Conseil d'État
N° 499596
ECLI:FR:CECHR:2026:499596.20261016
Mentionné aux tables du recueil Lebon
10ème et 9ème chambres réunies
M. Pierre Collin, président
Mme Alexandra Poirson, rapporteure
Mme Charline Nicolas, rapporteure publique
SAS ZRIBI & TEXIER, avocats
Lecture du vendredi 16 octobre 2026
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et deux nouveaux mémoires, enregistrés les 10 décembre 2024, 11 mars 2025, 19 janvier et 28 avril 2026 au secrétariat du contentieux du Conseil d’État, la société Cosmospace demande au Conseil d’État :
1°) d’annuler la délibération n° SAN-2024-014 du 26 septembre 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative de 250 000 euros assortie d’une publication ;
2°) de mettre à la charge de la CNIL la somme de 4 500 euros au titre de l’article L. 761-1 du code de justice administrative.
La société Cosmospace soutient que cette délibération :
- a été prise au terme d’une procédure irrégulière, dès lors que le contrôle sur place réalisé les 7 et 8 décembre 2021 a été conduit en méconnaissance de l’article 25 du décret du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978, qui prévoit l’information préalable et par écrit du Procureur de la République ;
- a été prise au terme d’une procédure irrégulière, dès lors qu’elle n’a pas été préalablement informée de son droit de se taire ;
- a méconnu son droit à un procès équitable, garanti par le paragraphe 1 de l’article 6 de la CEDH, et le principe du contradictoire, en ce que la formation spécialisée a fixé une clôture d’instruction le jour au cours duquel elle a pris connaissance d’une pièce du dossier ;
- méconnaît le principe de minimisation des données personnelles en ce que la délibération attaquée retient que l’enregistrement des appels n’était pas nécessaire au regard des finalités invoquées ;
- est entachée de méconnaissance du principe de limitation de la durée de conservation des données et d’erreur manifeste d’appréciation en ce qu’elle retient que la durée de six ans de conservation de l’enregistrement de ces appels de six ans était excessive ;
- est entachée d’erreur de droit et de méconnaissance de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) en ce qu’elle considère que l’absence de recueil préalable et explicite du consentement des clients à la collecte de certaines données constitue un manquement ;
- méconnaît l’article L. 34-5 du code des postes et des communications électroniques en ce que la CNIL a retenu un manquement au titre de l’absence de consentement éclairé des personnes concernées à l’utilisation de leurs données personnes à des fins de prospection commerciale par la société Télémaque ;
- méconnaît l’article 83 du RGPD en ce qu’elle retient que les manquements reprochés constituent une négligence et comporte le prononcé d’une sanction disproportionnée.
Par un mémoire en défense et deux nouveaux mémoires, enregistrés les 1er avril et 22 septembre 2025 et 20 février 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- la Constitution, notamment son article 62 ;
- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- le traité sur l’Union européenne ;
- la charte des droits fondamentaux de l’Union européenne ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des postes et des communications électroniques ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-536 du 29 mai 2019 ;
- la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;
Après avoir entendu en séance publique :
- le rapport de Mme Alexandra Poirson, auditrice ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SAS Zribi et Texier, avocat de la société Cosmospace ;
Considérant ce qui suit :
1. Il résulte de l’instruction que, par une délibération du 26 septembre 2024, la formation spécialisée de la Commission nationale de l’informatique et des liberté (CNIL) a prononcé à l’encontre de la société Comospace, qui propose des consultations de voyance personnalisées payantes par téléphone, une amende administrative d’un montant de 250 000 euros en raison de manquements au règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) et à l’article L. 34-5 du code des postes et des communications électroniques et décidé la publication de cette sanction. La société Comospace demande l’annulation de cette délibération.
Sur les moyens de légalité externe :
2. En premier lieu, aux termes de l’article 25 du décret du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 : « Lorsque la commission décide un contrôle sur place, elle en informe préalablement par écrit le procureur de la République dans le ressort territorial duquel doit avoir lieu la visite ou la vérification. / Le procureur de la République est informé au plus tard vingt-quatre heures avant la date à laquelle doit avoir lieu le contrôle sur place. Cet avis précise la date, l'heure, le lieu et l'objet du contrôle. »
3. Il résulte de l’instruction que la CNIL a adressé au procureur de la République le 3 décembre 2021 un courrier, dont il a accusé réception le même jour, l’informant d’une mission de vérification sur place le 7 décembre 2021 et comportant l’ensemble des informations prévues par les dispositions citées au point 2. Par suite, le moyen tiré de ce que la procédure aurait été menée en méconnaissance de ces dispositions doit être écarté.
4. En deuxième lieu, si la société soutient que son droit à un procès équitable devant la formation spécialisée de la CNIL aurait été méconnu du fait qu’elle n’aurait été en mesure de consulter l’une des pièces du dossier que le jour de la clôture de la procédure contradictoire, le 10 juin 2024, il résulte de l’instruction que la société a été invitée par le rapporteur dès le 1er mars 2024, date de la notification de son rapport, à prendre connaissance et copie des pièces du dossier auprès des services de la CNIL et que ce n’est que le 30 mai 2024 qu’elle a demandé à exercer ce droit. Au surplus, elle a eu la faculté d’exprimer ses observations orales sur ce document au cours de la séance devant la formation spécialisée. Le moyen ne peut, par suite, qu’être écarté.
5. En troisième lieu, aux termes de l’article 9 de la Déclaration de 1789 : « Tout homme étant présumé innocent jusqu’à ce qu’il ait été déclaré coupable, s’il est jugé indispensable de l’arrêter, toute rigueur qui ne serait pas nécessaire pour s’assurer de sa personne doit être sévèrement réprimée par la loi. » Il en résulte le principe selon lequel nul n’est tenu de s’accuser, dont découle le droit de se taire. Ces exigences s’appliquent non seulement aux peines prononcées par les juridictions répressives mais aussi à toute sanction ayant le caractère d’une punition. Au nombre de ces sanctions figurent notamment celles susceptibles d’être prononcées par la formation restreinte de la CNIL.
6. Par une décision n° 2025-1154 QPC du 8 août 2025, le Conseil constitutionnel, saisi par le Conseil d’État de la question prioritaire de constitutionnalité soulevée par la société Cosmospace dans le présent litige, a jugé que les dispositions de l’article 22 de la loi du 6 janvier 1978 relatives à la possibilité, pour la personne mise en cause devant la formation spécialisée de la CNIL, de déposer des observations sur le rapport, ainsi qu’à l’audition de cette personne devant la formation spécialisée, méconnaissaient les exigences de l’article 9 de la Déclaration de 1789, faute de prévoir une information de cette personne, ou, s’agissant d’une personne morale, de son représentant légal, de son droit de se taire. Il a toutefois reporté au 1er octobre 2026 la date d’abrogation de ces dispositions et a jugé que les mesures prises avant la publication de sa décision ne pouvaient être contestées sur le fondement de cette inconstitutionnalité. Par suite, le moyen tiré de l’illégalité de la décision contestée au motif de l’inconstitutionnalité des dispositions législatives en application desquelles elle a été prise ne peut, en tout état de cause, qu’être écarté.
7. Enfin, il ne résulte pas de l’instruction que la décision de sanction reposerait de manière déterminante sur les observations écrites présentées par la société à la suite de la notification du rapport, non plus que sur les propos tenus par ses représentants devant la formation restreinte. Dès lors, ne peut, en tout état de cause, qu’être écarté le moyen tiré de ce que la sanction aurait été prononcée en méconnaissance de l’article 6 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et des articles 47 et 48 de la charte des droits fondamentaux de l’Union européenne du fait de l’absence de notification du droit qu’elle avait de se taire.
Sur les manquements sanctionnés :
8. En premier lieu, aux termes du premier paragraphe de l’article 5 du RGPD : « Les données à caractère personnel doivent être : (…) / c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; (…) / e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ; (…) ».
9. D’une part, en retenant que les finalités invoquées par la société Cosmospace ne permettaient pas de justifier l’enregistrement de l’ensemble des appels téléphoniques entre ses clients, d’une part, et ses standardistes ou voyants, d’autre part, y compris dans le contexte particulier des prestations de voyance délivrées, la formation restreinte de la CNIL n’a pas fait une inexacte application du principe de minimisation des données énoncé par ces dispositions.
10. D’autre part, si la société requérante soutient que la conservation des données de ses clients durant six ans serait justifiée par les contraintes spécifiques du secteur dans lequel elle exerce ses activités commerciales, il résulte de l’instruction que cette durée, qui s’écarte significativement de la durée de trois ans recommandée par la CNIL et s’applique notamment à des données sensibles, n’est pas justifiée au regard du principe de limitation de la conservation des données personnelles.
11. En deuxième lieu, aux termes de l’article 9 du même règlement : « 1. Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. / 2. Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie : / a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ; (…) ».
12. Il résulte de l’instruction que le consentement des clients de la société requérante n’était pas recueilli pour le traitement de données personnelles visées par les dispositions citées au point précédent. En estimant que ni la circonstance que les personnes concernées avaient volontairement divulgué ces informations, ni l’information quant à l’existence d’un tel traitement ne pouvaient se substituer au recueil d’un consentement explicite exigé par ces mêmes dispositions, la formation restreinte n’en a pas fait une inexacte application.
13. En troisième lieu, aux termes de l’article L. 34-5 du code des postes et des communications électroniques : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. / Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. (…) ».
14. Il ressort des termes de la délibération attaquée et il résulte de l’instruction qu’au moment du recueil, par la société Cosmospace et sa partenaire, la société Télémaque, dont l’activité principale est le développement et la fourniture de services informatiques et numériques, aux fins de constitution d’une base de données commune de prospects, du consentement à l’utilisation des données personnelles des personnes concernées pour de la prospection commerciale par voie électronique, la mention de l’autre société au nombre des partenaires susceptibles de procéder à de telles opérations de prospection était difficilement accessible, ne permettant pas l’expression d’un consentement suffisamment éclairé à cet égard. Par suite, la société Cosmospace n’est pas fondée à soutenir que la formation restreinte de la CNIL, en retenant qu’elle ne pouvait se prévaloir de ce que le consentement requis par l’article L. 34-5 du code des postes et des communications électroniques aurait été valablement recueilli par la société Télémaque, aurait fait une inexacte application de ces dispositions.
Sur la sanction :
15. Aux termes du IV de l’article 20 de la loi du 6 janvier 1978 : « Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut (…) saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : (…) 7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 (…) ». Aux termes du paragraphe 2 de l’article 83 du RGPD : « Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : / a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ; / b) le fait que la violation a été commise délibérément ou par négligence ; / c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ; / d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ; / e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; / f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ; / g) les catégories de données à caractère personnel concernées par la violation ; / h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; / i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ; / j) l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et / k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. »
16. En premier lieu, en se fondant, pour infliger une amende administrative à la société requérante, sur le fait que les manquements établis portaient sur une règle claire, sur leur caractère multiple et sur ce que cette multiplicité traduisait une négligence de la part de cette société, la formation restreinte de la CNIL n’a pas commis d’erreur de droit ni fait une inexacte application des dispositions qui précèdent.
17. En deuxième lieu, il résulte de l’instruction que, pour fixer à 250 000 euros le montant de la sanction pécuniaire infligée à la société requérante, la formation restreinte de la CNIL s’est fondée, en application des critères prévus aux a), b), f) et g) du paragraphe 2 de l’article 83 du RGPD cité au point 15, tant sur la gravité des manquements retenus que sur la mise en conformité des sociétés pour ce qui concerne le manquement tiré de la méconnaissance de l’article L. 34-5 du code des postes et des communications électroniques. Ce faisant, la formation restreinte de la CNIL, qui n’a pas excédé le plafond fixé par les dispositions citées au point 15, n’a pas prononcé une sanction d’un montant disproportionné.
18. En troisième et dernier lieu, en décidant, compte tenu de la gravité de certains des manquements en cause, du nombre d’utilisateurs concernés, de la position de la société sur le marché et de la portée des traitements, de rendre publique sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, la formation restreinte de la CNIL n’a pas pris de mesure disproportionnée.
19. Il résulte de tout ce qui précède que la société requérante n’est pas fondée à demander l’annulation de la délibération qu’elle attaque. Sa requête doit, par suite, être rejetée, y compris les conclusions présentées sur le fondement de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de la société Cosmospace est rejetée.
Article 2 : La présente décision sera notifiée à la société Cosmospace et à la Commission nationale de l’informatique et des libertés.
Délibéré à l'issue de la séance du 18 septembre 2026 où siégeaient : M. Pierre Collin, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, Mme Rozen Noguellou, M. Nicolas Polge, M. Didier Ribes, conseillers d'Etat, M. Stéphane Eustache, maître des requêtes et Mme Alexandra Poirson, auditrice -rapporteure.
Rendu le 16 octobre 2026.
Le président :
Signé : M. Pierre Collin
La rapporteure :
Signé : Mme Alexandra Poirson
La secrétaire :
Signé : Mme Magali Méaulle
mande et ordonne au Premier ministre en ce qui le concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour le secrétaire du contentieux, par délégation :
N° 499596
ECLI:FR:CECHR:2026:499596.20261016
Mentionné aux tables du recueil Lebon
10ème et 9ème chambres réunies
M. Pierre Collin, président
Mme Alexandra Poirson, rapporteure
Mme Charline Nicolas, rapporteure publique
SAS ZRIBI & TEXIER, avocats
Lecture du vendredi 16 octobre 2026
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et deux nouveaux mémoires, enregistrés les 10 décembre 2024, 11 mars 2025, 19 janvier et 28 avril 2026 au secrétariat du contentieux du Conseil d’État, la société Cosmospace demande au Conseil d’État :
1°) d’annuler la délibération n° SAN-2024-014 du 26 septembre 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative de 250 000 euros assortie d’une publication ;
2°) de mettre à la charge de la CNIL la somme de 4 500 euros au titre de l’article L. 761-1 du code de justice administrative.
La société Cosmospace soutient que cette délibération :
- a été prise au terme d’une procédure irrégulière, dès lors que le contrôle sur place réalisé les 7 et 8 décembre 2021 a été conduit en méconnaissance de l’article 25 du décret du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978, qui prévoit l’information préalable et par écrit du Procureur de la République ;
- a été prise au terme d’une procédure irrégulière, dès lors qu’elle n’a pas été préalablement informée de son droit de se taire ;
- a méconnu son droit à un procès équitable, garanti par le paragraphe 1 de l’article 6 de la CEDH, et le principe du contradictoire, en ce que la formation spécialisée a fixé une clôture d’instruction le jour au cours duquel elle a pris connaissance d’une pièce du dossier ;
- méconnaît le principe de minimisation des données personnelles en ce que la délibération attaquée retient que l’enregistrement des appels n’était pas nécessaire au regard des finalités invoquées ;
- est entachée de méconnaissance du principe de limitation de la durée de conservation des données et d’erreur manifeste d’appréciation en ce qu’elle retient que la durée de six ans de conservation de l’enregistrement de ces appels de six ans était excessive ;
- est entachée d’erreur de droit et de méconnaissance de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) en ce qu’elle considère que l’absence de recueil préalable et explicite du consentement des clients à la collecte de certaines données constitue un manquement ;
- méconnaît l’article L. 34-5 du code des postes et des communications électroniques en ce que la CNIL a retenu un manquement au titre de l’absence de consentement éclairé des personnes concernées à l’utilisation de leurs données personnes à des fins de prospection commerciale par la société Télémaque ;
- méconnaît l’article 83 du RGPD en ce qu’elle retient que les manquements reprochés constituent une négligence et comporte le prononcé d’une sanction disproportionnée.
Par un mémoire en défense et deux nouveaux mémoires, enregistrés les 1er avril et 22 septembre 2025 et 20 février 2026, la CNIL conclut au rejet de la requête. Elle soutient que les moyens soulevés ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- la Constitution, notamment son article 62 ;
- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- le traité sur l’Union européenne ;
- la charte des droits fondamentaux de l’Union européenne ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des postes et des communications électroniques ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-536 du 29 mai 2019 ;
- la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;
Après avoir entendu en séance publique :
- le rapport de Mme Alexandra Poirson, auditrice ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SAS Zribi et Texier, avocat de la société Cosmospace ;
Considérant ce qui suit :
1. Il résulte de l’instruction que, par une délibération du 26 septembre 2024, la formation spécialisée de la Commission nationale de l’informatique et des liberté (CNIL) a prononcé à l’encontre de la société Comospace, qui propose des consultations de voyance personnalisées payantes par téléphone, une amende administrative d’un montant de 250 000 euros en raison de manquements au règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) et à l’article L. 34-5 du code des postes et des communications électroniques et décidé la publication de cette sanction. La société Comospace demande l’annulation de cette délibération.
Sur les moyens de légalité externe :
2. En premier lieu, aux termes de l’article 25 du décret du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 : « Lorsque la commission décide un contrôle sur place, elle en informe préalablement par écrit le procureur de la République dans le ressort territorial duquel doit avoir lieu la visite ou la vérification. / Le procureur de la République est informé au plus tard vingt-quatre heures avant la date à laquelle doit avoir lieu le contrôle sur place. Cet avis précise la date, l'heure, le lieu et l'objet du contrôle. »
3. Il résulte de l’instruction que la CNIL a adressé au procureur de la République le 3 décembre 2021 un courrier, dont il a accusé réception le même jour, l’informant d’une mission de vérification sur place le 7 décembre 2021 et comportant l’ensemble des informations prévues par les dispositions citées au point 2. Par suite, le moyen tiré de ce que la procédure aurait été menée en méconnaissance de ces dispositions doit être écarté.
4. En deuxième lieu, si la société soutient que son droit à un procès équitable devant la formation spécialisée de la CNIL aurait été méconnu du fait qu’elle n’aurait été en mesure de consulter l’une des pièces du dossier que le jour de la clôture de la procédure contradictoire, le 10 juin 2024, il résulte de l’instruction que la société a été invitée par le rapporteur dès le 1er mars 2024, date de la notification de son rapport, à prendre connaissance et copie des pièces du dossier auprès des services de la CNIL et que ce n’est que le 30 mai 2024 qu’elle a demandé à exercer ce droit. Au surplus, elle a eu la faculté d’exprimer ses observations orales sur ce document au cours de la séance devant la formation spécialisée. Le moyen ne peut, par suite, qu’être écarté.
5. En troisième lieu, aux termes de l’article 9 de la Déclaration de 1789 : « Tout homme étant présumé innocent jusqu’à ce qu’il ait été déclaré coupable, s’il est jugé indispensable de l’arrêter, toute rigueur qui ne serait pas nécessaire pour s’assurer de sa personne doit être sévèrement réprimée par la loi. » Il en résulte le principe selon lequel nul n’est tenu de s’accuser, dont découle le droit de se taire. Ces exigences s’appliquent non seulement aux peines prononcées par les juridictions répressives mais aussi à toute sanction ayant le caractère d’une punition. Au nombre de ces sanctions figurent notamment celles susceptibles d’être prononcées par la formation restreinte de la CNIL.
6. Par une décision n° 2025-1154 QPC du 8 août 2025, le Conseil constitutionnel, saisi par le Conseil d’État de la question prioritaire de constitutionnalité soulevée par la société Cosmospace dans le présent litige, a jugé que les dispositions de l’article 22 de la loi du 6 janvier 1978 relatives à la possibilité, pour la personne mise en cause devant la formation spécialisée de la CNIL, de déposer des observations sur le rapport, ainsi qu’à l’audition de cette personne devant la formation spécialisée, méconnaissaient les exigences de l’article 9 de la Déclaration de 1789, faute de prévoir une information de cette personne, ou, s’agissant d’une personne morale, de son représentant légal, de son droit de se taire. Il a toutefois reporté au 1er octobre 2026 la date d’abrogation de ces dispositions et a jugé que les mesures prises avant la publication de sa décision ne pouvaient être contestées sur le fondement de cette inconstitutionnalité. Par suite, le moyen tiré de l’illégalité de la décision contestée au motif de l’inconstitutionnalité des dispositions législatives en application desquelles elle a été prise ne peut, en tout état de cause, qu’être écarté.
7. Enfin, il ne résulte pas de l’instruction que la décision de sanction reposerait de manière déterminante sur les observations écrites présentées par la société à la suite de la notification du rapport, non plus que sur les propos tenus par ses représentants devant la formation restreinte. Dès lors, ne peut, en tout état de cause, qu’être écarté le moyen tiré de ce que la sanction aurait été prononcée en méconnaissance de l’article 6 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et des articles 47 et 48 de la charte des droits fondamentaux de l’Union européenne du fait de l’absence de notification du droit qu’elle avait de se taire.
Sur les manquements sanctionnés :
8. En premier lieu, aux termes du premier paragraphe de l’article 5 du RGPD : « Les données à caractère personnel doivent être : (…) / c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; (…) / e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ; (…) ».
9. D’une part, en retenant que les finalités invoquées par la société Cosmospace ne permettaient pas de justifier l’enregistrement de l’ensemble des appels téléphoniques entre ses clients, d’une part, et ses standardistes ou voyants, d’autre part, y compris dans le contexte particulier des prestations de voyance délivrées, la formation restreinte de la CNIL n’a pas fait une inexacte application du principe de minimisation des données énoncé par ces dispositions.
10. D’autre part, si la société requérante soutient que la conservation des données de ses clients durant six ans serait justifiée par les contraintes spécifiques du secteur dans lequel elle exerce ses activités commerciales, il résulte de l’instruction que cette durée, qui s’écarte significativement de la durée de trois ans recommandée par la CNIL et s’applique notamment à des données sensibles, n’est pas justifiée au regard du principe de limitation de la conservation des données personnelles.
11. En deuxième lieu, aux termes de l’article 9 du même règlement : « 1. Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. / 2. Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie : / a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ; (…) ».
12. Il résulte de l’instruction que le consentement des clients de la société requérante n’était pas recueilli pour le traitement de données personnelles visées par les dispositions citées au point précédent. En estimant que ni la circonstance que les personnes concernées avaient volontairement divulgué ces informations, ni l’information quant à l’existence d’un tel traitement ne pouvaient se substituer au recueil d’un consentement explicite exigé par ces mêmes dispositions, la formation restreinte n’en a pas fait une inexacte application.
13. En troisième lieu, aux termes de l’article L. 34-5 du code des postes et des communications électroniques : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. / Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. (…) ».
14. Il ressort des termes de la délibération attaquée et il résulte de l’instruction qu’au moment du recueil, par la société Cosmospace et sa partenaire, la société Télémaque, dont l’activité principale est le développement et la fourniture de services informatiques et numériques, aux fins de constitution d’une base de données commune de prospects, du consentement à l’utilisation des données personnelles des personnes concernées pour de la prospection commerciale par voie électronique, la mention de l’autre société au nombre des partenaires susceptibles de procéder à de telles opérations de prospection était difficilement accessible, ne permettant pas l’expression d’un consentement suffisamment éclairé à cet égard. Par suite, la société Cosmospace n’est pas fondée à soutenir que la formation restreinte de la CNIL, en retenant qu’elle ne pouvait se prévaloir de ce que le consentement requis par l’article L. 34-5 du code des postes et des communications électroniques aurait été valablement recueilli par la société Télémaque, aurait fait une inexacte application de ces dispositions.
Sur la sanction :
15. Aux termes du IV de l’article 20 de la loi du 6 janvier 1978 : « Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut (…) saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : (…) 7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 (…) ». Aux termes du paragraphe 2 de l’article 83 du RGPD : « Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : / a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ; / b) le fait que la violation a été commise délibérément ou par négligence ; / c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ; / d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ; / e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; / f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ; / g) les catégories de données à caractère personnel concernées par la violation ; / h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; / i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ; / j) l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et / k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. »
16. En premier lieu, en se fondant, pour infliger une amende administrative à la société requérante, sur le fait que les manquements établis portaient sur une règle claire, sur leur caractère multiple et sur ce que cette multiplicité traduisait une négligence de la part de cette société, la formation restreinte de la CNIL n’a pas commis d’erreur de droit ni fait une inexacte application des dispositions qui précèdent.
17. En deuxième lieu, il résulte de l’instruction que, pour fixer à 250 000 euros le montant de la sanction pécuniaire infligée à la société requérante, la formation restreinte de la CNIL s’est fondée, en application des critères prévus aux a), b), f) et g) du paragraphe 2 de l’article 83 du RGPD cité au point 15, tant sur la gravité des manquements retenus que sur la mise en conformité des sociétés pour ce qui concerne le manquement tiré de la méconnaissance de l’article L. 34-5 du code des postes et des communications électroniques. Ce faisant, la formation restreinte de la CNIL, qui n’a pas excédé le plafond fixé par les dispositions citées au point 15, n’a pas prononcé une sanction d’un montant disproportionné.
18. En troisième et dernier lieu, en décidant, compte tenu de la gravité de certains des manquements en cause, du nombre d’utilisateurs concernés, de la position de la société sur le marché et de la portée des traitements, de rendre publique sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, la formation restreinte de la CNIL n’a pas pris de mesure disproportionnée.
19. Il résulte de tout ce qui précède que la société requérante n’est pas fondée à demander l’annulation de la délibération qu’elle attaque. Sa requête doit, par suite, être rejetée, y compris les conclusions présentées sur le fondement de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de la société Cosmospace est rejetée.
Article 2 : La présente décision sera notifiée à la société Cosmospace et à la Commission nationale de l’informatique et des libertés.
Délibéré à l'issue de la séance du 18 septembre 2026 où siégeaient : M. Pierre Collin, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, Mme Rozen Noguellou, M. Nicolas Polge, M. Didier Ribes, conseillers d'Etat, M. Stéphane Eustache, maître des requêtes et Mme Alexandra Poirson, auditrice -rapporteure.
Rendu le 16 octobre 2026.
Le président :
Signé : M. Pierre Collin
La rapporteure :
Signé : Mme Alexandra Poirson
La secrétaire :
Signé : Mme Magali Méaulle
mande et ordonne au Premier ministre en ce qui le concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour le secrétaire du contentieux, par délégation :