La décision implicite de rejet d’une plainte par la CNIL peut être contestée par voie de recours pour excès de pouvoir, tandis qu’une décision explicite de clôture rend ce recours sans objet. La CNIL exerce un large pouvoir d’appréciation, et les griefs concernant le traitement tardif de la plainte n’affectent pas la légalité de la décision de clôture.
La seconde requête, enregistrée le 17 mai 2024, demande au Conseil d’État de surseoir à statuer et de renvoyer une question préjudicielle à la Cour de justice de l’Union européenne concernant la conformité d’une décision d’exécution de la Commission européenne aux droits fondamentaux de l’Union. L’administré conteste également une décision de la CNIL du 18 mars 2024, qui a clôturé sa plainte, et demande des mesures pour garantir un traitement diligent des réclamations.
Le Conseil d’État a joint les deux requêtes pour statuer ensemble. Il a constaté que la CNIL avait effectivement pris en charge la plainte et avait poursuivi son instruction au-delà du délai de trois mois, aboutissant à une décision explicite de clôture. Le Conseil a jugé que la CNIL n’avait pas commis d’erreur manifeste d’appréciation dans sa décision de clôture, et a rejeté les demandes d’annulation et d’injonction de l’administré. En conséquence, il n’y a pas lieu de statuer sur la première requête, et la seconde est également rejetée.
Concernant la clôture de la plainte, la CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner, en tenant compte de la gravité des manquements allégués et du contexte. Les griefs relatifs à un traitement tardif de la plainte ou à un manque d’information sur son état d’avancement ne remettent pas en cause la légalité de la décision de clôture, comme le précise l’article 57 du RGPD. La CNIL a agi en rappelant le responsable de traitement à ses obligations, ce qui démontre qu’elle a pris en compte les éléments de la plainte.
En conséquence, le juge administratif ne censure la décision de la CNIL que pour des motifs d’illégalité externe ou d’erreur manifeste d’appréciation. Dans cette affaire, la CNIL n’a pas entaché sa décision d’une telle erreur, et le recours a été rejeté. Les professionnels doivent donc veiller à la bonne articulation entre les délais de traitement des plaintes et les décisions explicites de la CNIL pour éviter des recours inutiles.
Cette décision du Conseil d’État a des conséquences significatives pour les parties impliquées. Le demandeur, qui a contesté la décision de la CNIL, se voit refuser l’annulation de la décision de clôture de sa plainte, ce qui limite ses recours. De son côté, la CNIL, en ayant agi dans le cadre de ses prérogatives, renforce sa position en tant qu’autorité de contrôle tout en devant continuer à gérer les plaintes avec diligence.
La CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, conformément au d) du 2° du I de l’article 8 de la loi n° 78-17 du 6 janvier 1978. De plus, l’article 77 du règlement (UE) 2016/679 stipule que toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement.
La recevabilité d’une plainte auprès de la CNIL est conditionnée par le fait que la personne concernée doit considérer que le traitement de ses données personnelles constitue une violation du règlement (UE) 2016/679. De plus, selon l’article 78 du même règlement, la personne concernée a le droit de former un recours juridictionnel effectif lorsque l’autorité de contrôle ne traite pas une réclamation ou n’informe pas la personne concernée dans un délai de trois mois.
La CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner aux plaintes qui lui sont soumises. Elle peut rappeler le responsable de traitement à ses obligations légales, prononcer une mise en demeure, et demander des justifications de mise en conformité, conformément aux articles 20 et 57 du règlement (UE) 2016/679 et à l’article 8 de la loi du 6 janvier 1978.
La décision de clôture de plainte par la CNIL doit être motivée par l’examen des faits à l’origine de la plainte et doit tenir compte de la gravité des manquements allégués, du sérieux des indices relatifs à ces faits, et du contexte dans lequel ils se sont produits. La CNIL doit également informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, comme le stipule l’article 8 de la loi du 6 janvier 1978.
La juridiction a retenu que la CNIL a poursuivi l’instruction de la plainte au-delà du délai de trois mois et a pris une décision explicite de clôture de celle-ci. Elle a également constaté que la CNIL avait rappelé la société exploitant le site à ses obligations et lui avait demandé de procéder à une évaluation de la légalité des transferts de données. En conséquence, la juridiction a jugé que la CNIL n’avait pas entaché sa décision d’erreur manifeste d’appréciation.
RÉPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
Vu les procédures suivantes :
1° Sous le n° 491383, par une requête enregistrée le 31 janvier 2024 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :
1°) d’annuler pour excès de pouvoir la décision implicite par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a rejeté sa plainte, introduite le 1er novembre 2022, relative au transfert de données personnelles vers les Etats-Unis par le site internet du journal en ligne … ;
2°) d’enjoindre à la CNIL, sous astreinte de 500 euros par jour de retard, d’instruire à nouveau sa plainte.
2° Sous le n° 494338, par une requête enregistrée le 17 mai 2024 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :
1°) de surseoir à statuer et de renvoyer à la Cour de justice de l’Union européenne une question préjudicielle portant sur la conformité de la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 aux articles 7, 8, 47 et 52 de la charte des droits fondamentaux de l’Union européenne et à l’article 45 du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
2°) d’annuler pour excès de pouvoir la décision du 18 mars 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte, introduite le 1er novembre 2022, relative au transfert de données personnelles vers les Etats-Unis par le site internet du journal en ligne … ;
3°) d’enjoindre à la CNIL, sous astreinte de 500 euros par jour de retard, d’instruire à nouveau sa plainte, de corriger le courrier-type qu’elle envoie aux responsables de traitement dans le cadre des réclamations portant sur les transferts de données illicites hors de l’Union européenne et de prendre toute mesure utile visant à garantir un traitement diligent des réclamations.
…………………………………………………………………………
Vu les autres pièces des dossiers ;
Vu :
Après avoir entendu en séance publique :
Considérant ce qui suit :
1. Les deux requêtes de M. A… présentent à juger les mêmes questions. Il y a lieu de les joindre pour statuer par une seule décision.
2. Il ressort des pièces du dossier que, le 1er novembre 2022, M. A… a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte à l’encontre de la société exploitant le site du journal en ligne …, en raison de transferts de données personnelles des visiteurs du site vers des pays tiers à l’Union européenne, en particulier les Etats-Unis, du fait du recours à un réseau de distribution de contenus, ainsi que du défaut d’information sur ces transferts. Par un courrier du 3 novembre 2022, la CNIL a informé le requérant de la prise en charge de sa demande par le service des réclamations et des plaintes. Par un courrier du 18 mars 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès du responsable de traitement, et d’autre part, de la clôture de sa plainte.
Sur la requête n° 491383 :
3. D’une part, en application de l’article 77 du règlement (UE) du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. Aux termes du paragraphe 2 de son article 78 : » Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l’autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation qu’elle a introduite au titre de l’article 77 «
4. D’autre part, en application du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête est nécessaire. L’article 10 du décret du 29 mai 2019 pris pour l’application de cette loi précise que : » (…) Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet « .
5. M. A… demande l’annulation pour excès de pouvoir de la décision implicite de rejet née du silence gardé pendant trois mois par la CNIL sur sa plainte du 1er novembre 2022. Les indications données à M. A… lors de l’enregistrement de sa plainte ne peuvent être regardées, en l’espèce, comme ayant été de nature à faire obstacle à la naissance d’une décision implicite de rejet, en l’absence de toute information sur l’état d’avancement de son dossier dans le délai de trois mois. Il ressort toutefois des pièces du dossier que la CNIL a poursuivi l’instruction de sa plainte au-delà du délai de trois mois et a pris une décision explicite de clôture de celle-ci, le 18 mars 2024. Par suite, il n’y a pas lieu de statuer sur les conclusions aux fins d’annulation et d’injonction présentées par M. A….
Sur la requête n° 494338 :
6. Aux termes de l’article 57 du RGPD : » Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / a) contrôle l’application du présent règlement et veille au respect de celui-ci (…) « . Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : » I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : /(…) 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre : / (…) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire (…) « .
7. Aux termes de l’article 20 de la même loi : » III.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 précité ou de la présente loi (…), le président de la Commission nationale de l’informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe (…) : 1° De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ; 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ; 4° De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données. Dans le cas prévu au 4° du présent III, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu’il a prises. Le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe. (…) « .
8. Il résulte des dispositions mentionnées aux points 6 et 7 qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.
9. En premier lieu, les circonstances que la CNIL n’aurait pas traité la plainte dans un délai raisonnable et qu’elle n’aurait pas suffisamment informé son auteur de son état d’avancement sont, en tout état de cause, sans incidence sur la légalité de la décision attaquée.
10. En second lieu, il ressort des pièces du dossier qu’ainsi qu’il a été dit au point 2, la CNIL, saisie de la plainte de M. A…, a décidé de rappeler la société exploitant le site du journal en ligne … au respect de ses obligations. Elle lui a demandé, à ce titre, de procéder à une évaluation de la légalité des transferts de données en dehors du territoire de l’Union européenne qu’impliquait le fonctionnement de son site, dans le cadre, s’agissant des transferts vers les Etats-Unis, de la nouvelle décision d’adéquation européenne du 10 juillet 2023. Elle lui a également demandé d’assurer une complète information des utilisateurs du site, notamment quant aux pays destinataires des données transférées et aux outils de transfert utilisés.
11. Au regard de ce qui a été dit au point précédent, et compte tenu des griefs dont elle était saisie, la CNIL n’a pas entaché, dans les circonstances de l’espèce, sa décision de clôture de plainte d’erreur manifeste d’appréciation.
12. Il résulte de tout ce qui précède, sans qu’il soit besoin de saisir la Cour de justice à titre préjudiciel, sur la conformité au droit de l’Union de la décision de la Commission européenne du 10 juillet 2023 sur laquelle, en tout état de cause, le Tribunal s’est prononcé par un arrêt du 3 septembre 2025, Philippe Latombe c/ Commission, aff. T-553/23, que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Les conclusions de sa requête à fin d’annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d’injonction.
D E C I D E :
Article 1er : Il n’y a pas lieu de statuer sur la requête n° 491383.
Article 2 : La requête n° 494338 est rejetée.
Article 3 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.
Délibéré à l’issue de la séance du 23 octobre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; Mme Rozen Noguellou, conseillère d’Etat et M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire-rapporteur.
Rendu le 26 décembre 2025.
Le président :
Signé : M. Bertrand Dacosta
Le rapporteur :
Signé : M. Emmanuel Weicheldinger
La secrétaire :
Signé : Mme Sylvie Leporcq
ECLI:FR:CECHS:2025:491383.20251226
🇫🇷 Point juridique LegalPlanet.pro rédigé à partir de cette décision de justice Conseil d’État, 10ème chambre, 26/12/2025, 491383, Inédit au recueil Lebon — Thématiques associées : RGDP / CNIL — Transfert de données — Paternité des données brutes : Ministère de la justice — Licence Open Data — Date de dernière mise à jour des données réutilisées 5 février 2026.
Approfondir ce sujet :