Vu la procédure suivante :
Par une requête et trois nouveaux mémoires, enregistrés les 27 juillet, 28 juillet, 29 juillet et 6 août 2025, au secrétariat du contentieux du Conseil d'Etat, M. B... A... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 27 février 2024 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte déposée le 23 novembre 2023 relative au traitement de ses données à caractère personnel par le Conseil national des activités privées de sécurité (CNAPS) ;
2°) d'annuler pour excès de pouvoir les décisions implicites par lesquelles la CNIL a rejeté ses plaintes déposées les 6 mars 2024 et 28 mai 2025 relatives au même traitement de données à caractère personnel ;
3°) d'annuler pour excès de pouvoir la mesure par laquelle la Défenseure des droits a, le 1er juillet 2025, clôturé son signalement relatif au même traitement de données à caractère personnel ;
4°) d'enjoindre à la CNIL et à la Défenseure des droits d'engager une enquête sur les manquements commis par le CNAPS et, le cas échéant, d'édicter des sanctions ;
5°) de condamner la CNIL et la Défenseure des droits à lui verser, chacune, une somme de 2 500 euros en réparation des préjudices subis du fait de leur inaction.
Il soutient que :
- la CNIL et la Défenseure des droits ont clôturé à tort ses plaintes dès lors que les données à caractère personnel le concernant contenues dans le fichier des antécédents judiciaires n'ont pas été effacées en temps utile ;
- le traitement des données à caractère personnel le concernant est entaché de fraude et méconnaît l'exercice de son droit à la défense ;
- l'inaction de la CNIL et de la Défenseure des droits dans l'instruction de ses plaintes lui a causé un préjudice moral.
Par un mémoire en défense, enregistré le 25 février 2026, la CNIL conclut au rejet de la requête.
Elle soutient que :
- les conclusions à fin d'annulation de la décision du 27 février 2024 sont tardives et, par suite, irrecevables ;
- les plaintes déposées les 6 mars 2024 et 28 mai 2025 ont été instruites et n'ont pas fait l'objet d'une décision implicite de rejet, en sorte que les conclusions dirigées contre des décisions implicites sont irrecevables ;
- les conclusions indemnitaires présentées par le requérant sont irrecevables en l'absence de présentation d'une réclamation préalable ;
- les moyens soulevés par la requête ne sont pas fondés.
Les parties ont été informées, en application de l'article R. 611- 7 du code de justice administrative, que la décision à intervenir est susceptible d'être fondée sur le moyen d'ordre public relevé d'office, tiré de ce qu'il n'y a plus lieu de statuer sur les conclusions de la requête dirigées contre les décisions implicites par lesquelles la CNIL a clôturé les plaintes présentées les 6 mars 2024 et 28 mai 2025, dès lors que ces plaintes ont été clôturées le 30 janvier 2026 par une décision expresse, qui a implicitement mais nécessairement retiré ces décisions implicites.
Par de nouveaux mémoires, enregistrés les 27 mai, 28 mai, 13 juin et 6 juillet 2026, M. A... déclare, d'une part, se désister purement et simplement des conclusions de sa requête tendant à l'annulation pour excès de pouvoir de la " décision " du 1er juillet 2025 de la Défenseure des droits, à sa condamnation pécuniaire et à ce qu'il lui soit enjoint d'engager une enquête sur les manquements commis par le CNAPS, et, d'autre part, maintenir le surplus des conclusions de sa requête.
Il soutient en outre que :
- le CNAPS a produit tardivement des observations qui ne présentent pas de lien avec le présent litige et qui ne peuvent être prises en compte ;
- le tribunal administratif de Lille a rejeté ses conclusions indemnitaires en raison d'un défaut de liaison du contentieux pour certains faits générateurs.
Des observations ont été présentées le 6 juillet 2026 par le CNAPS.
Des observations, qui n'ont pas été communiquées aux parties, ont été présentées le 7 juillet 2026 par la Défenseure des droits.
Vu les autres pièces du dossier ;
Vu :
- la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-536 du 29 mai 2019 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Stéphane Eustache, maître des requêtes ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
Vu la note en délibéré, enregistrée le 9 juillet 2026, présentée par M. A....
Considérant ce qui suit :
1. M. A... a saisi, les 23 novembre 2023, 6 mars 2024 et 28 mai 2025, la Commission nationale de l'informatique et des libertés (CNIL) de trois plaintes relatives au traitement, par le Conseil national des activités privées de sécurité (CNAPS), de données à caractère personnel relatives à une condamnation pénale prononcée à son encontre en février 2019. M. A... a également saisi la Défenseure des droits d'un signalement portant sur le même traitement, qui a fait l'objet d'une clôture le 1er juillet 2025.
Sur le désistement partiel des conclusions de la requête de M. A... :
2. M. A... a déclaré se désister des conclusions de sa requête tendant, d'une part, à l'annulation pour excès de pouvoir de la mesure par laquelle la Défenseure des droits a, le 1er juillet 2025, prononcé la clôture son signalement, d'autre part, à la condamnation de la Défenseur des droits à réparer le préjudice qu'il estime avoir subi du fait de son inaction et, enfin, à ce qu'il lui soit enjoint d'engager une enquête sur les manquements commis par le CNAPS. Ce désistement partiel est pur et simple. Rien ne s'oppose à ce qu'il en soit donné acte. Dès lors, restent en litige les conclusions de la requête tendant, premièrement, à l'annulation pour excès de pouvoir de la décision du 27 février 2024 par laquelle la CNIL a clôturé sa plainte déposée le 23 novembre 2023, deuxièmement, à l'annulation pour excès de pouvoir des décisions implicites par lesquelles la CNIL a rejeté ses plaintes déposées les 6 mars 2024 et 28 mai 2025, troisièmement, à la condamnation de la CNIL au versement d'une somme de 2 500 euros en réparation du préjudice qu'il estime avoir subi du fait de son inaction, quatrièmement, à ce qu'il soit enjoint à la CNIL d'engager une enquête sur les manquements commis par le CNAPS et, le cas échéant, d'édicter des sanctions.
Sur la décision du 27 février 2024 de clôture de la plainte du 23 novembre 2023 :
3. Il ressort des pièces du dossier que la décision attaquée du 27 février 2024 par laquelle la CNIL a clôturé la plainte du 23 novembre 2023, a été notifiée le jour même à l'intéressé en l'informant des voies et délais de recours et qu'ainsi, le délai de recours contentieux contre cette décision, qui est de deux mois, a commencé à courir à compter de cette date. Par suite, les conclusions de la requête tendant à l'annulation pour excès de pouvoir de cette décision, enregistrées le 27 juillet 2025 au secrétariat du contentieux du Conseil d'Etat, sont, ainsi que le soutient la CNIL, tardives et doivent être dès lors rejetées comme irrecevables.
Sur les décisions implicites de rejet des plaintes des 6 mars 2024 et 28 mai 2025 :
4. D'une part, aux termes du paragraphe 1 de l'article 45 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil : " Chaque État membre prévoit que chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément à la présente directive, sur le territoire de l'État membre dont elle relève ". Aux termes du paragraphe 1 de l'article 46 de la même directive : " Chaque État membre prévoit que, sur son territoire, chaque autorité de contrôle : / (...) / traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association conformément à l'article 55, enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire (...) ".
5. D'autre part, en application du 2° du I de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL " veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France ". A ce titre, comme le prévoit le d) du même 2°, elle " traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire ". L'article 10 du décret du 29 mai 2019 pris pour l'application de cette loi précise que : " (...) Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet ".
6. Il ressort des pièces du dossier que les courriels adressés par la CNIL à M. A... les 7 mars 2024 et 4 juin 2025, portant respectivement sur les plaintes qu'il avait déposées les 6 mars 2024 et 28 mai 2025, informent l'intéressé qu'après une première analyse de leur recevabilité, elles ont été transmises au " service de l'exercice des droits et des plaintes " et qu'en raison du grand nombre de plaintes reçues, " les délais de traitement peuvent être importants ". De telles indications ne peuvent être regardées, en l'espèce, comme ayant été de nature à faire obstacle à la naissance de décisions implicites de rejet de ces deux plaintes, après l'expiration du délai de trois mois fixé par l'article 10 du décret du 29 mai 2019 cité au point précédent.
7. Cependant, il ressort des pièces du dossier que la CNIL a poursuivi l'instruction de ces deux plaintes au-delà de ce délai de trois mois et qu'elle a pris une décision explicite de clôture de celles-ci, le 30 janvier 2026, procédant ainsi au retrait des décisions implicites de rejet nées antérieurement. Par suite, et alors qu'eu égard à la teneur de ses écritures, le requérant ne peut être regardé comme contestant la légalité de cette décision expresse de clôture, qui est devenue définitive, il n'y a pas lieu de statuer sur les conclusions aux fins d'annulation présentées par M. A... contre les décisions implicites par lesquelles la CNIL a rejeté ses plaintes déposées les 6 mars 2024 et 28 mai 2025.
Sur les conclusions indemnitaires :
8. D'une part, aux termes de l'article R. 311-1 du code de justice administrative : " Le Conseil d'Etat est compétent pour connaître en premier et dernier ressort : / (...) / 4° Des recours dirigés contre les décisions prises par les organes des autorités suivantes, au titre de leur mission de contrôle ou de régulation : / (...) / - la Commission nationale de l'informatique et des libertés (...) ". Aux termes de l'article R. 341-1 du même code : " Lorsque le Conseil d'Etat est saisi de conclusions relevant de sa compétence de premier ressort, il est également compétent pour connaître de conclusions connexes relevant normalement de la compétence de premier ressort d'un tribunal administratif ou d'une cour administrative d'appel ". Aux termes de l'article R. 351-4 du même code : " Lorsque tout ou partie des conclusions dont est saisi un tribunal administratif, une cour administrative d'appel ou le Conseil d'Etat relève de la compétence d'une de ces juridictions administratives, le tribunal administratif, la cour administrative d'appel ou le Conseil d'Etat, selon le cas, est compétent, nonobstant les règles de répartition des compétences entre juridictions administratives, pour rejeter les conclusions entachées d'une irrecevabilité manifeste insusceptible d'être couverte en cours d'instance (...) ".
9. Il résulte de ces dispositions que le Conseil d'Etat étant compétent pour connaître en premier ressort, conformément au 4° de l'article R. 311-1 du code de justice administrative, des conclusions tendant à l'annulation des décisions par lesquelles la CNIL a décidé de clôturer les plaintes de M. A..., il l'est également, sur le fondement de l'article R. 341-1 du même code, pour connaître des conclusions indemnitaires de la requête, connexes à ces conclusions d'excès de pouvoir, tendant à la réparation des préjudices nés de ces décisions.
10. D'autre part, aux termes de l'article R. 421-1 du code de justice administrative : " La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée (...) ".
11. Il résulte de l'instruction que M. A... n'a pas présenté auprès de la CNIL de réclamation préalable tendant à l'indemnisation des préjudices qu'il prétend avoir subis en raison des conditions d'instruction de ses plaintes. Par suite, la CNIL est fondée à soutenir que ces conclusions indemnitaires sont irrecevables et qu'elles doivent, pour ce motif, être rejetées.
12. Il résulte de tout ce qui précède qu'il y a lieu de donner acte du désistement partiel demandé par le requérant, qu'il n'y a pas lieu de statuer sur les conclusions de la requête tendant à l'annulation des décisions implicites de rejet prises par la CNIL de ses plaintes des 6 mars 2024 et 28mai 2025 et que les conclusions de la requête tendant à l'annulation de la décision expresse du 27 février 2024 de la CNIL ainsi que celles tendant à la condamnation de la CNIL, doivent être rejetées. Par voie de conséquence, les conclusions aux fins d'injonction présentées par M. A... doivent être rejetées.
D E C I D E :
--------------
Article 1er : Il est donné acte du désistement des conclusions de M. A... tendant à l'annulation pour excès de pouvoir de la mesure par laquelle la Défenseure des droits a, le 1er juillet 2025, prononcé la clôture de son signalement, à sa condamnation et à ce qu'il lui soit enjoint d'engager une enquête sur les manquements commis par le CNAPS.
Article 2 : Il n'y a pas lieu de statuer sur les conclusions de la requête tendant à l'annulation des décisions implicites par lesquelles la CNIL a rejeté les plaintes présentées par M. A... les 6 mars 2024 et 28 mai 2025.
Article 3 : Le surplus des conclusions de la requête est rejeté.
Article 4 : La présente décision sera notifiée à M. B... A... et à la Commission nationale de l'informatique et des libertés.
Copie en sera adressée au Conseil national des activités privées de sécurité et à la Défenseure des droits
Délibéré à l'issue de la séance du 9 juillet 2026 où siégeaient : M. Olivier Yeznikian, assesseur, présidant ; Mme Rozen Noguellou, conseillère d'Etat et M. Stéphane Eustache, maître des requêtes-rapporteur.
Rendu le 27 août 2026
Le président :
Signé : M. Olivier Yeznikian
Le rapporteur :
Signé : M. Stéphane Eustache
La secrétaire :
Signé : Mme Sylvie Leporcq
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :
N° 506651- 2 -
ECLI:FR:CECHS:2026:506651.20260827