Conseil d'État, 10ème et 9ème chambres réunies, 20 mai 2026, n° 492836

Vu la procédure suivante : Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 22 mars 2024, 19 juin 2024 et 21 janvier 2025, au secrétariat du contentieux du Conseil d'Etat, la société Tagadamedia demande au Conseil d'Etat : 1°) d’annuler la décision n° SAN-2023-025 de la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) en date du 29 décembre 2023 lui infligeant une amende administrative de 75 000 euros pour manquements aux articles 6 et 30 du règlement général sur la protection des données (RGPD), lui enjoignant, sous astreinte de 1 000 euros par jour de retard, de mettre en œuvre, dans un délai d’un mois à compter de la notification de cette décision, sur les sites qu’elle édite, un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairé et univoque quant à la transmission des données à caractère personnel à des partenaires à des fins de prospection et ordonnant la publication de cette décision sur les sites internet de la CNIL et de Légifrance dans des conditions ne permettant plus d’identifier nommément la société à l’issue d’une période de deux ans à compter de cette publication ; 2°) subsidiairement, de réformer la délibération litigieuse en diminuant le montant de la sanction qui lui a été infligée et d’enjoindre à la CNIL de publier sur son site internet et sur le site de Légifrance la décision réformant cette délibération ; 3°) de mettre à la charge de la CNIL la somme de 6 000 euros au titre de l'article L. 761-1 du code de justice administrative. Vu les autres pièces du dossier ; Vu : - la Constitution et notamment son Préambule ; - la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 26 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le décret n° 2019-536 du 29 mai 2019 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Jean de L'Hermite, conseiller d'Etat, - les conclusions de M. Frédéric Puigserver, rapporteur public ; La parole ayant été donnée, après les conclusions, à la SCP Rocheteau, Uzan-Sarano & Goulet, avocat de la Société Tagadamedia ; Considérant ce qui suit : 1. La société Tagadamedia, dont l’activité consiste à organiser des jeux-concours sur les sites internet qu’elle gère et à transmettre, contre rémunération, à ses partenaires commerciaux des données à caractère personnel des participants, parmi lesquelles leurs noms, adresses postale et électronique, et numéros de téléphone, à des fins de prospection commerciale par ces partenaires, demande l’annulation de la délibération du 29 décembre 2023 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 75 000 euros pour manquements aux articles 6 et 30 du règlement général sur la protection des données (RGPD), lui a enjoint, sous astreinte de 1 000 euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de cette délibération, de mettre en œuvre sur les sites qu’elle édite un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairé et univoque à la transmission de leurs données à caractère personnel à des partenaires et a décidé de rendre publique cette délibération, en l’assortissant d’une procédure d’anonymisation à l’expiration d’un délai de deux ans. Sur la régularité de la délibération attaquée : 2. En premier lieu, il résulte de l’instruction que, par lettre du 13 mai 2022, reçue par son destinataire le même jour, la présidente de la CNIL a informé le procureur de la République près le tribunal judiciaire de Paris, dans le ressort duquel étaient situés les locaux de la société Tagadamedia, de la date, de l’heure et de l’objet de la mission de vérification sur place que la Commission avait décidé d’effectuer dans ces locaux les 18 et 19 mai 2022. Par suite, le moyen tiré de ce qu’aurait été méconnue l’obligation, prévue par les dispositions des articles 19 de la loi du 6 janvier 1978 et 25 du décret du 29 mai 2019 pris pour son application, d’information préalable du procureur de la République territorialement compétent au moins vingt-quatre heures avant la date de la visite des membres de la CNIL et de ses agents habilités à cet effet dans les locaux servant à la mise en œuvre d’un traitement de données à caractère personnel, ne peut qu’être écarté. 3. En deuxième lieu, aux termes de l’article 20 de la loi du 6 janvier 1978, dans sa rédaction applicable au litige : « (…) III « Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également (…) saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : / (…) 7° (…) une amende administrative (…) ». Aux termes de l’article 61 du règlement intérieur de la CNIL : « La formation restreinte se réunit sur convocation de son président ou, en cas d’absence ou d’empêchement, de son vice-président. / La convocation fixe le lieu, la date, l’heure et l’ordre du jour des séances. Elle est transmise par voie électronique ou tout autre moyen. Elle est communiquée aux membres de la formation restreinte, aux rapporteurs dont les dossiers sont inscrits à la séance et au commissaire du gouvernement ». 4. Il résulte de l’instruction, d’une part, que, par lettre du 22 juin 2023, la présidente de de la CNIL a informé les membres et le président de la formation restreinte de sa décision de la saisir en vue de prononcer une ou plusieurs des mesures prévues à l’article 20 de la loi du 6 janvier 1978 à l’encontre de la société Tagadamedia et, d’autre part, que, par un courrier électronique du 28 novembre 2023, les membres de la formation restreinte ont été régulièrement convoqués à la séance qui s’est tenue le 7 décembre 2023, dont l’ordre du jour mentionnait l’examen du rapport relatif à cette affaire. Par suite, le moyen tiré de ce que la formation restreinte n’aurait pas été régulièrement saisie et convoquée, en méconnaissance des dispositions de la loi du 6 janvier 1978 et du règlement intérieur de la CNIL, doit être écarté. 5. En troisième lieu, aux termes de l’article 69 du règlement intérieur de la CNIL : « Les décisions adoptées par la formation restreinte sont appelées « délibérations ». Elles sont signées par le président de la formation (…). Elles (…) portent la date du jour de leur signature ». Il résulte de l’instruction, et notamment de la fiche de présence produite par la CNIL, que Mme A... n’était pas présente lors de la séance du 7 décembre 2023 au cours de laquelle l’affaire a été examinée et délibérée. La circonstance que, par l’effet d’une erreur purement matérielle, la délibération attaquée mentionne son nom parmi les membres de la formation restreinte n’est pas de nature à l’entacher d’irrégularité. Sur la méconnaissance des droits de la défense : 6. Aux termes de l’article 16 de la Déclaration des droits de l’homme et du citoyen de 1789 : « Toute société dans laquelle la garantie des droits n'est pas assurée, ni la séparation des pouvoirs déterminée, n'a point de Constitution ». Cette disposition implique notamment qu'aucune sanction ayant le caractère d'une punition ne puisse être infligée à une personne sans que celle-ci ait été mise à même de présenter ses observations sur les faits qui lui sont reprochés.