Conseil d'État, 10ème chambre jugeant seule, 27 juillet 2026, n° 510839

Vu la procédure suivante : Par une requête et un mémoire en réplique enregistrés le 17 décembre 2025 et le 25 mars 2026 au secrétariat du contentieux du Conseil d'Etat, Mme B... A... demande au Conseil d’Etat : 1°) d’annuler pour excès de pouvoir la décision du 5 décembre 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de sa plainte relative à l’exercice de son droit d’accès à ses données personnelles auprès de la société Persán France SAS ; 2°) d’enjoindre à la CNIL de réexaminer sa plainte dans un délai raisonnable. Elle soutient que : - l’instruction de sa plainte a été menée de façon insuffisante par la CNIL, qui l’a close prématurément, après avoir omis d’exiger de la société Persán France SAS la communication de l’ensemble des données personnelles mentionnées dans sa demande et de vérifier sérieusement la réalité des affirmations de cette société ; - la décision attaquée est entachée d’erreur d’appréciation et d’atteinte à l’effectivité du droit d’accès aux données personnelles. Par un mémoire en défense, enregistré le 6 mars 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requérante ne sont pas fondés. Vu les autres pièces du dossier ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Thomas Odinot, maître des requêtes , - les conclusions de M. Frédéric Puigserver, rapporteur public ; Considérant ce qui suit : 1. Il ressort des pièces du dossier que Mme A..., se prévalant du droit d’accès de toute personne concernée à ses données personnelles faisant l’objet d’un traitement, prévu par les dispositions de l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, a demandé, en mars 2025, à son employeur, la société Persán France SAS, de lui communiquer l’ensemble des données à caractère personnel la concernant contenues respectivement dans sa messagerie professionnelle, dans l’application de téléconférence utilisée par cette société, dans l’application enregistrant le temps de travail des salariés de la société, et dans celle utilisée pour la réalisation des entretiens professionnels. Soutenant que les différentes réponses qu’elle avait reçues de la société ne lui donnaient pas entièrement satisfaction, la requérante a saisi la Commission nationale de l’informatique et des libertés (CNIL), le 17 novembre 2025, d’une plainte afin que la Commission ordonne à la société Persán France SAS de satisfaire à sa demande. Par une décision du 5 décembre 2025, dont Mme A... demande l’annulation, la CNIL l’a informée, d’une part, de son intervention auprès du responsable de traitement, et, d’autre part, de la clôture de sa plainte. 2. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. 3. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir. 4. Il ressort des pièces du dossier que la CNIL, saisie de la plainte de Mme A..., a décidé de rappeler la société Persán France SAS à ses obligations légales, résultant des articles 12 et 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, en lui indiquant qu’il lui appartenait de répondre à la demande d’accès dans les délais légaux. Dans les circonstances de l’espèce, dont il ressortait notamment que la société Persán France SAS ne s’opposait pas à l’exercice par Mme A... de son droit d’accès, mais que le litige entre les deux parties portait, pour l’essentiel, sur les modalités pratiques de cet accès, la CNIL, qui a instruit de façon suffisante la plainte dont elle était saisie, n’a pas entaché sa décision d’erreur d’appréciation ni porté atteinte à l’effectivité du droit d’accès aux données personnelles. 5. Il résulte de tout ce qui précède que Mme A... n’est pas fondée à demander l’annulation de la décision qu’elle attaque. Ses conclusions à fin d’injonction doivent, par voie de conséquence, être rejetées. D E C I D E : ---------------- Article 1er : La requête de Mme A... est rejetée. Article 2 : La présente décision sera notifiée à Mme B... A.... Copie en sera adressée à la Commission nationale de l’informatique et des libertés et à la société Persán France SAS. Délibéré à l'issue de la séance du 10 juillet 2026 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d'Etat et M. Thomas Odinot, maître des requêtes. Rendu le 27 juillet 2026. Le président : Signé : M. Bertrand Dacosta Le rapporteur : Signé : M. Thomas Odinot La secrétaire : Signé : Mme Marie-Léandre Monnerville La République mande et ordonne au Premier ministre en ce qui la concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision. Pour expédition conforme, Pour la secrétaire du contentieux, par délégation :