Contrôle juridictionnel du refus d’effacement des données personnelles par la CNIL

La CNIL doit examiner les faits à l’origine d’une plainte relative à l’exercice des droits sur les données personnelles et décider des suites à lui donner, en vertu de l’article 8 de la loi du 6 janvier 1978. Son pouvoir d’appréciation est toutefois placé sous l’entier contrôle du juge de l’excès de pouvoir lorsque la plainte concerne notamment le droit à l’effacement prévu par l’article 17 du RGPD.

L’article 17, paragraphe 1, c), du RGPD prévoit l’effacement lorsque la personne s’oppose au traitement et qu’aucun motif légitime impérieux ne le justifie. Le paragraphe 3, e), exclut cependant ce droit lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.

La CNIL pouvait légalement clôturer la plainte sans investigations complémentaires dès lors que les données de santé avaient été produites devant les juridictions administratives pour assurer la défense du responsable du traitement. Elle n’avait pas à apprécier la régularité ou la valeur probante de ces éléments dans le litige juridictionnel. La décision était suffisamment motivée au regard des articles L. 211-2 et L. 211-5 du code des relations entre le public et l’administration.

⬇️Télécharger la décision version officielle (pdf)

La CNIL exerce son pouvoir d’appréciation sous le contrôle entier du juge lorsque la plainte concerne le droit à l’effacement. Ce droit ne s’applique pas lorsque le traitement est nécessaire à la défense de droits en justice. La CNIL pouvait ainsi clôturer la plainte sans investigations supplémentaires, les données de santé ayant été produites devant les juridictions administratives à cette fin.

Une personne concernée a demandé à un centre hospitalier l’effacement de données personnelles relatives à son état de santé. Ces données figuraient dans des documents établis par le médecin du travail les 23 juillet 2020 et 2 février 2022.

Le centre hospitalier avait produit ces documents devant les juridictions administratives dans un litige portant sur le refus de reconnaître le caractère professionnel de la pathologie de la demanderesse. Après le refus d’effacement, celle-ci a saisi la CNIL, qui a clôturé sa plainte.

La demanderesse a contesté cette clôture devant le Conseil d’État, invoquant notamment l’incompétence de la signataire, une motivation insuffisante, l’absence d’investigations et l’absence de nécessité de conserver les données. Le Conseil d’État a rejeté la requête, estimant que leur traitement était nécessaire à la défense de droits en justice et qu’aucune erreur d’appréciation n’était établie.

• Plainte portant sur l’exercice du droit à l’effacement
• Données personnelles produites devant une juridiction
• Traitement nécessaire à la défense d’un droit en justice
• Éléments disponibles suffisants sans investigation complémentaire
• Motivation exposant les considérations de droit et de fait
• Absence d’éléments précis établissant une atteinte à la vie privée

• Documents établis par le médecin du travail le 23 juillet 2020
• Documents établis par le médecin du travail le 2 février 2022
• Production des documents devant les juridictions administratives
• Absence d’éléments précis et circonstanciés sur un risque d’atteinte à la vie privée

Le responsable du traitement peut conserver et produire les données lorsque cette conservation est nécessaire à la défense de droits en justice. La personne concernée doit établir, par des éléments précis, que cette justification n’est pas caractérisée ou que le traitement porte illicitement atteinte à ses droits.n

• Maintien des données nécessaires au contentieux
• Production possible des pièces devant le juge
• Clôture de la plainte par la CNIL sans enquête complémentaire
• Contrôle juridictionnel renforcé du droit à l’effacement
• Rejet des contestations insuffisamment circonstanciées

À faire

• Identifier le fondement juridique de la conservation
• Documenter le lien avec un contentieux en cours
• Conserver les pièces justifiant la nécessité du traitement
• Motiver précisément toute décision relative à l’effacement
• Établir les risques d’atteinte à la vie privée

À éviter

• Conserver des données sans lien avec la défense judiciaire
• Produire des données étrangères au litige
• Contester sans éléments précis et circonstanciés
• Confondre contrôle de la CNIL et appréciation de la preuve
• Négliger les considérations de droit et de fait

Le contrôle juridictionnel des suites données par la CNIL

nL’auteur d’une plainte peut contester le refus de la CNIL d’y donner suite. Lorsque la plainte porte sur un droit individuel garanti par la loi, notamment le droit à l’effacement, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge de l’excès de pouvoir. Celui-ci contrôle notamment les erreurs de fait ou de droit et l’erreur manifeste d’appréciation.n

Le droit à l’effacement prévu par l’article 17 du RGPD

nL’article 17, paragraphe 1, c), du RGPD permet l’effacement lorsque la personne s’oppose au traitement et qu’aucun motif légitime impérieux ne le justifie. Toutefois, le paragraphe 3, e), exclut ce droit lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.n

La nécessité des investigations complémentaires de la CNIL

nLa CNIL n’est pas tenue de mener des investigations complémentaires lorsque les éléments disponibles établissent que les données ont été produites devant les juridictions pour assurer la défense du responsable du traitement. Elle n’a pas davantage à apprécier la régularité ou la valeur probante des pièces produites dans le litige juridictionnel.

Article 17 du règlement (UE) 2016/679 du 27 avril 2016, articles 15, 16, 17, 18 et 21 du règlement (UE) 2016/679 du 27 avril 2016, article 8 de la loi n° 78-17 du 6 janvier 1978, articles 49, 50, 51, 53 et 56 de la loi n° 78-17 du 6 janvier 1978, article L. 211-2 du code des relations entre le public et l’administration, article L. 211-5 du code des relations entre le public et l’administration, article L. 761-1 du code de justice administrative

⬇️Télécharger (pdf)