Droit à rectification des données personnelles et contrôle du refus d’agir de la CNIL

La CNIL doit examiner les faits à l’origine d’une plainte et décider des suites à lui donner, conformément aux articles 8 et 20 de la loi du 6 janvier 1978. Elle dispose en principe d’un large pouvoir d’appréciation, mais ce pouvoir s’exerce sous l’entier contrôle du juge de l’excès de pouvoir lorsque la plainte concerne un droit individuel relatif aux données personnelles, notamment le droit à rectification.

L’article 5, paragraphe 1, d), du RGPD impose que les données soient exactes et, si nécessaire, tenues à jour. L’article 16 garantit à la personne concernée la rectification, dans les meilleurs délais, des données inexactes ou incomplètes.

La juridiction considère toutefois que des mentions erronées figurant dans des courriels et courriers générés automatiquement, relatives à l’origine de la résiliation de comptes, ne constituaient pas nécessairement des données à caractère personnel. Elle relève également l’absence d’utilisation frauduleuse des données ou de manquement établi à la réglementation.

La CNIL avait obtenu de l’établissement bancaire des explications techniques sur l’origine des erreurs et accompli des diligences adaptées à la teneur des plaintes. Elle n’a donc ni dénaturé les éléments soumis ni commis d’erreur d’appréciation en clôturant les procédures. Les recours contre ces décisions sont rejetés, ainsi que la demande fondée sur l’article L. 761-1 du code de justice administrative.

⬇️Télécharger la décision version officielle

Le Conseil d’État rejette les recours contre les décisions de la CNIL clôturant deux plaintes relatives à des données bancaires et à une prétendue utilisation frauduleuse. Il juge que les mentions contestées ne constituaient pas des données personnelles et qu’aucune violation de la réglementation n’était établie. La CNIL avait en outre accompli les diligences nécessaires en recueillant les explications techniques de la banque.

Un demandeur a saisi la CNIL de deux plaintes contre Crédit agricole d’Ile-de-France. Il reprochait à l’établissement bancaire d’avoir utilisé frauduleusement ses données personnelles et de lui avoir refusé la rectification d’informations inexactes relatives à la résiliation de ses comptes, notamment de son compte « sécuripass ».

La banque avait résilié elle-même les comptes, mais des courriels et un courrier ultérieurs indiquaient que la résiliation avait été effectuée à la demande du titulaire. Ces documents avaient été générés automatiquement selon une rédaction standardisée.

La CNIL a clôturé les deux plaintes. Le demandeur a demandé l’annulation de ces décisions et la reprise de l’instruction. Le Conseil d’État a joint les requêtes, puis a jugé que les mentions contestées ne constituaient pas des données personnelles et qu’aucune utilisation frauduleuse ni violation de la réglementation n’était établie. Il a également retenu que la CNIL avait effectué les diligences nécessaires, notamment en recueillant les explications techniques de la banque. Les requêtes ont été rejetées.

• Plainte portant sur un droit individuel relatif aux données personnelles
• Existence de données personnelles inexactes ou incomplètes
• Appréciation de la nature des mentions contestées
• Absence d’utilisation frauduleuse des données personnelles
• Diligences nécessaires et adaptées à la teneur des plaintes
• Obtention d’explications techniques auprès de l’établissement bancaire
• Absence d’erreur d’appréciation ou de dénaturation des éléments produits

• Courrier bancaire du 14 mars 2025 informant de la résiliation unilatérale
• Message électronique du 20 mai 2025 mentionnant une résiliation à la demande du titulaire
• Courrier du 23 mai 2025 relatif à la clôture des comptes
• Explications techniques de la banque sur le système automatisé

La CNIL pouvait clôturer les plaintes après avoir vérifié l’origine technique des mentions contestées et constaté l’absence de manquement établi. Le demandeur ne peut obtenir l’annulation des clôtures ni le remboursement de frais au titre de l’article L. 761-1 du code de justice administrative.

• Clôture des plaintes maintenue
• Absence de rectification imposée à l’établissement bancaire
• Rejet des demandes d’annulation et de réinstruction
• Rejet de la demande au titre de l’article L. 761-1

À faire

• Qualifier précisément les mentions contestées
• Identifier les données personnelles effectivement traitées
• Documenter l’inexactitude alléguée
• Solliciter les explications techniques du responsable de traitement
• Vérifier les diligences accomplies par la CNIL

À éviter

• Assimiler toute erreur documentaire à une donnée personnelle
• Alléguer une fraude sans élément probant
• Négliger le fonctionnement automatisé du système
• Contester la clôture sans démontrer une erreur d’appréciation
• Oublier la demande fondée sur l’article L. 761-1

Le contrôle juridictionnel des décisions de clôture de la CNIL

L’auteur d’une plainte peut contester devant le juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsque la plainte porte sur un droit individuel relatif aux données personnelles, notamment le droit à rectification, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge.

Les critères du droit à rectification des données personnelles

L’article 5, paragraphe 1, d), du RGPD exige des données exactes et tenues à jour. L’article 16 reconnaît le droit d’obtenir la rectification des données inexactes ou incomplètes. La juridiction a toutefois estimé que les mentions erronées relatives à l’origine d’une résiliation ne portaient pas sur des données à caractère personnel.

Les diligences suffisantes de la CNIL

La CNIL peut clôturer une plainte après avoir accompli des diligences nécessaires et adaptées à sa teneur. En l’occurrence, elle avait recueilli auprès de l’établissement bancaire des explications techniques sur les erreurs générées automatiquement. Aucun manquement relatif à l’utilisation frauduleuse des données n’étant établi, la clôture n’était pas entachée d’erreur d’appréciation.

Article 5, paragraphe 1, d), du règlement (UE) 2016/679 (RGPD), Article 16 du règlement (UE) 2016/679 (RGPD), Articles 8, 20, 49, 50, 51, 53 et 56 de la loi n° 78-17 du 6 janvier 1978, Article L. 761-1 du code de justice administrative