Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et deux mémoires en réplique, enregistrés les 16 mars, 16 juin et 9 octobre 2023 et le 25 janvier 2024 au secrétariat du contentieux du Conseil d'Etat, M. D... B..., rejoint par son fils E... B... qui s'approprie ses conclusions et ses moyens, demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir les décisions par lesquelles la Commission nationale de l'informatique et des libertés (CNIL) a, les 25 janvier 2022 et 12 janvier 2023, procédé à la clôture de sa réclamation contre l'Ecole alsacienne ;
2°) d'enjoindre à la CNIL de procéder au contrôle de la réalité de l'effacement par l'Ecole alsacienne des données personnelles concernant son fils E... B... et les parents de celui-ci et d'ordonner, dans l'hypothèse où certaines de ces données n'auraient pas été effacées, qu'elles lui soient communiquées par cet établissement ;
3°) de mettre à la charge de l'Ecole alsacienne la somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des relations entre le public et l'administration ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Sophie Delaporte, conseillère d'Etat,
- les conclusions de Mme Esther de Moustier, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SCP Fabiani, Luc-Thaler, Pinatel, avocat de MM. B... et à la SCP Gouz-Fitoussi, avocat de l'Ecole alsacienne ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que M. E... B... a été scolarisé à l'Ecole alsacienne, établissement privé d'enseignement sous contrat d'association avec l'Etat, à partir de son entrée en classe de 6ème, à la rentrée 2016. Il a fait l'objet d'une mesure d'exclusion définitive à compter du 1er février 2020. M. B... et Mme C... ont, le 10 mai 2021, saisi la Commission nationale de l'informatique et des libertés (CNIL) d'une réclamation relative aux données à caractère personnel les concernant ainsi que leur fils. Après instruction, la CNIL a clos cette réclamation le 25 janvier 2022. Les parents de E... B... ayant adressé à la présidente de la CNIL un recours gracieux contre cette décision le 27 mars 2022, l'instruction a été rouverte. A la suite d'échanges complémentaires avec le délégué à la protection des données de l'Ecole alsacienne, la CNIL a estimé établi, d'une part, qu'en réponse à leur demande initiale de juillet 2020, l'Ecole alsacienne n'avait pas communiqué aux plaignants l'ensemble des données personnelles concernant leur fils et eux-mêmes, d'autre part, que ces données avaient par la suite été détruites par l'école. Le 12 janvier 2023, la présidente de la CNIL a adressé à M. B... et Mme C... une lettre les informant d'une part, qu'elle avait rappelé l'Ecole alsacienne à ses obligations légales pour les raisons qui précèdent et l'avait invitée à rectifier sa charte relative à la protection des données, ce à quoi l'école s'était engagée, et, d'autre part, qu'elle procédait à la clôture de leur réclamation. M. B..., auquel s'est joint E... B..., a formé un recours pour excès de pouvoir contre les décisions des 25 janvier 2022 et 12 janvier 2023 de la CNIL.
Sur les conclusions dirigées contre la décision de clôture du 25 janvier 2022 :
2. La décision du 12 janvier 2023 par laquelle la présidente de la CNIL a, après réouverture de l'instruction de la plainte introduite par M. B... et Mme C..., décidé de clore celle-ci doit être regardée comme ayant retiré la décision du 25 janvier 2022 ayant prononcé une première clôture de la plainte. Cette décision du 12 janvier 2023 n'ayant pas fait l'objet d'une demande d'annulation contentieuse en tant qu'elle procédait à ce retrait, ce dernier doit être regardé comme définitif. Les conclusions dirigées contre la décision du 25 janvier 2022 sont donc dépourvues d'objet et, par suite, irrecevables, de même, par voie de conséquence, que l'intervention de Mme C... dans cette mesure.
Sur les conclusions dirigées contre la décision de clôture du 12 janvier 2023 :
En ce qui concerne l'intervention de Mme C... :
3. Mme C... justifie d'un intérêt suffisant à l'annulation de cette décision. Par suite, son intervention est recevable dans cette mesure.
En ce qui concerne la légalité de la décision attaquée :
4. Aux termes de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " I. La Commission nationale de l'informatique et des libertés (...) exerce les missions suivantes : / (...) / Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. / À ce titre : / (...) / d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable (...) ; / (...) / f) Elle donne avis sans délai au procureur de la République, dans les conditions prévues à l'article 40 du code de procédure pénale, lorsqu'elle acquiert connaissance d'un crime ou d'un délit, et peut présenter des observations dans les procédures pénales, dans les conditions prévues à l'article 41 de la présente loi / g) Elle peut, par décision particulière, charger un ou plusieurs de ses membres ou le secrétaire général, dans les conditions prévues à l'article 19 de la présente loi, de procéder ou de faire procéder par les agents de ses services à des vérifications portant sur tous traitements et, le cas échéant, d'obtenir des copies de tous documents ou supports d'information utiles à ses missions / (...) ". Le III de l'article 19 dispose : " Pour l'exercice des missions relevant de la Commission nationale de l'informatique et des libertés en application du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, les membres et agents mentionnés au premier alinéa du I du présent article peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles et nécessaires à l'accomplissement de leur mission. Ils peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. (...) ".
5. En vertu des I et II de l'article 20 de la même loi, le président de la CNIL peut adresser au responsable d'un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit RGPD), ainsi que, lorsqu'un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales ou, si le manquement est susceptible de faire l'objet d'une mise en conformité, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, de mettre les opérations de traitement en conformité avec les dispositions applicables, de rectifier ou d'effacer des données à caractère personnel, d'en limiter le traitement ou, à l'exception des traitements intéressant la sûreté de l'Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel. Selon le III du même article, s'il estime qu'un manquement a été commis, le président de la CNIL peut également, le cas échéant après avoir mis en œuvre les mesures prévues aux I et II de cet article, saisir la formation restreinte de la commission en vue du prononcé des mesures correctrices, notamment l'injonction de mettre en conformité le traitement avec les obligations résultant du RGPD ou de la loi du 6 janvier 1978 ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, et des sanctions énumérées à ce III.
6. Il résulte des dispositions mentionnées aux points 4 et 5 qu'il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en œuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge. L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la Commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues aux I et II de ce même article. Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d'illégalité externe ou, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif. Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder. Le pouvoir d'appréciation de la CNIL s'exerce alors, eu égard à la nature du droit individuel en cause, sous l'entier contrôle du juge de l'excès de pouvoir.
7. En premier lieu, ni les dispositions de l'article L. 121-1 du code des relations entre le public et l'administration, qui prévoit la mise en œuvre d'une procédure contradictoire préalable à certaines décisions " exception faite des cas où il est statué sur une demande ", ni aucun autre texte ou principe n'impose, à l'égard de l'auteur d'une plainte adressée à la CNIL, le respect d'une procédure contradictoire préalablement à la décision de cette commission de la clore. Par suite, le moyen tiré de ce que la décision litigieuse est irrégulière en l'absence de mise en œuvre d'une telle procédure à l'égard de M. B... et de Mme C... ne peut qu'être écarté.
8. En deuxième lieu, à la suite de la réclamation formulée par M. B... et Mme C... le 10 mai 2021, puis de leur recours gracieux contre la première décision de clôture de celle-ci, la CNIL est intervenue à plusieurs reprises auprès de l'Ecole alsacienne. Si elle a constaté, dans le cadre de ses échanges avec le délégué à la protection des données de l'établissement, que certaines données à caractère personnel réclamées ne figuraient pas dans les 82 documents transmis à M. B... à la suite de la demande qu'il a introduite auprès de l'établissement au cours des vacances scolaires de l'été 2020, raison pour laquelle sa présidente a rappelé l'école à ses obligations légales, il ne ressort pas des pièces du dossier que les données litigieuses, dont la durée de conservation était déjà expirée lorsque M. B... a saisi la Commission, n'auraient pas été détruites, comme l'a indiqué l'Ecole alsacienne. Enfin, la CNIL a relevé que si une vérification interne conduite par le délégué à la protection des données de l'Ecole alsacienne a révélé des lacunes dans le processus d'effacement, cette vérification a également conduit à la destruction des pièces retrouvées à cette occasion. Dans ces conditions, eu égard aux faits en cause ainsi qu'à l'ensemble des diligences qu'elle a accomplies et aux mesures qu'elle a prises, la CNIL, qui a suffisamment motivé sa décision en ce qui concerne le droit d'accès aux données à caractère personnel garanti par l'article 15 du RGPD, n'a pas commis d'erreur d'appréciation en décidant de clore la plainte dont elle était saisie sur ce point, sans faire usage de ses pouvoirs de contrôle sur place.
9. En troisième lieu, d'une part, il résulte du 6° de l'article L. 211-2 du code des relations entre le public et l'administration que les personnes physiques ou morales ont le droit d'être informées sans délai des motifs des décisions administratives individuelles défavorables qui les concernent et qui refusent un avantage dont l'attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l'obtenir.
10. D'autre part, les articles 13 et 14 du RGPD, auxquels renvoie l'article 48 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, fixe la liste des informations que le responsable de traitement doit fournir à la personne concernée lorsque des données à caractère personnel la concernant sont collectées, respectivement, auprès d'elle ou auprès d'un tiers. Si ces dispositions instaurent des obligations à la charge du responsable de traitement, qui conditionnent l'exercice effectif des droits individuels d'accès, de rectification, d'effacement, de limitation et d'opposition garantis à la personne concernée, elles ne créent pas elles-mêmes de tels droits individuels. Par suite, eu égard au large pouvoir d'appréciation dont dispose la CNIL, ainsi qu'il a été dit au point 6, pour décider des suites à donner à une plainte ou une réclamation portant sur la méconnaissance des obligations en cause, sa décision de ne pas y donner suite ne saurait être regardée comme le refus d'un avantage dont l'attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l'obtenir, et n'est donc pas soumise à une obligation de motivation en application du 6° de l'article L. 211-2 du code des relations entre le public et l'administration.
11. Il résulte de ce qui vient d'être dit qu'il ne peut être utilement reproché à la CNIL de ne pas avoir motivé sa décision de clore la plainte dont elle était saisie s'agissant de la méconnaissance alléguée des articles 13 et 14 du RGPD.
12. En quatrième et dernier lieu, aux termes de l'article 40 du code de procédure pénale : " (...) Toute autorité constituée, tout officier public ou fonctionnaire qui, dans l'exercice de ses fonctions, acquiert la connaissance d'un crime ou d'un délit est tenu d'en donner avis sans délai au procureur de la République et de transmettre à ce magistrat tous les renseignements, procès-verbaux et actes qui y sont relatifs ". Il résulte du f) de l'article 8 de la loi du 6 janvier 1978 cité au point 4 qu'il appartient à la CNIL d'aviser le procureur de la République des faits dont elle a connaissance dans l'exercice de ses attributions, si ces faits lui paraissent suffisamment établis et si elle estime qu'ils portent une atteinte suffisamment caractérisée aux dispositions dont elle a pour mission d'assurer l'application.
13. Le refus de la CNIL de saisir le procureur de la République à la demande de l'auteur d'une plainte ou d'une réclamation n'est pas au nombre des décisions administratives individuelles défavorables qui refusent un avantage dont l'attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l'obtenir, au sens et pour l'application du 6° de l'article L. 211-2 du code des relations entre le public et l'administration. Ni ces dispositions, ni aucun autre texte ou principe, n'exige la motivation d'une telle décision. Le moyen tiré de l'irrégularité de la décision litigieuse en l'absence de motivation sur ce point ne peut donc qu'être écarté.
14. Il résulte de tout ce qui précède que les conclusions de la requête dirigées contre la décision du 12 janvier 2023 de la présidente de la CNIL doivent être rejetées, sans qu'il soit besoin de se prononcer sur les fins de non-recevoir soulevées par la CNIL.
15. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce qu'il soit fait droit aux conclusions de MM. B... tendant à ce qu'une somme soit mise à ce titre à la charge de l'Ecole alsacienne qui n'est pas, dans la présente instance, la partie perdante, ainsi qu'aux conclusions présentées au même titre par Mme C..., laquelle, en outre, intervenant en demande, n'est pas partie à la présente instance. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit aux conclusions présentées par l'Ecole alsacienne à ce même titre.
D E C I D E :
--------------
Article 1er : L'intervention de Mme C... est admise en tant seulement qu'elle vient au soutien des conclusions de MM. B... tendant à l'annulation de la décision de la CNIL du 12 janvier 2023.
Article 2 : La requête de MM. B... est rejetée.
Article 3 : Les conclusions de l'Ecole alsacienne et de Mme C... présentées au titre des dispositions de l'article L. 761-1 du code de justice administrative sont rejetées.
Article 4 : La présente décision sera notifiée à M. D... B..., à M. E... B..., à Mme F... C..., à l'Ecole alsacienne et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 29 janvier 2024 où siégeaient : M. Rémy Schwartz, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; Mme Isabelle Lemesle, M. Olivier Yeznikian, Mme Rozen Noguellou, M. Nicolas Polge M. Didier Ribes, conseillers d'Etat et Mme Sophie Delaporte, conseillère d'Etat-rapporteure.
Rendu le 9 février 2024
Le président :
Signé : M. Rémy Schwartz
La rapporteure :
Signé : Mme Sophie Delaporte
La secrétaire :
Signé : Mme Claudine Ramalahanoharana
