Contrôle du refus de la CNIL de donner suite à une plainte d’accès aux données personnelles

La CNIL dispose, en application des articles 8 et 20 de la loi du 6 janvier 1978, d’un pouvoir d’appréciation pour examiner une plainte et décider des suites à lui donner. Toutefois, lorsque la plainte concerne l’exercice d’un droit individuel, notamment le droit d’accès prévu à l’article 51 de cette loi, le refus de la CNIL est soumis à l’entier contrôle du juge de l’excès de pouvoir. Celui-ci vérifie notamment l’absence d’illégalité externe, d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.

L’article 77 du RGPD garantit le droit de saisir une autorité de contrôle. Les articles 77 et 78 du RGPD imposent l’information du plaignant sur l’état d’avancement ou l’issue de sa réclamation, l’absence d’information dans les trois mois ouvrant la possibilité d’un recours juridictionnel. L’article 10 du décret du 29 mai 2019 prévoit que le silence gardé pendant trois mois vaut rejet.

Le Conseil d’État constate que les décisions implicites de rejet ont été ultérieurement remplacées par la clôture définitive des plaintes, justifiant un non-lieu sur les premières conclusions. Il rejette ensuite le recours contre la clôture définitive, aucune erreur matérielle, erreur de droit ou erreur d’appréciation n’étant établie, notamment au regard de la confirmation du responsable de traitement selon laquelle aucune autre donnée n’existait.

⬇️Télécharger la décision version officielle (pdf)

Le refus de la CNIL de donner suite à une plainte concernant l’exercice d’un droit individuel est soumis à l’entier contrôle du juge de l’excès de pouvoir. Les décisions implicites de rejet ayant été remplacées par la clôture définitive des plaintes, il n’y avait plus lieu de statuer sur les premières. Aucun vice n’étant établi, le recours contre la clôture a été rejeté.

Une personne concernée a saisi la CNIL de deux plaintes concernant le refus partiel d’accès à ses données personnelles opposé par la chambre d’agriculture du Loiret, responsable de traitement. La première plainte portait sur les données antérieures au 27 février 2024 ; la seconde concernait la période postérieure.

Après l’absence de réponse de la CNIL dans les trois mois, des décisions implicites de rejet sont nées. La CNIL a néanmoins poursuivi l’instruction, puis clôturé définitivement les plaintes. Le responsable de traitement a ensuite confirmé qu’aucune donnée supplémentaire n’existait au-delà de celles déjà communiquées.

Le Conseil d’État juge qu’il n’y a pas lieu de statuer sur les décisions implicites, remplacées par la clôture définitive. Il rejette le recours contre cette dernière, aucune erreur de fait, de droit ou d’appréciation n’étant démontrée.

• Plainte portant sur l’exercice d’un droit individuel d’accès aux données personnelles.
• Contrôle juridictionnel des erreurs de fait, de droit et d’appréciation.
• Absence d’illégalité externe affectant la décision de clôture.
• Poursuite de l’instruction après la naissance du rejet implicite.
• Substitution de la clôture définitive aux décisions implicites antérieures.
• Confirmation de l’absence de données supplémentaires par le responsable de traitement.

• Deux plaintes adressées à la CNIL les 8 avril 2024 et 10 mars 2025.
• Courriers de relance démontrant l’absence de réponse dans les trois mois.
• Pièces établissant la poursuite de l’instruction par la CNIL.
• Décision de clôture définitive du 3 septembre 2025.
• Courrier du responsable de traitement du 9 septembre 2025.
• Transmission antérieure des données personnelles le 7 mars 2024.

La personne concernée ne peut plus obtenir l’annulation des rejets implicites lorsque ceux-ci ont été remplacés par une clôture définitive. La CNIL conserve sa décision dès lors que le dossier ne révèle aucune erreur et que le responsable de traitement confirme l’absence de données supplémentaires.

• Non-lieu sur les recours dirigés contre les rejets implicites.
• Maintien de la clôture définitive des plaintes par la CNIL.
• Prise en compte de la réponse documentée du responsable de traitement.
• Nécessité d’établir concrètement l’existence de données non communiquées.
• Contrôle juridictionnel entier en matière de droit individuel d’accès.

À faire

• Identifier précisément les données personnelles prétendument non communiquées.
• Conserver les demandes d’accès et leurs dates d’envoi.
• Documenter les relances adressées à la CNIL.
• Vérifier le délai de trois mois applicable à la réclamation.
• Produire toute réponse du responsable de traitement sur les données détenues.

À éviter

• Alléguer l’existence de données supplémentaires sans élément matériel.
• Ignorer une décision de clôture ultérieure de la CNIL.
• Confondre rejet implicite et décision définitive substituée.
• Omettre de contester les erreurs précises de fait ou de droit.
• Fonder le recours sur le seul silence de la CNIL.

Le contrôle juridictionnel des décisions de la CNIL

nLe refus de donner suite à une plainte peut être contesté par un recours pour excès de pouvoir. Le juge contrôle l’illégalité externe ainsi que les erreurs de fait ou de droit, l’erreur manifeste d’appréciation et le détournement de pouvoir. Lorsque la plainte porte sur un droit individuel d’accès aux données, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge.n

Le délai de trois mois applicable aux réclamations

nL’article 77 du RGPD garantit le droit de saisir une autorité de contrôle. L’article 78 permet un recours lorsque celle-ci ne traite pas la réclamation ou n’informe pas son auteur dans les trois mois. L’article 10 du décret du 29 mai 2019 prévoit que le silence de la CNIL pendant ce délai vaut rejet.n

La substitution d’une clôture définitive aux rejets implicites

nLa poursuite de l’instruction après la naissance des rejets implicites, suivie d’une clôture définitive, a conduit le juge à regarder cette dernière décision comme leur étant substituée. Il n’y avait donc plus lieu de statuer sur les conclusions dirigées contre les décisions implicites. La clôture définitive a été maintenue, aucune erreur de fait, de droit ou d’appréciation n’étant établie.

Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 49 de la loi n° 78-17 du 6 janvier 1978, Article 50 de la loi n° 78-17 du 6 janvier 1978, Article 51 de la loi n° 78-17 du 6 janvier 1978, Article 53 de la loi n° 78-17 du 6 janvier 1978, Article 56 de la loi n° 78-17 du 6 janvier 1978, Article 77 du RGPD, Article 78 du RGPD, Article 10 du décret n° 2019-536 du 29 mai 2019, Loi n° 78-17 du 6 janvier 1978, Règlement (UE) 2016/679 du 27 avril 2016

⬇️Télécharger (pdf)