Le Conseil d’État a rendu, le 28 novembre 2025, une décision précisant les conditions de régularité procédurale et de responsabilité en matière de protection des données personnelles. La société requérante contestait une sanction de la Commission nationale de l’informatique et des libertés prononcée suite au non-respect persistant du droit à l’effacement d’un particulier. Le litige portait sur la validité d’une signification par commissaire de justice et sur l’imputabilité de manquements résultant d’une simple négligence technique de l’entreprise.
Une société a fait l’objet de deux réclamations auprès de l’autorité de contrôle après avoir ignoré les demandes de suppression de données d’un plaignant. L’autorité administrative a prononcé une amende de 15 000 euros ainsi qu’une injonction sous astreinte le 26 septembre 2024 selon la procédure simplifiée. La personne morale a alors saisi la juridiction administrative suprême d’un recours en annulation en invoquant une irrégularité de la procédure contradictoire et son absence d’intention. Le juge doit déterminer si la validité d’une sanction administrative dépend de la réception effective des actes régulièrement signifiés et si la négligence caractérise le manquement.
Le Conseil d’État rejette la requête en confirmant la régularité de la signification et la proportionnalité de l’amende au regard de la passivité du responsable de traitement. L’analyse portera d’abord sur la régularité de la procédure de sanction avant d’envisager la caractérisation des manquements par la négligence du responsable de traitement.
I. La régularité de la procédure de sanction et l’effectivité de la mise en demeure
A. La validité de la signification par commissaire de justice
La société requérante soutenait ne pas avoir reçu le rapport de sanction ni l’avis de passage malgré l’intervention d’un commissaire de justice au siège. Le juge administratif rappelle que la signification est régulièrement accomplie dès lors que l’officier ministériel a respecté les formalités prescrites par le code de procédure civile. Le Conseil d’État souligne que « la société s’étant abstenue de donner suite et la signification ayant été régulièrement accomplie », le moyen tiré de l’irrégularité doit être écarté.
La preuve de la notification repose sur les mentions de l’acte authentique qui font foi jusqu’à inscription de faux conformément aux principes du droit processuel. Le destinataire ne saurait se prévaloir de sa propre carence à retirer un pli dûment avisé pour paralyser l’exercice du pouvoir de sanction administrative. Cette solution garantit l’efficacité des procédures de contrôle tout en préservant les droits de la défense par l’existence d’un formalisme rigoureux et protecteur.
B. L’absence d’obligation de mentionner la procédure contradictoire dans la décision
Le requérant critiquait également le silence de la décision attaquée quant à la mise en œuvre effective de la phase contradictoire durant l’instruction du dossier. La haute juridiction administrative précise qu’aucun texte ni aucun principe n’impose que la décision de sanction comporte explicitement les informations relatives à cette procédure préalable. Les juges considèrent que l’absence de mention de ces étapes ne saurait entacher la décision d’un vice de forme ou d’une méconnaissance des droits fondamentaux.
La décision administrative n’a pas vocation à retracer l’intégralité du déroulement de l’instruction mais doit seulement motiver les raisons de droit et de fait. Le respect du contradictoire s’apprécie au regard des pièces du dossier et non de la seule rédaction de l’acte sanctionnant le manquement du professionnel. Cette rigueur procédurale permet d’assurer la célérité de la répression administrative tout en maintenant un contrôle juridictionnel effectif sur la réalité des échanges intervenus.
II. La consécration de la négligence comme fondement de la responsabilité du responsable de traitement
A. L’indifférence de l’élément intentionnel face aux manquements caractérisés
Pour justifier son absence de réponse, la société invoquait un mauvais paramétrage informatique ayant dirigé les courriels de l’autorité de contrôle vers les courriers indésirables. Le Conseil d’État écarte cet argument en relevant que le responsable du traitement a fait preuve d’une « négligence prolongée » tout au long de la procédure. Le manquement aux obligations de coopération et d’effacement est constitué dès lors que la passivité de l’entreprise entrave l’exercice des droits des personnes concernées.
Le droit des données personnelles n’exige pas la démonstration d’une volonté délibérée de violer la loi pour que la responsabilité du professionnel soit valablement engagée. Une défaillance organisationnelle ou technique constitue une faute imputable au responsable qui doit assurer la disponibilité et la réactivité de ses canaux de communication officiels. La protection des citoyens impose une vigilance constante des acteurs économiques qui ne peuvent s’exonérer par l’invocation de simples dysfonctionnements internes ou matériels.
B. La proportionnalité d’une sanction dissuasive face à une absence de coopération
Le montant de l’amende administrative doit être effectif, proportionné et dissuasif en tenant compte de la gravité et de la durée de la violation constatée. Le juge note que la sanction de 15 000 euros ne dépasse pas le plafond applicable et n’excède pas les capacités contributives de la société requérante. La décision précise que les manquements « ont empêché la CNIL d’assumer sa mission », justifiant ainsi la sévérité de la réponse graduée de l’autorité.
La coopération avec l’autorité de contrôle constitue une obligation essentielle pour garantir l’application concrète du règlement européen sur la protection des données à caractère personnel. Le rétablissement tardif de la légalité par l’effacement des données après le prononcé de la sanction ne saurait effacer la persistance initiale du comportement fautif. Le Conseil d’État valide ainsi une politique répressive ferme visant à contraindre les responsables de traitement à une transparence totale envers les autorités de régulation.
