Recevabilité d’une plainte CNIL formée par le responsable du traitement

La CNIL traite les réclamations introduites par une personne concernée, conformément aux articles 57, paragraphe 1, f), et 77 du RGPD. La personne concernée est celle à laquelle se rapportent les données à caractère personnel au sens de l’article 4 du RGPD.

La saisine émanant du responsable du traitement, qui sollicitait la restitution de données médicales détenues par son sous-traitant, n’a pas été regardée comme une réclamation présentée par une personne concernée. La CNIL pouvait donc clôturer cette saisine comme irrecevable au regard du dispositif invoqué.

En conséquence, aucune décision juridiquement contraignante à l’égard du responsable du traitement n’étant née au sens de l’article 78 du RGPD, celui-ci ne justifiait pas d’un intérêt lui donnant qualité pour demander l’annulation pour excès de pouvoir de la décision de clôture. La requête a été rejetée.

⬇️Télécharger la décision version officielle (pdf)

La CNIL traite les réclamations présentées par une personne concernée, c’est-à-dire celle à laquelle se rapportent les données personnelles. La saisine du responsable du traitement, demandant la restitution de données médicales à son sous-traitant, ne constituait pas une telle réclamation. Sa clôture comme irrecevable n’a donc pas créé de décision juridiquement contraignante susceptible de recours par le responsable du traitement.

Un médecin libéral, responsable du traitement des données médicales de ses patients, avait confié leur gestion et leur hébergement à la société CEGEDIM, sous-traitant. Un différend étant survenu au sujet de la restitution de ces données, le responsable du traitement a saisi la CNIL d’une plainte dirigée contre le refus du prestataire.

La CNIL a clôturé cette saisine comme irrecevable. Le responsable du traitement a demandé l’annulation de cette décision, en invoquant notamment un défaut de motivation, des erreurs de droit et l’insuffisance de l’instruction.

La juridiction a retenu que la saisine n’avait pas été présentée par une personne concernée, mais par le responsable du traitement. Elle ne constituait donc pas une réclamation au sens de l’article 77 du RGPD. Faute de décision juridiquement contraignante le concernant au sens de l’article 78, le requérant ne justifiait pas d’un intérêt lui donnant qualité pour agir.

• Identifier la qualité de l’auteur de la saisine
• Vérifier que les données concernent directement le plaignant
• Caractériser une réclamation au sens de l’article 77 du RGPD
• Établir l’existence d’une décision juridiquement contraignante
• Justifier d’un intérêt donnant qualité pour agir

• La plainte adressée à la CNIL
• L’objet de la saisine portant sur la restitution des données médicales
• La qualité de responsable du traitement du plaignant
• La décision de clôture de la CNIL comme irrecevable

Le responsable du traitement ne peut pas utiliser la procédure de réclamation de l’article 77 du RGPD pour contester auprès de la CNIL le refus d’un sous-traitant de restituer des données. La contestation de la clôture est irrecevable lorsqu’aucune décision juridiquement contraignante ne le concerne.

• Qualification de la qualité du plaignant
• Distinction entre responsable du traitement et personne concernée
• Vérification de la recevabilité de la saisine CNIL
• Absence de qualité pour agir contre la clôture
• Identification d’une voie de recours adaptée au différend avec le sous-traitant

À faire

• Identifier la personne concernée par les données
• Qualifier la position du plaignant dans le traitement
• Vérifier les conditions de l’article 77 du RGPD
• Décrire précisément l’objet de la plainte
• Établir l’existence d’une décision contraignante

À éviter

• Assimiler le responsable du traitement à la personne concernée
• Présenter un différend contractuel comme une réclamation RGPD
• Contester une clôture sans intérêt pour agir
• Omettre la qualité procédurale du plaignant
• Confondre plainte CNIL et restitution contractuelle des données

La qualité de personne concernée pour saisir la CNIL

La réclamation prévue par l’article 77, paragraphe 1, du RGPD peut être introduite par une personne concernée lorsqu’elle estime que le traitement de données la concernant méconnaît le règlement. La personne concernée est celle à laquelle se rapportent les données personnelles, selon l’article 4 du RGPD. Une saisine présentée par le responsable du traitement, pour obtenir la restitution de données de ses patients, ne relève pas de ce dispositif.

Le traitement des réclamations par la CNIL

L’article 57, paragraphe 1, f), du RGPD et l’article 8, I, 2°, d), de la loi du 6 janvier 1978 confient à la CNIL le traitement des réclamations, pétitions et plaintes introduites par une personne concernée. La saisine examinée n’ayant pas cette qualité, elle pouvait être clôturée comme irrecevable.

La qualité pour contester une décision de la CNIL

L’article 78, paragraphe 1, du RGPD ouvre un recours juridictionnel contre une décision juridiquement contraignante d’une autorité de contrôle qui concerne la personne physique ou morale. La saisine n’ayant pas fait naître une telle décision à l’égard du responsable du traitement, celui-ci ne justifiait pas d’un intérêt lui donnant qualité pour agir en annulation.

Article L. 211-2 du Code des relations entre le public et l’administration, Article 41 de la Charte des droits fondamentaux de l’Union européenne, paragraphe 3 de l’article 28 du règlement (UE) 2016/679, article 20 de la loi n° 78-17 du 6 janvier 1978, article 4 du règlement (UE) 2016/679, article 57 du règlement (UE) 2016/679, article 77 du règlement (UE) 2016/679, article 78 du règlement (UE) 2016/679, article 8 de la loi n° 78-17 du 6 janvier 1978

⬇️Télécharger (pdf)