Conseil d'État, 10ème et 9ème chambres réunies, 20 mai 2026, n° 504639

Vu les procédures suivantes : 1° Sous le n° 504639, par une requête et de nouveaux mémoires, enregistrés les 23 mai, 20 août et 25 novembre 2025 et les 8 janvier, 12 janvier et 4 mai 2026 au secrétariat du contentieux du Conseil d’État, MM. D... et C... A... demandent au Conseil d’Etat, dans le dernier état de leurs écritures : 1°) à titre principal, d’annuler la décision du 22 octobre 2024 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de leur plainte relative à la méconnaissance par l’article 8 de la « charte RGPD – Parents / E... alsacienne des dispositions du règlement général sur la protection des données (RGPD), ainsi que la décision du 18 mars 2025 par laquelle elle a rejeté leur recours gracieux contre cette décision de clôture ; 2°) à titre subsidiaire, d’enjoindre à la CNIL de réexaminer leur plainte dans un délai de quatre mois, en leur communiquant préalablement les éléments déterminants de l'instruction et en recueillant leurs observations écrites ; 3°) à titre subsidiaire, d’enjoindre à la CNIL de produire, en versions non occultées, ses échanges avec l'École alsacienne dans le cadre de leur précédente plainte et de la présente affaire et, tout au moins, le courriel du 23 mai 2022 de l’Ecole alsacienne, ainsi que ses échanges avec la Commission d'accès aux documents administratifs ; 4°) à titre subsidiaire, de saisir la Cour de justice de l’Union européenne des huit questions préjudicielles relatives aux questions de fond et, dans l’hypothèse où la solution du litige conduirait à écarter l’examen au fond du recours, des neuf questions préjudicielles formulées dans leur mémoire du 29 avril 2026 relatives à la recevabilité de leur recours. 2° Sous le n° 504641, par une requête et de nouveaux mémoires, enregistrés les 23 mai, 20 août et 25 novembre 2025 et les 8 janvier, 12 janvier et 4 mai 2026 au secrétariat du contentieux du Conseil d’État, MM. D... et C... A... présentent les mêmes conclusions et développent les mêmes moyens que ceux visés sous le n° 504639. ………………………………………………………………………… Vu les autres pièces des dossiers ; Vu : - la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; - la charte des droits fondamentaux de l’Union européenne ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - la décision du 13 novembre 2025 par laquelle le Conseil d’Etat statuant au contentieux n’a pas renvoyé au Conseil constitutionnel la question prioritaire de constitutionnalité soulevée par MM. A... sous les nos 504639 et 504641 ; - le code de justice administrative ; Vu les notes en délibéré, enregistrées les 11 et 12 mai 2026, présentées par MM. A... ; Après avoir entendu en séance publique : - le rapport de Mme Sophie Delaporte, conseillère d'Etat, - les conclusions de M. Frédéric Puigserver, rapporteur public ; Considérant ce qui suit : 1. Il ressort des pièces du dossier que, le 17 juillet 2024, MM. A... ont saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte relative à la méconnaissance, par l’article 8 de la « charte RGPD – Parents / E... alsacienne, des dispositions du règlement du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (RGPD). Ils ont fait valoir que les stipulations de l’article 8 de la charte de l’Ecole alsacienne, tout en informant les parents et les élèves majeurs qu’ils bénéficiaient d’un droit d’accès, de rectification, d’opposition, de portabilité et d’effacement des données recueillies, les prévenaient que l’exercice des droits d’opposition, de portabilité et d’effacement entraînerait de fait la désinscription de l’élève au motif que ces données étaient nécessaires à la finalité du traitement mis en place au sein de l’établissement. Après avoir, sur le fondement du III de l’article 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, mis l’Ecole alsacienne en demeure de procéder à l’information des personnes concernées, conformément aux dispositions des articles 12 et 13 du RGPD, en particulier en modifiant l’article 8 critiqué, la CNIL, au regard des éléments de réponse apportés par l’Ecole alsacienne et des mesures prises dans le sens d’une mise en conformité, a décidé le 21 octobre 2024 de clôturer la mise en demeure adressée au responsable du traitement et a, le 22 octobre 2024, informé MM. A... de la clôture de leur plainte. Par leurs requêtes n° 504639 et 504641 qu’il y a lieu de joindre pour statuer par une seule décision, MM. A... demandent l’annulation pour excès de pouvoir de la décision de clôture du 21 octobre 2024 et de la décision du 18 mars 2025 rejetant leur recours gracieux. 2. En vertu du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens du règlement (UE) 2016/679 du 27 avril 2016, « veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France » et, à ce titre, « d) (…) traite les réclamations, pétitions et plaintes introduites par une personne concernée (…) ». Ces dispositions reprennent en substance notamment celles du f) de l’article 57 du RGPD. Aux termes du premier alinéa de l’article 77 du RGPD : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, (…), si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement » et aux termes du premier alinéa de l’article 78 du même règlement : « Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne ». Enfin, en vertu de l’article 4 du RGPD, on entend en particulier par « données à caractère personnel », « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ». 3. Il ressort des pièces du dossier que la « charte RGPD – Parents / B... », dans sa version contestée, a été publiée sur le site internet de l’Ecole alsacienne au mois d’avril 2020, soit postérieurement au départ définitif de M. D... A... qui a quitté cette école à compter du 1er février 2020. Les termes contestés de l’article 8, d’ailleurs supprimés à la date de la présente décision, n’ont ainsi, en aucune façon, été susceptibles d’être appliqués aux requérants. Par suite, leur saisine de la CNIL en juillet 2024 ne peut être regardée comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD et aucune décision juridiquement contraignante à leur égard, au sens de l’article 78 du même règlement, n’a pu naître. Dès lors, ils ne justifient pas d’un intérêt leur donnant qualité pour demander l’annulation pour excès de pouvoir de la décision clôturant leur saisine, pas davantage l’annulation du rejet de leur recours gracieux. Pour les mêmes raisons, ils ne peuvent être regardés comme ayant été privés du droit de former un recours juridictionnel effectif en vertu du RGPD.