Résumé de la décision
Mme A... B... a demandé l'annulation de la décision prise par la CNIL le 24 septembre 2020, qui a clos une plainte déposée pour elle par son père concernant le traitement de ses données personnelles par la société Geleau, gestionnaire de son bail immobilier. La décision de la CNIL était fondée sur le constat qu'aucune analyse d'impact préalable n'était nécessaire, puisque le traitement des données n'engendrait pas de risque élevé pour les droits et libertés des personnes concernées. Le Conseil d'État a rejeté sa requête, confirmant la décision de la CNIL.
Arguments pertinents
Les principaux arguments développés dans la décision comprennent :
1. Obligation d'analyse d'impact : Selon le règlement (UE) 2016/679, une analyse d'impact est requise lorsqu'il existe un risque élevé pour les droits et libertés des personnes physiques en raison du traitement de données à caractère personnel. La CNIL a considéré que le traitement des données par Geleau ne relevait pas de cette obligation.
> "Lorsqu'un tel traitement [...] est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques."
2. Évaluation du risque : Les analyses du Conseil d'État soulignent que les informations fournies ne démontraient pas un risque élevé lié au traitement des données dans le contexte spécifique de la gestion des baux immobiliers.
> "Il ne ressort pas des pièces du dossier que le traitement des données [...] serait de nature à engendrer un risque élevé."
3. Inadéquation de la requête : Le Conseil d'État a conclu que Mme B... n’avait pas de fondement pour contester la clôture de la plainte, puisque cela reposait sur une mauvaise interprétation des exigences réglementaires.
> "La requérante n'est, en tout état de cause, pas fondée à soutenir que la CNIL a méconnu ces dispositions."
Interprétations et citations légales
Dans la décision, le Conseil d'État a fait référence aux textes suivants, en soulignant leur importance dans le cadre du traitement des données personnelles :
- Règlement général sur la protection des données - Article 35 : Cet article établit les conditions sous lesquelles une analyse d'impact est requise. Il précise que cette obligation s'applique particulièrement lorsque le traitement, en raison de son ampleur, de son caractère innovant ou d'autres facteurs, pourrait avoir des implications sérieuses pour les droits et libertés des personnes concernées.
- Loi Informatique et Libertés - Article 1 : Bien que cet article n'ait pas été mentionné directement dans l'argumentation, il définit les principes fondamentaux de la protection des données en France, lesquels sont en général en conformité avec le RGPD.
La décision souligne que l'absence de risque élevé observée dans le traitement des données par Geleau justifie la conclusion de la CNIL, ce que Mme B... n’a pas réussi à réfuter.
En résumé, la décision démontre un équilibre délicat entre la protection des données personnelles et la reconnaissance que certains traitements peuvent ne pas nécessiter une analyse d'impact préalable en raison du faible degré de risque pour les personnes concernées.