Conseil d'État, 10ème chambre, 30/09/2021, 448006, Inédit au recueil Lebon

Résumé de la décision

Arguments pertinents

2. Reprise de l'instruction par la CNIL : Le Conseil d’État a pris en compte la lettre de la CNIL du 23 mars 2021, dans laquelle elle a demandé des précisions à la CNP Assurances sur les faits contredits par M. et Mme A..., concluant que cette action rendait les conclusions des requérants sans objet : « la CNIL ayant ainsi repris l'instruction de la plainte… leurs conclusions… sont… devenues sans objet. »

3. Mesures insuffisantes ne justifient pas l'annulation : Concernant l'argument des requérants sur les insuffisances des mesures prises par la CNIL, le Conseil d’État a indiqué que cela ne préjuge pas des décisions futures de la CNIL et que jusqu'à la date de la décision, la CNIL n'avait pas renoncé à prendre des mesures : « la circonstance que la CNIL… ait demandé à la société CNP Assurances de s'expliquer ne préjuge pas des mesures qu'elle décidera de prendre. »

Interprétations et citations légales

2. Loi n° 78-17 du 6 janvier 1978 : La loi française relative à l'informatique, aux fichiers et aux libertés, est directement liée à la capacité de la CNIL d'agir en matière de protection des données. Le Conseil d’État souligne que la CNIL, en tant qu'autorité, a le pouvoir d'instruire des plaintes et d'imposer des mesures, mais que les plaintes doivent aboutir à une décision fondée sur un examen complet des éléments fournis : « … d'user des pouvoirs de mise en demeure et de sanction qu'elle tient de la loi du 6 janvier 1978… »

3. Code de justice administrative : Ce code régit les procédures de recours administratifs en France et encadre la compétence du juge administratif. Le Conseil d’État s'appuie sur ses dispositions pour justifier sa décision relative à la compétence et à l'absence d'objet de la requête.

Avec cette structure, l'analyse des faits, des arguments et des lois pertinentes est mise en lumière, permettant ainsi de mieux comprendre la portée et les implications de la décision du Conseil d’État.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) n° 2016/679 du Parlement européen et du conseil du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code des relations du public avec l'administration ;

- le code de justice administrative;

Après avoir entendu en séance publique :

- le rapport de M. Arno Klarsfeld, conseiller d'Etat,

- les conclusions de M. Laurent Domingo, rapporteur public ;

La parole ayant été donnée, après les conclusions, à la SCP Nicolaÿ, de Lanouvelle, Hannotin, avocat de la société CNP Assurances ;
Considérant ce qui suit :

1. Il ressort des pièces du dossier que, par une plainte déposée le 13 décembre 2019, M. et Mme A..., assurés auprès de la société CNP Assurances dans le cadre d'un prêt immobilier, ont demandé à la Commission nationale de l'informatique et des libertés (CNIL) de faire respecter par cette société les dispositions relatives aux données de santé du règlement du 27 avril 2016 dit règlement général sur la protection des données (RGPD) et d'obtenir qu'elle reprenne le remboursement, interrompu à la suite d'un contrôle médical, des échéances du prêt pour la part qui lui incombe. Ils demandent au Conseil d'Etat, d'une part, de constater les irrégularités de l'accusé de réception de la CNIL du 20 décembre 2019, d'autre part, d'annuler, pour excès de pouvoir, la décision implicite de refus d'instruction de cette plainte née du silence gardé par la CNIL à la suite de ce courrier.

2. En premier lieu, il n'entre pas dans l'office du juge administratif, saisi d'une requête au fond, de " constater l'irrégularité " d'une procédure administrative. Les conclusions présentées à cette fin ne peuvent, par suite, qu'être rejetées.

3. En second lieu, par une lettre du 23 mars 2021, postérieurement à l'enregistrement de la requête, la CNIL a demandé à la société CNP Assurances de lui faire part de ses observations sur les faits relatés par M. et Mme A... et de lui faire connaître les méthodes qu'elle emploie et les mesures qu'elle a prises. Par une lettre du même jour, elle a informé M. et Mme A... de cette démarche. La CNIL ayant ainsi repris l'instruction de la plainte de M. et Mme A..., leurs conclusions tendant à l'annulation de sa décision de ne pas y donner suite sont, ainsi que le soutiennent la CNIL et la société CNP Assurances, devenues sans objet à la date de la présente décision.

4. Les requérants soutiennent, il est vrai, que la requête conserverait un objet en tant qu'elle est dirigée contre le refus de la CNIL, d'une part d'adresser à la CNP des demandes d'information adéquates, nécessaires et proportionnées aux manquements allégués et, d'autre part, d'user des pouvoirs de mise en demeure et de sanction qu'elle tient de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés pour mettre effectivement fin aux manquements qu'ils dénoncent.

5. Toutefois, d'une part, si M. et Mme A... soutiennent que les mesures prises par la CNIL dans le cadre de l'instruction du dossier sont insuffisantes eu égard à l'étendue et à la gravité des anomalies qu'ils relèvent et aux conséquences qui en résultent pour eux, la circonstance que la CNIL, dans un premier temps, ait demandé à la société CNP Assurances de s'expliquer ne préjuge pas des mesures qu'elle décidera de prendre au vu de la réponse obtenue et, en tout état de cause, ne constitue qu'un acte préparatoire à la décision administrative qui interviendra ultérieurement. D'autre part, il ne ressort pas des pièces du dossier que la CNIL ait, à la date de la présente décision, décidé de ne pas prononcer de mise en demeure ou de sanction à l'encontre de la CNP. Il résulte de ce qui précède qu'il n'y pas lieu de statuer sur les conclusions d'annulation présentées par M. et Mme A....
D E C I D E :

--------------

Article 1er : Il n'y a pas lieu de statuer sur les conclusions de la requête de M. et Mme A... en tant qu'elles portent sur le refus de donner suite à leur plainte.

Article 2 : Le surplus des conclusions de la requête est rejeté.

Article 3 : La présente décision sera notifiée à M. B... A..., à la Commission nationale de l'informatique et des libertés et à la société CNP Assurances.