Par une décision en date du 15 avril 2025, le Conseil d’État s’est prononcé sur la légalité d’une sanction pécuniaire infligée par la Commission nationale de l’informatique et des libertés à une association politique.
En l’espèce, une association à caractère politique a fait l’objet d’un contrôle de la part de la Commission nationale de l’informatique et des libertés concernant ses opérations de traitement de données à caractère personnel à des fins de prospection électorale. À l’issue de cette procédure, le président de la formation restreinte de la commission a prononcé une amende administrative de 20 000 euros à l’encontre de l’association pour des manquements aux obligations d’information et au droit à l’effacement prévus par le règlement général sur la protection des données. L’association a alors saisi le Conseil d’État d’un recours en annulation de cette décision, soulevant plusieurs arguments tenant tant à la régularité de la procédure qu’au bien-fondé de la sanction. Il était donc demandé au juge administratif suprême de déterminer si la sanction imposée par l’autorité de contrôle, au terme d’une procédure simplifiée, respectait les garanties procédurales et si elle était fondée en droit et proportionnée. Le Conseil d’État a rejeté la requête, validant ainsi intégralement la décision de la commission.
La haute juridiction a ainsi été amenée à confirmer la régularité de la procédure simplifiée mise en œuvre par l’autorité de contrôle (I), avant de consacrer le bien-fondé de la sanction pécuniaire contestée (II).
***
Le Conseil d’État a d’abord examiné les moyens tirés de l’irrégularité de la procédure suivie par la Commission nationale de l’informatique et des libertés. Il a ainsi confirmé la conformité de la procédure contradictoire (A) avant de valider le recours à la procédure simplifiée (B).
L’association requérante soutenait que la procédure était entachée d’irrégularité, arguant d’une méconnaissance des droits de la défense et du principe du contradictoire. Elle reprochait notamment à l’autorité administrative d’avoir mentionné son représentant sous une qualité erronée lors de son audition. Le Conseil d’État écarte ce moyen en adoptant une approche pragmatique, fondée sur les faits du dossier. Il relève que le président de l’association avait été dûment informé de l’engagement du contrôle et de la possibilité de se faire représenter, ce qui fut fait. Le juge administratif considère que « la circonstance que [le représentant] serait mentionné, dans le procès-verbal de l’audition (…), en la qualité erronée de président de l’association de financement (…), est sans incidence sur la régularité de la procédure ». De plus, la juridiction note que l’association a pu présenter des observations écrites sur le rapport qui lui avait été notifié, sans pour autant solliciter la tenue d’une audition. La haute juridiction considère donc que les garanties fondamentales d’une procédure contradictoire ont été pleinement assurées, l’erreur purement matérielle invoquée n’ayant eu aucune conséquence sur la capacité de l’association à faire valoir ses arguments.
L’association contestait également le choix même de la procédure simplifiée, estimant que la décision de sanction n’était pas suffisamment motivée sur ce point. Le Conseil d’État rejette cette argumentation en deux temps. D’une part, il juge le moyen inopérant en affirmant « qu’il ne résulte pas des dispositions de la loi du 6 janvier 1978 (…) que le président de la formation restreinte de la CNIL, dans le cadre de la procédure simplifiée, soit tenu de justifier dans sa décision les motifs retenus par le président de la CNIL pour engager les poursuites selon cette procédure ». La décision de sanction n’a donc pas à motiver la décision d’engagement des poursuites. D’autre part, le juge effectue son propre contrôle sur le fond et constate « qu’il ne résulte ni de l’instruction, ni des énonciations de la décision attaquée que les manquements reprochés à l’association (…) présentaient une difficulté particulière ». Or, l’absence de difficulté particulière est l’une des conditions légales pour recourir à cette procédure. En validant ainsi le choix procédural de l’autorité de contrôle, le Conseil d’État confirme la marge d’appréciation dont dispose cette dernière pour déterminer la voie de poursuite la plus appropriée, sous la seule réserve d’un contrôle juridictionnel a posteriori.
Après avoir écarté les moyens de légalité externe, le Conseil d’État s’est attaché à contrôler les fondements mêmes de la sanction infligée. Il a ainsi confirmé sans équivoque la qualification de l’association en tant que responsable de traitement (A), puis a validé la motivation et le caractère proportionné de l’amende (B).
L’un des arguments centraux de la requérante consistait à nier sa qualité de responsable du traitement des données litigieuses. Le Conseil d’État balaie cette défense en se référant à la définition posée par l’article 4 du règlement général sur la protection des données. Il constate souverainement, au vu des pièces du dossier, que l’association « a effectivement collecté et traité les données personnelles de ses adhérents, sympathisants et donateurs » et qu’elle a mené des opérations de prospection électorale. De ces faits, il déduit logiquement qu’elle « a ainsi défini tant les finalités que les moyens du traitement de ces données ». Cette maîtrise factuelle des objectifs et des modalités du traitement suffit à la qualifier de responsable de traitement. En procédant à cette analyse concrète des activités de l’association, la haute juridiction rappelle que la responsabilité en matière de protection des données découle d’une situation de fait, et non d’une simple déclaration ou d’une qualification formelle que l’organisme pourrait contester. L’argument est donc rejeté comme manquant en fait et en droit.
Enfin, le Conseil d’État se penche sur le montant de la sanction et sa motivation. Il rappelle d’abord que le président de la formation restreinte n’est pas tenu de se prononcer sur l’ensemble des critères listés à l’article 83 du règlement européen, ni « d’indiquer les éléments chiffrés relatifs au mode de détermination du montant de la sanction infligée ». L’exigence de motivation est satisfaite dès lors que la décision énonce les considérations de droit et de fait qui la fondent. En l’espèce, le juge relève que la commission s’est fondée sur la nature, la gravité et la durée de la violation, le nombre de personnes concernées et le fait que les manquements faisaient obstacle à l’exercice de leurs droits. Le Conseil d’État estime que, face à des manquements qui « faisaient notamment obstacle à l’expression, par les personnes concernées, de leur consentement au traitement de leurs données ainsi qu’à l’exercice des droits qu’elles tiennent du RGPD », le prononcé de l’amende maximale de 20 000 euros prévue par la procédure simplifiée n’était pas disproportionné. Cette solution confirme la sévérité avec laquelle sont appréciées les atteintes aux droits fondamentaux des personnes, notamment le droit d’opposition et d’effacement, qui constituent des piliers du règlement européen.
