Recevabilité d’une plainte à la CNIL et qualité de personne concernée au sens du RGPD

La CNIL traite les réclamations introduites par une personne concernée ou par les organismes habilités, conformément à l’article 57, paragraphe 1, f), du RGPD. L’article 77, paragraphe 1, réserve ce droit à la personne concernée qui estime qu’un traitement de données la concernant méconnaît le règlement. L’article 78, paragraphe 1, ouvre ensuite un recours juridictionnel contre une décision juridiquement contraignante de l’autorité de contrôle.

Le Conseil d’État distingue le responsable du traitement de la personne concernée. La plainte visant la restitution de données médicales détenues par un sous-traitant avait été formée par le responsable du traitement, dans cette qualité, et non par une personne concernée au sens du RGPD. Elle ne constituait donc pas une réclamation relevant de l’article 77. La clôture de cette saisine n’avait pas davantage fait naître une décision juridiquement contraignante à son égard au sens de l’article 78.

Faute d’intérêt lui donnant qualité pour demander l’annulation pour excès de pouvoir de la décision de clôture, le requérant était irrecevable à agir. La requête a été rejetée, sans que le Conseil d’État examine au fond les griefs tirés de la motivation, de l’obligation de restitution ou des pouvoirs d’instruction de la CNIL.

⬇️Télécharger la décision version officielle

Le Conseil d’État juge que la plainte adressée à la CNIL par un médecin, responsable du traitement de données médicales confiées à un sous-traitant, n’était pas une réclamation au sens de l’article 77 du RGPD. Aucune décision juridiquement contraignante n’étant née à son égard, il ne justifiait pas d’un intérêt lui donnant qualité pour agir. Sa requête est rejetée.

Un médecin libéral, responsable du traitement des données médicales de ses patients, avait confié leur gestion et leur hébergement à la société CEGEDIM, sous-traitant. À la suite d’un différend, il a saisi la CNIL afin d’obtenir la restitution de ces données.

La CNIL a clôturé cette plainte comme irrecevable. Le responsable du traitement a demandé au Conseil d’État l’annulation de cette décision pour excès de pouvoir, en invoquant notamment un défaut de motivation, une mauvaise interprétation du RGPD et une insuffisance d’instruction.

Le Conseil d’État a relevé que la saisine avait été formée par le responsable du traitement dans cette qualité, et non par une personne concernée au sens du RGPD. Il en a déduit qu’elle ne constituait pas une réclamation au sens de l’article 77 du RGPD et qu’aucune décision juridiquement contraignante n’était née à l’égard du requérant. Celui-ci ne justifiant pas d’un intérêt lui donnant qualité pour agir, sa requête a été rejetée.

• Identifier la qualité juridique du plaignant lors de la saisine
• Vérifier que le plaignant est une personne concernée au sens du RGPD
• Relier la réclamation à un traitement de données le concernant
• Établir l’existence d’une décision juridiquement contraignante
• Justifier d’un intérêt donnant qualité pour agir

• Objet de la plainte : restitution des données médicales
• Qualité déclarée de responsable du traitement
• Rôle du prestataire comme sous-traitant des données
• Décision de la CNIL clôturant la saisine comme irrecevable

Le responsable du traitement ne peut pas utiliser la procédure de réclamation réservée à la personne concernée pour obtenir la restitution de données auprès de son sous-traitant. La clôture d’une telle saisine ne fait pas nécessairement naître une décision juridiquement contraignante susceptible de recours par ce responsable.

• Qualification de la qualité du plaignant
• Vérification du fondement de l’article 77 du RGPD
• Distinction entre responsable du traitement et personne concernée
• Contrôle de l’existence d’une décision contraignante
• Justification de l’intérêt et de la qualité pour agir

À faire

• Identifier précisément la qualité du plaignant
• Qualifier les données et le traitement concernés
• Vérifier l’application de l’article 77 du RGPD
• Documenter l’existence d’une décision contraignante
• Établir l’intérêt donnant qualité pour agir

À éviter

• Assimiler responsable du traitement et personne concernée
• Présenter une demande contractuelle comme une réclamation RGPD
• Contester au fond une saisine irrecevable
• Négliger la qualité juridique du demandeur
• Invoquer l’article 78 sans décision contraignante

La qualité de personne concernée pour saisir une autorité de contrôle

La réclamation prévue par l’article 77, paragraphe 1, du RGPD doit être introduite par une personne concernée estimant qu’un traitement de données la concernant viole le règlement. Le responsable du traitement qui agit dans cette seule qualité ne peut être assimilé à une personne concernée pour obtenir la restitution de données détenues par son sous-traitant.

Le traitement des réclamations par la CNIL

L’article 57, paragraphe 1, f), du RGPD et l’article 8, I, 2°, d), de la loi du 6 janvier 1978 confient à la CNIL le traitement des réclamations introduites par une personne concernée. Une saisine étrangère à ce cadre peut être clôturée comme irrecevable.

Le recours contre une décision de l’autorité de contrôle

L’article 78, paragraphe 1, du RGPD vise le recours contre une décision juridiquement contraignante de l’autorité de contrôle. La saisine formée par le responsable du traitement n’ayant pas le caractère d’une réclamation au sens de l’article 77, aucune décision de cette nature n’est née à son égard ; il ne justifie donc pas d’un intérêt lui donnant qualité pour agir.

Article L. 211-2 du Code des relations entre le public et l’administration, Article 41 de la Charte des droits fondamentaux de l’Union européenne, Article 28, paragraphe 3, du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 4 du règlement (UE) 2016/679, Article 57, paragraphe 1, f), du règlement (UE) 2016/679, Article 77, paragraphe 1, du règlement (UE) 2016/679, Article 78, paragraphe 1, du règlement (UE) 2016/679, Article 8, I, 2°, d), de la loi n° 78-17 du 6 janvier 1978