Vu la procédure suivante :
Par une requête sommaire et un mémoire complémentaire, enregistrés les 20 avril et 20 juillet 2023 au secrétariat du contentieux du Conseil d'Etat, M. B... A... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a, le 23 février 2023, procédé à la clôture de sa plainte contre la société Banque Populaire Rives de Paris (BPRI) ;
2°) de mettre à la charge de la société Banque Populaire Rives de Paris la somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des relations entre le public et l'administration ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Lisa Gamgani, conseillère d'Etat,
- les conclusions de M. Laurent Domingo, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Capron, avocat de M. B... A... et à la SCP Boucard-Maman, avocat de la société Banque Populaire Rives de Paris (BPRI) ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier qu'à la suite d'un contentieux l'opposant à la société Banque Populaire Rives de Paris (BPRI), dont il a été pendant plusieurs années le client et un des sociétaires, M. A... a demandé, le 8 juillet 2016, à celle-ci de diligenter une enquête interne sur des agissements dont il estime avoir été victime de la part de certains des agents de la banque et de lui en communiquer les résultats et les suites sous deux mois. M. A... a saisi, les 5 et 6 août 2019, la Commission nationale de l'informatique et des libertés (CNIL), d'une plainte dénonçant les obstacles qu'il rencontrait dans l'accès à ses dossiers personnels détenus, selon lui, par la BPRI, ainsi qu'aux résultats de l'enquête interne qu'il avait réclamée en juillet 2016. A la suite d'interventions multiples de la CNIL, la banque a, tout d'abord, indiqué en 2019 qu'elle ne disposait pas de " dossier personnel " le concernant ou relatif à " une enquête interne ", puis, par une lettre du 17 février 2021, a communiqué à l'intéressé les données personnelles le concernant qu'elle détenait, et, enfin, par un nouveau courrier du 11 février 2022 adressé à la CNIL qui lui avait demandé des précisions sur la procédure d'enquête interne, a réaffirmé qu' " aucune enquête d'aucune sorte n'avait été réalisée par la banque ou diligentée concernant les collaborateurs cités par M. B... A... dans sa demande du 8 juillet 2016 ". Au terme de son instruction, la vice-présidente de la CNIL a, le 23 février 2023, décidé de prononcer à l'égard de la BPRI une " mesure de rappel aux obligations légales en matière de traitement des demandes d'exercice de droits " en application des dispositions du b du 2 de l'article 58 du règlement général sur la protection des données et du II de l'article 20 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et, compte tenu des résultats de l'instruction, de procéder à la clôture de la réclamation. M. A... demande l'annulation pour excès de pouvoir de cette décision.
2. Il résulte du 2° du I de l'article 8, des I, II et III de l'article 20 de la loi n° 78 -17 du 6 janvier 1978 qu'il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en œuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge. L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues au I et II de ce même article. Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d'illégalité externe ou, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif. Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder. Le pouvoir d'appréciation de la CNIL s'exerce alors, eu égard à la nature du droit individuel en cause, sous l'entier contrôle du juge de l'excès de pouvoir.
3. En premier lieu, contrairement à ce qui est soutenu, la décision du 23 février 2023, qui n'avait pas à répondre à l'ensemble des arguments présentés par M. A... et qui permet de comprendre les raisons pour lesquelles la vice-présidente de la CNIL a choisi de ne pas saisir la formation restreinte, est suffisamment motivée.
4. En deuxième lieu, il ne ressort pas des pièces du dossier, et notamment des éléments produits par l'intéressé, qu'en se fondant sur l'affirmation selon laquelle la BPRI ne détiendrait pas d'autres données à caractère personnel le concernant que celles qui lui avait déjà été fournies par celle-ci, la CNIL aurait retenu des faits matériellement erronés, ni qu'en s'abstenant de mettre en œuvre les pouvoirs d'investigation qu'elle détient pour vérifier la véracité des éléments fournis, elle aurait, ainsi qu'il est soutenu, entaché sa décision d'une erreur de droit.
5. En dernier lieu, il ne ressort pas davantage des pièces du dossier qu'en choisissant de prononcer à l'égard de la BPRI seulement une mesure de rappel aux obligations légales en matière de traitement des demandes, la vice-présidente de la CNIL aurait, dans le cadre du contrôle qui est confié au président de la CNIL, en matière notamment du respect du droit d'accès des intéressés aux données les concernant détenues par un responsable d'un traitement de données à caractère personnel, commis, ainsi qu'il est soutenu, une erreur de fait ou une erreur de droit, ni qu'en refusant de prononcer une mise en demeure, elle aurait commis une erreur d'appréciation, ni qu'enfin, en refusant de saisir la formation restreinte aux fins de sanction contre la BPRI, elle aurait commis une erreur manifeste d'appréciation.
6. Il résulte de tout ce qui précède que la requête de M. A... doit être rejetée, y compris ses conclusions présentées sur le fondement de l'article L. 761-1 du code de justice administrative.
7. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit aux conclusions présentées par la société Banque Populaire Rives de Paris au titre des dispositions de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de M. A... est rejetée.
Article 2 : Les conclusions de la société Banque Populaire Rives de Paris présentées au titre des dispositions de l'article L. 761-1 du code de justice administrative sont rejetées.
Article 3 : La présente décision sera notifiée à M. B... A..., à la société Banque Populaire Rives de Paris et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 7 mars 2024 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d'Etat et Mme Lisa Gamgani, conseillère d'Etat-rapporteure.
Rendu le 19 avril 2024.
Le président :
Signé : M. Bertrand Dacosta
La rapporteure :
Signé : Mme Lisa Gamgani
La secrétaire :
Signé : Mme Sylvie Leporcq
