Par une décision en date du 31 décembre 2024, le Conseil d’État a précisé l’étendue de son contrôle sur la décision par laquelle la Commission nationale de l’informatique et des libertés choisit de clore une plainte après avoir obtenu la mise en conformité du responsable de traitement. Cette clarification intervient dans un contexte de renforcement des droits des personnes concernées par les traitements de données personnelles.
En l’espèce, un particulier avait saisi l’autorité de contrôle d’une plainte dirigée contre un établissement bancaire. Il lui était reproché de collecter les identifiants et mots de passe permettant d’accéder à l’espace personnel sur le site de l’administration fiscale dans le cadre de l’octroi de prêts. Après instruction, l’autorité de contrôle a constaté des manquements au règlement général sur la protection des données, notamment aux obligations de protection des données dès la conception et par défaut. Elle a alors adressé une mise en demeure à l’organisme en cause de cesser le traitement litigieux.
L’établissement bancaire s’est conformé à cette injonction dans un bref délai. En conséquence, la Commission a notifié au plaignant la clôture de sa plainte, tout en l’informant de la violation constatée et de sa cessation. Le plaignant a alors formé un recours pour excès de pouvoir devant le Conseil d’État, demandant l’annulation de cette décision de clôture. Il estimait que l’autorité de contrôle aurait dû engager une procédure de sanction.
Le problème de droit soulevé était donc de savoir si le juge administratif exerce un contrôle normal ou restreint sur l’opportunité pour la Commission de ne pas saisir sa formation restreinte en vue du prononcé d’une sanction, alors même qu’un manquement aux règles de protection des données a été établi et corrigé.
Le Conseil d’État rejette la requête, considérant que l’autorité de contrôle dispose d’un « large pouvoir d’appréciation » pour décider des suites à donner à une plainte. Le juge de l’excès de pouvoir ne peut censurer une telle décision de clôture qu’en cas d’illégalité externe, d’erreur de fait ou de droit, de détournement de pouvoir ou d’« erreur manifeste d’appréciation ». En l’occurrence, le juge a estimé qu’aucune erreur manifeste n’avait été commise.
Cette décision confirme la latitude dont dispose l’autorité de contrôle dans sa mission de régulation (I), tout en définissant précisément les limites du contrôle juridictionnel exercé sur ses choix d’opportunité (II).
***
La solution retenue par le Conseil d’État s’appuie sur une lecture combinée des textes régissant les pouvoirs de la Commission nationale de l’informatique et des libertés, qui lui confèrent une palette d’actions graduées (A) et impliquent, en contrepartie, une limitation du contrôle opéré par le juge sur ses choix (B).
La décision rappelle utilement le cadre juridique dans lequel s’inscrit l’action de l’autorité de contrôle. En vertu de la loi du 6 janvier 1978, la Commission a pour mission de veiller au respect des dispositions relatives à la protection des données personnelles. À ce titre, elle « traite les réclamations, pétitions et plaintes », examine les faits et informe le plaignant « de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable ». Pour ce faire, elle dispose d’une série de pouvoirs correcteurs, allant du simple avertissement au prononcé de sanctions pécuniaires par sa formation restreinte.
L’arrêt met en lumière l’articulation entre les pouvoirs du président de la Commission et ceux de sa formation répressive. Le président peut adresser des avertissements, des rappels à l’ordre et surtout des mises en demeure visant à obtenir une mise en conformité du traitement. Ce n’est que s’il l’estime opportun, « le cas échéant après avoir mis en œuvre » ces premières mesures, qu’il peut saisir la formation restreinte. Cette rédaction suggère une progressivité et une faculté de choix, non une obligation de poursuivre systématiquement vers la sanction dès lors qu’un manquement est avéré. Le Conseil d’État en déduit que l’autorité dispose d’une marge d’appréciation pour adapter sa réponse à la gravité des faits et à l’ensemble des intérêts en présence.
Cette latitude accordée à l’administration dans l’exercice de sa mission de régulation a pour corollaire un contrôle juridictionnel spécifique. Le Conseil d’État admet la recevabilité du recours pour excès de pouvoir contre le refus du président de saisir la formation restreinte, y compris lorsque des manquements ont été constatés. Cette ouverture du prétoire garantit un droit au recours effectif pour le plaignant qui s’estime lésé par une clôture qu’il juge trop clémente.
Cependant, le juge se garde de substituer sa propre appréciation à celle de la Commission. L’arrêt énonce clairement la nature du contrôle exercé : il ne s’agit pas d’un contrôle normal, qui permettrait au juge de vérifier si la décision était la plus opportune, mais bien d’un contrôle restreint. Le juge ne sanctionnera la décision de clôture qu’en cas d’« erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir ». En l’espèce, c’est bien à l’aune de ce contrôle de l’erreur manifeste que la décision est examinée. La Haute juridiction vérifie si, au regard des éléments du dossier, la décision de clore la plainte sans sanction était grossièrement erronée, ce qu’elle écarte en se fondant sur la prompte réaction de l’organisme mis en cause et l’absence de préjudice démontré.
***
En validant l’approche pragmatique de la Commission, la décision du Conseil d’État conforte une vision de la régulation qui privilégie la mise en conformité rapide (A), tout en encadrant les attentes des plaignants quant à la portée de leur démarche (B).
La valeur principale de cet arrêt réside dans sa reconnaissance du rôle de régulateur de l’autorité de contrôle, dont la finalité première n’est pas uniquement de punir, mais d’assurer le respect effectif du droit des données. En jugeant que la Commission n’a pas commis d’erreur manifeste, le Conseil d’État valide implicitement les critères retenus par cette dernière pour classer l’affaire. Il relève ainsi « le bref délai écoulé entre la mise en demeure de se mettre en conformité et la cessation du manquement », ainsi que « l’absence de préjudice établi pour les personnes concernées ».
Cette approche permet à la Commission de gérer le flux important de plaintes en concentrant ses moyens répressifs sur les violations les plus graves, celles qui présentent un risque élevé pour les droits et libertés des personnes ou qui témoignent d’une volonté délibérée de l’organisme de ne pas respecter la loi. Elle favorise une résolution rapide et efficace des manquements, ce qui est souvent l’objectif principal du plaignant : faire cesser une pratique qu’il juge illicite. Une procédure de sanction, plus longue et plus lourde, n’aurait pas nécessairement abouti plus rapidement à la fin du traitement des données de connexion fiscale.
Si la décision conforte les pouvoirs de la Commission, elle vient également préciser la portée des droits du plaignant dans la procédure. Le Conseil d’État écarte sèchement les autres moyens soulevés par le requérant. Il juge ainsi que le délai de traitement de la plainte, même s’il peut paraître long, « est sans incidence sur la légalité de la décision attaquée ». De même, la circonstance que l’autorité n’a pas communiqué spontanément au plaignant l’intégralité de ses échanges avec le responsable de traitement ne constitue pas un vice de procédure de nature à entraîner l’annulation de la décision de clôture.
Cette position, tout en pouvant paraître frustrante pour le plaignant, est cohérente avec la nature de la procédure devant la Commission, qui n’est pas une instance juridictionnelle contradictoire entre le plaignant et le mis en cause. Le plaignant est un lanceur d’alerte qui déclenche l’action de l’autorité, mais il n’est pas partie à la procédure d’enquête qui s’ensuit. Son droit se limite à être informé de l’issue de sa réclamation. La décision du 31 décembre 2024 confirme ainsi que l’essentiel de la garantie qui lui est due réside dans la possibilité de contester la décision de clôture devant le juge, même si ce contrôle juridictionnel demeure, quant au fond, limité à l’erreur manifeste.
