Retrait d’une décision implicite de rejet après clôture d’une plainte par la CNIL

L’article 77 du RGPD reconnaît à toute personne concernée le droit de saisir une autorité de contrôle d’une réclamation relative à un traitement de données personnelles. L’autorité doit informer l’auteur de l’état d’avancement et de l’issue de la réclamation, notamment au regard de l’article 78 du RGPD.

Le d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 impose à la CNIL de traiter les plaintes, d’en examiner l’objet dans la mesure nécessaire et d’informer leur auteur dans un délai raisonnable. En application de l’article 10 du décret du 29 mai 2019, le silence gardé pendant trois mois vaut décision implicite de rejet. Une information indiquant que les délais peuvent être importants ne fait pas obstacle à cette naissance.

Lorsque la CNIL poursuit néanmoins l’instruction puis adopte une décision explicite de clôture, cette décision retire la décision implicite antérieure. Si la décision expresse est devenue définitive et que le requérant n’en conteste pas la légalité, les conclusions dirigées contre la décision implicite sont privées d’objet. Le juge prononce alors un non-lieu à statuer, sans examiner les moyens tirés notamment de l’article 13 de la convention européenne des droits de l’homme, de l’article L. 100-2 du code des relations entre le public et l’administration ou d’une erreur manifeste d’appréciation.

⬇️Télécharger la décision version officielle (pdf)

Toute personne concernée peut saisir une autorité de contrôle d’une réclamation relative à un traitement de données personnelles. Le silence de la CNIL pendant trois mois vaut décision implicite de rejet, même si elle informe l’intéressé de délais de traitement importants. Lorsqu’une décision expresse de clôture intervient ensuite et devient définitive, elle retire la décision implicite antérieure, de sorte que les conclusions dirigées contre celle-ci deviennent sans objet.

Un plaignant a saisi la CNIL au sujet du traitement de ses données à caractère personnel par la société Discord Inc. Il demandait l’annulation de la décision implicite par laquelle la CNIL aurait rejeté sa plainte ainsi qu’une injonction de la traiter sous astreinte.

La CNIL a informé le plaignant de la transmission de sa plainte à son service compétent et de délais de traitement potentiellement importants. Après l’expiration du délai de trois mois, une décision implicite de rejet était née.

La CNIL a toutefois poursuivi l’instruction et adopté, le 20 janvier 2026, une décision explicite de clôture. Cette décision a retiré la décision implicite antérieure et est devenue définitive. Le plaignant ne contestant pas sa légalité, le Conseil d’État a jugé qu’il n’y avait plus lieu de statuer sur les conclusions dirigées contre la décision implicite.

• Constater l’existence d’une plainte relevant de l’article 77 du RGPD
• Vérifier l’expiration du délai de trois mois prévu par l’article 10 du décret
• Écarter une simple information sur des délais importants comme obstacle au rejet implicite
• Établir la poursuite de l’instruction par la CNIL
• Constater l’adoption d’une décision explicite de clôture
• Vérifier que cette décision est devenue définitive et n’est pas contestée

• Courriel de la CNIL du 12 mai 2025 relatif à la plainte
• Pièces établissant la transmission au service compétent de la CNIL
• Éléments attestant la poursuite de l’instruction au-delà de trois mois
• Décision explicite de clôture du 20 janvier 2026
• Écritures du requérant ne contestant pas la décision de clôture

Pour le plaignant, le recours dirigé contre le rejet implicite devient sans objet après le retrait de celui-ci par la décision explicite de clôture. Pour la CNIL, la clôture définitive met fin à l’instance portant sur la décision implicite, sans examen des moyens dirigés contre cette dernière.

• Retrait de la décision implicite de rejet
• Non-lieu à statuer sur le recours correspondant
• Absence d’injonction de traiter la plainte sous astreinte
• Nécessité de contester directement la décision explicite de clôture
• Maintien de la clôture lorsqu’elle est devenue définitive

À faire

• Identifier la date de réception de la plainte par la CNIL
• Calculer l’expiration du délai de trois mois
• Conserver les courriels relatifs à l’avancement de la plainte
• Vérifier l’existence d’une décision explicite ultérieure
• Contrôler si la décision de clôture est devenue définitive

À éviter

• Assimiler une information sur les délais à une décision de traitement
• Maintenir un recours contre une décision implicite retirée
• Négliger la décision explicite de clôture
• Demander une injonction fondée sur une décision disparue
• Omettre de contester la légalité de la clôture si nécessaire

La naissance d’une décision implicite de rejet

Le droit de réclamation prévu par l’article 77 du RGPD s’accompagne d’une obligation d’information sur l’avancement et l’issue de la plainte. Selon l’article 10 du décret du 29 mai 2019, le silence de la CNIL pendant trois mois vaut rejet. Une information relative à des délais de traitement importants ne fait pas obstacle à cette naissance.

Le retrait d’une décision implicite de rejet

La poursuite de l’instruction au-delà du délai de trois mois, suivie d’une décision explicite de clôture, retire la décision implicite de rejet née antérieurement.

L’office du juge après une clôture définitive

Lorsque la décision explicite de clôture est devenue définitive et n’est pas contestée, les conclusions dirigées contre la décision implicite sont privées d’objet. Le juge prononce un non-lieu à statuer.

Article 77 du RGPD, Article 78 du RGPD, Article 13 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, Article L. 100-2 du code des relations entre le public et l’administration, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 10 du décret du 29 mai 2019

⬇️Télécharger (pdf)