Clôture d’une plainte par la CNIL : absence d’éléments justifiant la poursuite de l’instruction au regard des articles 57 et 58 du RGPD

Au regard de l’article 57 du RGPD, relatif aux missions des autorités de contrôle, et de l’article 58 du RGPD, relatif à leurs pouvoirs d’investigation, la juridiction a considéré que la CNIL avait recueilli des informations auprès de l’organisme bancaire et tenu compte de l’enquête interne menée par celui-ci. Cette enquête n’avait révélé ni fuite ni transmission non autorisée de données bancaires.

La juridiction a également relevé que la plainte ne portait pas sur une atteinte aux droits individuels au sens du RGPD, mais tendait au prononcé d’une sanction. En l’absence d’éléments suffisants établissant une violation, le moyen tiré de l’insuffisance d’investigation a été écarté. Les griefs relatifs au secret bancaire et à la vie privée étaient inopérants contre la décision de clôture elle-même.

⬇️Télécharger la décision version officielle

Après des échanges avec l’organisme bancaire, la CNIL a clôturé la plainte. L’établissement a indiqué qu’une enquête interne n’avait révélé aucune fuite ni transmission non autorisée de données figurant sur les comptes du plaignant.

Le plaignant a demandé l’annulation de cette clôture et la reprise de l’instruction, notamment au moyen d’un audit des accès aux données et de l’audition du courtier sous serment. Il invoquait une investigation insuffisante au regard de l’article 58 du RGPD, ainsi qu’une atteinte à la vie privée et au secret bancaire.

La juridiction a rejeté la requête, estimant que la CNIL ne disposait pas d’éléments justifiant la poursuite de l’instruction ou le prononcé d’une sanction.

• Plainte tendant au prononcé d’une sanction
• Éléments fournis par le plaignant examinés
• Informations recueillies auprès de l’organisme bancaire
• Enquête interne ne révélant aucune fuite
• Absence de transmission non autorisée identifiée
• Aucun élément justifiant la poursuite de l’instruction

• Éléments fournis dans la plainte
• Informations recueillies par la CNIL auprès de la banque
• Résultats de l’enquête interne de l’organisme bancaire
• Absence identifiée de fuite de données bancaires
• Absence identifiée de transmission non autorisée

• Clôture de la plainte maintenue
• Reprise de l’instruction refusée
• Audit complémentaire des accès non ordonné
• Audition du courtier sous serment non ordonnée
• Griefs de secret bancaire et de vie privée écartés contre la clôture

À faire

• Documenter précisément les indices de transmission
• Produire les éléments disponibles à la CNIL
• Vérifier les réponses de l’organisme bancaire
• Identifier concrètement les accès ou transmissions contestés
• Relier chaque grief à une violation du RGPD

À éviter

• Se limiter à de simples présomptions non étayées
• Demander des investigations sans élément justificatif
• Confondre plainte-sanction et atteinte individuelle
• Invoquer seulement le secret bancaire contre la clôture
• Contester la clôture sans démontrer une erreur manifeste

Les critères de clôture d’une plainte par la CNIL

La CNIL peut clôturer une plainte lorsqu’elle ne dispose pas d’éléments justifiant la poursuite de l’instruction ou le prononcé d’une sanction. La juridiction a retenu les éléments fournis par le plaignant et les informations recueillies auprès de l’organisme bancaire, dont l’enquête interne n’avait révélé aucune fuite ni transmission non autorisée.

Les pouvoirs d’investigation des autorités de contrôle

Les articles 57 et 58 du RGPD définissent les missions et pouvoirs d’investigation des autorités nationales de contrôle. La juridiction a écarté le moyen tiré de leur méconnaissance, la CNIL ayant recueilli des informations suffisantes au regard des éléments disponibles et n’étant pas tenue de poursuivre davantage ses investigations en l’absence d’indices justifiant cette poursuite.