Vu la procédure suivante :
Par une requête, enregistrée le 4 octobre 2020 au secrétariat du contentieux du Conseil d'Etat, Mme A... B... demande au Conseil d'Etat :
1°) à titre principal, d'annuler pour excès de pouvoir la décision du 24 septembre 2020 par laquelle le secrétaire général de la Commission nationale de l'informatique et des libertés (CNIL) a clôturé la plainte présentée pour son compte par son père, M. E... B..., et relative au traitement de ses données à caractère personnel par la société Geleau ;
2°) à titre subsidiaire, de saisir la Cour de justice de l'Union européenne d'une question préjudicielle portant sur l'interprétation de l'article 35 du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD).
Elle soutient que la CNIL a méconnu l'article 35 du règlement général sur la protection des données en estimant que le traitement de ses données personnelles n'était pas soumis à l'obligation d'une analyse d'impact préalable.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative et le décret n° 2020-1406 du 18 novembre 2020 ;
Après avoir entendu en séance publique :
- le rapport de Mme D... C..., conseillère d'Etat,
- les conclusions de M. Laurent Domingo, rapporteur public ;
Considérant ce qui suit :
1. Mme A... B... demande l'annulation de la décision du 24 septembre 2020 par laquelle le secrétaire général de la Commission nationale de l'informatique et des libertés (CNIL) a clôturé la plainte présentée pour son compte par son père à l'encontre du traitement de ses données à caractère personnel mis en oeuvre par la société Geleau, gestionnaire de son contrat de bail d'un bien immobilier.
2. Les dispositions du 1 de l'article 35 du règlement du Parlement européen et du Conseil du 27 avril 2016, dit règlement général sur la protection des données, prévoient l'obligation de réaliser au préalable une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel lorsqu'un tel traitement " en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ".
3. Il ne ressort pas des pièces du dossier que le traitement des données collectées par la société Geleau dans le cadre de la gestion des baux de biens immobiliers serait de nature à engendrer un risque élevé pour les droits et libertés des personnes physiques au sens des dispositions citées au point 2. Il s'ensuit que la requérante n'est, en tout état de cause, pas fondée à soutenir que la CNIL a méconnu ces dispositions en décidant de clôturer sa plainte en dépit de l'absence d'analyse d'impact préalable portant sur la protection des données qui font l'objet d'un traitement par la société Geleau.
4. Il résulte de ce qui précède, sans qu'il y ait lieu de saisir la Cour de justice de l'Union européenne d'une question préjudicielle, que Mme B... n'est pas fondée à demander l'annulation de la décision qu'elle attaque.
D E C I D E :
--------------
Article 1er : La requête de Mme B... est rejetée.
Article 2 : La présente décision sera notifiée à Mme A... B....
Copie en sera adressée à la Commission nationale de l'informatique et des libertés.
