Conseil d'État, 10ème chambre jugeant seule, 19 juin 2026, n° 508792

Vu la procédure suivante : Par une requête et un mémoire en réplique, enregistrés les 5 octobre 2025 et 24 février 2026 au secrétariat du contentieux du Conseil d'Etat, Mme B... A... demande au Conseil d'Etat : 1°) d’annuler pour excès de pouvoir la décision du 26 août 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte relative aux conditions de souscription de l’offre « ChatGPT Team » proposée par la société OpenAI ; 2°) d’enjoindre à la CNIL de réexaminer sa plainte ; 3°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative. Elle soutient que la décision qu’elle attaque est entachée : - d’un défaut de motivation, ; - d’un vice de procédure, en ce que la CNIL ne l’a pas tenue informée de l’état d’avancement de sa plainte ; - d’une méconnaissance des articles 12-3, 56, 57 et 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), dès lors qu’elle a été privée en tant que membre d’une profession réglementée d’un accès à des offres commerciales conformes à ce règlement ; - d’une erreur manifeste d’appréciation, d’une erreur de droit et d’un détournement de pouvoir, en ce que la CNIL a refusé d’examiner sa plainte et pris à son égard une mesure discriminatoire ; - d’une erreur de droit, d’une erreur de fait et d’une erreur de qualification juridique, dès lors que la CNIL a estimé qu’elle n’était pas utilisatrice des services de la société OpenAI. Par un mémoire en défense, enregistré le 18 février 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requérante ne sont pas fondés. Vu les autres pièces du dossier ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Bruno Delsol, conseiller d'Etat, - les conclusions de Mme Charline Nicolas rapporteure publique ; Considérant ce qui suit : 1. Mme A... a saisi, le 14 juillet 2024, la Commission nationale de l’informatique et des libertés (CNIL), sur le fondement du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, d’une plainte relative aux conditions de souscription de l’offre « ChatGPT Team » proposée par la société OpenAI. La CNIL a clôturé sa plainte par une décision du 26 août 2025, dont Mme A... demande l’annulation. 2. D’une part, aux termes de l’article 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. / L'autorité de contrôle auprès de laquelle la réclamation a été introduite informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 78 ». 3. D’autre part, aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’information, aux fichiers et aux libertés : « La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. / Elle est l'autorité de contrôle nationale au sens et pour l'application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : / (…) / 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. / A ce titre : / (…) / d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (…) ». 4. Il résulte de ces dispositions qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. 5. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. 6. Il ressort des pièces du dossier et notamment du courriel adressé le 14 juillet 2024 à la CNIL, qui est l’autorité nationale que Mme A... a saisie, que sa plainte ne porte pas sur les conditions de traitement de ses données à caractère personnel mis en œuvre par le service « ChatGPT Plus », qu’elle a souscrit auprès de la société OpenAI, mais sur les conditions d’accès à l’offre « ChatGPT Team », auquel elle n’a pu souscrire. La circonstance qu’elle n’ait pas pu accéder à cette offre commerciale comme professionnelle exerçant à titre individuel ou en bénéficier dans le prolongement du contrat souscrit ne concerne pas par elle-même la mise en œuvre d’un traitement de données personnelles la concernant mais ne met en cause que les conditions de souscription à caractère commercial posées par la société Open AI. Sa plainte ne portant, dès lors, pas sur un traitement de données à caractère personnel la concernant, qu’il s’agisse du traitement mis en œuvre dans le cadre de l’option ChatGPT Plus ou de celui qui n’a pas été mis en œuvre au titre de l’offre ChatGPT Team, Mme A... ne peut être regardée comme une « personne concernée » au sens et pour l’application de l’article 77 du RGPD et du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978. Mme A... n’est, par suite, pas fondée à soutenir que la décision attaquée, qui, en tout état de cause, est suffisamment motivée, a méconnu les dispositions des articles 57 et 58 relatives aux autorités de contrôle nationale et à leurs pouvoirs ou de l’article 77 relatives au droit d'introduire une réclamation auprès d'une autorité de contrôle nationale, du RGPD, ou est entachée d’une erreur de fait, d’une erreur manifeste d’appréciation quant à la mise en œuvre par la CNIL de ses pouvoirs tels qu’ils ont été rappelés aux points 3 et 4, ou d’un détournement de pouvoir qui n’est au demeurant pas établi. Pour les mêmes raisons, Mme A... ne peut utilement se prévaloir d’une méconnaissance des dispositions de l’article 12 du RGPD en ce que la société Open AI, en sa qualité de responsable de traitement aurait méconnu ses obligations de « transparence des informations et des communications et modalités de l'exercice des droits de la personne concernée ». 7.