Vu la procédure suivante : Par une requête et un mémoire en réplique, enregistrés les 1er septembre 2025 et 17 mars 2026 au secrétariat du contentieux du Conseil d'Etat, Mme A... B... demande au Conseil d'Etat d'annuler pour excès de pouvoir la décision du 25 mars 2025 par laquelle la Commission nationale pour l'informatique et les libertés (CNIL) a clôturé sa plainte du 8 avril 2024, enregistrée sous le n° 2400538, relative au refus partiel d'accès aux données personnelles la concernant qui lui a été opposé par la chambre d'agriculture du Loiret et la décision implicite par laquelle la CNIL a rejeté sa plainte du 10 mars 2025 relative au refus d'accès à ses données à caractère personnel pour la période postérieure au 27 février
- Elle soutient que : - les décisions de clôture sont intervenues alors qu'il existe encore des données à caractère personnel la concernant qui ne lui ont pas été communiquées par la chambre d'agriculture du Loiret ; - la CNIL ne l'a pas avisée dans le délai de trois mois qui lui est imparti par l'article 78 du RGPD, des suites données à ses plaintes ; - la CNIL a méconnu les articles 51, 2 et 57, 1, a du RGPD en ce qu'elle a clôturé ses plaintes sans attendre les explications du responsable de traitement ; - la CNIL a méconnu l'article 82 du RGPD en renversant la charge de la preuve de la réalité de la communication de ses données personnelles. Par un mémoire en défense, enregistré le 18 février 2026, la CNIL conclut au rejet de la requête. Elle soutient qu'à la suite d'une erreur dans le traitement du courrier du 10 mars 2025, elle a, dès réception du courrier de relance du 19 juin 2026, procédé à la réouverture de l'instruction du dossier de la première plainte n° 2400538 et instruit la seconde plainte enregistrée sous le n°
- Vu les autres pièces du dossier ; Vu : - le règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 modifiée ; - le décret n° 2019-536 du 29 mai 2019 modifié ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Bruno Delsol, conseiller d'Etat, - les conclusions de Mme Charline Nicolas rapporteure publique ; Considérant ce qui suit :
- En premier lieu, il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés qu'il appartient à la Commission nationale de l'informatique et des libertés (CNIL) de procéder, lorsqu'elle est saisie d'une plainte ou d'une réclamation tendant à la mise en œuvre de ses pouvoirs, à l'examen des faits qui en sont à l'origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d'un large pouvoir d'appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge.
- L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus de la CNIL d'y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d'illégalité externe et, au titre du bien-fondé de la décision, en cas d'erreur de fait ou de droit, d'erreur manifeste d'appréciation ou de détournement de pouvoir. Lorsqu'il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, le pouvoir d'appréciation de la CNIL pour décider des suites à y donner s'exerce, eu égard à la nature du droit individuel en cause, sous l'entier contrôle du juge de l'excès de pouvoir.
- En second lieu, d'une part, en application de l'article 77 du RGPD, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. Cette autorité de contrôle informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'exercer un recours juridictionnel en vertu de l'article 78 lorsque l'autorité de contrôle compétente ne traite pas sa réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de sa réclamation.
- D'autre part, en application du d) du 2° du I de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête est nécessaire. L'article 10 du décret du 29 mai 2019 pris pour l'application de cette loi précise que : " (...) Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet ".
- Il ressort des pièces du dossier que, les 8 avril 2024 et 10 mars 2025, Mme B... a saisi la CNIL de deux plaintes relatives aux refus d'accès aux données à caractère personnel la concernant intervenus successivement avant et après le 27 février 2024 et qui lui ont été opposés par la chambre d'agriculture du Loiret en tant que responsable de traitement. En dépit des courriers de relance qu'elle a adressés à la CNIL, celle-ci n'a pas, dans le délai de trois mois prescrit par l'article 10 du décret du 29 mai 2019 cité au point précédent, donné suite aux plaintes dont elle avait été saisie. Il ressort toutefois des pièces du dossier, d'une part, qu'elle a continué de les instruire après la naissance de ces décisions implicites de rejet puis, d'autre part, a procédé à leur clôture définitive par sa décision du 3 septembre 2025 qui doit être regardée, dans les circonstances de l'espèce, comme s'étant substituée à celle du 24 mars 2025 par laquelle elle avait prononcé une première clôture de sa plainte initiale. Enfin, par un courrier du 9 septembre 2025 adressé à Mme B..., la chambre d'agriculture a précisé qu'il n'existait dans les traitements de données à caractère personnel qu'elle met en œuvre aucune autre donnée personnelle la concernant que celles qui lui avaient déjà été transmises le 7 mars
- Il résulte, tout d'abord, de ce qui précède qu'il n'y a pas lieu de statuer sur les conclusions aux fins d'annulation pour excès de pouvoir présentées par Mme B... à l'encontre des décisions implicites de rejet qui lui ont été opposées par la CNIL.
- Il ne ressort pas, ensuite, des pièces du dossier qu'en procédant, par sa décision du 3 septembre 2025, à la clôture des plaintes que Mme B... lui avait adressées au titre de son droit d'accès aux données à caractère personnel la concernant traités par la chambre d'agriculture du Loiret, la CNIL se serait fondée sur des faits matériellement inexacts ou aurait commis une erreur de droit ou une erreur d'appréciation. Il s'ensuit que Mme B... n'est pas fondée à demander l'annulation de la décision du 3 septembre
- D E C I D E : -------------- Article 1er : Il n'y a pas lieu de statuer sur les conclusions de la requête de Mme B... tendant à l'annulation des décisions implicites de rejet nées du silence gardé par la CNIL sur les plaintes qui lui avait été adressées les 8 avril 2024 et 10 mars
- Article 2 : Les conclusions de sa requête tendant à l'annulation de la décision du 3 septembre 2025 par laquelle la CNIL a procédé à la clôture définitive de ses plaintes, sont rejetées. Article 3 : La présente décision sera notifiée à Mme A... B... et à la Commission nationale de l'informatique et des libertés. Copie en sera adressée à la chambre d'agriculture du Loiret. Délibéré à l'issue de la séance du la séance du 16 avril 2026 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d'Etat et M. Bruno Delsol, conseiller d'Etat-rapporteur. Rendu le 16 juillet
- Le président : Signé : M. Bertrand Dacosta Le rapporteur : Signé : M. Bruno Delsol La secrétaire : Signé : Mme Marie-Léandre Monnerville La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision. Pour expédition conforme, Pour la secrétaire du contentieux, par délégation : No 507759- 2 -