Conseil d'État, 10ème chambre jugeant seule, 31 décembre 2025, n° 498001

Vu les procédures suivantes : 1° Sous le n° 498001, par une requête, deux mémoires en réplique et un nouveau mémoire, enregistrés les 17 décembre 2024, 5 février, 11 mai et 13 décembre 2025 au secrétariat du contentieux du Conseil d'Etat, M. D... B... demande au Conseil d'Etat : 1°) d’annuler pour excès de pouvoir la décision du 9 août 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte relative à la présence de pixels et liens traçants dans un courriel envoyé par M. C... A..., ainsi qu’à l’exercice de ses droits relatifs aux données à caractère personnel le concernant auprès de cette personne ; 2°) d’enjoindre à la CNIL de statuer à nouveau dans un délai de trois mois et de prendre une sanction dissuasive lors de la constatation d’un manquement ; 3°) d’enjoindre à la CNIL de communiquer, à la clôture de toute plainte, l’ensemble des éléments nécessaires à la compréhension de sa décision. 2° Sous le n° 504179, par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 9 mai, 16 octobre et 13 décembre 2025 au secrétariat du contentieux du Conseil d'Etat, M. D... B... demande au Conseil d'Etat : 1°) de surseoir à statuer et de renvoyer à la Cour de justice de l’Union européenne une question préjudicielle portant sur l’obligation d’information des auteurs d’une réclamation auprès de l’autorité de contrôle en application du paragraphe 2 de l’article 78 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; 2°) d’annuler pour excès de pouvoir la décision implicite par laquelle la CNIL a prononcé la clôture de sa plainte, introduite le 1er février 2025, relative à la présence de pixels et liens traçants dans un courriel envoyé par M. C... A..., ainsi qu’à l’exercice de ses droits relatifs aux données à caractère personnel le concernant auprès de cette personne ; 3°) d’enjoindre à la CNIL de l’informer de l’issue de sa plainte dans un délai d’une semaine, de prendre une sanction dissuasive dans le cadre de cette plainte ainsi que dans toute autre plainte ; 4°) d’enjoindre à la CNIL d’instruire à nouveau sa plainte dans le respect des dispositions du règlement général relatif à la protection des données (RGPD) et de prendre une sanction dissuasive ; 5°) d’enjoindre à la CNIL, sous astreinte, d’informer le plaignant de l’avancement de l’instruction des plaintes. ………………………………………………………………………… Vu les autres pièces des dossiers ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de Mme Sophie Delaporte, conseillère d'Etat, - les conclusions de M. Frédéric Puigserver, rapporteur public ; Vu la note en délibéré, enregistrée le 21 décembre 2025, présentée par M. B... ; Considérant ce qui suit : 1. Les deux requêtes de M. B... présentent à juger les mêmes questions. Il y a lieu de les joindre pour statuer par une seule décision. 2. Il ressort des pièces du dossier que, le 1er février 2024, M. B... a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de M. C... A... relative à l’exercice de ses droits d’information, d’accès et d’effacement sur les données à caractère personnel le concernant, ainsi qu’à l’utilisation de pixels et liens traçants dans des courriels reçus de la part de cette personne. Par un courrier du 9 août 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès du responsable de traitement, et d’autre part, de la clôture de la plainte. Sous le n° 498001, M. B... demande l’annulation pour excès de pouvoir de cette décision. Le 1er octobre 2025, M. B... a saisi la CNIL d’une nouvelle plainte dirigée contre M. C... A.... Sous le n° 504179, il demande l’annulation pour excès de pouvoir de la décision implicite de rejet née du silence gardé par la CNIL durant trois mois sur sa réclamation. Sur la requête n° 498001 : 3. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. 4. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir. 5. Il ressort des pièces du dossier que la CNIL, saisie de la plainte de M. B..., a décidé de rappeler M. A... à ses obligations légales résultant des articles 13 et 14 du RGPD, qui mettent à la charge du responsable de traitement une obligation de transparence et d’information envers les personnes concernées, que les données soient collectées directement ou indirectement auprès d’elles, ainsi que des articles 12 et 15 du même règlement, qui prévoient un droit d’accès pour les personnes physiques et que toute demande doit donner lieu à une réponse dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de sa réception. La CNIL a également informé le responsable de traitement des possibilités de prolonger le délai et de l’obligation d’informer le demandeur des motifs d’un éventuel refus, ainsi que de la possibilité d’introduire une réclamation auprès de la CNIL et de former un recours juridictionnel. S’agissant de l’utilisation de pixels de suivi et de liens traçants dans des courriels qu’il envoie, la CNIL a demandé au responsable de traitement de se mettre en conformité avec la réglementation applicable aux traceurs et de suivre l’évolution des travaux actuellement en cours au niveau de l’Union européenne sur le sujet. 6. En premier lieu, la circonstance que la CNIL n’aurait pas suffisamment informé l’auteur de la plainte de l’état de son avancement est sans incidence sur la légalité de la décision attaquée. 7. En deuxième lieu, le requérant n’est, en tout état de cause, pas fondé à soutenir qu’en invitant l’auteur d’une plainte à la saisir de nouveau en cas de persistance du manquement après qu’elle a procédé à un premier rappel auprès du responsable de traitement, la CNIL ferait peser une charge excessive sur le plaignant. 8. En troisième et dernier lieu, il ressort des termes mêmes de la décision attaquée qu’elle se fonde sur le rappel du responsable du traitement à ses obligations légales, auquel la CNIL a parallèlement procédé, tout en invitant M.