Droit à l’effacement des données de santé et défense en justice

Le Conseil d’État précise l’office de la CNIL saisie d’une plainte fondée sur le droit à l’effacement. En application de l’article 8 de la loi du 6 janvier 1978, la CNIL doit examiner les faits et décider des suites à donner, mais elle dispose en principe d’un large pouvoir d’appréciation. Lorsque la plainte porte sur un droit individuel garanti par les articles 49, 50, 51, 53 et 56 de cette loi, renvoyant notamment à l’article 17 du RGPD, ce pouvoir s’exerce toutefois sous l’entier contrôle du juge de l’excès de pouvoir.

L’article 17, paragraphes 1 et 3, du RGPD permet de refuser l’effacement lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. La production, par un établissement hospitalier, de données de santé dans une procédure administrative a été regardée comme relevant de cette exception. La CNIL n’était pas tenue de mener des investigations complémentaires dès lors que les pièces établissaient cette utilisation contentieuse.

La décision de clôture était suffisamment motivée au regard des articles L. 211-2 et L. 211-5 du code des relations entre le public et l’administration. Le Conseil d’État contrôle également la compétence du signataire, l’erreur de droit, l’erreur de fait et l’erreur manifeste d’appréciation. En l’absence d’éléments précis établissant un risque d’atteinte à la vie privée, le refus de donner suite à la plainte est confirmé.

⬇️Télécharger la décision version officielle

Le Conseil d’État rejette la demande d’annulation de la décision de la CNIL clôturant une plainte relative à l’effacement de données de santé. Il retient que le centre hospitalier pouvait conserver et traiter ces données, figurant dans des documents produits en justice, pour assurer la défense de ses droits dans le litige portant sur le caractère professionnel d’une pathologie.

Une personne a demandé à la CNIL d’intervenir après le refus d’un centre hospitalier d’effacer des données personnelles relatives à son état de santé. Ces données figuraient dans des documents établis par le médecin du travail en 2020 et 2022.

Le centre hospitalier avait produit ces documents devant les juridictions administratives dans un litige portant sur le refus de reconnaître le caractère professionnel d’une pathologie. La CNIL a clôturé la plainte en considérant que la conservation et le traitement des données étaient nécessaires à la défense de droits en justice.

La requérante a demandé l’annulation de cette décision, invoquant notamment l’incompétence du signataire, une motivation insuffisante, l’absence d’investigations et une erreur d’appréciation. Le Conseil d’État a rejeté la requête.

• Données personnelles utilisées dans le cadre d’une procédure contentieuse
• Nécessité du traitement pour constater, exercer ou défendre un droit en justice
• Éléments établissant concrètement l’utilisation des données comme preuves
• Examen des faits et décision motivée sur les suites données à la plainte
• Absence d’éléments précis et circonstanciés établissant une atteinte à la vie privée
• Décision signée par une personne disposant d’une délégation de signature

• Documents établis par le médecin du travail les 23 juillet 2020 et 2 février 2022
• Données personnelles relatives à l’état de santé
• Production des documents devant les juridictions administratives
• Litige portant sur la reconnaissance professionnelle d’une pathologie
• Décision de délégation de signature du 5 mai 2025

La personne concernée ne peut obtenir l’effacement de données lorsque leur conservation est nécessaire à la défense contentieuse du responsable du traitement. La CNIL peut clôturer la plainte sans enquête complémentaire si les pièces établissent cette nécessité et si sa décision est suffisamment motivée.

• Maintien des données nécessaires à la procédure contentieuse
• Rejet de la demande d’effacement
• Clôture de la plainte sans investigations supplémentaires
• Contrôle entier du juge sur le droit individuel invoqué
• Rejet des frais demandés au titre de l’article L. 761-1

À faire

• Identifier précisément le fondement du droit à l’effacement invoqué
• Documenter la finalité contentieuse de la conservation des données
• Verser les pièces établissant leur production devant le juge
• Vérifier la compétence et la délégation du signataire
• Motiver la décision par des considérations de droit et de fait

À éviter

• Conserver des données sans démontrer leur nécessité contentieuse
• Clôturer une plainte sans examiner les faits allégués
• Substituer une appréciation abstraite à l’analyse des pièces
• Omettre le fondement juridique du refus d’effacement
• Invoquer une atteinte à la vie privée sans éléments précis

Le droit à l’effacement des données nécessaires à une défense en justice

nL’article 17, paragraphe 3, e), du RGPD exclut l’effacement lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. La production de données de santé devant les juridictions administratives pour assurer la défense d’un établissement hospitalier justifiait leur conservation au regard de cette exception.n

Le contrôle juridictionnel des suites données par la CNIL

nSelon l’article 8 de la loi du 6 janvier 1978, la CNIL examine les plaintes et décide des suites à leur donner. Son pouvoir d’appréciation est en principe large. Toutefois, lorsqu’est invoquée la méconnaissance d’un droit individuel, notamment le droit à l’effacement, le juge de l’excès de pouvoir exerce un contrôle entier sur cette appréciation.n

La motivation des décisions administratives de clôture

nLes articles L. 211-2 et L. 211-5 du code des relations entre le public et l’administration imposent l’énoncé écrit des considérations de droit et de fait. La décision était suffisamment motivée puisqu’elle identifiait le fondement juridique du refus d’effacement et la nécessité du traitement pour la défense contentieuse.

Article 17 du règlement (UE) 2016/679 (RGPD), article 21 du règlement (UE) 2016/679 (RGPD), articles 15, 16, 17, 18 et 21 du règlement (UE) 2016/679 (RGPD), article 8 de la loi n° 78-17 du 6 janvier 1978, articles 49, 50, 51, 53 et 56 de la loi n° 78-17 du 6 janvier 1978, article L. 211-2 du code des relations entre le public et l’administration, article L. 211-5 du code des relations entre le public et l’administration, article L. 761-1 du code de justice administrative