Droit d’accès aux données personnelles : contrôle entier du juge sur la clôture d’une plainte par la CNIL

Lorsque la plainte concerne un droit individuel garanti par la loi, notamment le droit d’accès, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge de l’excès de pouvoir. Le refus de donner suite à la plainte peut donc être contesté devant ce juge.

L’article 15 du RGPD garantit le droit d’accès aux données à caractère personnel. La clôture est toutefois admise lorsque le plaignant n’identifie pas les données traitées auxquelles il n’aurait pas déjà eu accès. En l’espèce, la CNIL avait sollicité le responsable de traitement, relancé l’établissement et obtenu une réponse précisant les données détenues et communiquées. Ces diligences et l’absence de précision suffisante sur les données recherchées ont justifié la clôture, jugée suffisamment motivée et exempte d’erreur d’appréciation.

⬇️Télécharger la décision version officielle

Après avoir rappelé au responsable de traitement ses obligations, puis relancé l’établissement, la CNIL a reçu une réponse indiquant que seules les fiches de renseignements et les bilans de réunions d’équipe éducative étaient détenus et transmis aux parents. La CNIL a également relevé que les demandeurs n’avaient pas précisé les documents ou données recherchés, puis a clôturé la plainte en les invitant à détailler leur demande.

Les parents ont demandé l’annulation de cette clôture et la reprise de l’instruction. La juridiction a rejeté leur recours, estimant que les données non déjà accessibles n’étaient pas identifiées, que les diligences de la CNIL étaient suffisantes et que sa décision était suffisamment motivée.

• Existence d’une plainte relative à un droit individuel garanti
• Identification des données personnelles prétendument inaccessibles
• Vérification de l’existence d’un traitement au sens du RGPD
• Examen des faits et des suites à donner par la CNIL
• Accomplissement de diligences auprès du responsable de traitement
• Absence d’erreur d’appréciation au regard de l’article 15 du RGPD

• Plainte relative à l’accès aux données personnelles
• Courrier de rappel de la CNIL au responsable de traitement
• Courrier de relance adressé à l’établissement scolaire
• Réponse de l’inspectrice de l’éducation nationale
• Fiches de renseignements et bilans de réunions transmis aux parents

• Rejet du recours en excès de pouvoir
• Maintien de la clôture de la plainte
• Absence d’injonction de communiquer les données
• Nécessité de détailler les documents ou données sollicités
• Prise en compte des diligences documentées de la CNIL

À faire

• Identifier précisément chaque donnée personnelle recherchée
• Préciser les traitements et services concernés
• Vérifier les données déjà communiquées
• Conserver les échanges avec le responsable de traitement
• Documenter les relances et réponses de la CNIL

À éviter

• Formuler une demande générale ou indéterminée
• Confondre documents administratifs et données personnelles
• Contester sans identifier les données inaccessibles
• Négliger les réponses déjà transmises
• Ignorer les demandes de précision de la CNIL

Le contrôle du juge sur les suites données par la CNIL

Le refus de la CNIL de donner suite à une plainte peut être contesté par un recours pour excès de pouvoir. Son pouvoir d’appréciation, normalement large au regard des articles 8 et 20 de la loi du 6 janvier 1978, s’exerce sous l’entier contrôle du juge lorsqu’est invoquée la méconnaissance d’un droit individuel relatif aux données personnelles, notamment le droit d’accès.

Le droit d’accès aux données personnelles

L’article 15 du RGPD garantit à la personne concernée l’accès aux données personnelles la concernant. La plainte doit toutefois permettre d’identifier les données traitées auxquelles elle n’aurait pas déjà eu accès. En l’absence de précisions suffisantes sur les données ou documents recherchés, la clôture peut être légalement décidée après instruction.

Les diligences nécessaires à la clôture d’une plainte

La CNIL doit examiner les faits et peut tenir compte de la gravité des manquements, du sérieux des indices, de leur date, du contexte et des intérêts généraux dont elle a la charge. La clôture a été validée après rappel des obligations au responsable, relance de l’établissement et obtention d’une réponse précisant les données détenues et communiquées.