Vu la procédure suivante :
Par une requête, enregistrée le 19 décembre 2020 au secrétariat du contentieux du Conseil d'Etat, Mme C... A... et M. B... A... demandent au Conseil d'Etat :
1°) de constater les irrégularités de l'accusé de réception de la CNIL du 20 décembre 2019 ;
2°) d'annuler pour excès de pouvoir la décision implicite de rejet résultant du silence gardé par la Commission nationale de l'informatique et des libertés sur la plainte qu'ils lui ont présentée le 13 décembre 2019.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) n° 2016/679 du Parlement européen et du conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code des relations du public avec l'administration ;
- le code de justice administrative;
Après avoir entendu en séance publique :
- le rapport de M. Arno Klarsfeld, conseiller d'Etat,
- les conclusions de M. Laurent Domingo, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Nicolaÿ, de Lanouvelle, Hannotin, avocat de la société CNP Assurances ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que, par une plainte déposée le 13 décembre 2019, M. et Mme A..., assurés auprès de la société CNP Assurances dans le cadre d'un prêt immobilier, ont demandé à la Commission nationale de l'informatique et des libertés (CNIL) de faire respecter par cette société les dispositions relatives aux données de santé du règlement du 27 avril 2016 dit règlement général sur la protection des données (RGPD) et d'obtenir qu'elle reprenne le remboursement, interrompu à la suite d'un contrôle médical, des échéances du prêt pour la part qui lui incombe. Ils demandent au Conseil d'Etat, d'une part, de constater les irrégularités de l'accusé de réception de la CNIL du 20 décembre 2019, d'autre part, d'annuler, pour excès de pouvoir, la décision implicite de refus d'instruction de cette plainte née du silence gardé par la CNIL à la suite de ce courrier.
2. En premier lieu, il n'entre pas dans l'office du juge administratif, saisi d'une requête au fond, de " constater l'irrégularité " d'une procédure administrative. Les conclusions présentées à cette fin ne peuvent, par suite, qu'être rejetées.
3. En second lieu, par une lettre du 23 mars 2021, postérieurement à l'enregistrement de la requête, la CNIL a demandé à la société CNP Assurances de lui faire part de ses observations sur les faits relatés par M. et Mme A... et de lui faire connaître les méthodes qu'elle emploie et les mesures qu'elle a prises. Par une lettre du même jour, elle a informé M. et Mme A... de cette démarche. La CNIL ayant ainsi repris l'instruction de la plainte de M. et Mme A..., leurs conclusions tendant à l'annulation de sa décision de ne pas y donner suite sont, ainsi que le soutiennent la CNIL et la société CNP Assurances, devenues sans objet à la date de la présente décision.
4. Les requérants soutiennent, il est vrai, que la requête conserverait un objet en tant qu'elle est dirigée contre le refus de la CNIL, d'une part d'adresser à la CNP des demandes d'information adéquates, nécessaires et proportionnées aux manquements allégués et, d'autre part, d'user des pouvoirs de mise en demeure et de sanction qu'elle tient de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés pour mettre effectivement fin aux manquements qu'ils dénoncent.
5. Toutefois, d'une part, si M. et Mme A... soutiennent que les mesures prises par la CNIL dans le cadre de l'instruction du dossier sont insuffisantes eu égard à l'étendue et à la gravité des anomalies qu'ils relèvent et aux conséquences qui en résultent pour eux, la circonstance que la CNIL, dans un premier temps, ait demandé à la société CNP Assurances de s'expliquer ne préjuge pas des mesures qu'elle décidera de prendre au vu de la réponse obtenue et, en tout état de cause, ne constitue qu'un acte préparatoire à la décision administrative qui interviendra ultérieurement. D'autre part, il ne ressort pas des pièces du dossier que la CNIL ait, à la date de la présente décision, décidé de ne pas prononcer de mise en demeure ou de sanction à l'encontre de la CNP. Il résulte de ce qui précède qu'il n'y pas lieu de statuer sur les conclusions d'annulation présentées par M. et Mme A....
D E C I D E :
--------------
Article 1er : Il n'y a pas lieu de statuer sur les conclusions de la requête de M. et Mme A... en tant qu'elles portent sur le refus de donner suite à leur plainte.
Article 2 : Le surplus des conclusions de la requête est rejeté.
Article 3 : La présente décision sera notifiée à M. B... A..., à la Commission nationale de l'informatique et des libertés et à la société CNP Assurances.
