sur l’état d’avancement de la plainte ont été communiquées. Dans le cas où la CNIL continue d’instruire la plainte, cela annule la décision implicite de rejet, rendant ainsi la demande d’annulation sans objet.

Les articles 77 du RGPD et 8 de la loi du 6 janvier 1978 prévoient que l’autorité de contrôle doit informer l’auteur de la réclamation de l’état d’avancement et de l’issue de celle-ci. En l’absence de communication dans le délai imparti, le plaignant peut envisager un recours, mais il est essentiel de s’assurer que l’instruction est toujours en cours pour éviter une contestation infondée. La CNIL a l’obligation de traiter les plaintes et de tenir informé le plaignant, ce qui constitue un droit fondamental en matière de protection des données personnelles.

Enfin, les demandes de sanctions à l’encontre de la CNIL ne sont pas recevables, car elles relèvent du pouvoir discrétionnaire du juge, conformément à l’article R. 741-12 du code de justice administrative. Les praticiens doivent donc être attentifs à la gestion des délais et à la communication de l’autorité de contrôle pour garantir le respect des droits des personnes concernées.

• Réclamation déposée par M. A… auprès de la CNIL le 19 août 2024.
• Courrier de la CNIL du 4 septembre 2024 informant M. A… de la transmission de sa réclamation.
• Courrier de la CNIL du 19 mars 2025 indiquant qu’elle avait interrogé le responsable de traitement sur les faits signalés.
• Courrier de la CNIL du 25 juin 2025 informant M. A… que l’instruction était encore en cours.
• Article 77 du RGPD stipulant le droit d’introduire une réclamation auprès d’une autorité de contrôle.
• Article 10 du décret du 29 mai 2019 précisant que le silence gardé pendant trois mois vaut décision de rejet.

Dans cette affaire, le plaignant a vu sa demande d’annulation de la décision implicite de rejet de la CNIL déclarée sans objet, car l’instruction de sa plainte était toujours en cours. Cela signifie que le plaignant doit continuer à suivre l’évolution de sa plainte, tandis que la CNIL doit veiller à respecter ses obligations d’information et de traitement des plaintes.

• Le plaignant doit rester attentif aux communications de la CNIL concernant l’état d’avancement de sa plainte.
• La CNIL doit continuer l’instruction de la plainte et informer le plaignant dans un délai raisonnable.
• Le plaignant peut envisager d’autres recours si la CNIL ne respecte pas ses obligations d’information.
• La décision du Conseil d’État renforce l’importance de la transparence dans le traitement des plaintes par la CNIL.
• Le plaignant ne peut pas demander de sanctions contre la CNIL, car cela relève du pouvoir discrétionnaire du juge.

À faire

• Vérifier si la CNIL a poursuivi l’instruction au-delà de trois mois.
• Consulter les courriers de la CNIL pour l’état d’avancement de la plainte.
• Contacter la CNIL si aucune communication n’est reçue dans le délai imparti.
• Préparer un recours si la décision implicite de rejet est applicable.
• Documenter toutes les communications avec la CNIL pour référence.

À éviter

• Ne pas supposer que la plainte est rejetée sans confirmation.
• Éviter de déposer une réclamation sans preuves d’instruction en cours.
• Ne pas ignorer les délais de réponse de la CNIL.
• Éviter de demander des sanctions sans base légale.
• Ne pas négliger le droit d’être informé sur l’état de la plainte.

Quelle est la règle de droit applicable concernant le droit d’introduire une réclamation auprès d’une autorité de contrôle en matière de protection des données personnelles ?

La règle de droit applicable est énoncée à l’article 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD). Cet article stipule que toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. L’autorité de contrôle doit informer l’auteur de la réclamation de l’état d’avancement et de l’issue de celle-ci, y compris de la possibilité d’exercer un recours juridictionnel en vertu de l’article 78 si elle ne traite pas la réclamation ou n’informe pas la personne concernée dans un délai de trois mois.

Quelle est la procédure à suivre pour le traitement des réclamations par la Commission nationale de l’informatique et des libertés (CNIL) ?

La procédure est régie par le d) du 2° du I de l’article 8 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Cet article prévoit que la CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable. De plus, l’article 10 du décret du 29 mai 2019 précise que le silence gardé pendant trois mois par la CNIL sur une réclamation vaut décision de rejet.

Quels sont les critères pour qu’une décision implicite de rejet soit considérée comme valable ?

La décision implicite de rejet est considérée comme valable si la CNIL ne fournit pas d’informations sur l’état d’avancement de la réclamation dans le délai de trois mois. Toutefois, si la CNIL poursuit l’instruction de la plainte au-delà de ce délai, cela constitue un retrait de la décision implicite de rejet. Dans ce cas, il n’y a pas lieu de statuer sur les conclusions aux fins d’annulation et d’injonction présentées par le demandeur.

Quels éléments déterminants la juridiction a-t-elle retenus pour statuer sur la requête du demandeur ?

La juridiction a retenu que la CNIL a poursuivi l’instruction de la plainte du demandeur au-delà du délai de trois mois, ce qui a eu pour effet de retirer la décision implicite de rejet. Par conséquent, la juridiction a conclu qu’il n’y avait pas lieu de statuer sur les conclusions du demandeur, car la CNIL avait continué à traiter la réclamation. De plus, la juridiction a noté que les conclusions de la CNIL visant à condamner le demandeur à une amende n’étaient pas recevables, car elles relèvent d’un pouvoir propre du juge.