Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés le 10 novembre 2025 et le 12 avril 2026, au secrétariat du contentieux du Conseil d’Etat, Mme S… O… et M. V… Y… demandent au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 15 septembre 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de leur plainte relative aux difficultés qu’ils rencontrent dans le cadre de l’exercice de leur droit d’accès aux données à caractère personnel les concernant, ainsi que leur fils R… Y…, figurant dans les fichiers informatisés ou manuels de l’école élémentaire Florence Arthaud de Livry-Gargan (Seine-Saint-Denis), ainsi que ceux d’autres services de l’éducation nationale recensant les informations relatives à cette école les concernant ;

2°) d’enjoindre à la CNIL de réexaminer leur plainte et de leur communiquer ces données personnelles.

Ils soutiennent que la décision de la CNIL qu’ils attaquent est entachée:

– d’insuffisance de motivation au regard de l’étendue de leur demande ;

– d’une erreur manifeste d’appréciation compte tenu des documents détenus par les membres de l’éducation nationale ou les services auxquels ils n’ont pas eu accès ou pu s’opposer et du caractère inexact ou vague des réponses qui leur ont été fournies par les responsables de l’éducation nationale qui sont intervenus dans le traitement de leur demande.

Par un mémoire en défense enregistré le 17 mars 2026, la Commission nationale de l’informatique et des libertés conclut au rejet de la requête. Elle soutient qu’aucun des moyens de la requête n’est fondé.

Vu les autres pièces du dossier ;

Vu :

– le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

– la loi n° 78-17 du 6 janvier 1978 ;

– le code de justice administrative ;

Après avoir entendu en séance publique :

– le rapport de M. Jean de L’Hermite, conseiller d’Etat-rapporteur.

– les conclusions de M. Frédéric Puigserver, rapporteur public ;

Des notes en délibéré, enregistrée les 17 septembre et 18 septembre 2026, ont été présentées par Mme O… et M. Y….

Considérant ce qui suit :

1. A la suite d’échanges avec le délégué à la protection des données de l’école élémentaire Florence Arthaud de Livry-Gargan (Seine-Saint-Denis), Mme O… et M. Y… ont, le 18 décembre 2024, saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande relative aux difficultés rencontrées pour l’exercice de leur droit d’accès à l’ensemble des données à caractère personnel les concernant, et concernant leur fils, détenues dans les fichiers informatisés et manuels de cette école, ainsi que dans ceux d’autres services de l’éducation nationale. Par un courrier du 18 février 2025, la CNIL a rappelé le responsable de traitement mis en cause à ses obligations en matière de droit d’accès aux données personnelles en l’invitant à répondre à la demande de Mme O… et a relancé l’école élémentaire par un courrier du 9 juin 2025. A la suite de la réponse apportée le 12 septembre 2025 par l’inspectrice de l’éducation nationale de l’académie de Créteil, qui informait la CNIL que, mis à part les fiches de renseignements complétées par les parents d’élèves en début d’année scolaire et les bilans des réunions d’équipe éducative concernant les enfants, qui sont transmis aux parents, aucune autre donnée n’était détenue et que les demandeurs n’avaient pas été en mesure de préciser la nature des documents sollicités. Par une décision du 15 septembre 2025, la CNIL a procédé à la clôture de la plainte, après avoir invité Mme O… à détailler sa demande auprès du responsable de traitement. Mme O… et M. Y… demandent l’annulation pour excès de pouvoir de cette décision, la réouverture de l’instruction de leur plainte par la CNIL et à ce qu’il soit enjoint à l’école à communiquer les données personnelles les concernant.

2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. Il ressort des pièces du dossier que les requérants, dans leur plainte puis dans le cadre de l’instruction qui s’est déroulée jusqu’à la décision attaquée, n’ont pas identifié les données à caractère personnel les concernant ou concernant leur fils auxquelles ils n’auraient pas déjà eu accès et qui, à la date de cette décision, auraient fait l’objet d’un traitement au sens du RGPD par l’école élémentaire où leur enfant est scolarisé ou par d’autres services de l’éducation nationale. Dans ces conditions, compte tenu de l’ensemble des diligences accomplies par l’autorité de contrôle, la CNIL, dont la décision est, dans les circonstances de l’espèce, suffisamment motivée, n’a pas, au regard du droit d’accès aux données à caractère personnel garanti par l’article 15 du RGPD, commis d’erreur d’appréciation en décidant de clore la plainte dont elle était saisie. Par suite, la requête de Mme O… et M. Y… doit être rejetée, y compris leurs conclusions à fin d’injonction.

D E C I D E :

————–

Article 1er : La requête de Mme O… et M. Y… est rejetée.

Article 2 : La présente décision sera notifiée à Mme O…, à M. Y… et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 17 septembre 2026 où siégeaient :

M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d’Etat et

M. Jean de L’Hermite, conseiller d’Etat-rapporteur.

Rendu le 20 octobre 2026.

Le président :

Signé : M. Olivier Yeznikian

Le rapporteur :

Signé : M. Jean de L’Hermite

La secrétaire :

Signé : Mme Sylvie Leporcq

La République mande et ordonne au premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

Pour la secrétaire du contentieux, par délégation :

ECLI:FR:CECHS:2026:509589.20261020