Conseil d'État
N° 508655
ECLI:FR:CECHS:2026:508655.20260827
Inédit au recueil Lebon
10ème chambre jugeant seule
M. Olivier Yeznikian, président
M. Stéphane Eustache, rapporteur
Mme Charline Nicolas, rapporteure publique
SCP POUPET & KACENELENBOGEN, avocats
Lecture du jeudi 27 août 2026
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 29 septembre et 29 décembre 2025 et le 6 mars 2026 au secrétariat du contentieux du Conseil d'Etat, Mme B... D... demande au Conseil d'Etat :
1°) d’annuler pour excès de pouvoir la décision du 16 mai 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte relative au refus du centre hospitalier de Hyères d’effacer ses données à caractère personnel ;
2°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Elle soutient que la décision qu’elle attaque est entachée :
- d’un vice d’incompétence ;
- d’insuffisance de motivation ;
- d’erreur de droit, en ce que la CNIL a rejeté sa plainte comme irrecevable sans mener d’investigations ;
- d’erreur de droit, en ce que la CNIL n’a pas contrôlé le caractère nécessaire de la conservation des données en cause ;
- d’erreur d’appréciation, en ce que, contrairement à ce qu’a estimé la CNIL, la conservation des données ne se justifiait pas par la défense contentieuse des intérêts du centre hospitalier.
Par un mémoire en défense, enregistré le 5 février 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requérante ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des relations entre le public et l’administration ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Stéphane Eustache, maître des requêtes ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SCP Poupet & Kacenelenbogen avocat de Mme D... ;
Considérant ce qui suit :
1. Mme D... a saisi le 9 février 2025 la Commission nationale de l’informatique et des libertés (CNIL), sur le fondement du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978, d’une plainte relative au refus du centre hospitalier de Hyères d’effacer des données à caractère personnel la concernant. La CNIL a clôturé sa plainte par une décision du 16 mai 2025, dont Mme D... demande l’annulation pour excès de pouvoir.
2. D’une part, aux termes du paragraphe 1 de l’article 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) : « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : / (…) / c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement (…) ». Aux termes du paragraphe 3 du même article : « Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire: / (…) / e) à la constatation, à l'exercice ou à la défense de droits en justice ».
3. D’autre part, aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’information, aux fichiers et aux libertés : « La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. / Elle est l'autorité de contrôle nationale au sens et pour l'application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : / (…) / 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. / A ce titre : / (…) / d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (…) ».
4. Il résulte de ces dispositions qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.
5. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. Toutefois, lorsque l’auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à l’égard des données à caractère personnel le concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, qui renvoient respectivement aux articles 15, 16, 17, 18 et 21 du RGPD, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.
6. Enfin, aux termes de l’article L. 211-2 du code des relations entre le public et l’administration : « Les personnes physiques ou morales ont le droit d'être informées sans délai des motifs des décisions administratives individuelles défavorables qui les concernent. / A cet effet, doivent être motivées les décisions qui : / (…) / 6° Refusent un avantage dont l'attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l'obtenir (…) ». Aux termes de l’article L. 211-5 du même code : « La motivation exigée par le présent chapitre doit être écrite et comporter l'énoncé des considérations de droit et de fait qui constituent le fondement de la décision ».
7. En premier lieu, Mme C... A..., signataire de la décision attaquée, bénéficiait, en vertu d’une décision du 5 mai 2025 de la directrice de l’exercice des droits et des plaintes de la CNIL, d’une délégation de signature à l’effet de signer, au nom de la présidente de la CNIL, « tous actes ayant pour objet l’exercice des attributions mentionnées au d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 ». Par suite, le moyen tiré de l’incompétence de la signataire de la décision attaquée manque en fait.
8. En deuxième lieu, il ressort des termes mêmes de la décision attaquée qu’elle comporte l’énoncé des considérations de droit et de fait qui en constituent le fondement, conformément au 6° de l’article L. 211-2 et à l’article L. 211-5 du code des relations entre le public et l’administration cités au point 6. Elle relève notamment que le centre hospitalier a pu légalement refuser d’effacer les données à caractère personnel concernant Mme D..., en se fondant sur le point e) du paragraphe 3 de l’article 17 du RGPD. Par suite, le moyen tiré d’un défaut de motivation doit être écarté.
9. En troisième lieu, il ressort des pièces du dossier que les données à caractère personnel relatives à l’état de santé de Mme D..., contenues dans les documents établis les 23 juillet 2020 et 2 février 2022 par le médecin du travail du centre hospitalier de Hyères, ont été produites par cet établissement devant les juridictions administratives pour assurer sa défense dans un litige l’opposant à l’intéressée portant sur le refus de reconnaître le caractère professionnel de sa pathologie. En se fondant sur cette circonstance, pour estimer que, d’une part, ce traitement de données à caractère personnel était nécessaire à la constatation, l’exercice ou à la défense d’un droit en justice et que, d’autre part, il ne lui appartenait pas d’apprécier la régularité ou la valeur probante des éléments communiqués à titre de preuve devant les juridictions saisies du litige, la CNIL, qui n’était pas tenue de procéder en l’espèce à des investigations complémentaires, n’a pas commis d’erreur de droit. Il ne ressort pas davantage des pièces du dossier que la CNIL aurait commis une erreur d’appréciation, la requérante ne faisant état d’aucun élément précis et circonstancié quant à un risque d’atteinte à sa vie privée.
10. Il résulte de tout ce qui précède que la requête de Mme D... doit être rejetée, y compris ses conclusions présentées sur le fondement de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de Mme D... est rejetée.
Article 2 : La présente décision sera notifiée à Mme B... D..., à la Commission nationale de l'informatique et des libertés, et au centre hospitalier de Hyères.
Délibéré à l'issue de la séance du 9 juillet 2026 où siégeaient : M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d'Etat et M. Stéphane Eustache, maître des requêtes-rapporteur.
Rendu le 27 août 2026
Le président :
Signé : M. Olivier Yeznikian
Le rapporteur :
Signé : M. Stéphane Eustache
La secrétaire :
Signé : Mme Sylvie Leporcq
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :
N° 508655
ECLI:FR:CECHS:2026:508655.20260827
Inédit au recueil Lebon
10ème chambre jugeant seule
M. Olivier Yeznikian, président
M. Stéphane Eustache, rapporteur
Mme Charline Nicolas, rapporteure publique
SCP POUPET & KACENELENBOGEN, avocats
Lecture du jeudi 27 août 2026
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 29 septembre et 29 décembre 2025 et le 6 mars 2026 au secrétariat du contentieux du Conseil d'Etat, Mme B... D... demande au Conseil d'Etat :
1°) d’annuler pour excès de pouvoir la décision du 16 mai 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte relative au refus du centre hospitalier de Hyères d’effacer ses données à caractère personnel ;
2°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Elle soutient que la décision qu’elle attaque est entachée :
- d’un vice d’incompétence ;
- d’insuffisance de motivation ;
- d’erreur de droit, en ce que la CNIL a rejeté sa plainte comme irrecevable sans mener d’investigations ;
- d’erreur de droit, en ce que la CNIL n’a pas contrôlé le caractère nécessaire de la conservation des données en cause ;
- d’erreur d’appréciation, en ce que, contrairement à ce qu’a estimé la CNIL, la conservation des données ne se justifiait pas par la défense contentieuse des intérêts du centre hospitalier.
Par un mémoire en défense, enregistré le 5 février 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requérante ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des relations entre le public et l’administration ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Stéphane Eustache, maître des requêtes ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SCP Poupet & Kacenelenbogen avocat de Mme D... ;
Considérant ce qui suit :
1. Mme D... a saisi le 9 février 2025 la Commission nationale de l’informatique et des libertés (CNIL), sur le fondement du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978, d’une plainte relative au refus du centre hospitalier de Hyères d’effacer des données à caractère personnel la concernant. La CNIL a clôturé sa plainte par une décision du 16 mai 2025, dont Mme D... demande l’annulation pour excès de pouvoir.
2. D’une part, aux termes du paragraphe 1 de l’article 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) : « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : / (…) / c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement (…) ». Aux termes du paragraphe 3 du même article : « Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire: / (…) / e) à la constatation, à l'exercice ou à la défense de droits en justice ».
3. D’autre part, aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’information, aux fichiers et aux libertés : « La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. / Elle est l'autorité de contrôle nationale au sens et pour l'application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes : / (…) / 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. / A ce titre : / (…) / d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (…) ».
4. Il résulte de ces dispositions qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.
5. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. Toutefois, lorsque l’auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à l’égard des données à caractère personnel le concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, qui renvoient respectivement aux articles 15, 16, 17, 18 et 21 du RGPD, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.
6. Enfin, aux termes de l’article L. 211-2 du code des relations entre le public et l’administration : « Les personnes physiques ou morales ont le droit d'être informées sans délai des motifs des décisions administratives individuelles défavorables qui les concernent. / A cet effet, doivent être motivées les décisions qui : / (…) / 6° Refusent un avantage dont l'attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l'obtenir (…) ». Aux termes de l’article L. 211-5 du même code : « La motivation exigée par le présent chapitre doit être écrite et comporter l'énoncé des considérations de droit et de fait qui constituent le fondement de la décision ».
7. En premier lieu, Mme C... A..., signataire de la décision attaquée, bénéficiait, en vertu d’une décision du 5 mai 2025 de la directrice de l’exercice des droits et des plaintes de la CNIL, d’une délégation de signature à l’effet de signer, au nom de la présidente de la CNIL, « tous actes ayant pour objet l’exercice des attributions mentionnées au d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 ». Par suite, le moyen tiré de l’incompétence de la signataire de la décision attaquée manque en fait.
8. En deuxième lieu, il ressort des termes mêmes de la décision attaquée qu’elle comporte l’énoncé des considérations de droit et de fait qui en constituent le fondement, conformément au 6° de l’article L. 211-2 et à l’article L. 211-5 du code des relations entre le public et l’administration cités au point 6. Elle relève notamment que le centre hospitalier a pu légalement refuser d’effacer les données à caractère personnel concernant Mme D..., en se fondant sur le point e) du paragraphe 3 de l’article 17 du RGPD. Par suite, le moyen tiré d’un défaut de motivation doit être écarté.
9. En troisième lieu, il ressort des pièces du dossier que les données à caractère personnel relatives à l’état de santé de Mme D..., contenues dans les documents établis les 23 juillet 2020 et 2 février 2022 par le médecin du travail du centre hospitalier de Hyères, ont été produites par cet établissement devant les juridictions administratives pour assurer sa défense dans un litige l’opposant à l’intéressée portant sur le refus de reconnaître le caractère professionnel de sa pathologie. En se fondant sur cette circonstance, pour estimer que, d’une part, ce traitement de données à caractère personnel était nécessaire à la constatation, l’exercice ou à la défense d’un droit en justice et que, d’autre part, il ne lui appartenait pas d’apprécier la régularité ou la valeur probante des éléments communiqués à titre de preuve devant les juridictions saisies du litige, la CNIL, qui n’était pas tenue de procéder en l’espèce à des investigations complémentaires, n’a pas commis d’erreur de droit. Il ne ressort pas davantage des pièces du dossier que la CNIL aurait commis une erreur d’appréciation, la requérante ne faisant état d’aucun élément précis et circonstancié quant à un risque d’atteinte à sa vie privée.
10. Il résulte de tout ce qui précède que la requête de Mme D... doit être rejetée, y compris ses conclusions présentées sur le fondement de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de Mme D... est rejetée.
Article 2 : La présente décision sera notifiée à Mme B... D..., à la Commission nationale de l'informatique et des libertés, et au centre hospitalier de Hyères.
Délibéré à l'issue de la séance du 9 juillet 2026 où siégeaient : M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d'Etat et M. Stéphane Eustache, maître des requêtes-rapporteur.
Rendu le 27 août 2026
Le président :
Signé : M. Olivier Yeznikian
Le rapporteur :
Signé : M. Stéphane Eustache
La secrétaire :
Signé : Mme Sylvie Leporcq
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :