Par une décision du 26 décembre 2025, le Conseil d’État précise les modalités de traitement des plaintes relatives aux transferts transfrontaliers de données personnelles vers l’étranger.
Un requérant a saisi la Commission nationale de l’informatique et des libertés le 1er novembre 2022 pour dénoncer des flux de données vers les États-Unis. Il critiquait notamment l’usage d’un réseau de distribution de contenus et l’absence d’information claire des visiteurs sur ces transferts opérés par un journal en ligne. L’autorité de contrôle a informé l’intéressé de la prise en charge de sa demande avant de garder le silence pendant une période supérieure à trois mois. Le requérant a alors formé un recours contre le rejet implicite de sa plainte, puis un second contre la décision explicite de clôture intervenue ultérieurement. La question centrale porte sur l’étendue du pouvoir d’appréciation de la Commission lorsqu’elle décide de clore une plainte après avoir simplement rappelé ses obligations au responsable. Le Conseil d’État examine d’abord le sort de la décision implicite de rejet avant d’analyser la légalité de la clôture définitive du dossier de réclamation.
I. La gestion procédurale de la réclamation et l’effacement du rejet implicite
A. La substitution de la décision explicite au refus né du silence Le silence gardé pendant trois mois par la Commission sur une réclamation vaut normalement décision de rejet en vertu des dispositions réglementaires nationales en vigueur. Toutefois, la décision explicite de clôture intervenue le 18 mars 2024 prive d’objet les conclusions dirigées contre le rejet initialement né du mutisme de l’administration. La haute juridiction administrative souligne que « la CNIL a poursuivi l’instruction de sa plainte au-delà du délai » pour finalement rendre une décision expresse de clôture. Par conséquent, il n’y a plus lieu de statuer sur la requête introduite contre le refus implicite puisque ce dernier a disparu de l’ordonnancement juridique.
B. L’indifférence des délais de traitement sur la régularité de la décision Le requérant invoquait le caractère excessif du délai d’instruction et le défaut d’information sur l’état d’avancement de son dossier pour contester la légalité de l’acte. Les juges du Palais-Royal écartent fermement ce moyen en affirmant que de telles circonstances sont « sans incidence sur la légalité de la décision » administrative attaquée. Cette solution confirme que les éventuels manquements procéduraux commis durant la phase d’instruction n’altèrent pas la validité intrinsèque de la décision finale de l’autorité. L’examen de la régularité se concentre exclusivement sur les motifs de fond ayant conduit à l’arrêt des investigations ou à la clôture de la procédure contentieuse.
II. L’étendue du pouvoir d’appréciation de la Commission en matière de transferts
A. La consécration d’une marge de manœuvre étendue dans le suivi des plaintes La Commission nationale de l’informatique et des libertés dispose d’un « large pouvoir d’appréciation » pour définir les suites concrètes à donner aux réclamations des personnes concernées. Elle peut ainsi moduler son action en fonction de la gravité des manquements allégués, du sérieux des indices présentés et du contexte général de l’espèce. Le juge administratif limite alors son contrôle au respect de la loi, à l’absence d’erreur manifeste d’appréciation ou à l’inexistence d’un détournement de pouvoir. Cette liberté d’action permet à l’autorité de régulation de prioriser ses interventions selon les impératifs de protection des droits fondamentaux et de l’intérêt général.
B. La validation du contrôle restreint sur les mesures de mise en conformité L’autorité a choisi de rappeler la société exploitant le site à ses obligations concernant l’évaluation de la légalité des flux vers les pays tiers à l’Union. Elle a exigé une vérification rigoureuse au regard de la décision d’adéquation du 10 juillet 2023 pour assurer une protection des données substantiellement équivalente au droit européen. Le Conseil d’État estime que cette intervention mesurée n’est entachée d’aucune erreur manifeste d’appréciation au regard des griefs formulés initialement par l’auteur de la plainte. La décision de clôture est donc validée sans qu’il soit nécessaire de solliciter une question préjudicielle sur la validité de la décision d’adéquation de la Commission européenne.
