Texte intégral
Vu la procédure suivante :
Par une requête, un nouveau mémoire et un mémoire en réplique, enregistrés les 10 décembre 2024, 22 avril et 8 juillet 2025 au secrétariat du contentieux du Conseil d’Etat, la société Timework-it demande au Conseil d’Etat :
1°) d’annuler la décision n° SANPS-2024-042 du 26 septembre 2024 par laquelle un membre de la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) désigné par le président de cette formation lui a infligé une amende administrative d’un montant de 15 000 euros et lui a enjoint de répondre à la demande d’effacement présentée par M. C... B..., dans un délai d’un mois et sous astreinte de 50 euros par jour de retard ;
2°) subsidiairement, de remplacer l’amende par un rappel à l’ordre ou, à défaut, la réduire à un montant inférieur ou égal à 500 euros, et de supprimer l’injonction ;
3°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de procédure civile ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Thomas Odinot, maître des requêtes,
- les conclusions de Mme Leila Derouich, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à Me Galy Isabelle, avocate de la Société Timework-it ;
Considérant ce qui suit :
1. Il résulte de l’instruction que la Commission nationale de l’informatique et des libertés (CNIL) a été saisie de deux réclamations de M. B... lui signalant que, pour limiter les prospections dont il faisait l’objet, il avait demandé à la société Timework-it d’effacer ses données personnelles mais n’avait pas obtenu de réponse de cette dernière. La CNIL a rappelé la société à ses obligations puis l’a mise en demeure de répondre à la demande d’effacement. Le 26 septembre 2024, un membre de la formation restreinte de la CNIL, désigné par le président de cette formation, faisant application de la procédure simplifiée prévue par l’article 22-1 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, a infligé à la société Timework-it une amende administrative de 15 000 euros et lui a enjoint, sous astreinte, de répondre à la demande d’effacement. La société Timework-it demande au Conseil d’annuler ou, à titre subsidiaire, de réformer cette décision.
Sur la régularité de la procédure :
2. Le sixième alinéa de l’article 22-1 de la loi du 6 janvier 1978 prévoit que, avant que le président de la formation restreinte ou le membre désigné ne statue, un rapport établi par un agent de la CNIL doit être notifié au responsable de traitement, qui est informé du fait qu'il peut se faire représenter ou assister, présenter des observations écrites et demander à être entendu. Si la société soutient qu’elle n’a reçu aucune notification ni aucun avis de passage, il résulte de l’instruction que le rapport et la lettre de notification ont été signifiés au siège de la société le 12 juillet 2024 par un commissaire de justice qui, étant dans l’impossibilité de remettre l’acte à son destinataire ou à une autre personne présente acceptant de le recevoir, a, conformément à l’article 656 du code de procédure civile, laissé un avis de passage mentionnant, en particulier, que la copie de l'acte devait être retirée dans le plus bref délai à son étude et a envoyé la lettre, prévue par l’article 658 du même code et comportant les mêmes mentions. Par suite, la société s’étant abstenue de donner suite et la signification ayant été régulièrement accomplie, la société n’est pas fondée à soutenir que les dispositions précitées auraient été méconnues.
3. Si la société fait valoir en outre que la décision attaquée ne fait pas état de la mise en œuvre de la procédure contradictoire, il ne résulte d’aucun texte ni d’aucun principe que la décision de sanction devait comporter de telles informations. Au surplus, les mentions contenues dans l’acte du commissaire de justice font foi jusqu’à inscription de faux. Par suite, la société n’est pas davantage fondée à soutenir que la décision attaquée serait entachée d’irrégularité pour ce motif.
Sur les manquements :
4. D’une part, en vertu du 3 de l’article 12 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit « RGPD », le responsable du traitement doit fournir à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application, notamment, de son droit à l’effacement de ses données à caractère personnel, prévu par l’article 17 du même règlement.
5. D’autre part, il résulte des dispositions de l’article 31 du RGPD, et de l’article 18 de la loi du 6 janvier 1978 que les responsables de traitement ont le devoir de coopérer avec la CNIL et doivent, à ce titre, prendre toutes mesures utiles afin de faciliter sa tâche. Ils doivent en particulier lui fournir les renseignements qu’elle demande.
6. Il résulte de l’instruction que la personne concernée avait demandé l’effacement de ses données à caractère personnel par deux messages électroniques adressés à la société les 12 octobre et 17 novembre 2022. Par lettre du 22 décembre 2022, la CNIL a rappelé à la société les dispositions applicables et lui a demandé de répondre à l’intéressé. Elle a relancé la société par un message électronique du 23 mai 2023 et lui a demandé ses observations dans un délai d’un mois. Par lettre recommandée avec avis de réception du 9 octobre 2023, la CNIL a rappelé à la société son obligation de coopérer, lui a demandé de répondre sous 10 jours et lui a indiqué que, à défaut, une procédure de sanction pourrait être engagée. L’avis de réception porte la mention « pli avisé et non réclamé ». Par lettre recommandée avec avis de réception du 15 janvier 2024, la CNIL, sur le fondement du II de l’article 20 de la loi de 1978, a mis la société en demeure de répondre à l’intéressé dans le délai d’un mois et de lui rendre compte dans le même délai. Ce pli est également revenu avec la mention « avisé et non réclamé ». L’auteur de la décision contestée a estimé que, faute d’avoir répondu à aucune des sollicitations de la personne concernée et de la CNIL, la société Timework-it avait méconnu, d’une part, son obligation d’effacement des données personnelles dont elle avait été saisie par la personne concernée sur le fondement des dispositions du 3 de l’article 12 du RGPD rappelées au point 4 et, d’autre part, son obligation de coopération avec la CNIL telle qu’elle est prévue par les dispositions de l’article 31 du RGPD, et de l’article 18 de la loi du 6 janvier 1978, rappelées au point 5. Ce n’est que le 25 novembre 2024, après que la sanction a été prononcée, que la société a fait savoir à l’intéressé qu’elle procédait à l’effacement les données le concernant et en a avisé la CNIL.
7. La société Timework-it soutient que les messages électroniques mentionnés au point précédent, adressés à une « adresse générique partagée », ont été traités en courriers « indésirables » par son système informatique, « en raison d’un mauvais paramétrage ». Elle soutient aussi qu’elle n’a reçu aucun des courriers de la CNIL, sans fournir de véritable explication à ce sujet. Il résulte de ces différents éléments que la société a fait preuve, pour le moins, d’une négligence prolongée. Elle n’est donc pas fondée, en tout état de cause, à soutenir que la décision qu’elle conteste aurait méconnu les dispositions mentionnées au point 5 au motif que les faits reprochés n’auraient pas été volontaires.
Sur le montant de l’amende :
8. En vertu du 7° du IV de l’article 20 de la loi du 6 janvier 1978, la formation restreinte de la CNIL prend en compte, pour prononcer une amende administrative, les critères précisés à l’article 83 du RGPD. Selon celui-ci, les amendes doivent être « effectives, proportionnées et dissuasives ». Doivent, notamment, être pris en considération : « a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ; / b) le fait que la violation a été commise délibérément ou par négligence ; / c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage (…) ; / (…) / e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; / f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ; / g) les catégories de données à caractère personnel concernées par la violation ; / h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; / (…) / k) toute autre circonstance aggravante ou atténuante (…) ».
9. La société Timework-it soutient que la seule donnée à caractère personnel de l’intéressé qu’elle ait détenue était son adresse électronique, qu’elle en aurait fait un usage conforme aux règles applicables et qu’elle n’avait commis aucun autre manquement jusque- là. Toutefois, eu égard à ce qui a été dit aux points 6 et 7, la société a fait preuve de négligence prolongée et ne peut pas être regardée comme ayant coopéré avec l’autorité de contrôle. Il ne résulte pas de l’instruction que le montant de l’amende, qui ne dépasse pas le plafond en l’espèce applicable, excéderait les capacités contributives de la société ou que son paiement menacerait sa viabilité économique. Ainsi, compte tenu de la gravité des manquements constatés, qui ont empêché la CNIL d’assumer sa mission, et de leur persistance, la CNIL n’a pas infligé à la société une sanction disproportionnée.
Sur l’injonction :
10. Il résulte de ce qui a été dit au point 7 que l’injonction d’avoir à répondre à l’intéressé était justifiée lorsqu’elle a été prononcée, quand bien même la société s’y est ultérieurement conformée.
11. Il résulte de tout ce qui précède que la requête de la société Timework-it doit être rejetée, y compris les conclusions qu’elle a présentées au titre de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de la société Timework-it est rejetée.
Article 2 : La présente décision sera notifiée à la société Timework-it et à la Commission nationale de l’informatique et des libertés.
Délibéré à l'issue de la séance du 7 octobre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d'Etat et M. Thomas Odinot, maître des requêtes-rapporteur.
Rendu le 28 novembre 2025.
Le président :
Signé : M. Bertrand Dacosta
Le rapporteur :
Signé : M. Thomas Odinot
La secrétaire :
Signé : Mme Marie-Léandre Monnerville