Vu la procédure suivante :
Par une requête et un mémoire en réplique, enregistrés les 11 septembre 2023 et 8 juillet 2024 au secrétariat du contentieux du Conseil d'Etat, M. B... D..., désormais dénommé M. B... C..., demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 25 août 2023 par laquelle la présidente de la Commission nationale de l'informatique et des libertés (CNIL) a procédé à la clôture de l'instruction de sa plainte dirigée contre le refus du préfet de police de lui communiquer la copie de toutes les données personnelles le concernant contenues dans l'ensemble des fichiers informatisés ou manuels gérés par la préfecture de police ;
2°) d'enjoindre à la CNIL de reprendre l'instruction de sa plainte.
Vu les autres pièces du dossier ;
Vu :
- la Charte des droits fondamentaux de l'Union européenne ;
- le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Sophie Delaporte, conseillère d'Etat,
- les conclusions de M. Frédéric Puigserver, rapporteur public ;
Vu la note en délibéré, enregistrée le 5 décembre 2024, présentée par M. C....
Considérant ce qui suit :
1. M. B... D..., qui se dénomme désormais M. B... C..., a demandé au préfet de police, sur le fondement des dispositions de l'article 15 du règlement (UE) du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE, dit RGPD, la communication des données à caractère personnel le concernant figurant dans le traitement AGRIPPA (application du répertoire informatisé des propriétaires et possesseurs d'armes) et le traitement SIA (système d'information sur les armes), ainsi que de " toute donnée figurant dans les fichiers informatisés ou manuels " gérés par la préfecture de police. Après lui avoir communiqué les informations le concernant relatives à ces deux fichiers ainsi qu'au traitement de données personnelles dénommé " Enquêtes administratives liées à la sécurité publique " (EASP), la préfecture de Police lui a indiqué être dans l'impossibilité de traiter le surplus de sa demande eu égard au nombre très important de traitements qu'elle met en œuvre. La Commission nationale de l'informatique et des libertés (CNIL), par un message du 25 août 2023, a informé l'intéressé qu'elle procédait à la clôture de sa plainte dirigée contre la préfecture de police. Ce dernier demande l'annulation pour excès de pouvoir de cette décision en tant qu'elle prononce une telle clôture pour la partie de sa demande relative aux données le concernant figurant " dans les autres fichiers informatisés ou manuels " gérés par la préfecture de police.
2. D'une part, l'article 8 de la Charte des droits fondamentaux de l'Union européenne dispose que : " 1. Toute personne a droit à la protection des données à caractère personnel la concernant. / 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi. Toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la rectification. /3. Le respect de ces règles est soumis au contrôle d'une autorité indépendante ".
3. D'autre part, aux termes de l'article 15 du RGPD: " La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel (...) ".
4. Enfin, aux termes de l'article 49 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " Le droit d'accès de la personne concernée s'exerce dans les conditions prévues à l'article 15 du règlement (UE) 2016/679 du 27 avril 2016. / En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. / Le même premier alinéa ne s'applique pas : / Lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée et à la protection des données des personnes concernées, pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement de statistiques ou de réalisation de recherches scientifiques ou historiques ; / À l'information selon laquelle des données à caractère personnel ont été transmises en application du premier alinéa de l'article L. 863-2 du code de la sécurité intérieure ". L'article 107 de la même loi dispose que : " I. - Les droits de la personne physique concernée peuvent faire l'objet de restrictions selon les modalités prévues au II du présent article dès lors et aussi longtemps qu'une telle restriction constitue une mesure nécessaire et proportionnée dans une société démocratique en tenant compte des droits fondamentaux et des intérêts légitimes de la personne pour : / Eviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ; / Eviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ; / Protéger la sécurité publique ; / Protéger la sécurité nationale ; / Protéger les droits et libertés d'autrui. / Ces restrictions sont prévues par l'acte instaurant le traitement. / II. - Lorsque les conditions prévues au I sont remplies, le responsable de traitement peut : / Retarder ou limiter la communication à la personne concernée des informations mentionnées au II de l'article 104 ou ne pas communiquer ces informations ; / Refuser ou limiter le droit d'accès de la personne concernée prévu à l'article 105 ; / Ne pas informer la personne du refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement de ces données, ni des motifs de cette décision, par dérogation au IV de l'article 106. / III. - Dans les cas mentionnés au 2° du II du présent article, le responsable de traitement informe la personne concernée, dans les meilleurs délais, de tout refus ou de toute limitation d'accès ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au I. Le responsable de traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision et met ces informations à la disposition de la Commission nationale de l'informatique et des libertés. / IV. - En cas de restriction des droits de la personne concernée intervenue en application des II ou III, le responsable de traitement informe la personne concernée de la possibilité, prévue à l'article 108, d'exercer ses droits par l'intermédiaire de la Commission nationale de l'informatique et des libertés. Hors le cas prévu au 1° du II, il l'informe également de la possibilité de former un recours juridictionnel ".
5. Il n'est pas contesté, en premier lieu, ainsi que la CNIL l'a précisé en défense pour expliquer sa décision de clôture de la plainte, que la préfecture de police est responsable d'un nombre important de traitements et divers en raison des régimes juridiques différents auxquels ils répondent ou de leurs caractéristiques propres et dont certains peuvent comporter une grande quantité de données à caractère personnel. Il résulte, en second lieu, d'une part, des dispositions du RGPD, telles qu'elles sont en particulier commentées notamment par les § 62 et 63 du préambule de ce règlement ou par les lignes directrices du Comité européen de la protection des données personnelles, que des restrictions à l'accès peuvent être prononcées lorsqu'en particulier, les demandes sont présentées de manière non précise compte tenu de la quantité de données personnelles traitées par un fichier et, d'autre part, des dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés citées au point 4, que d'autres restrictions peuvent être apportées à ce droit d'accès compte tenu notamment des caractéristiques des données en cause. Par suite, en invitant le requérant à préciser sa demande et, en l'état de sa plainte, en prononçant la clôture de celle-ci, la CNIL n'a commis ni erreur de droit, notamment au regard des dispositions de l'article 8 de la Charte des droits fondamentaux de l'Union européenne qui ne prohibent pas par elles-mêmes toute restriction ou de celles du RGPD invoquées sans autre précision par M. C..., ni erreur d'appréciation en estimant que le défaut de précision de celle-ci ne la mettait pas à même, dans les circonstances de l'espèce, d'exercer son contrôle du refus opposé par la préfecture de police au titre du droit d'accès de l'intéressé à un ensemble indéterminé de traitements. M. C... n'est, dès lors, pas fondé à demander l'annulation de la décision qu'il attaque.
D E C I D E :
--------------
Article 1er : La requête de M. C... est rejetée.
Article 2 : La présente décision sera notifiée à M. B... C... et à la Commission nationale de l'informatique et des libertés.
Copie en sera adressée au ministre de l'intérieur.
Délibéré à l'issue de la séance du 5 décembre 2024 où siégeaient : M. Olivier Yeznikian, conseiller d'Etat, présidant ; Mme Rozen Noguellou, conseillère d'Etat et Mme Sophie Delaporte, conseillère d'Etat-rapporteure.
Rendu le 31 décembre 2024.
Le président :
Signé : M. Olivier Yeznikian
La rapporteure :
Signé : Mme Sophie Delaporte
La secrétaire :
Signé : Mme Marie-Léandre Monnerville
