Le Conseil d’État a rendu, le 27 janvier 2025, une décision précisant les modalités de saisine de l’autorité de contrôle en matière de données personnelles. Une requérante a contesté le traitement de ses données de santé par des praticiens ayant réalisé une expertise à la demande de son assureur. Elle a déposé deux plaintes devant l’autorité compétente afin d’obtenir l’effacement de ces informations médicales litigieuses et l’arrêt de leur utilisation. Par des décisions du 24 octobre 2023, l’administration a clos ces plaintes au motif qu’aucune demande préalable n’avait été adressée aux responsables concernés. L’autorité a également estimé qu’elle n’était pas habilitée à contrôler la pertinence des preuves communiquées dans le cadre d’un débat judiciaire. La requérante demande l’annulation de ces actes, soutenant que l’administration aurait dû l’inviter à régulariser ses plaintes auprès des médecins experts. Le litige soulève la question de la recevabilité d’une plainte directe devant le régulateur et des limites de son contrôle sur l’administration judiciaire. La confirmation de l’obligation de saisine préalable précède l’affirmation de l’incompétence de l’administration pour apprécier la pertinence des éléments de preuve judiciaire.
I. La subordination de la saisine du régulateur à une demande préalable
A. Le caractère impératif de la démarche auprès du responsable du traitement Le Conseil d’État rappelle que l’exercice des droits garantis par le règlement (UE) 2016/679 impose de solliciter préalablement le responsable du traitement des données concernées. Le texte prévoit que la « personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant ». Cette règle découle de la loi du 6 janvier 1978 qui encadre les droits d’accès, de rectification et d’effacement des informations personnelles. En l’absence de preuve d’une telle saisine, l’autorité de contrôle peut légalement prononcer la clôture de la plainte sans instruction complémentaire.
B. L’irrecevabilité d’une plainte directe dépourvue d’objet juridique La requérante prétendait que l’administration devait l’inviter à compléter ses demandes au lieu de clore prématurément l’instruction de ses plaintes déposées directement. Toutefois, les juges considèrent que le défaut de saisine préalable ne constitue pas un simple vice de procédure susceptible d’une procédure de régularisation. Cette omission a pour conséquence de priver les plaintes de leur objet même, rendant inopérants les mécanismes prévus par le code des relations publiques. La décision confirme ainsi que le régulateur n’a pas à se substituer aux personnes dans l’exercice de leurs droits fondamentaux auprès des responsables.
II. Le refus d’ingérence du régulateur dans l’administration de la preuve judiciaire
A. La légitimité du traitement des données pour la défense des droits Le règlement européen prévoit des exceptions au droit à l’effacement, notamment lorsque le traitement est nécessaire à la défense de droits en justice. Le droit à l’effacement est écarté « dans la mesure où le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice ». Cette dérogation permet l’utilisation de données de santé sans que l’intéressé puisse s’y opposer pour des raisons tenant à sa seule situation particulière. Cette solution préserve l’équilibre entre la protection de la vie privée et le droit fondamental à un recours juridictionnel effectif pour chaque partie.
B. L’incompétence de l’autorité de contrôle sur la loyauté des débats L’autorité a considéré qu’elle n’est pas habilitée à apprécier la pertinence des informations médicales communiquées à titre de preuves dans un cadre judiciaire. Le Conseil d’État confirme qu’il « ne lui appartenait pas d’apprécier la pertinence des informations médicales communiquées à titre de preuve dans le cadre de débats judiciaires ». Le juge doit en effet faire respecter la loyauté dans l’administration des preuves et le bon déroulement des débats devant sa propre juridiction. Cette décision renforce la séparation des pouvoirs en limitant l’intervention administrative aux seuls traitements de données détachables de la conduite du procès.
