Vu la procédure suivante :
Par une requête, enregistrée le 15 mai 2019 au secrétariat du contentieux du Conseil d'Etat, M. B... C... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 10 avril 2019 par laquelle la présidente de la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte n° 18014100 à l'encontre de la caisse primaire d'assurance maladie de Seine-et-Marne relative à l'exercice de son droit de rectification et d'effacement des données à caractère personnel le concernant ;
2°) de mettre à la charge de l'Etat la somme de 500 euros au titre de l'article L. 761-1 du code de justice administrative.
M. C... soutient que la présidente de la CNIL a commis une erreur manifeste d'appréciation en ne mettant pas en demeure la caisse primaire d'assurance maladie de Seine-et-Marne de rectifier ou d'effacer certaines données à caractère personnel contenues dans le traitement " SCAPIN ".
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative, et notamment son article R. 611-8 ;
Après avoir entendu en séance publique :
- le rapport de M. A... D..., audieur,
- les conclusions de M. Alexandre Lallet, rapporteur public ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que, par une lettre du 17 juin 2018, M. C... a demandé à la présidente de la CNIL l'effacement et la rectification de certaines données à caractère personnel contenues dans l'application SCAPIN, qui lui ont été refusés par la caisse primaire d'assurance maladie, CPAM, de Seine-et-Marne. Par une décision du 10 avril 2019, la présidente de la CNIL a clôturé la plainte du requérant au motif que la CPAM de Seine-et-Marne avait valablement opposé un rejet aux demandes de M. C..., le maintien du traitement étant justifié par la défense des droits en justice de la CPAM, les données concernées étant en lien avec des procédures contentieuses en cours.
2. Le e) du 3 de l'article 17 du règlement du parlement européen et du conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (" règlement général sur la protection des données "), applicable à la date de la décision attaquée, prévoit que (...): [le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel ne s'applique pas lorsque] : " ce traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice ".
3. L'article 11 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dispose, dans sa rédaction applicable à la date de la décision attaquée, que : " La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. Elle exerce les missions suivantes : [...] c) Elle reçoit les réclamations, pétitions et plaintes relatives à la mise en oeuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ; [...] ". Il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en oeuvre de ses pouvoirs, à l'examen des faits qui sont à l'origine de la plainte ou de la réclamation et de décider des suites à lui donner. Elle dispose, à cet effet, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge.
4. Le I de l'article 40 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la décision attaquée, dispose que : " Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite ". Lorsque l'auteur de la plainte se fonde sur la méconnaissance des droits qu'il tient de cet article, notamment du droit de rectification de ses données personnelles, le pouvoir d'appréciation de la CNIL pour décider des suites à y donner s'exerce, eu égard à la nature des droits individuels en cause, sous l'entier contrôle du juge de l'excès de pouvoir. Il ne ressort pas des pièces du dossier que la présidente de la CNIL aurait fait une inexacte application des dispositions précitées applicables au litige, en estimant que les demandes de rectification et d'effacement présentées par M. C... n'étaient pas, au vu des éléments qu'il faisait valoir à son soutien, de nature à justifier l'engagement d'une procédure sur le fondement du II de l'article 45 de la loi du 6 janvier 1978.
5. Il résulte de tout ce qui précède que la requête de M. C... tendant à l'annulation de la décision de la présidente de la CNIL qu'il attaque doit être rejetée, y compris, en conséquence, ses conclusions au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de M. C... est rejetée.
Article 2 : La présente décision sera notifiée à M. B... C... et à la Commission nationale de l'informatique et des libertés.
