Contrôle du juge sur la clôture par la CNIL d’une plainte fondée sur le droit d’accès aux données

En application des articles 8 et 20 de la loi du 6 janvier 1978, la CNIL doit examiner les faits à l’origine d’une plainte et déterminer les suites appropriées. Elle dispose en principe d’un large pouvoir d’appréciation, contrôlé notamment au regard de la gravité des manquements, du sérieux des indices et du contexte.

Ce pouvoir est toutefois soumis à l’entier contrôle du juge lorsque la plainte invoque un droit individuel prévu par la loi, notamment le droit d’accès mentionné à l’article 15 du règlement (UE) 2016/679. Le refus de donner suite constitue alors une décision individuelle défavorable refusant un avantage constitutif d’un droit au sens du 6° de l’article L. 211-2 du code des relations entre le public et l’administration, et doit être motivé.

La juridiction a considéré que la décision de clôture exposait suffisamment ses considérations de droit et de fait. La CNIL avait examiné la plainte, rappelé au responsable de traitement ses obligations issues notamment de l’article 15 du règlement et invité le plaignant à la saisir de nouveau en cas de persistance du manquement. Cette intervention constituait une mesure appropriée et ne révélait aucune erreur manifeste d’appréciation, malgré une erreur matérielle portant sur le nom du responsable de traitement. La CNIL n’avait pas davantage à enquêter sur une escroquerie alléguée, cette mission relevant des autorités judiciaires.

⬇️Télécharger la décision version officielle (pdf)

Lorsque la plainte adressée à la CNIL porte sur un droit individuel garanti, notamment le droit d’accès prévu par le RGPD, son refus doit être motivé. Le juge exerce un contrôle entier sur cette décision. En l’espèce, le rappel des obligations adressé au responsable de traitement et la possibilité de saisir à nouveau la CNIL constituaient une suite appropriée.

Un particulier a saisi la CNIL d’une plainte contre une société de financement afin d’obtenir l’historique des modifications de ses coordonnées téléphoniques figurant dans les fichiers de cette société.

La CNIL a indiqué être intervenue auprès du responsable de traitement pour lui rappeler ses obligations en matière de protection des données, notamment le droit d’accès, puis a clôturé la plainte en invitant le plaignant à la saisir de nouveau si le manquement persistait.

Le plaignant a demandé au Conseil d’État l’annulation de cette décision, en invoquant une motivation insuffisante et une erreur manifeste d’appréciation. Il reprochait notamment à la CNIL de ne pas avoir exigé la communication des données et sollicitait une injonction. La juridiction a rejeté la requête, estimant que la décision était suffisamment motivée et que la mesure prise par la CNIL était appropriée. Elle a également relevé que l’enquête sur l’escroquerie alléguée relevait des autorités judiciaires.

• Examiner les faits à l’origine de la plainte
• Identifier la nature du droit individuel invoqué
• Apprécier les manquements au regard de l’article 15 du RGPD
• Adopter une mesure appropriée aux faits dénoncés
• Exposer les considérations de droit et de fait de la décision
• Inviter le plaignant à saisir de nouveau la CNIL si le manquement persiste

• Plainte enregistrée auprès de la CNIL
• Décision de clôture du 19 août 2025
• Intervention de la CNIL auprès du responsable de traitement
• Rappel des obligations issues de l’article 15 du RGPD
• Invitation à saisir de nouveau la CNIL en cas de persistance

La clôture de la plainte est maintenue lorsque la CNIL a examiné les faits, rappelé les obligations applicables et motivé sa décision. Le responsable de traitement doit répondre aux exigences du droit d’accès, tandis que le plaignant peut saisir de nouveau la CNIL si le manquement persiste.

• Maintien de la clôture de la plainte
• Absence d’injonction adressée à la CNIL
• Rappel des obligations du responsable de traitement
• Nouvelle saisine possible en cas de persistance du manquement
• Signalement de l’escroquerie aux autorités judiciaires compétentes

À faire

• Examiner précisément le droit d’accès invoqué
• Documenter la demande de communication des données
• Conserver la décision et les échanges avec la CNIL
• Vérifier la persistance du manquement
• Saisir de nouveau la CNIL si nécessaire

À éviter

• Confondre plainte CNIL et enquête pénale
• Omettre les considérations de droit et de fait
• Ignorer une demande fondée sur l’article 15 du RGPD
• Exiger de la CNIL une enquête sur une escroquerie
• Négliger les erreurs matérielles dans les courriers

Le contrôle juridictionnel des décisions de clôture de la CNIL

Le refus de donner suite à une plainte peut être contesté devant le juge de l’excès de pouvoir. Celui-ci contrôle notamment l’illégalité externe, l’erreur de fait ou de droit, l’erreur manifeste d’appréciation et le détournement de pouvoir. Lorsque la plainte concerne un droit individuel garanti à la personne concernée, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge.

La motivation des décisions refusant de donner suite à une plainte

Le refus relatif à une plainte fondée sur le droit d’accès prévu par l’article 15 du RGPD constitue une décision individuelle défavorable refusant un avantage dont l’attribution est un droit lorsque les conditions légales sont remplies. En application du 6° de l’article L. 211-2 du code des relations entre le public et l’administration, elle doit exposer les considérations de droit et de fait qui la fondent.

Les mesures appropriées en matière de droit d’accès aux données

La CNIL peut examiner les faits, rappeler au responsable de traitement ses obligations légales et inviter le plaignant à la saisir de nouveau si le manquement persiste. Un tel rappel peut constituer une mesure appropriée. La CNIL n’a pas compétence pour mener des investigations sur une escroquerie alléguée, qui relève des autorités judiciaires.

Règlement (UE) 2016/679 du 27 avril 2016, Article 15 du règlement (UE) 2016/679, Articles 8 et 20 de la loi n° 78-17 du 6 janvier 1978, Articles 49, 50, 51, 53 et 56 de la loi n° 78-17 du 6 janvier 1978, 6° de l’article L. 211-2 du code des relations entre le public et l’administration

⬇️Télécharger (pdf)