Conseil d'État, 10ème et 9ème chambres réunies, 1 décembre 2025, n° 498023

Vu la procédure suivante : Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 19 septembre et 19 décembre 2024 et le 4 juillet 2025 au secrétariat du contentieux du Conseil d'Etat, la société TotalEnergies SE demande au Conseil d'Etat : 1°) d’annuler pour excès de pouvoir la décision du 19 juillet 2024 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) lui a adressé un rappel à ses obligations légales ; 2°) de mettre à la charge de la CNIL la somme de 20 000 euros au titre de l’article L. 761-1 du code de justice administrative. Vu les autres pièces du dossier ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - le code des relations entre public et l’administration ; - la loi n° 78-17 du 6 janvier 1978 ; - l’ordonnance n° 2020-306 du 25 mars 2020 ; - le décret n° 2019-535 du 29 mai 2019 ; - l’arrêt C-312/23 du 27 mai 2024 de la Cour de justice de l’Union européenne ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de Mme Alexandra Poirson, auditrice, - les conclusions de Mme Leila Derouich, rapporteure publique ; La parole ayant été donnée, après les conclusions, à la SARL Matuchansky, Poupot, Valdelièvre, Rameix, avocat de la Societe Totalenergies SE ; Vu la note en délibéré, enregistrée le 25 novembre 2025, présentée par la société TotalEnergies SE; Considérant ce qui suit : 1. Selon le 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la Commission nationale de l’informatique et des libertés (CNIL) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de cette loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France et, à ce titre, traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable. 2. En vertu des I et III de l’article 20 de la même loi, le président de la CNIL peut adresser au responsable d’un traitement de données à caractère personnel un avertissement dans le cas où ce traitement est susceptible de méconnaître cette loi ou le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit RGPD), ainsi que, lorsqu’un manquement aux obligations découlant de ces textes est constaté, un rappel à ses obligations légales. 3. Il ressort des pièces du dossier qu’à la suite de réclamations présentées par trois salariés de la société TotalEnergies SE, la présidente de la CNIL a prononcé le 19 juillet 2024 à l’encontre de cette société, sur le fondement du III de l’article 20 de la loi du 6 janvier 1978, une mesure de rappel à ses obligations légales en raison de ses manquements aux obligations, prévues par le RGPD, premièrement, de motiver le refus de donner suite à l’exercice du droit d’opposition au traitement des données à caractère personnel des trois salariés concernés, deuxièmement, de leur fournir des informations relatives au traitement de leurs données personnelles complètes et compréhensibles et, troisièmement, de répondre à leurs demandes d’accès à leurs données personnelles. La société TotalEnergies SE demande l’annulation pour excès de pouvoir de cette décision. Sur le moyen tiré de ce que la décision attaquée procéderait au retrait illégal d’une décision créatrice de droits : 4. En application des article 77 et 78 du RGPD, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement, et de former un recours juridictionnel effectif lorsque l’autorité de contrôle compétente ne traite pas sa réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de sa réclamation. L’article 10 du décret du 29 mai 2019 pris pour l’application de cette loi précise que : « (…) Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet ». 5. S’il résulte de ces dispositions qu’elles ouvrent à l’auteur d’une réclamation la possibilité d’exercer un recours juridictionnel contre la décision implicite de rejet née du silence gardé pendant trois mois par la CNIL, une telle décision, qui n’est créatrice d’aucun droit au profit de la personne visée par la réclamation, ne fait pas obstacle à ce que la CNIL décide de poursuivre ou reprendre l’instruction de cette réclamation au-delà du délai de trois mois et, à l’issue de cette instruction, de prononcer l’une des mesures prévues à l’article 20 de la loi du 6 janvier 1978. Par suite, la société requérante n’est pas fondée à soutenir qu’en raison du silence que la CNIL aurait, selon elle, gardé durant trois mois sur les réclamations dont elle était saisie, serait née à son profit une décision créatrice de droits, au retrait de laquelle la décision attaquée aurait illégalement procédé, en méconnaissance des dispositions de l’article L. 242-1 du code des relations entre le public et l’administration. Sur la décision attaquée en tant qu’elle constate un manquement dans le refus de donner suite à l’exercice du droit d’opposition : 6. Aux termes du paragraphe 1 de l’article 6 du RGPD : « Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: (…) / c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis; (…) / f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. » Aux termes du paragraphe 1 de l’article 21 du même texte : « La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice. » 7. Il ressort des pièces du dossier que les trois salariés concernés, impliqués dans une enquête ouverte par leur employeur à la suite de différents signalements les concernant ou dont ils étaient les auteurs, ont fait valoir, en vain, leur droit de s’opposer au traitement de leurs données personnelles dans le cadre de cette enquête, la société TotalEnergies SE estimant que ce traitement était nécessaire au respect d’une obligation légale et que, par suite, le droit d’opposition ne leur était pas ouvert.