Contrôle du refus de la CNIL de donner suite à une plainte d’accès aux données personnelles

La CNIL dispose, en principe, d’un large pouvoir d’appréciation pour examiner une plainte et décider des suites à lui donner, conformément aux articles 8 et 20 de la loi du 6 janvier 1978. Toutefois, lorsque la plainte concerne l’exercice d’un droit individuel d’accès aux données personnelles, ce pouvoir s’exerce sous l’entier contrôle du juge de l’excès de pouvoir, notamment au regard des articles 49, 50, 51, 53 et 56 de cette loi.

En vertu de l’article 77 du RGPD, toute personne peut saisir l’autorité de contrôle. L’article 78 impose à cette autorité d’informer le plaignant, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation. L’article 10 du décret du 29 mai 2019 prévoit que le silence gardé pendant trois mois vaut rejet.

Le dépassement de ce délai n’a pas conduit à l’annulation de la clôture définitive. La CNIL avait poursuivi l’instruction, puis adopté une décision de clôture qui s’était substituée à la première. Le juge a considéré que cette décision ne reposait ni sur des faits matériellement inexacts, ni sur une erreur de droit ou d’appréciation. La clôture a donc été maintenue, tandis qu’il n’y avait plus lieu de statuer sur les décisions implicites de rejet.

⬇️Télécharger la décision version officielle

Le Conseil d’État constate que la décision définitive de la CNIL, clôturant les deux plaintes relatives à l’accès aux données personnelles, s’est substituée à la première décision de clôture. Il n’y a donc plus lieu de statuer sur les rejets implicites. La clôture définitive n’est fondée ni sur des faits inexacts, ni sur une erreur de droit ou d’appréciation, la chambre d’agriculture ayant indiqué ne détenir aucune autre donnée personnelle.

Une personne concernée a saisi la CNIL de deux plaintes concernant le refus d’accès à ses données personnelles opposé par la chambre d’agriculture du Loiret, pour des périodes distinctes. Elle demandait l’annulation des décisions par lesquelles la CNIL avait clôturé la première plainte et rejeté implicitement la seconde après son silence pendant trois mois.

La CNIL a ensuite repris l’instruction des plaintes et les a clôturées définitivement par une décision ultérieure. La chambre d’agriculture a indiqué qu’aucune autre donnée personnelle concernant la plaignante n’était détenue en dehors de celles déjà transmises.

Le Conseil d’État a jugé que la décision définitive s’était substituée à la première clôture et qu’il n’y avait plus lieu de statuer sur les décisions implicites de rejet. Il a également estimé que la clôture définitive ne reposait ni sur des faits inexacts, ni sur une erreur de droit ou d’appréciation.

• Plainte portant sur l’exercice d’un droit individuel d’accès
• Contrôle juridictionnel des erreurs de fait et de droit
• Vérification de l’absence d’erreur d’appréciation
• Poursuite effective de l’instruction par la CNIL
• Substitution d’une décision définitive à la clôture initiale
• Absence d’autres données personnelles à communiquer établie

• Pièces relatives aux plaintes déposées auprès de la CNIL
• Courriers de relance adressés à la CNIL
• Pièces établissant la poursuite de l’instruction
• Décision définitive de clôture du 3 septembre 2025
• Courrier de la chambre d’agriculture du 9 septembre 2025

La plaignante ne peut obtenir l’annulation de la clôture définitive, malgré le dépassement initial du délai de trois mois. La CNIL conserve le bénéfice de sa décision, tandis que la chambre d’agriculture est regardée comme ayant précisé l’étendue des données communiquées.

• Maintien de la clôture définitive des plaintes
• Absence de décision sur les rejets implicites antérieurs
• Contrôle renforcé du juge sur le droit d’accès
• Nécessité de documenter l’existence de données non communiquées
• Prise en compte des réponses du responsable de traitement

À faire

• Identifier précisément les données personnelles encore recherchées
• Conserver les demandes d’accès et leurs accusés de réception
• Documenter les relances adressées à la CNIL
• Vérifier le respect du délai de trois mois
• Produire les réponses du responsable de traitement

À éviter

• Contester une clôture sans démontrer une erreur juridique
• Confondre décision implicite et décision définitive de clôture
• Alléguer des données manquantes sans élément probant
• Négliger la substitution d’une décision ultérieure
• Omettre les délais prévus par le RGPD

Le contrôle juridictionnel des clôtures de plaintes relatives aux droits d’accès

Le refus de la CNIL de donner suite à une plainte peut être contesté par la voie de l’excès de pouvoir. Lorsque la plainte porte sur un droit individuel d’accès aux données personnelles, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge. Celui-ci recherche notamment une illégalité externe, une erreur de fait ou de droit, une erreur manifeste d’appréciation ou un détournement de pouvoir.

Le délai de traitement des réclamations prévu par le RGPD

L’article 77 du RGPD ouvre le droit de saisir une autorité de contrôle. Selon l’article 78, celle-ci doit informer le plaignant, dans les trois mois, de l’état d’avancement ou de l’issue de la réclamation. L’article 10 du décret du 29 mai 2019 prévoit que le silence gardé pendant trois mois vaut décision de rejet. Le dépassement de ce délai n’a toutefois pas suffi à annuler la clôture définitive ultérieure.

La substitution d’une décision définitive de clôture

La décision définitive de clôture adoptée après la poursuite de l’instruction s’est substituée à la première décision de clôture. Le juge a donc écarté les conclusions dirigées contre les décisions implicites de rejet et contrôlé la décision définitive. Celle-ci a été maintenue, aucune erreur de fait, erreur de droit ou erreur d’appréciation n’étant établie.

Article 77 du RGPD, article 78 du RGPD, articles 8, 20, 49, 50, 51, 53 et 56 de la loi n° 78-17 du 6 janvier 1978, article 10 du décret n° 2019-536 du 29 mai 2019, articles 51, 57 et 82 du RGPD, loi n° 78-17 du 6 janvier 1978, décret n° 2019-536 du 29 mai 2019