Conseil d'État, 10ème chambre jugeant seule, 18 mai 2026, n° 505172

Vu la procédure suivante : Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 12 juin, 3 novembre et 19 décembre 2025 au secrétariat du contentieux du Conseil d'Etat, Mme A... B... demande au Conseil d'Etat : 1°) d’annuler pour excès de pouvoir la décision du 29 avril 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a rejeté sa plainte relative à l’utilisation de ses données de santé par le centre hospitalier universitaire de Bordeaux ; 2°) d’enjoindre à la CNIL de réexaminer sa plainte ; 3°) de mettre à la charge de la CNIL et de la société Bothnia International Insurance Company Limited la somme de 1 500 euros au titre de l'article L. 761-1 du code de justice administrative. Vu les autres pièces du dossier ; Vu : - la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; - la charte des droits fondamentaux de l’Union européenne ; - le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de Mme Sophie Delaporte, conseillère d'Etat, - les conclusions de M. Frédéric Puigserver, rapporteur public ; La parole ayant été donnée, après les conclusions, à la SARL Matuchansky, Poupot, Valdelièvre, Rameix, avocat de la société la société Bothnia International Insurance Company Limited ; Vu la note en délibéré, enregistrée le 30 mars 2026, présentée par Mme B...; Considérant ce qui suit : 1. Mme A... B... a saisi le 20 février 2025 la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte relative à l’utilisation de ses données de santé par le centre hospitalier universitaire de Bordeaux. La CNIL a prononcé la clôture de cette plainte par une décision du 1er avril 2025, confirmée le 29 avril 2025 à la suite d’un recours gracieux de l’intéressée. Mme B... demande l’annulation de cette décision et qu’il soit enjoint à la CNIL de réexaminer sa plainte. 2. En premier lieu, il ressort des termes mêmes de la décision attaquée qu’elle comporte l’énoncé des considérations de droit et de fait qui en constituent le fondement. Elle indique notamment les finalités et les conditions de mise en œuvre du traitement des données à caractère personnel concernant Mme B.... Par suite et en tout état de cause, le moyen tiré d’un défaut de motivation doit être écarté. 3. En deuxième lieu, d’une part, aux termes de l’article 4 du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) : « Aux fins du présent règlement, on entend par : / 1. «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale (…) ». Aux termes du paragraphe 1 de l’article 5 du RGPD : « 1. Les données à caractère personnel doivent être : / a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence); / b ) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités (…) ; / c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) (…) ». 4. D’autre part, aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- La Commission nationale de l'informatique et des libertés (…) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. A ce titre : / (…) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée (…)». 5. Il ressort des pièces du dossier que Mme B... a subi au centre hospitalier universitaire de Bordeaux une première intervention chirurgicale le 24 octobre 2018, puis une seconde le 5 mai 2020, au cours de laquelle un prélèvement biologique a été réalisé. Contrairement à ce que soutient la requérante, il n’appartenait pas à la CNIL, saisie de sa plainte sur le fondement du d) du I de l’article 8 de la loi du 6 janvier 1978, d’examiner les conditions dans lesquelles ce prélèvement biologique, qui ne constitue pas en lui-même une donnée à caractère personnel, a été effectué, conservé puis utilisé à des fins médicales par le centre hospitalier. Par suite, les moyens tirés de la méconnaissance de l’article 5 du RGPD, de l’article 8 de la loi du 6 janvier 1978 et de dispositions du code de la santé publique ne peuvent qu’être écartés. 6. En troisième lieu, aux termes du paragraphe 1 de l’article 6 du RGPD : « 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : / (…) / f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. / Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions ». Aux termes de l’article 9 du même règlement : « 1. (…) le traitement (…) des données concernant la santé (…) sont interdits. / 2. Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie : / f) le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle (…) ». 7. Il ressort des pièces du dossier que le prélèvement biologique mentionné au point 5 a fait l’objet, pour rechercher si des fautes médicales avaient été commises lors de la prise en charge de l’intéressée, d’une première expertise médicale le 20 décembre 2022 à la demande de la présidente du tribunal administratif de Bordeaux, puis d’une seconde expertise médicale le 11 juin 2024 à l’initiative du centre hospitalier de Bordeaux, qui l’a transmise au même tribunal, devant lequel Mme B... avait formé un recours indemnitaire aux fins d’engager sa responsabilité. 8. Si Mme B... soutient que le centre hospitalier aurait ainsi réalisé un traitement illicite de ses données de santé, il ressort des pièces du dossier que ces analyses avaient pour seul objet la défense contentieuse des intérêts de l’établissement. Par suite, et en tout état de cause, la CNIL, à laquelle il n’appartenait pas d’apprécier la régularité ou le caractère probant des deux expertises médicales, a pu estimer, que ce traitement se justifiait par un « intérêt légitime » et la « défense d’un droit en justice » au sens des articles 6 et 9 du RGPD et qu’il avait été ainsi légalement mis en œuvre sans le recueil préalable du consentement de l’intéressée. Par suite, les moyens tirés de la méconnaissance des articles 6 et 9 du RGPD, de l’article 8 de la charte des droits fondamentaux de l’Union européenne et de l’article 8 de la loi du 6 janvier 1978 doivent être écartés. 9.