En clair
Ce que décide cet arrêt, en clair
Une locataire avait déposé une plainte auprès de la CNIL (Commission nationale de l'informatique et des libertés) contre la société gérant son bail immobilier, lui reprochant de traiter ses données personnelles sans avoir réalisé au préalable une analyse d'impact. La CNIL avait classé (clôturé) cette plainte, estimant que cette analyse n'était pas obligatoire dans ce cas. La locataire a demandé au Conseil d'État d'annuler cette décision de classement (recours pour excès de pouvoir, c'est-à-dire un recours visant à faire annuler une décision administrative illégale) et, à titre subsidiaire, de poser une question préjudicielle à la Cour de justice de l'Union européenne. Le Conseil d'État a rejeté sa requête : la CNIL n'a pas commis d'erreur en classant la plainte.
À retenir
- Le RGPD (règlement européen sur la protection des données) impose une analyse d'impact préalable uniquement quand le traitement de données est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
- Le Conseil d'État juge que le traitement de données réalisé par une société de gestion de biens immobiliers dans le cadre de baux locatifs ne présente pas un tel risque élevé.
- La CNIL pouvait donc légalement clôturer la plainte sans exiger d'analyse d'impact de la part du gestionnaire du bail.
- La locataire perd : sa requête est rejetée, et le Conseil d'État refuse aussi de saisir la Cour de justice de l'Union européenne d'une question préjudicielle sur ce sujet.
Résumé rédigé par Loilà à partir de la décision ci-dessous, qui seule fait foi.
Texte intégral
Vu la procédure suivante :
Par une requête, enregistrée le 4 octobre 2020 au secrétariat du contentieux du Conseil d'Etat, Mme A... B... demande au Conseil d'Etat :
1°) à titre principal, d'annuler pour excès de pouvoir la décision du 24 septembre 2020 par laquelle le secrétaire général de la Commission nationale de l'informatique et des libertés (CNIL) a clôturé la plainte présentée pour son compte par son père, M. E... B..., et relative au traitement de ses données à caractère personnel par la société Geleau ;
2°) à titre subsidiaire, de saisir la Cour de justice de l'Union européenne d'une question préjudicielle portant sur l'interprétation de l'article 35 du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD).
Elle soutient que la CNIL a méconnu l'article 35 du règlement général sur la protection des données en estimant que le traitement de ses données personnelles n'était pas soumis à l'obligation d'une analyse d'impact préalable.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative et le décret n° 2020-1406 du 18 novembre 2020 ;
Après avoir entendu en séance publique :
- le rapport de Mme D... C..., conseillère d'Etat,
- les conclusions de M. Laurent Domingo, rapporteur public ;
Considérant ce qui suit :
1. Mme A... B... demande l'annulation de la décision du 24 septembre 2020 par laquelle le secrétaire général de la Commission nationale de l'informatique et des libertés (CNIL) a clôturé la plainte présentée pour son compte par son père à l'encontre du traitement de ses données à caractère personnel mis en oeuvre par la société Geleau, gestionnaire de son contrat de bail d'un bien immobilier.
2. Les dispositions du 1 de l'article 35 du règlement du Parlement européen et du Conseil du 27 avril 2016, dit règlement général sur la protection des données, prévoient l'obligation de réaliser au préalable une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel lorsqu'un tel traitement " en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ".
3. Il ne ressort pas des pièces du dossier que le traitement des données collectées par la société Geleau dans le cadre de la gestion des baux de biens immobiliers serait de nature à engendrer un risque élevé pour les droits et libertés des personnes physiques au sens des dispositions citées au point 2. Il s'ensuit que la requérante n'est, en tout état de cause, pas fondée à soutenir que la CNIL a méconnu ces dispositions en décidant de clôturer sa plainte en dépit de l'absence d'analyse d'impact préalable portant sur la protection des données qui font l'objet d'un traitement par la société Geleau.
4. Il résulte de ce qui précède, sans qu'il y ait lieu de saisir la Cour de justice de l'Union européenne d'une question préjudicielle, que Mme B... n'est pas fondée à demander l'annulation de la décision qu'elle attaque.
D E C I D E :
--------------
Article 1er : La requête de Mme B... est rejetée.
Article 2 : La présente décision sera notifiée à Mme A... B....
Copie en sera adressée à la Commission nationale de l'informatique et des libertés.