Vu la procédure suivante :
Par une requête sommaire et un mémoire complémentaire, enregistrés les 13 avril et 13 juillet 2023 au secrétariat du contentieux du Conseil d'Etat, la société LHA Développement demande au Conseil d'Etat :
1°) d'annuler la décision n° SANPS-2023-004 du 8 février 2023 par laquelle le président de la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative de 10 000 euros, lui a enjoint de communiquer à la CNIL les documents demandés dans le procès-verbal de contrôle ainsi que dans le courrier de relance et d'apporter des réponses détaillées aux questions posées dans ces documents, sous astreinte de 50 euros par jour de retard à l'issue d'un délai d'un mois suivant la notification de cette décision ;
2°) de mettre à la charge de la Commission nationale de l'informatique et des libertés la somme de 4 000 euros au titre de l'article L. 761-1 du code justice administrative.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-536 du 29 mai 2019 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire,
- les conclusions de M. Laurent Domingo, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Gury et Maître, avocat de la Société LHA Développement ;
Considérant ce qui suit :
1. Il résulte de l'instruction qu'une délégation de contrôle de la Commission nationale de l'informatique et des libertés (CNIL) a effectué, le 21 juin 2022, un contrôle au sein du commerce exploité par la société LHA Développement dans un centre commercial situé à Pessac, à la suite d'une plainte d'une salariée portant sur le système de vidéosurveillance installé dans ses locaux. Par une décision du 8 février 2023, le président de la formation restreinte de la CNIL a prononcé à son encontre une amende administrative de 10 000 euros pour manquement à son obligation de coopération et lui a enjoint de communiquer à la CNIL les documents demandés dans le procès-verbal de contrôle et dans la lettre de relance ainsi que d'apporter des réponses détaillées aux questions posées dans ces documents, sous astreinte de 50 euros par jour de retard à l'issue d'un délai d'un mois suivant la notification de cette décision. La société LHA Développement demande l'annulation de cette décision.
2. En premier lieu, il résulte de l'instruction que la CNIL a informé le procureur de la République préalablement à l'intervention du contrôle mené sur place dans l'établissement de la société requérante, conformément aux dispositions de l'article 25 du décret du 29 mai 2019 pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Le moyen selon lequel la décision attaquée serait intervenue au terme d'une procédure irrégulière manque ainsi en fait.
3. En deuxième lieu, la décision attaquée de la CNIL mentionne à la fois les éléments conduisant au constat du manquement à l'obligation de coopération et précise que les pièces produites par la société requérante à la suite de la notification du rapport de sanction sont demeurées insuffisantes pour permettre d'apprécier la conformité du système de vidéosurveillance au règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données, dit RGPD. Il s'ensuit que le moyen tiré du caractère insuffisamment motivé de la sanction doit être écarté.
4. En troisième lieu, d'une part, en vertu des dispositions du a) et du e) du paragraphe 1 de l'article 58 du RGPD, la CNIL peut, au titre de ses pouvoirs d'enquête, " ordonner au responsable du traitement et au sous-traitant, et, le cas échéant, au représentant du responsable du traitement ou du sous-traitant, de lui communiquer toute information dont elle a besoin pour l'accomplissement de ses missions " et " obtenir du responsable du traitement et du sous-traitant l'accès à toutes les données à caractère personnel et à toutes les informations nécessaires à l'accomplissement de ses missions ". De même, les dispositions du III de l'article 19 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés prévoient que: " Pour l'exercice des missions relevant de la Commission nationale de l'informatique et des libertés en application du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, les membres et agents mentionnés au premier alinéa du I du présent article peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles et nécessaires à l'accomplissement de leur mission. Ils peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. Le secret ne peut leur être opposé sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou, sous réserve du deuxième alinéa du présent III, par le secret médical ". D'autre part, aux termes de l'article 31 du RGPD : " Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions ". De même, selon l'article 18 de la loi du 6 janvier 1978 : " Les (...) dirigeants d'entreprises publiques ou privées, (...) et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la Commission nationale de l'informatique et des libertés ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche ". Il résulte de l'ensemble de ces dispositions que les dirigeants d'entreprises privées et les responsables de traitement ont l'obligation de coopérer avec la CNIL. A ce titre, et sous réserve des secrets mentionnés au III de l'article 19 de la loi du 6 janvier 1978, ils doivent en particulier répondre avec diligence, dans les délais fixés par la CNIL et dont ils sont susceptibles de solliciter la prolongation, aux demandes de communication de toute information ou document que la Commission leur adresse, pour l'accomplissement de sa mission, en vertu de ses pouvoirs d'enquête.
5. Il ressort de l'instruction qu'au cours du contrôle du 21 juin 2022, auquel la responsable des lieux ne s'est pas opposée, les agents de la délégation de la CNIL ont pu échanger par téléphone avec le gérant, lequel a ainsi été informé de l'objet des vérifications et répondu à certaines de leurs questions. En revanche, ce dernier a ensuite donné pour instruction à la responsable des lieux de ne pas signer le procès-verbal de contrôle et n'a pas donné suite aux différents appels et messages téléphoniques qui lui ont été adressés par les agents de la délégation avant de quitter les locaux. Par la suite, la société n'a pas répondu aux demandes de communication, dans un délai de huit jours, d'informations et de documents formulées dans le procès-verbal de contrôle, qui lui a été notifié par lettre recommandée avec accusé de réception du 24 juin 2022. Elle n'a pas davantage répondu à la lettre de relance du 25 juillet 2022. Par lettre recommandée avec accusé de réception du 2 décembre 2022, la CNIL a notifié à la société requérante un rapport proposant de prononcer une amende administrative à son encontre ainsi qu'une injonction sous astreinte de communiquer les informations demandées dans le procès-verbal et dans la lettre de relance, restés sans réponse. Ce n'est que par une lettre du 22 décembre 2022 que l'avocat de la société requérante a produit des observations et communiqué une partie seulement des informations et documents demandés. Il s'ensuit que dès lors que la société n'a pas communiqué à la CNIL les documents et renseignements demandés sur le système de vidéo-surveillance mis en place dans ses locaux commerciaux, privant ainsi la Commission des moyens nécessaires à la vérification de la conformité de ce dernier aux règles du RGPD, la requérante n'est pas fondée à soutenir que la CNIL aurait entaché sa décision d'erreur de fait et d'erreur d'appréciation en retenant un manquement à l'obligation de coopération prévue par l'article 31 du RGPD, cité au point 4.
6. En dernier lieu, en vertu du 7° du III de l'article 20 de la loi du 6 janvier 1978, auquel renvoie l'article 22-1 de la même loi, pour prononcer une amende administrative à l'encontre d'un responsable de traitement qui ne respecte pas les obligations résultant du RGPD, le président de la formation restreinte de la CNIL prend en compte les critères précisés à l'article 83 de ce règlement, qui prévoit que les amendes administratives imposées par les autorités de contrôle nationales doivent, dans chaque cas, être " effectives, proportionnées et dissuasives ". Pour fixer le montant de l'amende, qui ne peut excéder 20 000 euros dans le cadre de la mise en œuvre de l'article 22-1 de la loi du 6 janvier 1978, doivent, notamment, être pris en considération : " a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ; / b) le fait que la violation a été commise délibérément ou par négligence ; / c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ; / d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ; / e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; / f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ; / g) les catégories de données à caractère personnel concernées par la violation ; / h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; / i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ; / j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et / k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation ".
7. Il résulte de l'instruction que pour fixer à 10 000 euros le montant de l'amende administrative infligée à la société requérante, le président de la formation restreinte de la CNIL a pris en considération le défaut de coopération de la société requérante tel qu'il ressort des éléments de fait exposés au point 5 de la présente décision tout en tenant compte de la circonstance qu'une lettre de mise en garde du 13 septembre 2021 n'avait pas été adressée au siège social de la société requérante. Eu égard au caractère particulièrement prolongé de l'absence de coopération de la société, de son caractère délibéré et de ce qu'elle a fait obstacle à la vérification par les services de la CNIL de la conformité au RGPD du système de vidéosurveillance mis en place au sein du commerce exploité par cette société, le président de la formation restreinte de la CNIL ne lui a pas infligé une amende disproportionnée en retenant un montant de 10 000 euros.
8. Il résulte de tout ce qui précède que la société requérante n'est pas fondée à demander l'annulation de la décision qu'elle attaque. Sa requête doit donc être rejetée, y compris ses conclusions au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de la société LHA Développement est rejetée.
Article 2 : La présente décision sera notifiée à la société LHA Développement et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 17 janvier 2024 où siégeaient : M. Rémy Schwartz, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, Mme Rozen Noguellou, M. Nicolas Polge, M. Vincent Daumas, M. Didier Ribes, conseillers d'Etat et M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire-rapporteur.
Rendu le 30 janvier 2024.
Le président :
Signé : M. Rémy Schwartz
Le rapporteur :
Signé : M. Emmanuel Weicheldinger
La secrétaire :
Signé : Mme Chloé-Claudia Sediang
