Vu la procédure suivante :
Par une requête enregistrée le 30 mai 2023 au secrétariat du contentieux du Conseil d'Etat, M. B... C... demande au Conseil d'État :
1°) d'annuler pour excès de pouvoir la décision par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a, le 25 mai 2023, prononcé la clôture de sa réclamation contre la société Societe.com relative à la suppression de données personnelles le concernant ;
2°) d'enjoindre à la CNIL de prendre toutes mesures propres à ce que soit mis en œuvre le droit à la suppression de données personnelles le concernant, accessibles en ligne sur le site societe.com.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire,
- les conclusions de Mme Esther de Moustier, rapporteure publique ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que, le 10 avril 2023, M. C... a adressé à la société Societe.com une demande d'effacement de données personnelles le concernant, accessibles en ligne. Le 17 mai 2023, M. C... a saisi la Commission nationale de l'informatique et des libertés (CNIL), d'une plainte en raison de l'absence de réponse de la société Societe.com à sa demande. Le 25 mai 2023, la CNIL a indiqué à M. C... qu'elle avait rappelé à la société ses obligations légales, notamment en lui demandant d'apporter une réponse à sa demande, qu'il aurait la possibilité de saisir à nouveau la CNIL, après l'écoulement d'un délai de six semaines, dans le cas où la société ne se serait pas mise en conformité avec ses obligations, et qu'elle avait donc pris une décision de clôture de sa plainte. M. C... demande l'annulation de cette décision.
2. En premier lieu, l'article 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (dit RGPD) dispose que : " 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais lorsque l'un des motifs suivants s'applique (...). ". L'article 51 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dispose que : " I. Le droit à l'effacement s'exerce dans les conditions prévues à l'article 17 du règlement (UE) 2016/679 du 27 avril 2016. / (...) En cas de non-exécution de l'effacement des données à caractère personnel ou en cas d'absence de réponse du responsable du traitement dans un délai d'un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l'informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation ".
3. En deuxième lieu, aux termes de l'article 8 de la loi du 6 janvier 1978 : " I.- La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. Elle est l'autorité de contrôle nationale au sens et pour l'application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes :/ (...) 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. A ce titre :/ (...) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête (...) ".
4. En troisième lieu, aux termes de l'article 20 de la même loi : " II.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l'objet d'une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu'il fixe : 1° De satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits ; 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; 3° A l'exception des traitements qui intéressent la sûreté de l'Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ; 4° De rectifier ou d'effacer des données à caractère personnel, ou de limiter le traitement de ces données. Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu'il a prises. Le président peut demander qu'il soit justifié de la mise en conformité dans un délai qu'il fixe. (...) ".
5. Il résulte des dispositions mentionnées aux points 3 et 4 qu'il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en œuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. Elle dispose, à cet effet, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge. L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus de la CNIL d'y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d'illégalité externe et, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, le pouvoir d'appréciation de la CNIL pour décider des suites à y donner s'exerce, eu égard à la nature du droit individuel en cause, sous l'entier contrôle du juge de l'excès de pouvoir.
6. Il ressort des pièces du dossier qu'ainsi qu'il a été dit au point 1, la CNIL, saisie de la plainte de M. C..., a décidé de rappeler la société Societe.com à ses obligations légales en lui demandant de se mettre en conformité avec celles-ci, tout en invitant M. C..., dans l'hypothèse où la société ne donnerait pas suite à cette demande dans un délai de six semaines, à saisir la CNIL d'une nouvelle réclamation. Elle n'a, ce faisant, dans les circonstances de l'espèce, pas entaché sa décision de clôture de plainte d'une erreur d'appréciation.
7. Il résulte de tout ce qui précède que le requérant n'est pas fondé à demander l'annulation de la décision qu'il attaque. Ses conclusions à fin d'injonction ne peuvent, par suite, qu'être rejetées.
D E C I D E :
--------------
Article 1er : La requête de M. C... est rejetée.
Article 2 : La présente décision sera notifiée à M. B... C....
Copie en sera adressée à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 11 janvier 2024 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d'Etat et M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire-rapporteur.
Rendu le 14 février 2024.
Le président :
Signé : M. Bertrand Dacosta
Le rapporteur :
Signé : M. Emmanuel Weicheldinger
La secrétaire :
Signé : Mme Sylvie Leporcq
