Conseil d'État
N° 461101
ECLI:FR:CECHS:2022:461101.20221222
Inédit au recueil Lebon
10ème chambre
Mme Myriam Benlolo Carabot, rapporteur
M. Laurent Domingo, rapporteur public
Lecture du jeudi 22 décembre 2022
Vu la procédure suivante :
Par une requête et deux mémoires en réplique, enregistrés les 4 février, 19 octobre et 7 novembre 2022 au secrétariat du contentieux du Conseil d'Etat, M. B... A... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 24 janvier 2022 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte à l'encontre de la Société civile professionnelle (SCP) Europe relative à l'utilisation de l'application " Smarter Pool " ;
2°) d'enjoindre à la CNIL de réexaminer sa plainte.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 modifiée ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire,
- les conclusions de M. Laurent Domingo, rapporteur public ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que M. A... a saisi la CNIL d'une plainte dirigée contre la SCP Europe qui commercialise une pompe à chaleur pour piscine dont l'utilisation à distance requiert l'installation de l'application " Smarter Pool ", au motif que les conditions générales d'utilisation de l'application n'étaient pas conformes au RGPD. Les services de la CNIL ont sollicité la SCP Europe afin d'obtenir des éléments sur les finalités et la mise en oeuvre du traitement. Par un courrier du 9 décembre 2021, la SCP Europe a informé la CNIL n'avoir joué aucun rôle dans la conception et le développement de l'application, qui est exploitée par la société Jincheng Zhu. A la suite de l'intervention de la CNIL, celle-ci a mis à jour la politique de confidentialité de l'application " Smarter Pool " en informant les personnes concernées de la transmission de leurs données aux fournisseurs de services tiers et de la possibilité d'exercer leur droit d'opposition. La CNIL a cependant formulé une observation relative à l'imprécision des durées de conservation des données, qui ont été ensuite mises à jour par la société Jincheng Zhu. Compte tenu de ces éléments, la CNIL a, par un courriel du 24 janvier 2022, indiqué à l'intéressé qu'elle avait procédé à la clôture de sa plainte. M. A... demande l'annulation pour excès de pouvoir de cette décision.
2. Aux termes de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " I.- La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. Elle est l'autorité de contrôle nationale au sens et pour l'application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes :/ (...) 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en oeuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. A ce titre :/ (...) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (...) ".
3. Il résulte des dispositions mentionnées au point 2 qu'il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en oeuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. Elle dispose, à cet effet, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge. L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus de la CNIL d'y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d'illégalité externe et, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir.
4. En premier lieu, aucun texte n'impose, à l'égard du demandeur, le respect d'une procédure contradictoire à l'occasion de l'examen par la CNIL d'une plainte au titre de l'article 8 de la loi du 6 janvier 1978 précité. Il s'ensuit que M. A... n'est pas fondé à soutenir que la décision attaquée serait entachée d'un vice de procédure et méconnaîtrait les exigences de la procédure contradictoire faute pour la CNIL de lui avoir communiqué préalablement les observations formulées par la société Jincheng Zhu, exploitante de l'application " Smarter Pool ", et la SCP Europe contre laquelle était dirigée la plainte clôturée.
5. En second lieu, outre que la CNIL n'était pas tenue de répondre à l'ensemble des circonstances de fait mises en avant par le requérant, il ressort des énonciations de la décision attaquée que la commission a tenu compte des éléments portés à sa connaissance par le requérant pour demander à la société Jincheng Zhu d'améliorer l'information des personnes concernées conformément aux articles 12 à 14 du RGPD. La décision attaquée rappelle les différents échanges qui ont eu lieu entre la CNIL, le requérant, la SCP Europe et la société Jincheng Zhu, ainsi que la mise à jour de la politique de confidentialité de cette dernière, consécutive à l'intervention de la CNIL. Il ne ressort pas des pièces du dossier que la décision attaquée, qui est suffisamment motivée en fait comme en droit, serait entachée d'inexactitude matérielle des faits.
6. Il résulte de ce qui précède que M. A... n'est pas fondé à demander l'annulation pour excès de pouvoir de la décision du 24 janvier 2022. Sa requête doit donc être rejetée y compris, par voie de conséquence, ses conclusions à fin d'injonction. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit aux conclusions présentées par la SCP Europe au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de M. A... est rejetée.
Article 2 : Les conclusions de la SCP Europe tendant à l'application de l'article L. 761-1 du code de justice administrative sont rejetées.
Article 3 : La présente décision sera notifiée à M. B... A..., à la Commission nationale de l'informatique et des libertés et à la Société civile professionnelle Europe.
Délibéré à l'issue de la séance du 8 décembre 2022 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; Mme Nathalie Escaut, conseillère d'Etat et Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire-rapporteure.
Rendu le 22 décembre 2022.
Le président :
Signé : M. Bertrand Dacosta
La rapporteure :
Signé : Mme Myriam Benlolo Carabot
La secrétaire :
Signé : Mme Sylvie Leporcq
N° 461101
ECLI:FR:CECHS:2022:461101.20221222
Inédit au recueil Lebon
10ème chambre
Mme Myriam Benlolo Carabot, rapporteur
M. Laurent Domingo, rapporteur public
Lecture du jeudi 22 décembre 2022
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête et deux mémoires en réplique, enregistrés les 4 février, 19 octobre et 7 novembre 2022 au secrétariat du contentieux du Conseil d'Etat, M. B... A... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 24 janvier 2022 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte à l'encontre de la Société civile professionnelle (SCP) Europe relative à l'utilisation de l'application " Smarter Pool " ;
2°) d'enjoindre à la CNIL de réexaminer sa plainte.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 modifiée ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire,
- les conclusions de M. Laurent Domingo, rapporteur public ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que M. A... a saisi la CNIL d'une plainte dirigée contre la SCP Europe qui commercialise une pompe à chaleur pour piscine dont l'utilisation à distance requiert l'installation de l'application " Smarter Pool ", au motif que les conditions générales d'utilisation de l'application n'étaient pas conformes au RGPD. Les services de la CNIL ont sollicité la SCP Europe afin d'obtenir des éléments sur les finalités et la mise en oeuvre du traitement. Par un courrier du 9 décembre 2021, la SCP Europe a informé la CNIL n'avoir joué aucun rôle dans la conception et le développement de l'application, qui est exploitée par la société Jincheng Zhu. A la suite de l'intervention de la CNIL, celle-ci a mis à jour la politique de confidentialité de l'application " Smarter Pool " en informant les personnes concernées de la transmission de leurs données aux fournisseurs de services tiers et de la possibilité d'exercer leur droit d'opposition. La CNIL a cependant formulé une observation relative à l'imprécision des durées de conservation des données, qui ont été ensuite mises à jour par la société Jincheng Zhu. Compte tenu de ces éléments, la CNIL a, par un courriel du 24 janvier 2022, indiqué à l'intéressé qu'elle avait procédé à la clôture de sa plainte. M. A... demande l'annulation pour excès de pouvoir de cette décision.
2. Aux termes de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " I.- La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. Elle est l'autorité de contrôle nationale au sens et pour l'application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes :/ (...) 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en oeuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. A ce titre :/ (...) d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (...) ".
3. Il résulte des dispositions mentionnées au point 2 qu'il appartient à la CNIL de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en oeuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. Elle dispose, à cet effet, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge. L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus de la CNIL d'y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d'illégalité externe et, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir.
4. En premier lieu, aucun texte n'impose, à l'égard du demandeur, le respect d'une procédure contradictoire à l'occasion de l'examen par la CNIL d'une plainte au titre de l'article 8 de la loi du 6 janvier 1978 précité. Il s'ensuit que M. A... n'est pas fondé à soutenir que la décision attaquée serait entachée d'un vice de procédure et méconnaîtrait les exigences de la procédure contradictoire faute pour la CNIL de lui avoir communiqué préalablement les observations formulées par la société Jincheng Zhu, exploitante de l'application " Smarter Pool ", et la SCP Europe contre laquelle était dirigée la plainte clôturée.
5. En second lieu, outre que la CNIL n'était pas tenue de répondre à l'ensemble des circonstances de fait mises en avant par le requérant, il ressort des énonciations de la décision attaquée que la commission a tenu compte des éléments portés à sa connaissance par le requérant pour demander à la société Jincheng Zhu d'améliorer l'information des personnes concernées conformément aux articles 12 à 14 du RGPD. La décision attaquée rappelle les différents échanges qui ont eu lieu entre la CNIL, le requérant, la SCP Europe et la société Jincheng Zhu, ainsi que la mise à jour de la politique de confidentialité de cette dernière, consécutive à l'intervention de la CNIL. Il ne ressort pas des pièces du dossier que la décision attaquée, qui est suffisamment motivée en fait comme en droit, serait entachée d'inexactitude matérielle des faits.
6. Il résulte de ce qui précède que M. A... n'est pas fondé à demander l'annulation pour excès de pouvoir de la décision du 24 janvier 2022. Sa requête doit donc être rejetée y compris, par voie de conséquence, ses conclusions à fin d'injonction. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit aux conclusions présentées par la SCP Europe au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de M. A... est rejetée.
Article 2 : Les conclusions de la SCP Europe tendant à l'application de l'article L. 761-1 du code de justice administrative sont rejetées.
Article 3 : La présente décision sera notifiée à M. B... A..., à la Commission nationale de l'informatique et des libertés et à la Société civile professionnelle Europe.
Délibéré à l'issue de la séance du 8 décembre 2022 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; Mme Nathalie Escaut, conseillère d'Etat et Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire-rapporteure.
Rendu le 22 décembre 2022.
Le président :
Signé : M. Bertrand Dacosta
La rapporteure :
Signé : Mme Myriam Benlolo Carabot
La secrétaire :
Signé : Mme Sylvie Leporcq