RÉPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

Vu les procédures suivantes :

1° Sous le n° 491371, par une requête enregistrée le 31 janvier 2024 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

• 1°) d’annuler pour excès de pouvoir la décision implicite par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a rejeté sa plainte, introduite le 1er novembre 2022, relative au transfert de données personnelles vers les Etats-Unis par le site internet en ligne … ;
• 2°) d’enjoindre à la CNIL, sous astreinte de 500 euros par jour de retard, d’instruire à nouveau sa plainte.

2° Sous le n° 494329, par une requête enregistrée le 17 mai 2024 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :

• 1°) de surseoir à statuer et de renvoyer à la Cour de justice de l’Union européenne une question préjudicielle portant sur la conformité de la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 aux articles 7, 8, 47 et 52 de la charte des droits fondamentaux de l’Union européenne et à l’article 45 du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
• 2°) d’annuler pour excès de pouvoir la décision du 28 mars 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte, introduite le 1er novembre 2022, relative au transfert de données personnelles vers les Etats-Unis par le site internet du ligne … ;
• 3°) d’enjoindre à la CNIL, sous astreinte de 500 euros par jour de retard, d’instruire à nouveau sa plainte, de corriger le courrier-type qu’elle envoie aux responsables de traitement dans le cadre des réclamations portant sur les transferts de données illicites hors de l’Union européenne et de prendre toute mesure utile visant à garantir un traitement diligent des réclamations.

…………………………………………………………………………

Vu les autres pièces des dossiers ;

Vu :

• la charte des droits fondamentaux de l’Union européenne ;
• le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
• la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ;
• la loi n° 78-17 du 6 janvier 1978 ;
• le code de justice administrative ;

Après avoir entendu en séance publique :

• le rapport de M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire,
• les conclusions de M. Frédéric Puigserver, rapporteur public ;

Considérant ce qui suit :

1. Les deux requêtes de M. A… présentent à juger les mêmes questions. Il y a lieu de les joindre pour statuer par une seule décision.

2. Il ressort des pièces du dossier que, le 1er novembre 2022, M. A… a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte à l’encontre de la société exploitant le site du ligne …, en raison de transferts de données personnelles des visiteurs du site vers des pays tiers à l’Union européenne, en particulier les Etats-Unis, du fait du recours à un réseau de distribution de contenus, ainsi que du défaut d’information sur ces transferts. Par un courrier du 3 novembre 2022, la CNIL a informé le requérant de la prise en charge de sa demande par le service des réclamations et des plaintes. Par un courrier du 28 mars 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès du responsable de traitement, et d’autre part, de la clôture de sa plainte.

Sur la requête n° 491371 :

3. D’une part, en application de l’article 77 du règlement (UE) du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. Aux termes du paragraphe 2 de son article 78 :  » Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l’autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation qu’elle a introduite au titre de l’article 77 « 

4. D’autre part, en application du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête est nécessaire. L’article 10 du décret du 29 mai 2019 pris pour l’application de cette loi précise que :  » (…) Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet « .

5. M. A… demande l’annulation pour excès de pouvoir de la décision implicite de rejet née du silence gardé pendant trois mois par la CNIL sur sa plainte du 1er novembre 2022. Les indications données à M. A… lors de l’enregistrement de sa plainte ne peuvent être regardées, en l’espèce, comme ayant été de nature à faire obstacle à la naissance d’une décision implicite de rejet, en l’absence de toute information sur l’état d’avancement de son dossier dans le délai de trois mois. Il ressort toutefois des pièces du dossier que la CNIL a poursuivi l’instruction de sa plainte au-delà du délai de trois mois et a pris une décision explicite de clôture de celle-ci, le 28 mars 2024. Par suite, il n’y a pas lieu de statuer sur les conclusions aux fins d’annulation et d’injonction présentées par M. A….

Sur la requête n° 494329 :

6. Aux termes de l’article 57 du RGPD :  » Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / a) contrôle l’application du présent règlement et veille au respect de celui-ci (…) « . Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés :  » I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : /(…) 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre : / (…) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et i