Le Conseil d’État, par une décision rendue le 1er décembre 2025, précise les contours du pouvoir de contrôle de l’autorité nationale de protection des données personnelles.
Dans cette affaire, trois salariés ont introduit des réclamations auprès de l’autorité compétente suite à une enquête interne menée par leur employeur. Ils contestaient le refus d’exercer leur droit d’opposition, le manque d’information sur le traitement de leurs données et l’impossibilité d’accéder à ces dernières. La présidente de l’autorité de contrôle a adressé à la personne morale un rappel à ses obligations légales le 19 juillet 2024. La société a alors saisi la haute juridiction administrative d’un recours pour excès de pouvoir contre cet acte de régulation.
La requérante soutenait principalement que le silence gardé par l’administration pendant trois mois sur les réclamations avait fait naître une décision créatrice de droits. Elle invoquait également la nécessité de l’enquête au titre d’une obligation légale de sécurité pour écarter le droit d’opposition des agents concernés. Le juge administratif devait déterminer si l’expiration du délai de réponse à une plainte figeait la situation juridique de l’organisme mis en cause. Il devait aussi qualifier le fondement juridique d’une enquête interne pour en déduire l’étendue des droits d’opposition et d’accès des personnes.
Le Conseil d’État rejette la requête en considérant que le silence de l’autorité ne crée aucun droit acquis au profit de l’entité visée par la réclamation. Il juge que le traitement des données lors d’une enquête interne relève de l’intérêt légitime de l’employeur et non d’une obligation légale.
I. L’affirmation du pouvoir de contrôle de l’autorité de protection des données
A. La persistance de la compétence administrative malgré le silence initial
La société requérante soutenait que le silence de trois mois de l’autorité de contrôle sur les réclamations constituait une décision implicite de rejet. Selon son analyse, cette décision de rejet aurait créé des droits à son profit, empêchant ainsi toute sanction ultérieure pour les mêmes faits. Le Conseil d’État écarte ce moyen en précisant la nature juridique du silence gardé par la commission nationale sur les plaintes des administrés.
Le juge affirme qu’une telle décision « n’est créatrice d’aucun droit au profit de la personne visée par la réclamation » malgré la possibilité d’un recours. Ce silence « ne fait pas obstacle à ce que la CNIL décide de poursuivre ou reprendre l’instruction de cette réclamation au-delà du délai ». L’autorité administrative conserve donc son pouvoir de régulation et de sanction même après l’expiration des délais de procédure interne prévus par les textes.
B. La qualification restrictive du fondement juridique du traitement
Le litige portait sur la base légale du traitement des données personnelles mis en œuvre dans le cadre d’une enquête interne à l’entreprise. La société prétendait agir en vertu d’une obligation légale liée à la protection de la santé et de la sécurité des travailleurs prévue par le code. Cette qualification est déterminante puisque l’existence d’une obligation légale au sens du droit européen permet de limiter le droit d’opposition des personnes concernées.
La haute juridiction estime que le traitement « ne saurait être regardé comme constituant une obligation légale » au sens du règlement européen sur la protection des données. L’employeur agit ici dans le cadre de ses intérêts légitimes, ce qui impose d’examiner chaque demande d’opposition et de motiver tout refus éventuel. La présidente de l’autorité de contrôle n’a donc pas méconnu les dispositions en vigueur en constatant un manquement de la société à ses devoirs.
II. L’étendue des garanties individuelles face aux nécessités de l’enquête interne
A. L’accès aux données personnelles indépendamment des motifs du demandeur
La société avait refusé aux salariés l’accès à leurs données personnelles en arguant de la finalité particulière de l’enquête interne en cours de réalisation. Le Conseil d’État rappelle que le droit d’accès s’impose au responsable du traitement indépendamment du but poursuivi par la personne qui en fait la demande. Cette solution s’inscrit dans la lignée de la jurisprudence de la Cour de justice de l’Union européenne citée par les juges du Palais-Royal.
L’obligation de fournir une copie des données « s’impose au responsable du traitement, même lorsque cette demande est motivée par un autre but » que la vérification. L’employeur doit donc faire droit à la demande de communication tout en procédant « à l’occultation des informations susceptibles de porter atteinte aux droits et libertés d’autrui ». La protection des tiers constitue la seule limite légitime à la transparence des données collectées par l’organisme lors de ses investigations.
B. L’intangibilité des délais européens de réponse aux demandes individuelles
Le dernier moyen de la requête concernait le dépassement du délai d’un mois imparti pour répondre aux demandes d’accès formulées par les salariés intéressés. La requérante invoquait les dispositions nationales d’exception liées à la crise sanitaire de l’année 2020 pour justifier la prolongation de ses délais de réponse. Le juge administratif rejette cet argument en soulignant la primauté des délais fixés par le règlement européen sur les mesures législatives nationales temporaires.
Les ordonnances nationales relatives à la prorogation des délais échus pendant l’urgence sanitaire « ne sauraient s’appliquer aux délais en cause » prévus par le droit européen. La rigueur des délais de réponse garantit l’effectivité des droits des personnes dont les données font l’objet d’un traitement informatique ou manuel. Le Conseil d’État confirme ainsi la validité du rappel aux obligations légales tout en rejetant l’ensemble des conclusions indemnitaires de la société.
