Vu la procédure suivante :
Par une requête et un nouveau mémoire, enregistrés les 25 septembre et 15 décembre 2022 au secrétariat du contentieux du Conseil d'Etat, Mme D E demande au Conseil d'Etat d'annuler pour excès de pouvoir la décision du 2 août 2022 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte relative à la mise en place d'un dispositif de vidéosurveillance par son voisin, M. C.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Bruno Delsol, conseiller d'Etat,
- les conclusions de Mme Esther de Moustier, rapporteure publique ;
Considérant ce qui suit :
1. Selon le 2° du I de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la Commission nationale de l'informatique et des libertés (CNIL) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de cette loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France et, à ce titre, traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable.
2. En vertu des I et II de l'article 20 de la même loi, le président de la CNIL peut adresser au responsable d'un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit RGPD), ainsi que, lorsqu'un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales ou, si le manquement est susceptible de faire l'objet d'une mise en conformité, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, de mettre les opérations de traitement en conformité avec les dispositions applicables, de rectifier ou d'effacer des données à caractère personnel, d'en limiter le traitement ou, à l'exception des traitements intéressant la sûreté de l'Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel. Selon le III du même article, s'il estime qu'un manquement a été commis, le président de la CNIL peut également, le cas échéant après avoir mis en œuvre les mesures prévues aux I et II de cet article, saisir la formation restreinte de la commission en vue du prononcé des mesures correctrices, notamment l'injonction de mettre en conformité le traitement avec les obligations résultant du RGPD ou de la loi du 6 janvier 1978 ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, et des sanctions énumérées à ce III.
3. Il résulte de l'ensemble de ces dispositions qu'il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en œuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge.
4. L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi du 6 janvier 1978 et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues aux I et II de ce même article. Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d'illégalité externe ou, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif.
5. Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder. Le pouvoir d'appréciation de la CNIL s'exerce alors, eu égard à la nature du droit individuel en cause, sous l'entier contrôle du juge de l'excès de pouvoir.
6. Il ressort des pièces du dossier que Mme E a saisi la CNIL d'une plainte tendant à ce que celle-ci contrôle et sanctionne son voisin, M. C, en raison de l'installation au domicile de ce dernier d'un dispositif de vidéosurveillance portant, selon elle, atteinte à sa vie privée. La CNIL a procédé à l'instruction de la plainte de Mme E. Le 13 juillet 2022, sa présidente a adressé à M. C un courrier lui rappelant ses obligations en matière de vidéosurveillance, notamment en ce qui concerne le respect de la vie privée de ses voisins, lui précisant qu'il ne pouvait installer une caméra qui y porterait atteinte et qu'il devait, le cas échéant, modifier son dispositif de vidéosurveillance pour ne filmer que l'intérieur de sa propriété. Le 2 août 2022, la CNIL a informé la plaignante de cette démarche, l'a invitée à saisir les tribunaux ou les services de police sur le fondement des articles 226-1 du code pénal et 9 du code civil, dans l'hypothèse où les manquements allégués persisteraient et a clôturé sa plainte. Mme E demande l'annulation pour excès de pouvoir de cette décision.
7. La plainte de Mme E ne tendait pas à ce que le responsable de traitement mis en cause donne suite à l'exercice d'un droit individuel reconnu à celle-ci, en qualité de personne concernée, par la loi du 6 janvier 1978, mais à ce que la présidente de la CNIL le mette en demeure de mettre son traitement en conformité avec les obligations que la loi fait peser sur lui et au prononcé d'une sanction. Toutefois, la présidente de la CNIL s'étant bornée à adresser à M. C un avertissement, sans saisir la formation restreinte, Mme E est recevable à contester la décision clôturant sa plainte.
8. Dans les circonstances de l'espèce, eu égard à la nature et au degré de gravité du manquement allégué, aux incertitudes entourant sa commission et sa persistance et à l'ampleur des moyens qui devraient être employés pour procéder à un contrôle sur place de l'orientation des caméras installées au domicile de M. C, la CNIL n'a pas commis d'erreur manifeste d'appréciation en adressant un simple courrier d'avertissement à l'intéressé puis en clôturant la plainte dont elle était saisie.
9. Il résulte de ce qui précède que la requête de Mme E doit être rejetée.
D E C I D E :
--------------
Article 1er : La requête de Mme E est rejetée.
Article 2 : La présente décision sera notifiée à Mme D E et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 10 mars 2023 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; Mme Nathalie Escaut, M. Alexandre Lallet M. Nicolas Polge, M. Vincent Daumas, Mme Rozen Noguellou, conseillers d'Etat et M. Bruno Delsol, conseiller d'Etat-rapporteur
Rendu le 27 mars 2023.
Le président :
Signé : M. Jacques-Henri Stahl
Le rapporteur :
Signé : M. Bruno Delsol
La secrétaire :
Signé : Mme Claudine Ramalahanoharana