Protection des données personnelles : recours contre la clôture d’une plainte CNIL

RÉPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

Vu la procédure suivante :

Par une requête, enregistrée le 21 août 2025 au secrétariat du contentieux du Conseil d’Etat, Mme D… demande au Conseil d’Etat :

1. d’annuler pour excès de pouvoir la décision du 20 août 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte enregistrée sous le n° P44-102366 relative aux modalités de ses échanges avec la société Orpi Valrim ;
2. d’enjoindre à la CNIL de reprendre l’instruction de sa plainte.

Vu les autres pièces du dossier ;

Vu :

• le règlement (UE) n° 2016/679 du Parlement européen et du conseil du 27 avril 2016 ;
• la loi n° 78-17 du 6 janvier 1978 ;
• le code de justice administrative ;

Après avoir entendu en séance publique :

• le rapport de M. Renaud Vedel, conseiller d’Etat,
• les conclusions de M. Frédéric Puigserver, rapporteur public ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que, par un courriel du 20 août 2025, la Commission nationale de l’informatique et des libertés (CNIL) a clôturé la plainte, enregistrée sous le n° P44-102366, par laquelle Mme D… contestait la conformité aux principes résultant du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), dit RGPD, des modalités de communication entre la société Orpi Valrim, qui est chargée de la gestion de la copropriété où elle réside, et elle. Mme D… demande l’annulation de cette décision et qu’il soit enjoint à la CNIL de reprendre l’instruction de sa plainte.

2. D’une part, en vertu du c) du I de l’article 5 du RGPD relatif aux principes relatifs au traitement des données à caractère personnel, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Aux termes du paragraphe 1 de l’article 6 de ce règlement : « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : / a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; / b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci (…) ». Aux termes du paragraphe 1 de l’article 17 du même règlement : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique : / a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement (…) ».

3. D’autre part, il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

4. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

5. En premier lieu, il ressort des pièces du dossier qu’à l’occasion d’une précédente plainte qui a fait l’objet par la CNIL d’une décision de clôture non contestée, la société assurant le syndic de la copropriété de l’immeuble de résidence de la requérante a indiqué qu’il était nécessaire qu’elle conserve les données à caractère personnel concernant Mme C… afin de la contacter et de l’informer en sa qualité de copropriétaire dans le cadre de la gestion de la copropriété. Elle a en outre indiqué que l’intéressée serait contactée, selon sa demande, de préférence par voie postale plutôt que par voie électronique, sauf en cas d’urgence. Il se déduit de ces éléments, d’une part, qu’en vertu de l’article 6 du RGPD cité au point 2, le traitement en cause apparaît nécessaire à l’exécution d’un contrat auquel la personne concernée est partie en sa qualité de copropriétaire et, d’autre part, que le non-respect éventuel de son engagement par la société Orpi Valrim quant aux modes de communication des informations à délivrer aux copropriétaires, et en particulier à Mme C…, ne révèle pas une violation d’un des droits de la personne concernée, et notamment de celui à l’effacement des données personnelles, tels qu’ils sont garantis par les dispositions du chapitre III du RGPD et repris aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 mentionnée au point 4. Par suite, Mme C… n’est pas fondée à soutenir qu’en s’abstenant de tenir compte de la méconnaissance par la société Orpi Valrim de son engagement de ne plus lui adresser en principe de courriels et en clôturant sa plainte, la CNIL, dont la décision est, en tout état de cause, suffisamment motivée, aurait méconnu ses obligations rappelées aux points 3 et 4.

6. En deuxième lieu, il ne ressort pas des pièces du dossier que l’envoi de courriels à Mme D…, plutôt que de courriers, pour les seuls besoins de l’exécution du contrat dont la société Orpi Valrim est titulaire conduirait cette dernière à mettre en œuvre un traitement qui ne serait pas limité à ce qui est nécessaire au regard des finalités pour lesquelles les données de Mme D… sont traitées. Par suite, le moyen tiré de ce que la CNIL aurait méconnu le principe de minimisation prévu à l’article 5 du RGPD rappelé au point 2, en ne vérifiant pas le caractère légitime et proportionné du traitement de ses données à caractère personnel, doit être écarté.

7. Il résulte de tout ce qui précède que les conclusions à fin d’annulation présentées par Mme D… doivent être rejetées, ainsi que, par voie de conséquence, ses conclusions à fin d’injonction.

D E C I D E :

Article 1er : La requête de Mme D… est rejetée.

Article 2 : La présente décision sera notifiée à Mme B… D… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 4 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M. Renaud Vedel, conseiller d’Etat-rapporteur.

Rendu le 31 décembre 2025.

Le président :

Signé : M. Bertrand Dacosta

Le rapporteur :

Signé : M. Renaud Vedel

La secrétaire :

Signé : Mme Marie-Léandre Monnerville

ECLI:FR:CECHS:2025:507485.20251231