Contrôle des clôtures de plaintes CNIL : absence de sanction malgré la divulgation répétée d’une adresse personnelle

La décision rappelle que la clôture par la CNIL d’une plainte tendant au prononcé d’une sanction n’est pas, lorsque la plainte ne repose pas sur l’exercice d’un droit individuel reconnu par le RGPD, une décision individuelle défavorable soumise à l’obligation de motivation prévue par l’article L. 211-2 du code des relations entre le public et l’administration. Cette solution tient au large pouvoir d’appréciation reconnu à la CNIL.

Le contrôle juridictionnel porte néanmoins sur l’erreur de droit et l’erreur manifeste d’appréciation. La CNIL pouvait tenir compte de la nature des faits, de la gravité des manquements invoqués et de l’atteinte portée à la vie privée. La publication de la décision juridictionnelle avait été retirée rapidement par la société, qui avait présenté ses excuses, tandis qu’une troisième publication était imputable à une association distincte.

Dans ces circonstances, le rappel des obligations issues des articles 5, 6, 17, 21, 32 et 33 du RGPD, sans ouverture d’une procédure de sanction, ne caractérisait pas une erreur de droit ni une erreur manifeste d’appréciation. Les conclusions tendant à l’annulation de la clôture, à l’injonction de sanction et au bénéfice de l’article L. 761-1 du code de justice administrative ont donc été rejetées.

⬇️Télécharger la décision version officielle

Un plaignant reprochait à Orange la publication répétée d’une décision judiciaire comportant son adresse personnelle. La CNIL a clôturé la plainte après le retrait des publications imputables à la société et la présentation de ses excuses. La juridiction a rejeté le recours, estimant que la Commission n’avait pas commis d’erreur manifeste d’appréciation.

Un plaignant a saisi la CNIL après la publication, à plusieurs reprises, d’une décision du tribunal de commerce le concernant, sans occultation de son adresse personnelle. Il reprochait à Orange SA des manquements au RGPD relatifs à la protection des données, à ses droits d’opposition et d’effacement, à la sécurité des traitements et à la notification des violations.

La CNIL a clôturé la plainte après que la société a retiré les publications qui lui étaient imputables et présenté ses excuses. Une autre publication était imputable à une association représentant des salariés actionnaires. Le plaignant a demandé l’annulation de la clôture et l’injonction de prononcer une sanction. La juridiction a rejeté la requête, estimant que la CNIL n’avait ni méconnu son obligation de motivation ni commis d’erreur manifeste d’appréciation.

• Plainte ne reposant pas sur un droit individuel reconnu par le RGPD
• Large pouvoir d’appréciation de la CNIL dans le choix d’une sanction
• Examen de la nature et de la gravité des manquements invoqués
• Prise en compte de l’atteinte éventuelle à la vie privée
• Retrait rapide des publications imputables au responsable du traitement
• Imputation exacte de chaque publication à son auteur

• Publications de la décision juridictionnelle sans occultation de l’adresse personnelle
• Retrait des publications par la société après signalement
• Excuses présentées à la personne concernée
• Éléments établissant l’imputation de la troisième publication à une association
• Pièces du dossier relatives aux circonstances et à la gravité des manquements

La société bénéficie de la clôture de la plainte et n’est pas soumise à une procédure de sanction, le juge n’ayant relevé ni erreur de droit ni erreur manifeste d’appréciation. Le plaignant ne peut obtenir l’annulation de cette clôture ni le remboursement de ses frais au titre de l’article L. 761-1 du code de justice administrative.

• Maintien de la clôture de la plainte par la CNIL
• Absence d’injonction de prononcer une sanction
• Prise en compte du retrait rapide des publications
• Distinction entre les actes de la société et ceux de l’association
• Rejet des conclusions présentées au titre de l’article L. 761-1

À faire

• Identifier précisément l’auteur de chaque publication litigieuse
• Retirer rapidement toute donnée personnelle diffusée sans occultation
• Conserver les preuves du retrait et de sa date
• Présenter des excuses à la personne concernée
• Rappeler les obligations issues des articles 5, 6, 17, 21, 32 et 33 du RGPD

À éviter

• Publier une décision juridictionnelle sans masquer l’adresse personnelle
• Attribuer à la société une publication faite par une association
• Négliger les droits d’opposition et d’effacement
• Omettre l’évaluation du niveau de sécurité adapté au risque
• Ignorer les obligations de notification des violations de données

La motivation des décisions de clôture des plaintes CNIL

La décision de ne pas donner suite à une plainte visant une sanction n’est pas une décision individuelle défavorable au sens de l’article L. 211-2 du code des relations entre le public et l’administration lorsque la plainte ne repose pas sur un droit individuel reconnu par le RGPD. La CNIL dispose alors d’un large pouvoir d’appréciation et aucune disposition n’impose la motivation de cette clôture.

Le contrôle de l’appréciation portée sur les manquements au RGPD

Le juge vérifie l’absence d’erreur de droit et d’erreur manifeste d’appréciation. La CNIL pouvait apprécier la nature des faits, la gravité des manquements invoqués et l’atteinte à la vie privée, notamment au regard du retrait rapide des publications imputables à la société et de ses excuses.

L’imputation des violations de données personnelles

La troisième publication non occultée n’étant pas imputable directement à la société, mais à une association distincte, cet élément pouvait être pris en compte pour ne pas engager de procédure de sanction contre la société. Le rappel des obligations issues des articles 5, 6, 17, 21, 32 et 33 du RGPD suffisait dans les circonstances retenues.

Article 5 du règlement (UE) 2016/679, Article 6 du règlement (UE) 2016/679, Article 17 du règlement (UE) 2016/679, Article 21 du règlement (UE) 2016/679, Article 32 du règlement (UE) 2016/679, Article 33 du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679, Article L. 211-2 du code des relations entre le public et l’administration, Article L. 761-1 du code de justice administrative, loi n° 78-17 du 6 janvier 1978