Contrôle entier du juge sur la clôture par la CNIL d’une plainte relative au droit d’accès aux données personnelles

Les articles 8 et 20 de la loi du 6 janvier 1978 confient à la CNIL l’examen des plaintes et le choix des suites à leur donner. Elle dispose en principe d’un large pouvoir d’appréciation, notamment au regard de la gravité des manquements, du sérieux des indices, de leur date et du contexte.

Toutefois, lorsque la plainte concerne la méconnaissance d’un droit individuel garanti à la personne concernée, notamment le droit d’accès, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge de l’excès de pouvoir. Le droit d’accès est notamment prévu par l’article 15 du règlement (UE) 2016/679, tandis que les articles 12 et 15 de ce règlement encadrent la réponse du responsable de traitement.

La juridiction relève que la CNIL a suffisamment instruit la plainte et rappelé au responsable de traitement ses obligations légales, en lui demandant de répondre dans les délais. Le différend portait principalement sur les modalités pratiques de l’accès, le responsable ne s’y opposant pas. La clôture de la plainte n’est donc entachée ni d’une erreur d’appréciation ni d’une atteinte à l’effectivité du droit d’accès. La demande d’annulation et, par voie de conséquence, la demande d’injonction sont rejetées.

⬇️Télécharger la décision version officielle (pdf)

La CNIL dispose d’un pouvoir d’appréciation pour instruire les plaintes, sous le contrôle entier du juge lorsqu’elles portent sur un droit individuel tel que l’accès aux données personnelles. En l’espèce, le désaccord concernait principalement les modalités pratiques de communication des données et la société ne contestait pas l’exercice du droit d’accès. L’instruction menée par la CNIL était donc suffisante.

Une salariée a demandé à son employeur la communication de l’ensemble des données personnelles la concernant, contenues dans sa messagerie professionnelle, une application de téléconférence, un outil de suivi du temps de travail et une application dédiée aux entretiens professionnels.

Estimant les réponses reçues incomplètes, la demanderesse a saisi la CNIL afin qu’elle ordonne à la société Persán France SAS de satisfaire à sa demande d’accès. La CNIL a indiqué être intervenue auprès du responsable de traitement et a clôturé la plainte, en lui rappelant ses obligations et la nécessité de répondre dans les délais légaux.

La demanderesse a contesté cette clôture devant le Conseil d’État, reprochant à la CNIL une instruction insuffisante et une atteinte à l’effectivité du droit d’accès. La juridiction a considéré que la CNIL avait suffisamment instruit la plainte. Elle a relevé que le responsable de traitement ne refusait pas l’accès, le désaccord portant principalement sur ses modalités pratiques. La demande d’annulation et la demande d’injonction ont été rejetées.

• Plainte fondée sur un droit individuel garanti en matière de données personnelles
• Examen suffisant des faits à l’origine de la plainte
• Appréciation de la réalité et de la portée du manquement allégué
• Rappel au responsable de traitement de ses obligations légales
• Respect des délais légaux applicables à la réponse
• Absence de refus du droit d’accès par le responsable
• Désaccord limité aux modalités pratiques de l’accès

• Pièces du dossier relatives aux demandes d’accès aux données
• Réponses communiquées par le responsable de traitement
• Intervention de la CNIL auprès du responsable de traitement
• Rappel des obligations légales et des délais de réponse
• Constat de l’absence d’opposition à l’exercice du droit d’accès

La clôture d’une plainte par la CNIL peut être maintenue lorsque l’instruction est suffisante et que le responsable de traitement ne refuse pas l’accès. Le demandeur ne peut obtenir l’annulation si le différend porte seulement sur les modalités pratiques et que la CNIL a rappelé les obligations applicables.

• Maintien de la clôture de la plainte par la CNIL
• Absence d’injonction de réexamen de la plainte
• Maintien du rappel adressé au responsable de traitement
• Poursuite de la réponse aux demandes d’accès dans les délais
• Concentration du débat sur les modalités pratiques de communication

À faire

• Identifier précisément les données personnelles demandées
• Répondre à la demande dans les délais légaux
• Documenter les recherches effectuées dans chaque outil
• Conserver les échanges avec la personne concernée
• Répondre aux observations formulées par la CNIL

À éviter

• Opposer un refus général au droit d’accès
• Omettre une source de données visée par la demande
• Répondre sans justifier les modalités de communication
• Négliger les délais rappelés par la CNIL
• Contester la clôture sans établir une instruction insuffisante

Le contrôle entier du juge sur les droits d’accès

Lorsque la plainte porte sur la méconnaissance d’un droit individuel relatif aux données personnelles, notamment le droit d’accès, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge de l’excès de pouvoir. Cette règle concerne notamment les droits mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978.

Le pouvoir d’appréciation de la CNIL sur les suites d’une plainte

Les articles 8 et 20 de la loi du 6 janvier 1978 imposent à la CNIL d’examiner les faits à l’origine de la plainte et de décider des suites à leur donner. Son appréciation tient notamment à la gravité des manquements, au sérieux des indices, à leur date, au contexte et aux intérêts généraux dont elle a la charge.

L’instruction suffisante d’une plainte relative au droit d’accès

La CNIL a suffisamment instruit la plainte en rappelant au responsable de traitement ses obligations issues des articles 12 et 15 du règlement (UE) 2016/679 et la nécessité de répondre dans les délais légaux. L’absence de refus d’accès et le désaccord limité aux modalités pratiques excluaient l’erreur d’appréciation et l’atteinte à l’effectivité du droit d’accès.

Article 15 du règlement (UE) 2016/679, articles 8 et 20 de la loi n° 78-17 du 6 janvier 1978, articles 49, 50, 51, 53 et 56 de la loi n° 78-17 du 6 janvier 1978, articles 12 et 15 du règlement (UE) 2016/679

⬇️Télécharger (pdf)