Droit d’accès aux données personnelles : obligations de la CNIL et recours possibles

Lorsqu’un justiciable saisit la CNIL d’une plainte relative à ses droits en matière de données personnelles, il est crucial de comprendre le cadre juridique applicable. La CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner à une plainte, en tenant compte de la gravité des manquements allégués. En cas de refus d’instruire une plainte, le justiciable peut déférer cette décision au juge de l’excès de pouvoir, qui exercera un contrôle sur l’appréciation de la CNIL.

Le 1er avril 2024, un administré a déposé une plainte auprès de la Commission nationale de l’informatique et des libertés (CNIL) concernant l’exercice de son droit d’accès à ses données personnelles, en lien avec l’utilisation de sa carte de crédit. La CNIL a accusé réception de cette plainte par un courrier daté du 8 avril 2024, indiquant qu’elle était prise en charge par son service des réclamations. Cependant, le 16 avril 2024, la CNIL a informé l’administré de la clôture de sa plainte, tout en précisant qu’elle avait contacté le responsable de traitement.

L’administré a alors saisi le Conseil d’État par une requête enregistrée le 15 juin 2024, demandant plusieurs mesures. Il a sollicité un sursis à statuer et un renvoi d’une question préjudicielle à la Cour de justice de l’Union européenne concernant l’obligation d’information des plaignants. Il a également demandé l’annulation de la décision de la CNIL pour excès de pouvoir et a exigé qu’elle réexamine sa plainte sous astreinte, en garantissant une instruction efficace et une information suffisante.

Le Conseil d’État a examiné les éléments du dossier, notamment les dispositions de la loi du 6 janvier 1978 et du règlement (UE) 2016/679. Il a rappelé que la CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner aux plaintes. Le Conseil a conclu que la décision de la CNIL de clôturer la plainte était suffisamment motivée et ne souffrait pas d’erreur d’appréciation. Par conséquent, il a rejeté la requête de l’administré, considérant qu’il n’était pas fondé à demander l’annulation de la décision contestée.

La décision de la CNIL de clôturer une plainte relative à l’exercice des droits en matière de données personnelles peut-elle être contestée pour excès de pouvoir si elle est jugée suffisamment motivée et conforme aux exigences légales ?

Lorsqu’un justiciable saisit la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte relative à l’exercice de ses droits en matière de données personnelles, il est crucial de bien comprendre le cadre juridique applicable. La CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner à une plainte, en tenant compte de la gravité des manquements allégués et des circonstances entourant la demande, conformément aux articles 8 et 20 de la loi n° 78-17 du 6 janvier 1978. En cas de refus de la CNIL d’instruire une plainte, le justiciable peut déférer cette décision au juge de l’excès de pouvoir, qui exercera un contrôle sur l’appréciation de la CNIL, notamment en ce qui concerne les droits d’accès, de rectification et d’effacement des données, comme prévu aux articles 49 à 56 de la même loi.

Il est également essentiel de noter que la CNIL peut rappeler au responsable de traitement ses obligations légales, notamment celles découlant de l’article 12 du RGPD, et informer le plaignant des recours possibles en cas de non-satisfaction de sa demande. La décision de clôture d’une plainte par la CNIL peut être considérée comme suffisamment motivée si elle indique les actions entreprises et les conseils donnés au plaignant pour la suite de la procédure. En l’absence d’une information insuffisante sur l’état d’avancement de la plainte, la légalité de la décision de la CNIL ne sera pas remise en cause. Les conclusions visant à obtenir une injonction à la CNIL pour réexaminer une plainte seront donc rejetées si la décision de clôture est jugée conforme aux exigences légales.

• Courrier de la CNIL daté du 8 avril 2024 accusant réception de la plainte de M. A…
• Courrier de la CNIL daté du 16 avril 2024 informant M. A… de la clôture de sa plainte et de son intervention auprès du responsable de traitement.
• Dispositions des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
• Rappel par la CNIL des obligations légales du responsable de traitement en vertu de l’article 12 du RGPD.
• Possibilité pour M. A… de saisir la CNIL d’une nouvelle réclamation en cas de non-réponse du responsable de traitement.

Dans cette affaire, le justiciable, ayant saisi la CNIL pour une plainte relative à l’accès à ses données personnelles, a vu sa requête rejetée par le Conseil d’État. Cette décision a des implications significatives tant pour le plaignant que pour la CNIL, notamment en ce qui concerne la gestion des plaintes et les obligations d’information.

• Le plaignant ne peut pas obtenir l’annulation de la décision de la CNIL, ce qui limite ses recours.
• La CNIL est confirmée dans son pouvoir d’appréciation, renforçant sa position dans le traitement des plaintes.
• Le plaignant est encouragé à saisir à nouveau la CNIL si ses droits ne sont pas respectés par le responsable de traitement.
• La décision souligne l’importance pour la CNIL de motiver ses décisions, même en cas de clôture de plainte.
• Le plaignant doit être conscient des délais et des procédures pour faire valoir ses droits en matière de données personnelles.

À faire

• Vérifier la date de réception de la plainte par la CNIL.
• Consulter les articles 8 et 20 de la loi n° 78-17.
• Prendre note des obligations légales rappelées par la CNIL.
• Préparer une nouvelle réclamation si aucune réponse du responsable de traitement.
• Conserver tous les courriers échangés avec la CNIL.

À éviter

• Ne pas ignorer les délais de réponse de la CNIL.
• Éviter de soumettre des plaintes sans fondement solide.
• Ne pas négliger la motivation de la décision de clôture.
• Éviter de contester sans avoir examiné les circonstances de la plainte.
• Ne pas oublier de suivre l’état d’avancement de la plainte.

Quelle est la règle de droit applicable concernant l’obligation d’information des auteurs d’une réclamation auprès de l’autorité de contrôle ?

La règle de droit applicable est issue du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, notamment du f) du paragraphe 1 de l’article 57 et du paragraphe 2 de l’article 77. Ces dispositions imposent à l’autorité de contrôle de fournir des informations adéquates aux auteurs de réclamations concernant l’état d’avancement de leur demande.

Quelles sont les conditions et critères pour que la CNIL examine une plainte ou une réclamation ?

Selon les articles 8 et 20 de la loi n° 78-17 du 6 janvier 1978, la CNIL doit examiner les faits à l’origine d’une plainte ou d’une réclamation et décider des suites à donner. Elle dispose d’un large pouvoir d’appréciation, tenant compte de la gravité des manquements allégués, du sérieux des indices relatifs aux faits, de la date des faits, du contexte, et des intérêts généraux dont elle a la charge.

Quelle est la procédure applicable en cas de refus de la CNIL de donner suite à une plainte ?

L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Ce recours est fondé sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition, tels que mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978.

Quels éléments déterminants la juridiction a-t-elle retenus pour rejeter la demande d’annulation de la décision de la CNIL ?

La juridiction a retenu que la CNIL avait rappelé au responsable de traitement ses obligations légales, en vertu de l’article 12 du RGPD, et l’avait informé de la nécessité de répondre à la demande d’accès dans un délai d’un mois. De plus, la décision de clôture de la plainte était suffisamment motivée et ne souffrait pas d’erreur d’appréciation, même si le requérant n’avait pas été suffisamment informé de l’état d’avancement de sa plainte.