La clôture d’une plainte par la CNIL peut être contestée devant le juge de l’excès de pouvoir, qui exerce un contrôle limité sur l’appréciation des faits. Cette procédure souligne l’importance d’une argumentation solide et d’une compréhension des droits garantis par la loi en matière de protection des données personnelles.
L’administrée demandait également à la CNIL de reprendre l’instruction de sa plainte. Selon le RGPD, les données personnelles doivent être traitées de manière adéquate et limitée aux finalités pour lesquelles elles sont collectées. L’administrée soutenait que la société Orpi Valrim avait manqué à ses obligations en matière de communication, notamment en lui adressant des courriels au lieu de courriers postaux, comme elle l’avait demandé.
La CNIL, dans sa décision, a estimé que le traitement des données de l’administrée était nécessaire à l’exécution du contrat de copropriété. Elle a également conclu que le non-respect des préférences de communication de l’administrée ne constituait pas une violation de ses droits en matière de protection des données. Le Conseil d’État a confirmé cette analyse, soulignant que la CNIL avait un large pouvoir d’appréciation pour décider des suites à donner aux plaintes, en tenant compte de la gravité des manquements allégués.
Finalement, le Conseil d’État a rejeté la requête de l’administrée, considérant que la décision de la CNIL était suffisamment motivée et conforme aux dispositions légales en vigueur. Les conclusions de l’administrée visant à annuler la décision et à enjoindre la CNIL de reprendre l’instruction ont donc été rejetées.
Il est également essentiel de démontrer que le traitement des données personnelles en cause ne dépasse pas ce qui est nécessaire pour l’exécution du contrat, conformément à l’article 6 du même règlement. En cas de non-respect des engagements pris par un responsable de traitement, il convient de vérifier si cela constitue une violation des droits de la personne concernée, notamment en matière d’effacement des données. La CNIL peut conclure qu’aucune violation n’a eu lieu si le traitement des données est justifié par l’exécution d’un contrat. En conséquence, les requêtes visant à annuler une décision de clôture de plainte doivent être fondées sur des éléments concrets démontrant une méconnaissance des droits de la personne concernée, ce qui n’était pas le cas dans l’affaire examinée.
Dans cette affaire, la décision du Conseil d’État de rejeter la requête de la plaignante a des conséquences significatives pour chacune des parties. La plaignante, qui espérait obtenir une réévaluation de sa plainte par la CNIL, se voit confirmée dans l’absence de violation de ses droits, tandis que la CNIL et la société de gestion de la copropriété bénéficient d’une validation de leurs pratiques de traitement des données.
Le traitement des données à caractère personnel est régi par le règlement (UE) n° 2016/679 du Parlement européen et du conseil du 27 avril 2016, dit RGPD, ainsi que par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Selon l’article 5, les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. L’article 6 précise que le traitement n’est licite que si, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données pour une ou plusieurs finalités spécifiques ; b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie.
La CNIL est tenue d’examiner les plaintes ou réclamations qui lui sont soumises, conformément aux articles 8 et 20 de la loi du 6 janvier 1978. Elle dispose d’un large pouvoir d’appréciation pour décider des suites à donner, en tenant compte de la gravité des manquements allégués, du sérieux des indices relatifs aux faits, et du contexte dans lequel ils se sont produits.
La CNIL dispose d’un large pouvoir d’appréciation pour décider des suites à donner à une plainte. Elle peut tenir compte de la gravité des manquements allégués, du sérieux des indices relatifs aux faits, de la date à laquelle ils ont été commis, et du contexte général. Toutefois, ce pouvoir d’appréciation est soumis au contrôle du juge de l’excès de pouvoir lorsque la plainte concerne la méconnaissance des droits garantis par la loi à la personne concernée.
Le rejet de la plainte par la CNIL repose sur plusieurs éléments. D’une part, il a été établi que le traitement des données personnelles de la requérante était nécessaire à l’exécution d’un contrat en tant que copropriétaire, conformément à l’article 6 du RGPD. D’autre part, le non-respect éventuel des engagements de la société Orpi Valrim concernant les modes de communication ne constitue pas une violation des droits de la personne concernée, notamment en ce qui concerne le droit à l’effacement des données. Ainsi, la décision de la CNIL a été jugée suffisamment motivée et conforme aux obligations légales.
RÉPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête, enregistrée le 21 août 2025 au secrétariat du contentieux du Conseil d’Etat, Mme D… demande au Conseil d’Etat :
Vu les autres pièces du dossier ;
Vu :
Après avoir entendu en séance publique :
Considérant ce qui suit :
1. Il ressort des pièces du dossier que, par un courriel du 20 août 2025, la Commission nationale de l’informatique et des libertés (CNIL) a clôturé la plainte, enregistrée sous le n° P44-102366, par laquelle Mme D… contestait la conformité aux principes résultant du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), dit RGPD, des modalités de communication entre la société Orpi Valrim, qui est chargée de la gestion de la copropriété où elle réside, et elle. Mme D… demande l’annulation de cette décision et qu’il soit enjoint à la CNIL de reprendre l’instruction de sa plainte.
2. D’une part, en vertu du c) du I de l’article 5 du RGPD relatif aux principes relatifs au traitement des données à caractère personnel, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Aux termes du paragraphe 1 de l’article 6 de ce règlement : « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : / a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; / b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci (…) ». Aux termes du paragraphe 1 de l’article 17 du même règlement : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique : / a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement (…) ».
3. D’autre part, il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.
4. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.
5. En premier lieu, il ressort des pièces du dossier qu’à l’occasion d’une précédente plainte qui a fait l’objet par la CNIL d’une décision de clôture non contestée, la société assurant le syndic de la copropriété de l’immeuble de résidence de la requérante a indiqué qu’il était nécessaire qu’elle conserve les données à caractère personnel concernant Mme C… afin de la contacter et de l’informer en sa qualité de copropriétaire dans le cadre de la gestion de la copropriété. Elle a en outre indiqué que l’intéressée serait contactée, selon sa demande, de préférence par voie postale plutôt que par voie électronique, sauf en cas d’urgence. Il se déduit de ces éléments, d’une part, qu’en vertu de l’article 6 du RGPD cité au point 2, le traitement en cause apparaît nécessaire à l’exécution d’un contrat auquel la personne concernée est partie en sa qualité de copropriétaire et, d’autre part, que le non-respect éventuel de son engagement par la société Orpi Valrim quant aux modes de communication des informations à délivrer aux copropriétaires, et en particulier à Mme C…, ne révèle pas une violation d’un des droits de la personne concernée, et notamment de celui à l’effacement des données personnelles, tels qu’ils sont garantis par les dispositions du chapitre III du RGPD et repris aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 mentionnée au point 4. Par suite, Mme C… n’est pas fondée à soutenir qu’en s’abstenant de tenir compte de la méconnaissance par la société Orpi Valrim de son engagement de ne plus lui adresser en principe de courriels et en clôturant sa plainte, la CNIL, dont la décision est, en tout état de cause, suffisamment motivée, aurait méconnu ses obligations rappelées aux points 3 et 4.
6. En deuxième lieu, il ne ressort pas des pièces du dossier que l’envoi de courriels à Mme D…, plutôt que de courriers, pour les seuls besoins de l’exécution du contrat dont la société Orpi Valrim est titulaire conduirait cette dernière à mettre en œuvre un traitement qui ne serait pas limité à ce qui est nécessaire au regard des finalités pour lesquelles les données de Mme D… sont traitées. Par suite, le moyen tiré de ce que la CNIL aurait méconnu le principe de minimisation prévu à l’article 5 du RGPD rappelé au point 2, en ne vérifiant pas le caractère légitime et proportionné du traitement de ses données à caractère personnel, doit être écarté.
7. Il résulte de tout ce qui précède que les conclusions à fin d’annulation présentées par Mme D… doivent être rejetées, ainsi que, par voie de conséquence, ses conclusions à fin d’injonction.
D E C I D E :
Article 1er : La requête de Mme D… est rejetée.
Article 2 : La présente décision sera notifiée à Mme B… D… et à la Commission nationale de l’informatique et des libertés.
Délibéré à l’issue de la séance du 4 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M. Renaud Vedel, conseiller d’Etat-rapporteur.
Rendu le 31 décembre 2025.
Le président :
Signé : M. Bertrand Dacosta
Le rapporteur :
Signé : M. Renaud Vedel
La secrétaire :
Signé : Mme Marie-Léandre Monnerville
ECLI:FR:CECHS:2025:507485.20251231
🇫🇷 Point juridique LegalPlanet.pro rédigé à partir de cette décision de justice Conseil d’État, 10ème chambre, 31/12/2025, 507485, Inédit au recueil Lebon — Thématiques associées : RGDP / CNIL — Recours CNIL — Paternité des données brutes : Ministère de la justice — Licence Open Data — Date de dernière mise à jour des données réutilisées 5 février 2026.
Approfondir ce sujet :