Conseil d'État
N° 509166
ECLI:FR:CECHS:2026:509166.20260827
Inédit au recueil Lebon
10ème chambre jugeant seule
M. Olivier Yeznikian, président
M. Stéphane Eustache, rapporteur
Mme Charline Nicolas, rapporteure publique
Lecture du jeudi 27 août 2026
Vu la procédure suivante :
Par une requête enregistrée le 21 octobre 2025 au secrétariat du contentieux du Conseil d’Etat, M. B... A... demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 20 octobre 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte relative au refus de la société CEGEDIM de lui restituer les données médicales de ses patients hébergées dans le logiciel MAIIA.
Il soutient que la décision qu’il attaque est entachée :
- d’un défaut de motivation, en ce qu’elle ne motive ni en droit ni en fait la raison pour laquelle sa demande ne relève pas de la compétence de la CNIL, en méconnaissance de l’article L. 211-2 du code des relations entre le public et l’administration et de l’article 41 de la charte des droits fondamentaux de l’Union européenne ;
- d’erreur de droit, en ce qu’elle procède à une interprétation erronée du paragraphe 3 de l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), relatif à l’obligation de restitution des données par le sous-traitant ;
- d’erreur de droit, en ce qu’elle a été prise sans que la CNIL exerce les pouvoirs qui lui sont conférés par l’article 20 de la loi du 6 janvier 1978 et l’article 57 du RGPD ;
- d’erreur de droit, en ce qu’elle méconnaît le principe de bonne administration, dès lors que la CNIL n’a pas accompli les diligences nécessaires en matière d’instruction de sa plainte.
Par un mémoire en défense enregistré le 21 janvier 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens de la requête ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Stéphane Eustache, maître des requêtes ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
Considérant ce qui suit :
1. Dans le cadre d’un différend avec la société CEGEDIM, son sous-traitant chargé de la gestion et de l’hébergement des données médicales de ses patients, M. A..., médecin libéral, responsable du traitement, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte tendant à obtenir la restitution des données de ses clients. M. A... demande l’annulation pour excès de pouvoir de la décision du 20 octobre 2025 par laquelle la CNIL a clôturé sa plainte comme irrecevable.
2. D’une part, en vertu de l’article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD), on entend par « données à caractère personnel », « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ». Aux termes du f) du paragraphe 1 de l’article 57 du RGPD : « Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / (…) / f) traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association, conformément à l'article 80, examine l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (…) ». Aux termes du paragraphe 1 de l’article 77 du RGPD : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, (…), si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement » et aux termes du paragraphe 1 de l’article 78 du RGPD : « Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne ».
3. D’autre part, en vertu du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens du règlement (UE) 2016/679 du 27 avril 2016, « veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France » et, à ce titre, « d) (…) traite les réclamations, pétitions et plaintes introduites par une personne concernée (…) ».
3. La plainte adressée à la CNIL par M. A... qui tendait à obtenir la restitution des données médicales de ses patients auprès d’un prestataire de service a été formée en qualité de responsable du traitement de ces données à caractère personnel. Une telle saisine n’a donc pas été présentée par une personne concernée au sens des dispositions citées au point précédent. Elle ne peut dès lors être regardée comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD et aucune décision juridiquement contraignante à l’égard de M. A..., au sens de l’article 78 du même règlement, n’a pu naître. M. A... ne justifie ainsi pas d’un intérêt lui donnant qualité pour demander l’annulation pour excès de pouvoir de la décision clôturant sa saisine comme irrecevable. Il résulte de ce qui précède que la requête de M. A... doit être rejetée.
D E C I D E :
--------------
Article 1er : La requête de M. A... est rejetée.
Article 2 : La présente décision sera notifiée à M. B... A... et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 9 juillet 2026 où siégeaient : M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d'Etat et M. Stéphane Eustache, maître des requêtes-rapporteur.
Rendu le 27 août 2026
Le président :
Signé : M. Olivier Yeznikian
Le rapporteur :
Signé : M. Stéphane Eustache
La secrétaire :
Signé : Mme Sylvie Leporcq
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :
N° 509166
ECLI:FR:CECHS:2026:509166.20260827
Inédit au recueil Lebon
10ème chambre jugeant seule
M. Olivier Yeznikian, président
M. Stéphane Eustache, rapporteur
Mme Charline Nicolas, rapporteure publique
Lecture du jeudi 27 août 2026
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête enregistrée le 21 octobre 2025 au secrétariat du contentieux du Conseil d’Etat, M. B... A... demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 20 octobre 2025 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte relative au refus de la société CEGEDIM de lui restituer les données médicales de ses patients hébergées dans le logiciel MAIIA.
Il soutient que la décision qu’il attaque est entachée :
- d’un défaut de motivation, en ce qu’elle ne motive ni en droit ni en fait la raison pour laquelle sa demande ne relève pas de la compétence de la CNIL, en méconnaissance de l’article L. 211-2 du code des relations entre le public et l’administration et de l’article 41 de la charte des droits fondamentaux de l’Union européenne ;
- d’erreur de droit, en ce qu’elle procède à une interprétation erronée du paragraphe 3 de l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), relatif à l’obligation de restitution des données par le sous-traitant ;
- d’erreur de droit, en ce qu’elle a été prise sans que la CNIL exerce les pouvoirs qui lui sont conférés par l’article 20 de la loi du 6 janvier 1978 et l’article 57 du RGPD ;
- d’erreur de droit, en ce qu’elle méconnaît le principe de bonne administration, dès lors que la CNIL n’a pas accompli les diligences nécessaires en matière d’instruction de sa plainte.
Par un mémoire en défense enregistré le 21 janvier 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens de la requête ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Stéphane Eustache, maître des requêtes ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
Considérant ce qui suit :
1. Dans le cadre d’un différend avec la société CEGEDIM, son sous-traitant chargé de la gestion et de l’hébergement des données médicales de ses patients, M. A..., médecin libéral, responsable du traitement, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte tendant à obtenir la restitution des données de ses clients. M. A... demande l’annulation pour excès de pouvoir de la décision du 20 octobre 2025 par laquelle la CNIL a clôturé sa plainte comme irrecevable.
2. D’une part, en vertu de l’article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD), on entend par « données à caractère personnel », « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ». Aux termes du f) du paragraphe 1 de l’article 57 du RGPD : « Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire : / (…) / f) traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association, conformément à l'article 80, examine l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (…) ». Aux termes du paragraphe 1 de l’article 77 du RGPD : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, (…), si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement » et aux termes du paragraphe 1 de l’article 78 du RGPD : « Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne ».
3. D’autre part, en vertu du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens du règlement (UE) 2016/679 du 27 avril 2016, « veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France » et, à ce titre, « d) (…) traite les réclamations, pétitions et plaintes introduites par une personne concernée (…) ».
3. La plainte adressée à la CNIL par M. A... qui tendait à obtenir la restitution des données médicales de ses patients auprès d’un prestataire de service a été formée en qualité de responsable du traitement de ces données à caractère personnel. Une telle saisine n’a donc pas été présentée par une personne concernée au sens des dispositions citées au point précédent. Elle ne peut dès lors être regardée comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD et aucune décision juridiquement contraignante à l’égard de M. A..., au sens de l’article 78 du même règlement, n’a pu naître. M. A... ne justifie ainsi pas d’un intérêt lui donnant qualité pour demander l’annulation pour excès de pouvoir de la décision clôturant sa saisine comme irrecevable. Il résulte de ce qui précède que la requête de M. A... doit être rejetée.
D E C I D E :
--------------
Article 1er : La requête de M. A... est rejetée.
Article 2 : La présente décision sera notifiée à M. B... A... et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 9 juillet 2026 où siégeaient : M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d'Etat et M. Stéphane Eustache, maître des requêtes-rapporteur.
Rendu le 27 août 2026
Le président :
Signé : M. Olivier Yeznikian
Le rapporteur :
Signé : M. Stéphane Eustache
La secrétaire :
Signé : Mme Sylvie Leporcq
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :