Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire, un mémoire en réplique et un nouveau mémoire, enregistrés les 10 janvier, 6 avril et 18 octobre 2022 et le 16 juin 2023 au secrétariat du contentieux du Conseil d'Etat, M. B... C... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 9 novembre 2021 par laquelle la présidente de la Commission nationale de l'informatique et des libertés (CNIL) a rejeté son recours gracieux contre la décision du 12 juillet 2021 portant clôture de sa plainte relative à la suppression de données personnelles le concernant figurant dans le rapport d'activité 2010 de la Mission interministérielle de vigilance et de lutte contre les dérives sectaires (Miviludes) ;
2°) d'enjoindre au secrétaire général du comité interministériel de prévention de la délinquance et de la radicalisation de procéder à l'effacement de ces données personnelles ;
3°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2002-1392 du 28 novembre 2002 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Christelle Thomas, maître des requêtes,
- les conclusions de M. Laurent Domingo, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Fabiani, Luc-Thaler, Pinatel, avocat de M. C... ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que M. C... a saisi la Commission nationale de l'informatique et des libertés (CNIL), le 10 juin 2020, d'une plainte portant sur le refus implicite de la mission interministérielle de vigilance et de lutte contre les dérives sectaires (Miviludes), désormais rattachée au comité interministériel de prévention de la délinquance et de la radicalisation, de faire droit à sa demande d'effacement des mentions nominatives le concernant contenues dans son rapport d'activité pour 2010, publié en ligne. Après lui avoir, par un courrier du 4 août 2020, indiqué que les demandes de déréférencement de données à caractère personnel devaient être directement adressées aux exploitants des moteurs de recherche, la CNIL, par une lettre du 12 juillet 2021, l'a informé de la clôture de sa plainte en raison du caractère inapplicable du droit à l'effacement à des données personnelles figurant dans un traitement mis en œuvre dans le cadre d'une mission d'intérêt public. M. C... demande l'annulation de la décision de la présidente de la CNIL du 9 novembre 2021 rejetant sa demande de réexamen de sa plainte.
2. D'une part, l'article 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (dit RGPD) dispose que " 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais lorsque l'un des motifs suivants s'applique : a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement ; / c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ; / d) les données à caractère personnel ont fait l'objet d'un traitement illicite ; / e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ; f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. (...) 3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire : (...) b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; (...) ". L'article 51 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dispose que " I. Le droit à l'effacement s'exerce dans les conditions prévues à l'article 17 du règlement (UE) 2016/679 du 27 avril 2016. / (...) En cas de non-exécution de l'effacement des données à caractère personnel ou en cas d'absence de réponse du responsable du traitement dans un délai d'un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l'informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation ".
3. D'autre part, aux termes de l'article 1er du décret du 28 novembre 2002 instituant une mission interministérielle de vigilance et de lutte contre les dérives sectaires, cette dernière est notamment chargée " (...) 5° D'informer le public sur les risques, et le cas échéant les dangers, auxquels les dérives sectaires l'exposent (...) ".
4. En premier lieu, il ressort des pièces du dossier que la réclamation adressée le 10 juin 2020 par M. C... à la CNIL portait sur une demande d'effacement des données nominatives le concernant contenues dans le rapport annuel pour 2010 de la Miviludes qui a fait l'objet d'une publication en ligne. Si ces données sont reprises en partie et commentées sur le site internet " PSIRAM ", l'intéressé ne justifiait pas avoir préalablement adressé une demande d'effacement des mentions nominatives le concernant au responsable du traitement de ce site. Il s'ensuit que la CNIL a pu, sans entacher sa décision d'insuffisance de motivation, clôturer la plainte de M. C... sans faire état de la reprise de ses données nominatives par ce site.
5. En second lieu, il résulte des dispositions, citées au point 2, de l'article 17 du RGPD, auquel renvoie l'article 51 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, que la personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais et sous conditions, l'effacement des données à caractère personnel la concernant compte tenu des finalités du traitement. Toutefois, ces dispositions n'ouvrent pas le droit à l'effacement des données personnelles lorsque leur traitement est nécessaire à l'exercice d'une mission d'intérêt public ni ne permettent de remettre en cause les appréciations portées sur une personne par une autorité administrative dans le cadre de sa mission d'intérêt public
6. Il ressort des pièces du dossier que dans son rapport annuel pour 2010, la Miviludes consacre un chapitre aux formations et enseignements dans le domaine des médecines non conventionnelles. Elle y alerte le public contre les risques pouvant résulter de formations aux pratiques non conventionnelles à visée thérapeutique en citant notamment celles alors proposées par le requérant dans le cadre du " Collège universitaire privé de sciences humaines ". Les éléments ainsi publiés en ligne par la Miviludes s'inscrivent dans le cadre de la mission d'intérêt public d'information du public sur les risques de dérives sectaires qui lui a été confiée. Ils n'entrent dès lors pas dans la catégorie des traitements de données à caractère personnel pouvant faire l'objet du droit à l'effacement au sens de l'article 17 du RGPD, cité au point 2. Par suite, la CNIL, qui, après avoir constaté que la diffusion en ligne de son rapport annuel était nécessaire à l'exécution de la mission d'intérêt public de la Miviludes n'avait pas à vérifier si les données personnelles relatives au requérant qui y figuraient étaient bien nécessaires à cette mission, a suffisamment motivé sa décision et n'a pas entaché sa décision d'illégalité en clôturant la plainte de M. C....
7. Il résulte de tout ce qui précède que M. C... n'est pas fondé à demander l'annulation pour excès de pouvoir de la décision qu'il attaque. Ses conclusions à fin d'injonction, ainsi que celles présentées au titre de l'article L. 761-1 du code de justice administrative ne peuvent, par suite, qu'être rejetées.
D E C I D E :
--------------
Article 1er : La requête de M. C... est rejetée.
Article 2 : La présente décision sera notifiée à M. B... C... et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 19 juin 2023 où siégeaient : M. Rémy Schwartz, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; Mme Nathalie Escaut, M. Alexandre Lallet, M. Nicolas Polge, M. Vincent Daumas, Mme Rozen Noguellou, conseillers d'Etat et Mme Christelle Thomas, maître des requêtes-rapporteure.
Rendu le 30 juin 2023.
Le président :
Signé : M. Rémy Schwartz
La rapporteure :
Signé : Mme Christelle Thomas
La secrétaire :
Signé : Mme Claudine Ramalahanoharana
