Vu les procédures suivantes :

1° Sous le n° 505846, par une requête et un mémoire en réplique, enregistrés les 7 juillet 2025 et 7 avril 2026 au secrétariat du contentieux du Conseil d’Etat, M. A… B… demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 1er juillet 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte n° P44-101637 portant sur la rectification de ses données à caractère personnel traitées par l’établissement Crédit agricole d’Ile-de-France relatives à son compte  » Securipass  » ;

2°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte.

Il soutient que la décision de la CNIL qu’il attaque est entachée :

– d’un défaut de réponse au moyen tiré de l’existence de fausses déclarations portant sur trois autres de ses comptes résiliés et de dénaturation de la portée de sa plainte ;

– d’erreur de droit en ce que la CNIL a considéré que l’information erronée délivrée par la banque selon laquelle sa résiliation était intervenue à sa demande ne relevait pas du droit à rectification ;

– d’erreur d’appréciation en ce qu’elle a repris à son compte, sans procéder à une vérification approfondie, les explications de la banque concernant le fonctionnement de son système de réponse automatisé.

Par un mémoire en défense, enregistré le 3 avril 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requête ne sont pas fondés.

2° Sous le n° 509212, par une requête et un mémoire en réplique, enregistrés les 24 octobre 2025 et 4 mars 2026 au secrétariat du contentieux du Conseil d’Etat, M. A… B… demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 1er juillet 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte n° P44-105153 portant sur la rectification de ses données à caractère personnel traitées par l’établissement Crédit agricole d’Ile- de-France relatives à la résiliation de ses comptes ;

2°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte ;

3°) de mettre à la charge de la CNIL une somme au titre de l’article L. 761-1 du code de justice administrative.

Il soutient que la décision de la CNIL qu’il attaque :

– méconnaît les principes d’exactitude et de licéité garantis par les articles 5 et 6 du règlement sur la protection des données (RGPD) ;

– méconnaît son droit à rectification garanti par l’article 16 du RGPD ;

– est entachée d’erreur d’appréciation en ce qu’elle a repris à son compte, sans procéder à une vérification approfondie, les explications de la banque concernant l’effacement de l’ensemble de ses données à caractère personnel.

Par un mémoire en défense, enregistré le 26 février 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requête ne sont pas fondés.

Vu les autres pièces des dossiers ;

Vu :

– le règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016 ;

– la loi n° 78-17 du 6 janvier 1978 ;

– le code de justice administrative ;

Après avoir entendu en séance publique :

– le rapport de M. Stéphane Eustache, maître des requêtes ;

– les conclusions de Mme Charline Nicolas, rapporteure publique ;

Considérant ce qui suit :

1. Les 9 et 30 juin 2025, M. B… a saisi la Commission nationale de l’informatique et des libertés (CNIL) de deux plaintes dirigées contre l’établissement Crédit Agricole d’Ile-de-France portant sur l’utilisation frauduleuse de ses données bancaires à caractère personnel ainsi que sur le refus de cet établissement bancaire de procéder à la rectification de données inexactes. Par des courriels des 1er juillet et 27 août 2025, la CNIL a décidé de clôturer ces deux plaintes. M. B… demande l’annulation pour excès de pouvoir de ces décisions par deux requêtes, enregistrées sous les n° 505846 et 509212, qui présentent à juger des questions semblables et qu’il y a ainsi lieu de joindre pour y statuer par une seule décision.

2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. Aux termes du d) du 1 de l’article 5 du règlement (UE) du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), les données à caractère personnel faisant l’objet d’un traitement doivent être  » exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder « . L’article 16 du RGPD dispose que :  » La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire « .

5. Il est constant qu’alors que l’établissement Crédit agricole d’Ile-de-France a décidé de résilier de lui-même les comptes bancaires de M. B…, ce dont l’intéressé a été informé par un courrier du 14 mars 2025, cet établissement bancaire lui a adressé le 20 mai 2025 un message électronique relatif à son compte  » sécuripass  » et le 23 mai 2025 un courrier relatif à la clôture de ses comptes bancaires, mentionnant tous deux, de manière erronée, que la résiliation était intervenue à sa demande.

6. En premier lieu, il ne ressort pas des pièces du dossier que les mentions erronées figurant dans ce message électronique et ce courrier, qui ont été générés automatiquement par le système de gestion interne de l’établissement avec une rédaction standardisée, porteraient sur des données à caractère personnel. Par ailleurs, ainsi que l’a relevé la CNIL, il ne ressort pas des pièces du dossier que l’établissement bancaire aurait fait une utilisation frauduleuse des données à caractère personnel de M. B… dans la gestion de son compte  » sécuripass « , ou commis un manquement à la réglementation relative à la protection des données à caractère personnel.

7. En second lieu, après avoir accompli, ainsi qu’il ressort des pièces du dossier, les diligences nécessaires et adaptées à la teneur des plaintes dont elle était saisie, en obtenant notamment de l’établissement bancaire des explications techniques sur l’origine des erreurs commises, la CNIL, qui n’a ni dénaturé, ni omis de prendre en compte les éléments présentés par l’intéressé, a pu, sans commettre d’erreur d’appréciation, clôturer ses deux plaintes.

8. Il résulte de tout ce qui précède que M. B… n’est pas fondé à demander l’annulation des décisions qu’il attaque. Ses requêtes doivent, dès lors, être rejetées, y compris ses conclusions présentées sur le fondement de l’article L. 761-1 du code de justice administrative

D E C I D E :

————–

Article 1er : Les requêtes de M. B… sont rejetées.

Article 2 : La présente décision sera notifiée à M. A… B… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 9 juillet 2026 où siégeaient : M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d’Etat et M. Stéphane Eustache, maître des requêtes-rapporteur.

Rendu le 27 août 2026

Le président :

Signé : M. Olivier Yeznikian

Le rapporteur :

Signé : M. Stéphane Eustache

La secrétaire :

Signé : Mme Sylvie Leporcq

La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

Pour la secrétaire du contentieux, par délégation :

N° 505846 509212- 2 –

ECLI:FR:CECHS:2026:505846.20260827