Conseil d'État — Décision N° 498524

Vu la procédure suivante :

Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés le 19 octobre 2024 et les 11 février et 29 mai 2025 au secrétariat du contentieux du Conseil d’Etat, M. C... B... demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 3 septembre 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de sa plainte contre M. Cédric Estevez, avocat de son épouse, pour l’utilisation de données à caractère personnel concernant sa santé dans le cadre d’une procédure l’opposant à celle-ci devant le juge judiciaire ;

2°) d’enjoindre à la CNIL d’exercer sa mission de contrôle concernant les conditions dans lesquelles M. A... conserve et utilise ces mêmes données.


Vu les autres pièces du dossier ;

Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27avril 2016 ;
- le code pénal ;
- le code de procédure civile ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-536 du 29 mai 2019 ;
- l’arrêté du 7 avril 2009 relatif à la communication par voie électronique devant les tribunaux judiciaires ;
- le code de justice administrative ;


Après avoir entendu en séance publique :

- le rapport de M. Thomas Odinot, maître des requêtes,


- les conclusions de Mme Leila Derouich, rapporteure publique ;




Considérant ce qui suit :

1. En juillet 2024, M. B... a demandé à l’avocat de son épouse de supprimer des données à caractère personnel relatives à sa santé, que cet auxiliaire de justice avait diffusées sans son accord dans le cadre de procédures judiciaires et qui figuraient dans le traitement que le conseil de son épouse mettait en œuvre. A la suite du refus opposé à cette demande, M. B... a saisi, le 20 août 2024, la Commission nationale de l’informatique et des libertés qui, par une décision du 3 septembre 2024 dont il demande l’annulation pour excès de pouvoir, a décidé de procéder à la clôture de la plainte.

2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. A cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.

3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. Contrairement à ce qui est soutenu, et compte tenu de ce qui a été dit au point 2, il n’appartient pas à la CNIL, dans le cadre de l’exercice de ses pouvoirs de contrôle, de vérifier que le responsable de traitement en litige veille au respect des dispositions des articles 748-1, 748-2 et 748-6 du code de procédure civile relatives à la communication électronique devant les juridictions judiciaires et de celles de l’arrêté du 7 avril 2009 qui a le même objet. Il ne lui appartient pas davantage de mettre en œuvre les dispositions du code pénal qui répriment les infractions à la protection des données à caractère personnel. Par suite, M. B... ne peut utilement se prévaloir de la méconnaissance de ces dispositions en reprochant à la CNIL de n’avoir pas exercé la mission qui lui incombe en vertu de l’article 8 de la loi du 6 janvier 1978.

5. En deuxième lieu, en vertu de son article 2, le RGPD s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. Il s’ensuit que la CNIL ne s’est pas méprise sur la portée de la réclamation dont elle était saisie en n’opérant pas de distinction, comme M. B... l’y invitait, entre le traitement de ses données à caractère personnel relatives à ses données de santé contenues dans un fichier informatique et ces mêmes données traitées sous une forme non automatisée.

6. En troisième lieu, il résulte des dispositions combinées des articles 9, 17 et 21 du RGPD que les données à caractère personnel concernant la santé peuvent faire l’objet d’un traitement, sans que puissent y faire obstacle une demande d’effacement ni une demande d’opposition au traitement, lorsque ce traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

7. Il ressort des pièces du dossier que l’avocat de l’épouse du requérant a produit des documents portant sur des données à caractère personnel relatives à des données de santé concernant M. B..., dans le cadre de procédures judiciaires. En estimant que ce traitement était nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice et qu’il ne lui appartenait pas d’apprécier la régularité d’éléments communiqués à titre de preuve par des parties dans le cadre de débats judiciaires, un tel contrôle relevant de la compétence du juge, conformément au code de procédure civile, au titre du respect du principe de loyauté dans l’administration de la preuve, la CNIL n’a pas, compte tenu des dispositions mentionnées au point précédent, commis d’erreur de droit. Elle n’a pas davantage entaché sa décision d’erreur d’appréciation, M. B... n’apportant aucun élément utile quant au risque que les données à caractère personnel en cause soient susceptibles d’une diffusion en dehors du cadre des procédures judiciaires.

8. Il résulte de tout ce qui précède que M. B... n’est pas fondé à demander l’annulation de la décision du 3 septembre 2024 de la CNIL. Sa requête doit, par suite, être rejetée.




D E C I D E :
--------------

Article 1er : La requête de M. B... est rejetée.

Article 2 : La présente décision sera notifiée à M. C... B..., à M. Cédric Estevez et à la Commission nationale de l’informatique et des libertés.
Délibéré à l'issue de la séance du 7 octobre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d'Etat et M. Thomas Odinot, maître des requêtes-rapporteur.

Rendu le 28 novembre 2025.

Le président :
Signé : M. Bertrand Dacosta


Le rapporteur :
Signé : M. Thomas Odinot

La secrétaire :
Signé : Mme Marie-Léandre Monnerville