Protection des données personnelles : recours contre la clôture d’une plainte par la CNIL

Lorsqu’une plainte est déposée auprès de la CNIL, celle-ci dispose d’un large pouvoir d’appréciation pour décider des suites à donner. En cas de refus d’engager une procédure de sanction, le plaignant peut contester cette décision devant le juge administratif. La CNIL peut clore une plainte si le responsable du traitement a pris des mesures appropriées. Si le plaignant reçoit des communications après une demande d’effacement, il doit prouver que les données n’ont pas été supprimées pour que la CNIL reconsidère sa décision.

Dans cette affaire, un administré a saisi le Conseil d’État pour contester les décisions de la Commission nationale de l’informatique et des libertés (CNIL) qui avaient clos deux plaintes le 13 et le 26 décembre 2024. L’administré demandait l’annulation de ces décisions et souhaitait que la CNIL engage une procédure de sanction contre le centre régional des œuvres universitaires et scolaires (CROUS) de Poitiers, en raison d’une demande d’effacement de ses données personnelles.

Le Conseil d’État a rappelé que la CNIL dispose d’un large pouvoir d’appréciation lorsqu’elle examine des plaintes relatives à la protection des données personnelles. Elle doit évaluer la gravité des manquements allégués et les circonstances entourant chaque cas. L’administré a formulé sa demande d’effacement des données le 14 mars 2024, mais n’ayant pas reçu de réponse, il a saisi la CNIL le 18 avril 2024. La CNIL a alors rappelé au CROUS son obligation de répondre, ce qui a conduit à la clôture de la plainte.

Le CROUS a informé l’administré le 2 mai 2024 que la suppression de ses données était effective. Cependant, l’administré a reçu des communications ultérieures du centre national des œuvres universitaires et scolaires (CNOUS), ce qui l’a amené à croire que ses données n’avaient pas été correctement effacées. Il a donc déposé de nouvelles plaintes auprès de la CNIL, qui a finalement clos ces plaintes en considérant que le CROUS avait respecté ses obligations.

Le Conseil d’État a jugé que la CNIL n’avait pas commis d’erreur d’appréciation dans ses décisions de clôture, estimant que les mesures prises par le CROUS étaient appropriées. Par conséquent, la requête de l’administré a été rejetée, y compris ses demandes d’injonction.

La CNIL peut-elle clore une plainte pour non-respect des obligations de suppression des données personnelles si le responsable du traitement a pris des mesures jugées appropriées ?

Lorsqu’une plainte est déposée auprès de la Commission nationale de l’informatique et des libertés (CNIL), il est crucial de comprendre que la CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner à la plainte, conformément à l’article 49 de la loi n° 78-17 du 6 janvier 1978. En cas de refus d’engager une procédure de sanction, le plaignant peut contester cette décision devant le juge administratif, qui exercera un contrôle sur l’appréciation de la CNIL.

Il est également pertinent de noter que la CNIL peut clore une plainte si elle estime que le responsable du traitement a pris des mesures appropriées pour répondre aux obligations légales, comme le rappelle l’article 50 de la même loi. Dans le cas où le plaignant reçoit des communications postérieures à une demande d’effacement, il doit prouver que ces données n’ont pas été effectivement supprimées pour que la CNIL reconsidère sa décision.

Les décisions de la CNIL peuvent être fondées sur des éléments factuels, tels que les échanges entre le plaignant et le responsable du traitement, et la CNIL peut conclure qu’aucune erreur d’appréciation n’a été commise si les diligences effectuées sont jugées suffisantes. En conséquence, il est essentiel pour le plaignant de documenter soigneusement toutes les communications et de suivre les procédures établies pour maximiser ses chances de succès.

• Demande d’effacement des données à caractère personnel formulée par M. A… le 14 mars 2024.
• Réponse du CROUS informant M. A… que la suppression de ses données était « dorénavant effective » le 2 mai 2024.
• Communications reçues par M. A… du CNOUS après la confirmation de l’effacement, notamment une « newsletter » électronique le 16 mai 2024 et une autre le 18 septembre 2024.
• Rappel par la CNIL au CROUS de son obligation de répondre à M. A… le 3 décembre 2024.
• Confirmation par le CROUS à la CNIL qu’il avait informé le CNOUS de la demande d’effacement le 21 mai 2024.
• Clôture des plaintes par la CNIL le 13 et le 26 décembre 2024, considérant que les mesures prises par le CROUS étaient appropriées.

Dans cette affaire, le plaignant, qui a contesté la décision de la CNIL de clore ses plaintes, se voit débouté par le Conseil d’État. Cette décision a des conséquences significatives pour le plaignant et le responsable du traitement, le CROUS, ainsi que pour la CNIL, qui a agi dans le cadre de ses prérogatives.

• Le plaignant ne peut pas obtenir de sanction contre le CROUS, ce qui limite ses recours.
• Le plaignant doit continuer à prouver que ses données n’ont pas été effacées pour toute future plainte.
• Le CROUS est confirmé dans sa position, renforçant sa légitimité dans le traitement des données personnelles.
• La CNIL voit sa décision validée, ce qui peut influencer sa gestion des plaintes similaires à l’avenir.
• Le plaignant pourrait envisager d’autres voies de recours, mais avec des chances de succès incertaines.
• Cette décision pourrait inciter d’autres plaignants à mieux documenter leurs communications pour renforcer leurs cas.

À faire

• Documenter toutes les communications avec le responsable du traitement.
• Conserver les preuves de la demande d’effacement des données.
• Vérifier la confirmation de l’effacement des données par le responsable.
• Contacter la CNIL en cas de communications postérieures à l’effacement.
• Respecter les délais pour contester une décision de la CNIL.

À éviter

• Ignorer les réponses du responsable du traitement.
• Ne pas conserver de traces des échanges avec la CNIL.
• Attendre trop longtemps avant de signaler des violations.
• Faire des déclarations sans preuves tangibles.
• Oublier de suivre les procédures établies par la CNIL.

Quelle est la règle de droit applicable en matière de protection des données personnelles ?

La règle de droit applicable en matière de protection des données personnelles est le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, ainsi que la loi n° 78-17 du 6 janvier 1978. Ces textes établissent les droits des personnes concernées, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition.

Quelles sont les conditions de recevabilité d’une plainte auprès de la Commission nationale de l’informatique et des libertés (CNIL) ?

La recevabilité d’une plainte auprès de la CNIL est conditionnée par la nécessité pour le plaignant de démontrer un intérêt à agir, notamment en raison d’une méconnaissance par un responsable de traitement des droits individuels garantis par la loi. Le plaignant peut contester le refus d’engager une procédure de sanction.

Quel est l’office du juge en matière de contrôle des décisions de la CNIL ?

L’office du juge en matière de contrôle des décisions de la CNIL consiste à exercer un contrôle de l’excès de pouvoir sur les décisions de la CNIL, notamment en ce qui concerne l’appréciation des faits et la décision de clore une plainte. Le juge vérifie si la CNIL a respecté ses obligations légales et a exercé son pouvoir d’appréciation de manière appropriée.

Quels sont les critères d’appréciation de la CNIL pour décider de l’engagement d’une procédure de sanction ?

Les critères d’appréciation de la CNIL pour décider de l’engagement d’une procédure de sanction incluent la gravité des manquements allégués, le sérieux des indices relatifs aux faits, la date à laquelle les faits ont été commis, le contexte dans lequel ils se sont produits, ainsi que l’ensemble des intérêts généraux dont elle a la charge.

Quels éléments déterminants la juridiction a-t-elle retenus pour justifier le rejet de la requête du demandeur ?

La juridiction a retenu que les communications reçues par le demandeur étaient antérieures à la réponse du responsable de traitement, ce qui justifie que la CNIL n’a pas commis d’erreur d’appréciation en considérant que les données avaient été effacées. De plus, la CNIL a accompli des diligences appropriées et a obtenu des résultats satisfaisants, ce qui a conduit à la conclusion qu’il n’était pas nécessaire d’engager une procédure de sanction.