GuiGui's Show

Le RGPD prévoit un recours juridictionnel effectif (un recours en justice, quoi) contre une décision d'une Autorité de Protection des Données personnelles (APD) comme la CNIL.

Mais, en droit administratif (une personne physique ou morale contre une administration) français, on peut contester uniquement une décision déjà prise par une administration (ou une autorité administrative indépendante, comme la CNIL), pas un projet, pas une décision à venir. Autrement dit, tant que ta plainte CNIL n'est pas traitée, tu peux rien faire, car la CNIL n'a pas pris de décision. (Je passe sur les moyens de faire naître une décision implicite en droit administratif général, généralement avec un recours préalable).

Et si tu veux justement contester la lenteur de la CNIL à prendre une décision, comment faire ? Dans un précédent article, on a lu qu'en Suède, une APD doit répondre sous un mois si le requérant le lui enjoint après six mois de silence. Étant donné que le RGPD est un règlement européen, c'est-à-dire un texte législatif que l'on souhaite appliquer uniformément dans tous les États membres (contrairement à une directive, qui doit être transposée dans chaque droit national, ce qui permet des différences nationales dans les limites du cadre fixé par la directive), il doit exister un moyen similaire d'agir en France.

Le 2 de l'article 78 du RGPD dispose que toute personne a le droit de former un recours juridictionnel effectif quand une APD ne l'informe pas, sous trois mois, de l'avancement ou de l'issue de la réclamation qu'elle a déposé auprès de l'APD. Cela se fait auprès des juridictions et selon la procédure de l'État membre. On retrouve cela dans le considérant 141 du RGPD, mais l'on parle alors de « délai raisonnable » pour informer de l'avancement…

Le 21 octobre 2022, David Libeau a déposé un tel recours devant le Conseil d'État portant sur une plainte CNIL sans réponse depuis un an. Pour les juristes : il a bien ajouté ses prétentions après coup. Pour les non-juristes : un recours suit tout un formalisme, et, notamment, il faut demander explicitement ce que l'on veut (enjoindre la CNIL à traiter la plainte sous/sans astreinte, traiter la plainte, etc.).

Ça me pose questions : quel est le point de départ des trois mois (dépôt de la plainte au greffe de la CNIL ? Sa transmission au service des plaintes par le greffe de la CNIL ? Autre ?) ? Quelle décision est attaquée (cf. le rappel de droit administratif ci-dessus) ?

La trouvaille ultérieure de David relatée dans l'article pointé par ce shaarli est intéressante : « l’article 10 du Décret n° 2019-536 du 29 mai 2019 indique que « Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet. » ».

J'obtiens une réponse à l'une de mes questions : après trois mois de silence, il est possible d'attaquer une décision implicite de rejet de la CNIL. Pour moi, l'article 10 du décret 2019-536 est le rouage réglementaire français qui rend possible l'actionnement de l'article 78.2 du RGPD.

Mais ça me pose de nouvelles questions :

• Point de départ du décompte (toujours) ?
  
  
• À ce stade, peut-on demander au Conseil d'État d'enjoindre à la CNIL de traiter la plainte ou est-ce au seul Conseil de trancher le litige ? Si c'est au Conseil de trancher le litige, ça peut être risqué, car, à mon avis, il pige moins la technique informaticienne que la CNIL. De même, il n'est pas possible de présupposer de la cause d'une décision implicite de rejet : est-ce parce que la CNIL n'a pas eu le temps de la traiter ou parce qu'elle est irrecevable ou qu'elle est tellement médiocre qu'il est moins chronophage de la rejeter sans y répondre ? Puisqu'a priori, il ne suffit pas de dire « la CNIL est hors délai » (car tout se passe comme si la plainte a été refusée sur le fond), ne faut-il pas toouut ré-expliquer au Conseil, et notamment le litige avec le responsable du traitement ?
  
  
• Quid des plaintes auxquelles la CNIL répond au-delà des trois mois (cf. la plainte contre l'IGPN de David, celle-ci d'Aeris, cette autre, et encore tant d'autres) et quid de la légalité des décisions de la CNIL dans ce cas-là (la décision implicite de rejet devrait faire barrage à une prise de décision ultérieure) ? N'est-ce pas ce qui empêche la CNIL de sanctionner (relayer une demande pose aucun préjudice à un responsable de traitement, donc il ne prend pas la peine de contester, mais une prune…) ?

On notera également que le d du 2) du I de l'article 8 de la loi Informatique et Libertés, qui est cité dans l'article 10 du décret 2019-536 pour énoncer de quelles réclamations on parle, dispose que la CNIL « informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable ». Délai raisonnable ou trois mois ? Un délai raisonnable est sujet à interprétation devant un tribunal, genre si la CNIL déclare recevoir XXX plaintes par jour, 8 mois de délai pour traiter une plainte peuvent être raisonnables. De ce que je crois savoir, pour arbitrer une telle contradiction, on utilise la hiérarchie des normes qui classe une loi au-dessus d'un décret, mais, dans le cas présent, si l'on fait ça, on perd le rouage qui permet un recours juridictionnel effectif en l'absence d'une décision de l'APD comme l'impose pourtant le 78.2 du RGPD…

Je constate qu'Aeris cherche aussi à saisir le Conseil d'État de l'inaction de la CNIL sur une base légale que j'ignore (source 1, source 2).

Aeris nous aura appris que :

• Le CEPD (organisme de coordination des APD au niveau européen) ne peut pas être saisi par un citoyen pour agir contre une APD, et il renvoit vers le médiateur national (source) ;
  
  
• Le Défenseur des Droits se déclare être incompétent au motif que la CNIL est une autorité administrative indépendante (source).

Bref, affaires à suivre.