Conseil d'État, 10ème chambre jugeant seule, 26 décembre 2025, n° 491454

Vu la procédure suivante : Par une requête et six nouveaux mémoires, enregistrés les 3 et 7 février, 6 avril et 24 mai 2024, 23 mars et 29 mai et 27 juillet 2025 au secrétariat du contentieux du Conseil d'Etat, M. C... B... demande au Conseil d'Etat : 1°) d’annuler pour excès de pouvoir la décision du 29 décembre 2023 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative à la présence de liens traçants dans un courrier électronique de la société ... envoyé à des fins de prospection commerciale ; 2°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte dans le respect du RGPD, de le tenir informé de l’évolution de l’instruction et de sanctionner de manière dissuasive la société E... ; Vu les autres pièces du dossier ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire, - les conclusions de M. Frédéric Puigserver, rapporteur public ; Vu la note en délibéré, enregistrée le 23 octobre 2025, présentée par M. B... ; Considérant ce qui suit : 1. Il ressort des pièces du dossier que, le 13 décembre 2023, M. C... B... a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de la société ..., que la CNIL a regardée comme relative à l’utilisation de pixels traçants sans consentement dans un courrier électronique de prospection commerciale. Par un courrier du 29 décembre 2023, la CNIL a informé le plaignant de ce qu’elle était intervenue auprès de la société ... et a procédé à la clôture de sa plainte, en lui indiquant qu’il lui était loisible, s’il constatait que le manquement subsistait malgré cette première intervention, de déposer une nouvelle plainte après un délai de quatre mois. M. B... demande au Conseil d’Etat d’annuler pour excès de pouvoir cette décision et d’enjoindre à la CNIL de réexaminer sa plainte et de prononcer une sanction à l’encontre de la société. 2. Aux termes de l’article 57 du RGPD : « Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / a) contrôle l’application du présent règlement et veille au respect de celui-ci (…) ». Aux termes de l’article 8 de la loi du 6 janvier 1978 : « I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : / (…) 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre : / (…) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire (…) ». 3. Aux termes de l’article 20 de la même loi : « III.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi (…), le président de la Commission nationale de l’informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe. Le responsable de traitement ou son sous-traitant ne respectant pas les obligations du règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 précité ou de la présente loi peut être mis en demeure : 1° De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ; 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ; 4° De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données. Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu’il a prises. Le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe. (…) ». 4. Il résulte des dispositions mentionnées aux points 2 et 3 qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. 5. Il ressort des pièces du dossier que la CNIL, saisie de la plainte de M. A..., a décidé de rappeler la société E... à ses obligations légales, en lui indiquant que toute opération de lecture ou d’écriture d’informations réalisée dans l’équipement terminal de l’utilisateur devait être conforme aux dispositions de l’article 82 de la loi du 6 janvier 1978 et ne pouvait donc avoir lieu qu’à condition que l’utilisateur, dûment informé, ait préalablement exprimé son consentement, sauf si les opérations exécutées sont strictement nécessaires à la fourniture du service ou ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique. Elle lui a également indiqué que l’utilisation de pixels de suivi entrait dans le champ d’application de cet article et qu’il lui revenait de rechercher si les finalités poursuivies étaient nécessaires au fonctionnement du service et, à défaut, d’informer les utilisateurs et de recueillir leur consentement préalable. Elle lui a donc demandé de s’assurer de la licéité et de la conformité des outils mis en place et de procéder à la suppression des données personnelles qui auraient été collectées sans respecter la réglementation. 6. En estimant, au vu de la réclamation dont elle était saisie, sur la portée de laquelle elle ne s’est pas manifestement méprise, et de la nature du manquement invoqué, qu’un rappel du responsable du traitement à ses obligations légales, dans les termes mentionnés au point 5, constituait une mesure correctrice appropriée, la CNIL n’a pas entaché sa décision d’erreur manifeste d’appréciation ni de méconnaissance de son office. 7. Il résulte de tout ce qui précède que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque.