Conseil d'État, 10ème chambre jugeant seule, 20 mars 2026, n° 503159

Vu les procédures suivantes : 1° Sous le n° 503159, par une requête sommaire, un nouveau mémoire et un mémoire complémentaire, enregistrés les 4 avril, 14 avril et 3 juillet 2025 au secrétariat du contentieux du Conseil d’Etat, l’association Les Licornes célestes, M. G... C... et M. E... A... demandent au Conseil d’Etat : 1°) d’annuler pour excès de pouvoir la délibération de la Commission nationale de l’informatique et des libertés (CNIL) n° 2025-014 du 13 février 2025 autorisant l’Agence européenne des médicaments à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalité des études portant sur l’estimation d’incidence et de prévalence des pathologies dans la population générale en France dans le cadre du projet DARWIN EU ; 2°) de saisir la Cour de justice de l’Union européenne de questions relatives, d’une part, à l’interprétation du paragraphe 3 de l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données à caractère personnel et abrogeant la directive 95/46/CE (B...) et, d’autre part, à l’appréciation de la validité de la décision d’exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023 constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE – Etats-Unis ; 3°) de mettre à la charge de la CNIL la somme de 3 500 euros au titre de l’article L. 761-1 du code de justice administrative. 2° Sous le n° 504171, par une requête enregistrée le 9 mai 2025 au secrétariat du contentieux du Conseil d’Etat, l’association Interhop, l’association Constances, le Syndicat de la médecine générale, la Fédération Sud Santé Sociaux, et la Ligue des droits de l’homme demandent au Conseil d’Etat : 1°) d’annuler pour excès de pouvoir la délibération de la Commission nationale de l’informatique et des libertés (CNIL) n° 2025-014 du 13 février 2025 autorisant l’Agence européenne des médicaments à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalité des études portant sur l’estimation d’incidence et de prévalence des pathologies dans la population générale en France dans le cadre du projet DARWIN EU ; 2°) à titre subsidiaire, de saisir la Cour de justice de l’Union européenne d’une question relative à l’appréciation de la validité de la décision d’exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023 constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE – Etats-Unis, ou de plusieurs autres questions préjudicielles relatives au respect des articles 7, 8, 47 et 52 de la Charte des droits fondamentaux de l’Union européenne ; 3°) de mettre à la charge de l’État la somme de 3 000 euros au bénéfice de chacun des requérants au titre de l’article L. 761-1 du code de justice administrative. ………………………………………………………………………… Vu les autres pièces des dossiers ; Vu : - le traité sur le fonctionnement de l’Union européenne ; - la charte des droits fondamentaux de l’Union européenne ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - le code de la santé publique ; - la loi n° 78-17 du 6 janvier 1978 ; - la loi n° 2024-449 du 21 mai 2024 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Philippe Bachschmidt, maître des requêtes ; - les conclusions de Mme Charline Nicolas, rapporteure publique ; Vu la note en délibéré, enregistrée le 5 février 2026, présentée par l’association Les Licornes célestes et autres ; Considérant ce qui suit : 1. Les requêtes de l’association Les Licornes célestes et autres et de l’association Interhop et autres sont dirigées contre la même délibération. Il y a lieu de les joindre pour statuer par une seule décision. Sur l’intervention : 2. La société Clever Cloud, la société Nexedi, la société Rapid Space International, la société Cleyrop, le Conseil national du logiciel libre, l’association Open Internet Projet et M. D... F... justifient d’un intérêt suffisant à l’annulation de la délibération attaquée. Par suite, leur intervention est recevable. Sur la requête : 3. Il ressort des pièces des dossiers que l’Agence européenne des médicaments, qui coordonne le réseau DARWIN EU, lequel vise à favoriser l’utilisation de données de santé pour étudier l’emploi, la sécurité et l’efficacité des médicaments et des vaccins, a déposé auprès de la Commission nationale de l’informatique et des libertés (CNIL) une demande d’autorisation concernant des traitements automatisés de données ayant pour finalité des études portant sur l’estimation d’incidence et de prévalence des pathologies dans la population générale en France dans le cadre du projet DARWIN EU. Ces traitements nécessitent l’extraction de données du système national des données de santé (SNDS) par le groupement d’intérêt public Plateforme des données de santé (PDS), agissant en qualité de sous-traitant de l’Agence européenne des médicaments, qui a recours à la société Microsoft Ireland Operations Ltd, société de droit irlandais, filiale de la société Microsoft établie aux Etats-Unis, pour héberger les données. Par une délibération du 13 février 2025, dont les requérants demandent l’annulation pour excès de pouvoir, la CNIL a autorisé l’Agence européenne des médicaments à mettre en œuvre ces traitements pendant une durée limitée à trois ans. 4. En premier lieu, il ressort de la délibération attaquée qu’elle a pour seul objet d’autoriser le traitement de données de santé qui seront hébergées dans des centres de données situés en France. Elle n’a pas pour objet et ne saurait avoir pour effet d’autoriser un transfert de données de santé à caractère personnel vers les Etats-Unis sur le fondement de la décision d’exécution de la Commission du 10 juillet 2023, dite décision d’adéquation, constatant, conformément au règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), dit B..., et notamment au 3 de son article 45, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis. 5. Il en résulte, d’une part, que les requérants ne peuvent utilement exciper de l’illégalité de cette décision d’adéquation du 10 juillet 2023, l’absence de décision d’adéquation ne faisant au demeurant pas par elle-même obstacle, ainsi qu’il ressort des articles 46 et 49 du B..., à tout transfert de données à caractère personnel vers des Etats tiers à l’Union européenne. 6. Il en résulte, d’autre part, que les requérants ne peuvent davantage utilement soutenir que la délibération attaquée méconnaîtrait le dernier alinéa de l’article R. 1461-1 du code de la santé publique, qui prohibe les transferts de données de santé dehors de l’Union européenne. 7. En deuxième lieu, si la délibération attaquée prend acte de ce que, compte tenu du contrat passé avec Microsoft et du fonctionnement des opérations d’administration de la plateforme technique, il est possible que des données techniques d’usage de la plateforme soient transférées vers des administrateurs de la société Microsoft situés aux Etats-Unis, il ressort des pièces des dossiers que de tels transferts de données, qui sont relatives non pas aux personnes incluses dans les études, mais aux connexions d’utilisateurs de la plateforme, et qui ne contiennent en tout état de cause aucune donnée de santé, sont fondés sur des clauses contractuelles types constituant des garanties appropriées au sens de l’article 46 du B....