Droit à rectification des données personnelles et contrôle du refus d’intervention de la CNIL

Les articles 8 et 20 de la loi du 6 janvier 1978 imposent à la CNIL, saisie d’une plainte, d’examiner les faits et de décider des suites à leur donner. Elle dispose en principe d’un large pouvoir d’appréciation, mais celui-ci s’exerce sous l’entier contrôle du juge lorsque la plainte concerne un droit individuel relatif aux données personnelles, notamment le droit à rectification.

L’article 5, paragraphe 1, d), du RGPD exige que les données soient exactes et, si nécessaire, tenues à jour. L’article 16 consacre le droit d’obtenir la rectification des données inexactes. Toutefois, la mention erronée figurant dans des courriers générés automatiquement ne constitue pas nécessairement une donnée à caractère personnel. En l’absence d’utilisation frauduleuse des données ou de manquement établi à la réglementation, la CNIL peut clôturer la plainte.

La juridiction valide la clôture dès lors que la CNIL a accompli des diligences nécessaires et adaptées, notamment en recueillant auprès de l’établissement bancaire des explications techniques sur l’origine des erreurs. Elle n’a ni dénaturé les éléments produits ni commis d’erreur d’appréciation. Les demandes d’annulation et d’injonction sont rejetées, ainsi que la demande fondée sur l’article L. 761-1 du code de justice administrative.

⬇️Télécharger la décision version officielle (pdf)

La CNIL doit examiner une plainte relative au droit à rectification et accomplir les diligences nécessaires. Une mention erronée dans des courriers générés automatiquement ne constitue pas nécessairement une donnée personnelle. La clôture est légalement justifiée lorsque la CNIL recueille des explications techniques auprès de l’établissement concerné et qu’aucun manquement à la réglementation n’est établi.

Un titulaire de comptes bancaires a saisi la CNIL de deux plaintes contre Crédit agricole d’Ile-de-France. Il reprochait à l’établissement d’avoir utilisé frauduleusement ses données personnelles et refusé de rectifier des informations inexactes relatives à la résiliation de ses comptes, notamment de son service Sécuripass.

La banque avait décidé elle-même la résiliation, puis adressé au titulaire un courriel et un courrier indiquant à tort qu’elle était intervenue à sa demande. La CNIL a clôturé les plaintes après avoir recueilli des explications techniques sur le fonctionnement de la gestion automatisée et standardisée de la banque.

Le titulaire a demandé l’annulation de ces décisions et la reprise de l’instruction. La juridiction a joint les requêtes, puis jugé que les mentions litigieuses ne constituaient pas des données à caractère personnel et qu’aucune utilisation frauduleuse n’était établie. Elle a validé les clôtures.

• Plainte portant sur un droit individuel relatif aux données personnelles
• Examen effectif des faits soumis à la CNIL
• Diligences nécessaires et adaptées à la teneur des plaintes
• Qualification préalable des informations comme données à caractère personnel
• Absence d’utilisation frauduleuse des données
• Absence de manquement établi à la réglementation applicable
• Prise en compte des éléments présentés par le plaignant

• Courrier bancaire du 14 mars 2025 annonçant une résiliation décidée par l’établissement
• Message électronique du 20 mai 2025 mentionnant faussement une résiliation demandée
• Courrier du 23 mai 2025 reprenant la même mention erronée
• Explications techniques de la banque sur le système automatisé
• Rédaction standardisée générée par le système de gestion interne

Le plaignant ne bénéficie ni de l’annulation des clôtures ni d’une nouvelle instruction par la CNIL. L’établissement bancaire n’est pas sanctionné, faute de qualification des mentions comme données personnelles et faute d’utilisation frauduleuse établie.

• Maintien de la clôture des plaintes par la CNIL
• Rejet de la demande d’injonction de réinstruction
• Absence de rectification imposée sur le fondement du RGPD
• Absence de sanction pour utilisation frauduleuse des données
• Rejet de la demande au titre de l’article L. 761-1

À faire

• Qualifier précisément l’information litigieuse
• Documenter le caractère personnel de la donnée
• Produire les courriers et messages concernés
• Établir l’inexactitude et ses conséquences
• Demander à la CNIL des diligences adaptées

À éviter

• Assimiler toute mention erronée à une donnée personnelle
• Alléguer une fraude sans éléments vérifiables
• Négliger les explications techniques du responsable
• Contester sans identifier le manquement réglementaire
• Omettre les éléments déjà soumis à la CNIL

Le contrôle juridictionnel des suites données par la CNIL

Le refus de la CNIL de donner suite à une plainte est susceptible d’un recours pour excès de pouvoir. Lorsqu’est invoquée la méconnaissance d’un droit individuel relatif aux données personnelles, notamment le droit à rectification, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge. La CNIL doit examiner les faits et accomplir des diligences adaptées, mais peut décider de clôturer la plainte après cette instruction.

Le droit à la rectification des données inexactes

L’article 5, paragraphe 1, d), du RGPD impose que les données personnelles soient exactes et tenues à jour. L’article 16 reconnaît à la personne concernée le droit d’obtenir la rectification des données inexactes. Ce régime ne s’applique toutefois qu’à des données à caractère personnel. La juridiction a estimé que les mentions erronées figurant dans des messages standardisés générés automatiquement n’avaient pas cette qualification.

Les diligences nécessaires à la clôture d’une plainte

La CNIL peut légalement clôturer une plainte lorsqu’elle a accompli les diligences nécessaires et adaptées à sa teneur. En l’espèce, elle avait obtenu de l’établissement bancaire des explications techniques sur l’origine des erreurs. L’absence d’utilisation frauduleuse des données et de manquement établi à la réglementation excluait l’erreur d’appréciation ou la dénaturation reprochée.

Article 5 du règlement (UE) 2016/679, Article 6 du règlement (UE) 2016/679, Article 16 du règlement (UE) 2016/679, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 49 de la loi n° 78-17 du 6 janvier 1978, Article 50 de la loi n° 78-17 du 6 janvier 1978, Article 51 de la loi n° 78-17 du 6 janvier 1978, Article 53 de la loi n° 78-17 du 6 janvier 1978, Article 56 de la loi n° 78-17 du 6 janvier 1978, Article L. 761-1 du code de justice administrative

⬇️Télécharger (pdf)