Conseil d'État, 10ème chambre jugeant seule, 31 décembre 2025, n° 494013

Vu la procédure suivante : Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 4 mai 2024, 10 février et 23 février 2025 au secrétariat du contentieux du Conseil d'Etat, M. B... A... demande au Conseil d'Etat : 1°) d’annuler pour excès de pouvoir les décisions du 11 mars 2024 par lesquelles la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de ses plaintes nos 44-26034, 44-26175 et 44-26284 introduites les 17 et 18 avril 2023, à l’encontre respectivement de la société ..., de la société ... et de la société ..., relatives, d’une part, à l’utilisation par ces sociétés, de pixels de suivi et de liens traçants dans les courriels envoyés à leurs clients, d’autre part, aux transferts de données à caractère personnel que génèrent l’utilisation de ces outils et la consultation de leur site internet, et enfin, s’agissant de la plainte n° 44-26034, aux modalités d’exercice de son droit d’opposition ; 2°) d’enjoindre à la CNIL, sous astreinte, d’instruire à nouveau ses plainte, de corriger le courrier-type qu’elle envoie aux responsables de traitement dans le cadre d’une réclamation portant sur l’utilisation de traceurs ou sur des transferts de données à caractère personnel en dehors de l’Union européenne, de prendre toute mesure utile visant à garantir un traitement diligent et une instruction effective des réclamations qu’elle reçoit, une réaction appropriée et proportionnée aux manquements invoqués, une motivation suffisamment précise et détaillée de ses décisions prises dans le cadre du traitement des réclamations et une information suffisamment précise et détaillée de leurs auteurs tout au long de leur traitement. Vu les autres pièces du dossier ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de Mme Alexandra Poirson, auditrice, - les conclusions de M. Frédéric Puigserver, rapporteur public ; Considérant ce qui suit : 1. Il ressort des pièces du dossier que M. A... a saisi la Commission nationale de l’informatique et des libertés (CNIL), les 17 et 18 avril 2023, de trois plaintes à l’encontre respectivement de la société ..., de la société ... et de la société ..., relatives à l’utilisation par ces sociétés, d’une part, de pixels de suivi et de liens traçants dans les courriels envoyés à leurs clients, d’autre part, aux transferts de données à caractère personnel que l’utilisation de ces outils et la consultation de leur site internet engendre, et, s’agissant de la plainte à l’encontre de la société ..., aux modalités d’exercice de son droit d’opposition. Par des courriers des 17 et 18 avril, la CNIL a informé le requérant de la prise en charge de ses plaintes par le service des réclamations et des plaintes. Par trois courriers du 11 mars 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès de chaque responsable de traitement, et d’autre part, de la clôture de ses plaintes. 2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. 3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir. 4. Il ressort des pièces du dossier, d’une part, qu’ainsi qu’il a été dit au point 1, la CNIL, saisie des trois plaintes de M. A... contre les sociétés ..., ... et ..., a décidé de rappeler ces sociétés au respect de leurs obligations. Elle leur a demandé, à ce titre, s’agissant de l’utilisation de pixels de suivi et de liens traçants sur leur site internet et dans les courriels qu’elles envoient, de se mettre en conformité avec la réglementation applicable aux traceurs et de suivre l’évolution des travaux actuellement en cours au niveau de l’Union européenne sur le sujet. S’agissant du transfert de données à caractère personnel que l’usage des outils visés par les plaintes a pu engendrer, antérieurement au 10 juillet 2023, la CNIL a rappelé aux trois sociétés les obligations leur incombant sur l’encadrement des transferts de données vers un pays hors de l’Union européenne et plus particulièrement vers les Etats-Unis à la suite de l’invalidation de la décision 2016/1250 relative à l’adéquation du mécanisme de protection des données entre l’Union européenne et les Etats-Unis. Enfin, la CNIL a rappelé à la société ... les bonnes pratiques en matière d’exercice de droit des personnes en l’invitant à se référer aux publications de la Commission, afin de mettre en place un dispositif conforme aux exigences du RGPD. 5. En premier lieu, les circonstances que la CNIL n’aurait pas traité les plaintes dans un délai raisonnable, qu’elle n’aurait pas suffisamment informé leur auteur de leur état d’avancement et qu’elle n’aurait pas motivé ses décisions de poursuivre l’instruction sont, en tout état de cause, sans incidence sur la légalité des décisions attaquées. 6. En deuxième lieu, la circonstance que le rappel à la réglementation adressé aux responsables du traitement n’aurait pas été signé par un agent bénéficiant d’une délégation de signature régulière est, en tout état de cause, sans incidence sur la légalité des décisions attaquées. 7. En dernier lieu, en estimant, au vu des réclamations dont elle était saisie et de la nature des manquements invoqués, qu’un rappel des responsables des traitements à leurs obligations légales, dans les termes mentionnés au point 4, constituait une mesure correctrice appropriée, sans qu’il soit nécessaire à ce stade de mettre en œuvre ses pouvoirs d’enquête, la CNIL n’a entaché ses décisions ni d’erreur de droit, ni d’erreur manifeste d’appréciation, ni, s’agissant de la plainte n° 44-26034, d’erreur d’appréciation. 8. Il résulte de tout ce qui précède que le requérant n’est pas fondé à demander l’annulation des décisions qu’il attaque. Les conclusions de sa requête à fin d’annulation doivent, dès lors, être rejetées, de même, en conséquence, que ses conclusions à fin d’injonction. D E C I D E : -------------- Article 1er : La requête de M. A... est rejetée. Article 2 : La présente décision sera notifiée à M. B... A... et à la Commission nationale de l’informatique et des libertés. Délibéré à l'issue de la séance du 18 décembre 2025 où siégeaient : M.