Par une décision du 25 juin 2025, le Conseil d’État a été amené à se prononcer sur l’étendue de son contrôle juridictionnel exercé sur les décisions de la Commission nationale de l’informatique et des libertés de clore une plainte. En l’espèce, un particulier avait sollicité d’une société hôtelière la communication d’une copie de l’ensemble des données personnelles le concernant. Face à l’absence de réponse de la société, l’intéressé a saisi la Commission nationale de l’informatique et des libertés d’une plainte le 19 octobre 2023. Après instruction, la commission a informé le plaignant de la clôture de sa plainte par une décision du 25 octobre 2024, au motif que la société mise en cause avait déclaré n’avoir conservé aucune donnée le concernant, notamment les enregistrements de vidéosurveillance qui étaient effacés dans un délai de quinze jours. Le requérant a alors formé un recours pour excès de pouvoir contre cette décision de clôture devant le Conseil d’État. Il soutenait que la commission avait commis une erreur d’appréciation et une erreur de droit en ne donnant pas suite à sa plainte. Se posait ainsi au juge administratif la question de l’intensité du contrôle qu’il exerce sur une décision de la Commission nationale de l’informatique et des libertés de classer une plainte relative à l’exercice du droit d’accès, lorsque le responsable de traitement oppose une impossibilité matérielle de communiquer les données. Le Conseil d’État rejette la requête, considérant que la commission n’a commis ni erreur d’appréciation ni erreur de droit. Il établit cependant une distinction fondamentale dans son contrôle : si l’appréciation de la commission sur l’opportunité des poursuites relève en principe d’un contrôle restreint, ce contrôle devient entier lorsque la plainte concerne la mise en œuvre d’un droit individuel garanti par la loi, tel le droit d’accès.
Cette décision permet ainsi de clarifier l’office du juge administratif dans le contentieux des décisions de la Commission nationale de l’informatique et des libertés, en consacrant un contrôle renforcé sur la protection des droits individuels (I), tout en reconnaissant les limites matérielles à l’exercice de ces droits (II).
Le Conseil d’État opère une distinction déterminante dans l’intensité de son contrôle sur les décisions de la Commission nationale de l’informatique et des libertés, en fonction de l’objet de la plainte. Il module ainsi son office pour assurer une protection effective des droits fondamentaux des personnes (A), tout en réaffirmant le pouvoir d’appréciation général de l’autorité administrative (B).
La haute juridiction administrative établit de manière explicite que la nature du droit en cause conditionne l’étendue du contrôle exercé par le juge de l’excès de pouvoir. Lorsque la plainte d’un particulier porte sur la méconnaissance par un responsable de traitement des droits que lui garantit la loi, le pouvoir d’appréciation de la commission s’exerce sous un contrôle approfondi. Le Conseil d’État précise en effet que dans une telle hypothèse, « le pouvoir d’appréciation de la CNIL s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir ». Cette solution marque une étape importante dans la protection des justiciables. En soumettant la décision de clore une plainte relative au droit d’accès, de rectification ou d’effacement à un contrôle normal, le juge s’autorise à vérifier non seulement l’absence d’erreur de droit ou de fait, mais aussi la pertinence de l’appréciation portée par la commission sur les suites à donner à la réclamation. Il ne se limite plus à sanctionner une erreur manifeste, mais examine si la décision de classement était, au vu des éléments du dossier, la réponse adéquate pour garantir le droit individuel invoqué.
En contrepoint de ce contrôle entier, la décision rappelle le principe selon lequel la Commission nationale de l’informatique et des libertés dispose, en règle générale, d’un large pouvoir d’appréciation pour décider des suites à donner à une plainte. Pour l’essentiel de ses missions, notamment lorsqu’il s’agit d’engager des procédures de sanction, l’autorité administrative peut tenir compte de la gravité des manquements, du contexte et de l’ensemble des intérêts généraux dont elle a la charge. Dans ce cadre, le contrôle du juge de l’excès de pouvoir demeure restreint à l’erreur de fait ou de droit, à l’erreur manifeste d’appréciation ou au détournement de pouvoir. Cette dualité de contrôle n’est pas inédite et s’inscrit dans une logique bien établie de la jurisprudence administrative, qui tend à adapter l’intensité du contrôle juridictionnel à la nature des prérogatives exercées par l’administration et à l’importance des libertés en jeu. La décision commentée offre une illustration claire de cette modulation, en distinguant nettement le traitement des manquements généraux aux obligations de protection des données, relevant d’une logique de police administrative, et la protection des droits individuels, qui relève de la garantie d’une liberté fondamentale.
Si le principe d’un contrôle renforcé est ainsi fermement posé, son application en l’espèce révèle une approche pragmatique qui prend en compte les contraintes factuelles pesant sur le responsable de traitement.
Malgré l’exercice d’un contrôle entier, le Conseil d’État valide en l’espèce la décision de la Commission nationale de l’informatique et des libertés, reconnaissant que le droit d’accès trouve une limite dans l’impossibilité matérielle de le satisfaire (A). Ce faisant, il délimite le périmètre des diligences attendues de l’autorité administrative dans le cadre de son instruction (B).
Le requérant reprochait à la commission d’avoir clôturé sa plainte sur la seule foi des déclarations de la société mise en cause. Le Conseil d’État, exerçant son contrôle normal, examine les faits et le raisonnement de l’autorité administrative. Il relève que la société avait informé la commission avoir répondu au plaignant qu’aucune de ses données n’avait été conservée, précisant que « les images de vidéosurveillance étaient effacées dans un délai de 15 jours ». La commission avait alors noté qu’un tel délai était courant et conforme à la réglementation qui impose un effacement sous un mois. Le Conseil d’État en conclut que la commission n’a pas commis d’erreur en jugeant que la société était « dans l’impossibilité matérielle de répondre favorablement à la demande ». Cette analyse démontre que le droit d’accès, bien que fondamental, n’est pas absolu. Il ne peut être exercé lorsque les données n’existent plus, surtout si leur suppression résulte de l’application de durées de conservation légales ou réglementaires. Le contrôle entier du juge n’a pas pour effet de créer une obligation impossible à la charge du responsable de traitement, mais de vérifier sérieusement la réalité de l’impossibilité alléguée.
La décision apporte également un éclairage sur l’étendue de la mission de la Commission nationale de l’informatique et des libertés lorsqu’elle instruit une plainte. Le requérant prétendait en effet que la commission aurait dû vérifier si son employeur avait respecté son droit à l’information au moment de son embauche. Le Conseil d’État écarte ce moyen en le jugeant « sans incidence sur la légalité de la décision », car l’objet de celle-ci était circonscrit à la réclamation de l’intéressé relative à l’exercice de son droit d’accès. Cette motivation confirme une approche pragmatique et finaliste de l’action de la commission. Saisie d’une plainte spécifique, elle n’est pas tenue d’élargir ses investigations à l’ensemble des obligations pesant sur le responsable de traitement. Son enquête doit demeurer proportionnée et focalisée sur l’objet de la demande dont elle est saisie. En validant cette approche, le Conseil d’État évite d’imposer à la commission une charge excessive qui pourrait nuire à l’efficacité de son action et à sa capacité de traiter l’ensemble des plaintes dans un délai raisonnable. La solution adoptée circonscrit ainsi l’office de la commission à la résolution du manquement précis qui lui est soumis.
