Vu la procédure suivante :
Par une ordonnance n° 2303174 du 25 août 2023, enregistrée le 28 août 2023 au secrétariat du contentieux du Conseil d'Etat, le président du tribunal administratif de Nîmes a transmis au Conseil d'Etat, en application de l'article R. 351-2 du code de justice administrative, la requête présentée à ce tribunal par M. A... C..., par laquelle celui-ci demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 19 juillet 2023 par laquelle la Commission nationale de l'informatique et des libertés a prononcé la clôture de sa plainte n° P44-24730 relative à l'exercice de son droit d'accès aux données à caractère personnel le concernant auprès de la commune de Castellet-en-Luberon (Vaucluse) ;
2°) d'enjoindre à la Commission nationale de l'informatique et des libertés de rouvrir cette plainte, de l'assister dans l'exercice de son droit d'accès aux données objet du litige et de prendre des sanctions à l'encontre de la commune de Castellet-en-Luberon, sous astreinte de 500 euros par jour de retard au-delà d'un délai de 3 jours francs à compter de la date de la décision à intervenir ;
3°) de mettre à la charge de l'Etat une somme de 500 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des relations entre le public et l'administration ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-536 du 29 mai 2019 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. David Moreau, maître des requêtes,
- les conclusions de Mme Esther de Moustier, rapporteure publique ;
Considérant ce qui suit :
1. M. C... demande l'annulation pour excès de pouvoir de la décision du 19 juillet 2023 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a prononcé la clôture de sa plainte n° P44-24730 relative à l'exercice auprès de la commune de Castellet-en-Luberon (Vaucluse) de son droit d'accès aux données à caractère personnel le concernant qu'elle détient.
2. Aux termes de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " I. La Commission nationale de l'informatique et des libertés (...) exerce les missions suivantes : / (...) / Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. / À ce titre : / (...) / d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable (...) ". En vertu des I et II de l'article 20 de la même loi, le président de la CNIL peut adresser au responsable d'un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit RGPD), ainsi que, lorsqu'un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales ou, si le manquement est susceptible de faire l'objet d'une mise en conformité, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, de mettre les opérations de traitement en conformité avec les dispositions applicables, de rectifier ou d'effacer des données à caractère personnel, d'en limiter le traitement ou, à l'exception des traitements intéressant la sûreté de l'Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel. Selon le III du même article, s'il estime qu'un manquement a été commis, le président de la CNIL peut également, le cas échéant après avoir mis en œuvre les mesures prévues aux I et II de cet article, saisir la formation restreinte de la commission en vue du prononcé des mesures correctrices, notamment l'injonction de mettre en conformité le traitement avec les obligations résultant du RGPD ou de la loi du 6 janvier 1978 ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, et des sanctions énumérées à ce III.
3. Il résulte de ces dispositions qu'il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en œuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge.
4. L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la Commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues aux I et II de ce même article. Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d'illégalité externe ou, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif.
5. Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder. Le pouvoir d'appréciation de la CNIL s'exerce alors, eu égard à la nature du droit individuel en cause, sous l'entier contrôle du juge de l'excès de pouvoir.
Sur la motivation de la décision :
6. Le refus de la CNIL de donner suite à une plainte fondée sur la méconnaissance du droit d'accès qu'une personne concernée tient des dispositions de l'article 15 du RGPD est au nombre des décisions administratives individuelles défavorables qui refusent un avantage dont l'attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l'obtenir, au sens et pour l'application du 6° de l'article L. 211-2 du code des relations entre le public et l'administration, et qui doivent, à ce titre, être motivées.
7. La décision de la CNIL de clore la plainte de M. C... comporte l'énoncé des considérations de fait et de droit qui en constituent le fondement. En particulier, en réponse aux critiques adressées par le requérant, elle repose sur le fait que la commune ne traite aucune donnée personnelle le concernant et que les dispositions de l'article 77 du décret du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, permettent au responsable de traitement de demander à la personne souhaitant exercer son droit d'accès de prouver son identité. M. C... n'est donc pas fondé à soutenir que cette décision serait entachée d'insuffisance de motivation.
Sur le respect du droit d'accès du requérant aux données à caractère personnel le concernant :
8. D'une part, contrairement aux allégations de M. C..., il ne ressort pas des pièces du dossier que la commune de Castellet-en-Luberon aurait perdu ou égaré les données à caractère personnel le concernant après qu'il l'a saisie de demandes d'informations par l'intermédiaire d'une plateforme électronique ou d'un courriel envoyé sur l'adresse fonctionnelle de la mairie, ni qu'elle aurait exigé sans nécessité qu'il justifie de son identité. D'autre part, il ressort des pièces du dossier que la CNIL, après avoir rappelé les obligations qui incombent à la commune en matière de protection des données à caractère personnel, a constaté que celle-ci affirmait de manière vraisemblable ne pas détenir de telles données se rapportant à M. C.... Enfin, en se bornant à faire valoir de manière générale que la CNIL dispose de moyens et prérogatives lui permettant de faire respecter son droit à la protection des données personnelles, M. C... n'apporte pas d'éléments de nature à établir que la CNIL aurait méconnu les obligations qui lui incombent, rappelées au point 2, en procédant à la clôture de sa plainte n° P44-24730 relative à l'exercice de son droit d'accès aux données à caractère personnel le concernant auprès de la commune de Castellet-en-Luberon.
9. Il résulte de tout ce qui précède que la requête de M. C... doit être rejetée, y compris ses conclusions présentées au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de M. C... est rejetée.
Article 2 : La présente décision sera notifiée à M. A... C... et à la Commission nationale de l'informatique et des libertés.
Copie en sera adressée à la commune de Castellet-en-Luberon.
Délibéré à l'issue de la séance du 21 mars 2024 où siégeaient : Mme Rozen Noguellou, conseillère d'Etat, présidant ; M. Olivier Yeznikian, conseiller d'Etat et M. David Moreau, maître des requêtes-rapporteur.
Rendu le 9 avril 2024.
La présidente :
Signé : Mme Rozen Noguellou
Le rapporteur :
Signé : M. David Moreau
La secrétaire :
Signé : Mme Chloé-Claudia Sediang
