Protection des données → Recours contre la clôture d’une plainte auprès de la CNIL

La décision implicite de rejet d’une plainte par la CNIL peut être contestée pour excès de pouvoir si le silence de l’autorité dépasse trois mois. Si la CNIL poursuit l’instruction au-delà de ce délai, cela annule la décision implicite. Selon l’article 77 du règlement (UE) 2016/679, toute personne a le droit d’être informée de l’état de sa réclamation. Les indications lors de l’enregistrement d’une plainte ne font pas obstacle à la décision implicite si aucune information n’est communiquée.

Dans cette affaire, un administré a introduit une requête auprès du Conseil d’État, demandant l’annulation d’une décision implicite de la Commission nationale de l’informatique et des libertés (CNIL) qui a prononcé la clôture de sa plainte. Cette plainte, déposée le 27 novembre 2024, concernait les modalités de dépôt de traceurs par le site internet de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la validité d’une décision d’exécution de la Commission européenne relative à la protection des données entre l’UE et les États-Unis.

L’administré a également demandé à la CNIL de l’informer de l’issue de sa plainte dans un délai d’une semaine et de prendre des sanctions dissuasives. Il a en outre sollicité que la CNIL saisisse la Cour de justice de l’Union européenne pour une question préjudicielle sur la validité de la décision d’adéquation.

Le Conseil d’État a examiné les dispositions du règlement (UE) 2016/679 et de la loi n° 78-17 du 6 janvier 1978, qui garantissent le droit d’introduire une réclamation auprès d’une autorité de contrôle. Il a constaté que la CNIL devait informer l’administré de l’état d’avancement de sa plainte dans un délai raisonnable. Bien que la CNIL ait initialement gardé le silence pendant trois mois, ce qui aurait pu entraîner une décision implicite de rejet, il a été établi que la CNIL avait poursuivi l’instruction de la plainte au-delà de ce délai.

En conséquence, le Conseil d’État a décidé qu’il n’y avait pas lieu de statuer sur la requête de l’administré, car la CNIL avait effectivement continué à traiter sa plainte. Les autres conclusions présentées par la CNIL ont également été rejetées. La décision a été notifiée à l’administré et à la CNIL.

La décision implicite de rejet d’une plainte par la CNIL peut-elle être contestée si l’autorité a poursuivi l’instruction au-delà du délai de trois mois sans informer l’administré de l’état d’avancement de sa réclamation ?

La décision implicite de rejet d’une plainte par la Commission nationale de l’informatique et des libertés (CNIL) peut être contestée pour excès de pouvoir, notamment lorsque le silence de l’autorité de contrôle dépasse le délai de trois mois prévu par l’article 10 du décret du 29 mai 2019. Toutefois, si la CNIL poursuit l’instruction de la plainte au-delà de ce délai, cela entraîne le retrait de la décision implicite de rejet, rendant sans objet la demande d’annulation. En vertu de l’article 77 du règlement (UE) 2016/679, toute personne concernée a le droit d’être informée de l’état d’avancement de sa réclamation, ce qui inclut la possibilité d’exercer un recours si aucune information n’est fournie dans le délai imparti. Les indications données lors de l’enregistrement d’une plainte ne sauraient faire obstacle à la naissance d’une décision implicite de rejet si aucune information n’est communiquée. En conséquence, les conclusions visant à obtenir une injonction à la CNIL de statuer sur la plainte ou de saisir la Cour de justice de l’Union européenne ne peuvent être accueillies si la CNIL a déjà agi. Enfin, les demandes de sanctions à l’encontre du requérant ne sont pas recevables, car elles relèvent du pouvoir discrétionnaire du juge.

• Réclamation déposée par M. A… auprès de la CNIL le 27 novembre 2024.
• Courrier de la CNIL du 29 novembre 2024 informant M. A… de la transmission de sa réclamation.
• Silence gardé par la CNIL pendant trois mois, entraînant une décision implicite de rejet.
• Réponses à une mesure supplémentaire d’instruction ordonnée par le Conseil d’État indiquant que la CNIL a poursuivi l’instruction de la plainte au-delà du délai de trois mois.
• Dispositions de l’article 77 du RGPD et de l’article 8 de la loi du 6 janvier 1978 concernant le droit d’introduire une réclamation et l’obligation d’informer l’auteur de la réclamation.

Dans cette affaire, le demandeur a vu sa requête rejetée, ce qui signifie qu’il ne pourra pas contester la décision implicite de la CNIL. Pour la CNIL, la poursuite de l’instruction de la plainte au-delà du délai de trois mois a permis d’éviter une décision implicite de rejet, mais elle doit continuer à informer le plaignant de l’état d’avancement de sa réclamation.

• Le demandeur ne peut plus contester la décision implicite de rejet.
• La CNIL doit poursuivre l’instruction de la plainte et informer le demandeur de son avancement.
• Le demandeur peut envisager d’autres recours si la CNIL ne répond pas dans un délai raisonnable.
• La CNIL doit veiller à respecter les délais de traitement des plaintes pour éviter des décisions implicites de rejet à l’avenir.
• Le rejet de la demande d’amende contre le demandeur souligne la nécessité d’une procédure claire pour les sanctions.

À faire

• Vérifier le délai de trois mois depuis le dépôt de la réclamation.
• Contester la décision implicite de rejet pour excès de pouvoir si le délai est dépassé.
• Demander des informations sur l’état d’avancement de la réclamation à la CNIL.
• Suivre l’instruction de la plainte pour s’assurer qu’elle est toujours en cours.
• Consulter l’article 77 du RGPD pour connaître ses droits en matière de réclamation.

À éviter

• Ne pas ignorer le silence de la CNIL au-delà de trois mois.
• Ne pas se baser uniquement sur les indications fournies lors de l’enregistrement de la plainte.
• Éviter de demander une injonction si la CNIL a déjà agi sur la plainte.
• Ne pas soumettre de demandes de sanctions sans fondement juridique.
• Ne pas négliger les recours possibles en cas de non-respect des délais par la CNIL.

Quelle est la règle de droit applicable concernant le droit d’introduire une réclamation auprès d’une autorité de contrôle en matière de protection des données personnelles ?

La règle de droit applicable est énoncée à l’article 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016. Cet article stipule que toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. L’autorité de contrôle est tenue d’informer l’auteur de la réclamation de l’état d’avancement et de l’issue de celle-ci, y compris de la possibilité d’exercer un recours juridictionnel en vertu de l’article 78 si elle ne traite pas la réclamation ou n’informe pas la personne concernée dans un délai de trois mois.

Quels sont les délais et obligations de la Commission nationale de l’informatique et des libertés (CNIL) en matière de traitement des réclamations ?

La CNIL est soumise aux dispositions de l’article 8 de la loi n° 78-17 du 6 janvier 1978, qui impose à l’autorité de contrôle de traiter les réclamations et plaintes introduites par une personne concernée. Elle doit examiner ou enquêter sur l’objet de la réclamation dans la mesure nécessaire et informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable. De plus, l’article 10 du décret du 29 mai 2019 précise que le silence gardé pendant trois mois par la CNIL sur une réclamation vaut décision de rejet.

Quelle est la portée de la décision implicite de rejet en cas de silence de la CNIL sur une réclamation ?

La décision implicite de rejet, résultant du silence gardé par la CNIL pendant trois mois sur une réclamation, est considérée comme une décision de rejet. Toutefois, si la CNIL poursuit l’instruction de la plainte au-delà de ce délai, cela entraîne le retrait de la décision implicite de rejet. Dans ce cas, il n’y a pas lieu de statuer sur les conclusions aux fins d’annulation et d’injonction présentées par le demandeur.

Quels sont les pouvoirs du juge en matière de recours contre les décisions de la CNIL ?

Le juge dispose d’un pouvoir propre en vertu de l’article R. 741-12 du code de justice administrative. Les conclusions de la CNIL tendant à ce que le demandeur soit condamné à une amende en application de ces dispositions ne sont pas recevables, car elles relèvent de l’appréciation du juge et ne peuvent pas être imposées par la CNIL elle-même.

Quels éléments déterminants ont été retenus par la juridiction pour statuer sur la requête du demandeur ?

La juridiction a retenu que la CNIL a poursuivi l’instruction de la plainte du demandeur au-delà du délai de trois mois, ce qui a conduit au retrait de la décision implicite de rejet. Par conséquent, la juridiction a conclu qu’il n’y avait pas lieu de statuer sur les conclusions du demandeur, car la CNIL avait agi en conformité avec ses obligations légales en poursuivant l’examen de la réclamation.