Conseil d'État
N° 508844
ECLI:FR:CECHS:2026:508844.20261020
Inédit au recueil Lebon
10ème chambre jugeant seule
M. Olivier Yeznikian, président
M. Jean de L'Hermite, rapporteur
M. Frédéric Puigserver, rapporteur public
SCP LYON-CAEN, THIRIEZ, avocats
Lecture du mardi 20 octobre 2026
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et un nouveau mémoire, enregistrés les 7 octobre 2025, 6 janvier et 17 juin 2026 au secrétariat du contentieux du Conseil d'Etat, M. G... demande au Conseil d'Etat :
1°) d’annuler pour excès de pouvoir la décision du 7 août 2025 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) l’a informé de la clôture de sa plainte n° P44-86270 dirigée contre la société Orange SA ;
2°) d’enjoindre à la CNIL de prononcer à l’encontre de cette société une sanction dissuasive ;
3°) de mettre à la charge de l’Etat la somme de 5 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Il soutient que la décision de la CNIL qu’il attaque est entachée :
- de défaut de motivation en fait et en droit ;
- d’erreur manifeste d’appréciation en qu’elle s’abstient de prononcer une sanction proportionnée, effective et dissuasive conformément à l’article 83 du règlement sur la protection des données personnelles (RGPD), au regard de la nature et de la gravité des manquements commis à son encontre par la société Orange SA qui avait fait preuve de négligences graves quant à la protection de ses données personnelles, en premier lieu, en divulguant à trois reprises son adresse de domicile personnel en méconnaissance des exigences du c du paragraphe 1 de l’article 5 et de l’article 6 du règlement, portant ainsi atteinte à sa vie privée, en deuxième lieu, en ne respectant pas ses droits d’opposition et d’effacement garantis par les articles 21 et 17 de ce règlement, en troisième lieu, en n’assurant pas contrairement à l’article 32 du même règlement, un niveau de sécurité adapté au risque et, en dernier lieu, en s’abstenant de déclarer à la CNIL les violations des données à caractère personnel en vertu de l’article 33 du même règlement.
Par un mémoire en défense enregistré le 20 avril 2026, la Commission nationale de l'informatique et des libertés conclut au rejet de la requête. Elle soutient que les moyens soulevés par le requérant ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016 ;
- loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Jean de L’Hermite, conseiller d’Etat-rapporteur.
- les conclusions de M. Frédéric Puigserver, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Lyon-Caen, Thiriez, avocat de M. G....
Considérant ce qui suit :
1. M. G... a saisi, le 24 janvier 2025, la Commission nationale de l'informatique et des libertés (CNIL) d'une plainte dirigée contre la société Orange SA, à la suite de la publication à trois reprises les 20 mai, 15 juillet et 22 août 2024, d’une décision du tribunal de commerce à laquelle il était partie sans que soit occultée son adresse personnelle. Par un courrier du 7 mai 2025, la CNIL a prononcé la clôture de la plainte. M. G... demande l’annulation pour excès de pouvoir de cette décision et qu’il soit enjoint à la CNIL de prononcer une sanction dissuasive à l’encontre du responsable du traitement.
2. En premier lieu, la décision de la CNIL de ne pas donner suite à la plainte de M. G... destinée à obtenir le prononcé d’une sanction à l’encontre de la société Orange SA au titre de ses manquements aux articles 5, 6, 17, 21, 32 et 33 règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016 dit règlement sur la protection des données personnelles (RGPD) n’est pas au nombre des décisions individuelles défavorables énumérées à l’article L. 211-2 du code des relations entre le public et l’administration et, en particulier, ne constitue ni une mesure restreignant l’exercice des libertés publiques, ni le refus d’un avantage dont l’attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l’obtenir, eu égard au large pouvoir d’appréciation dont bénéficie la CNIL, saisie d’une plainte qui n’est pas fondée sur l’un des droits individuels reconnus par le RGPD à la personne concernée. Ni les dispositions de ce code, ni aucune autre disposition n’imposent la motivation d’une telle décision. Par suite, le requérant ne peut utilement reprocher à la CNIL d’avoir insuffisamment motivé sa décision.
3. En second lieu, il ressort des pièces du dossier, d’une part, que si la société Orange SA a publié à deux reprises, sur son site internet ou dans l’espace en ligne interne à l’entreprise, une décision juridictionnelle du tribunal de commerce intéressant l’ensemble des salariés actionnaires du groupe sans occulter préalablement l’adresse personnelle de M. G... qui était partie à ce litige, elle a procédé à son retrait sitôt les faits signalés et présenté ses excuses à l’intéressé. Il ressort des mêmes pièces que, d’autre part, la troisième publication non occultée signalée le 22 août 2025 est imputable à une association, représentant des salariés actionnaires de l’entreprise, et non directement à la société Orange SA. En se bornant à adresser à la société Orange SA un rappel à ses obligations légales découlant du règlement général pour la protection des données sans engager de procédure de sanction et en clôturant la plainte de M. G..., il n’apparaît pas, dans les circonstances de l’espèce, que la CNIL, dans l’exercice du large pouvoir d’appréciation qui est le sien, eu égard à la nature des faits en cause et à la gravité des manquements aux différentes dispositions du RGPD invoquées, et compte tenu de l’atteinte qui a pu être portée à la vie privée de l’intéressé, qu’elle aurait commis une erreur de droit ou entaché sa décision d’une erreur manifeste d’appréciation.
4. Il résulte de tout ce qui précède que la requête de M. G... doit être rejetée, y compris les conclusions présentées au titre de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de M. G... est rejetée.
Article 2 : La présente décision sera notifiée à M. O... G... et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 17 septembre 2026 où siégeaient :
M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d'Etat et
M. Jean de de L’Hermite, conseiller d’Etat-rapporteur.
Rendu le 20 octobre 2026.
Le président :
Signé : M. Olivier Yeznikian
Le rapporteur :
Signé : M. Jean de L’Hermite
La secrétaire :
Signé : Mme Sylvie Leporcq
La République mande et ordonne au premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :
N° 508844
ECLI:FR:CECHS:2026:508844.20261020
Inédit au recueil Lebon
10ème chambre jugeant seule
M. Olivier Yeznikian, président
M. Jean de L'Hermite, rapporteur
M. Frédéric Puigserver, rapporteur public
SCP LYON-CAEN, THIRIEZ, avocats
Lecture du mardi 20 octobre 2026
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et un nouveau mémoire, enregistrés les 7 octobre 2025, 6 janvier et 17 juin 2026 au secrétariat du contentieux du Conseil d'Etat, M. G... demande au Conseil d'Etat :
1°) d’annuler pour excès de pouvoir la décision du 7 août 2025 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) l’a informé de la clôture de sa plainte n° P44-86270 dirigée contre la société Orange SA ;
2°) d’enjoindre à la CNIL de prononcer à l’encontre de cette société une sanction dissuasive ;
3°) de mettre à la charge de l’Etat la somme de 5 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Il soutient que la décision de la CNIL qu’il attaque est entachée :
- de défaut de motivation en fait et en droit ;
- d’erreur manifeste d’appréciation en qu’elle s’abstient de prononcer une sanction proportionnée, effective et dissuasive conformément à l’article 83 du règlement sur la protection des données personnelles (RGPD), au regard de la nature et de la gravité des manquements commis à son encontre par la société Orange SA qui avait fait preuve de négligences graves quant à la protection de ses données personnelles, en premier lieu, en divulguant à trois reprises son adresse de domicile personnel en méconnaissance des exigences du c du paragraphe 1 de l’article 5 et de l’article 6 du règlement, portant ainsi atteinte à sa vie privée, en deuxième lieu, en ne respectant pas ses droits d’opposition et d’effacement garantis par les articles 21 et 17 de ce règlement, en troisième lieu, en n’assurant pas contrairement à l’article 32 du même règlement, un niveau de sécurité adapté au risque et, en dernier lieu, en s’abstenant de déclarer à la CNIL les violations des données à caractère personnel en vertu de l’article 33 du même règlement.
Par un mémoire en défense enregistré le 20 avril 2026, la Commission nationale de l'informatique et des libertés conclut au rejet de la requête. Elle soutient que les moyens soulevés par le requérant ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016 ;
- loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Jean de L’Hermite, conseiller d’Etat-rapporteur.
- les conclusions de M. Frédéric Puigserver, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Lyon-Caen, Thiriez, avocat de M. G....
Considérant ce qui suit :
1. M. G... a saisi, le 24 janvier 2025, la Commission nationale de l'informatique et des libertés (CNIL) d'une plainte dirigée contre la société Orange SA, à la suite de la publication à trois reprises les 20 mai, 15 juillet et 22 août 2024, d’une décision du tribunal de commerce à laquelle il était partie sans que soit occultée son adresse personnelle. Par un courrier du 7 mai 2025, la CNIL a prononcé la clôture de la plainte. M. G... demande l’annulation pour excès de pouvoir de cette décision et qu’il soit enjoint à la CNIL de prononcer une sanction dissuasive à l’encontre du responsable du traitement.
2. En premier lieu, la décision de la CNIL de ne pas donner suite à la plainte de M. G... destinée à obtenir le prononcé d’une sanction à l’encontre de la société Orange SA au titre de ses manquements aux articles 5, 6, 17, 21, 32 et 33 règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016 dit règlement sur la protection des données personnelles (RGPD) n’est pas au nombre des décisions individuelles défavorables énumérées à l’article L. 211-2 du code des relations entre le public et l’administration et, en particulier, ne constitue ni une mesure restreignant l’exercice des libertés publiques, ni le refus d’un avantage dont l’attribution constitue un droit pour les personnes qui remplissent les conditions légales pour l’obtenir, eu égard au large pouvoir d’appréciation dont bénéficie la CNIL, saisie d’une plainte qui n’est pas fondée sur l’un des droits individuels reconnus par le RGPD à la personne concernée. Ni les dispositions de ce code, ni aucune autre disposition n’imposent la motivation d’une telle décision. Par suite, le requérant ne peut utilement reprocher à la CNIL d’avoir insuffisamment motivé sa décision.
3. En second lieu, il ressort des pièces du dossier, d’une part, que si la société Orange SA a publié à deux reprises, sur son site internet ou dans l’espace en ligne interne à l’entreprise, une décision juridictionnelle du tribunal de commerce intéressant l’ensemble des salariés actionnaires du groupe sans occulter préalablement l’adresse personnelle de M. G... qui était partie à ce litige, elle a procédé à son retrait sitôt les faits signalés et présenté ses excuses à l’intéressé. Il ressort des mêmes pièces que, d’autre part, la troisième publication non occultée signalée le 22 août 2025 est imputable à une association, représentant des salariés actionnaires de l’entreprise, et non directement à la société Orange SA. En se bornant à adresser à la société Orange SA un rappel à ses obligations légales découlant du règlement général pour la protection des données sans engager de procédure de sanction et en clôturant la plainte de M. G..., il n’apparaît pas, dans les circonstances de l’espèce, que la CNIL, dans l’exercice du large pouvoir d’appréciation qui est le sien, eu égard à la nature des faits en cause et à la gravité des manquements aux différentes dispositions du RGPD invoquées, et compte tenu de l’atteinte qui a pu être portée à la vie privée de l’intéressé, qu’elle aurait commis une erreur de droit ou entaché sa décision d’une erreur manifeste d’appréciation.
4. Il résulte de tout ce qui précède que la requête de M. G... doit être rejetée, y compris les conclusions présentées au titre de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de M. G... est rejetée.
Article 2 : La présente décision sera notifiée à M. O... G... et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 17 septembre 2026 où siégeaient :
M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d'Etat et
M. Jean de de L’Hermite, conseiller d’Etat-rapporteur.
Rendu le 20 octobre 2026.
Le président :
Signé : M. Olivier Yeznikian
Le rapporteur :
Signé : M. Jean de L’Hermite
La secrétaire :
Signé : Mme Sylvie Leporcq
La République mande et ordonne au premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :