Article 78
Droit à un recours juridictionnel effectif contre une autorité de contrôle

Textes
Officiels
Guidelines
& Jurisprudence
Analyse du
droit européen
Analyse du
droit national
Afficher les considérants du Règlement liés à l'article 78 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 78 keyboard_arrow_up

(141) Toute personne concernée devrait avoir le droit d'introduire une réclamation auprès d'une seule autorité de contrôle, en particulier dans l'État membre où elle a sa résidence habituelle, et disposer du droit à un recours juridictionnel effectif conformément à l'article 47 de la Charte si elle estime que les droits que lui confère le présent règlement sont violés ou si l'autorité de contrôle ne donne pas suite à sa réclamation, la refuse ou la rejette, en tout ou en partie, ou si elle n'agit pas alors qu'une action est nécessaire pour protéger les droits de la personne concernée. L'enquête faisant suite à une réclamation devrait être menée, sous contrôle juridictionnel, dans la mesure appropriée requise par le cas d’espèce. L'autorité de contrôle devrait informer la personne concernée de l'état d'avancement et de l'issue de la réclamation dans un délai raisonnable. Si l'affaire requiert un complément d'enquête ou une coordination avec une autre autorité de contrôle, des informations intermédiaires devraient être fournies à la personne concernée. Afin de faciliter l'introduction des réclamations, chaque autorité de contrôle devrait prendre des mesures telles que la fourniture d'un formulaire de réclamation qui peut être également rempli par voie électronique, sans que d'autres moyens de communication soient exclus.

(147) Lorsque le présent règlement prévoit des règles de compétence spécifiques, notamment en ce qui concerne les procédures relatives aux recours juridictionnels, y compris ceux qui visent à obtenir réparation, contre un responsable du traitement ou un sous-traitant, les règles de compétence générales, telles que celles prévues dans le règlement (UE) n° 1215/2012 du Parlement européen et du Conseil1, ne devraient pas porter préjudice à l'application de telles règles juridictionnelles spécifiques.

Afficher les considérants de la Directive 95/46 liés à l'article 78 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 78 keyboard_arrow_up

(55) considérant que, en cas de non-respect des droits des personnes concernées par le responsable du traitement de données, un recours juridictionnel doit être prévu par les législations nationales; que les dommages que peuvent subir les personnes du fait d'un traitement illicite doivent être réparés par le responsable du traitement de données, lequel peut être exonéré de sa responsabilité s'il prouve que le fait dommageable ne lui est pas imputable, notamment lorsqu'il établit l'existence d'une faute de la personne concernée ou d'un cas de force majeure; que des sanctions doivent être appliquées à toute personne, tant de droit privé que de droit public, qui ne respecte pas les dispositions nationales prises en application de la présente directive.

Le GDPR

Le Règlement va plus loin que la Directive : il ne s’agit plus d’une faculté laissée au pouvoir discrétionnaire des États membres d’organiser une procédure de recours, mais bien d’un droit reconnu à toute personne physique ou morale de former un recours juridictionnel effectif contre une décision juridiquement contraignante de l’autorité de contrôle qui la concerne. Le droit à un recours juridictionnel constitue un élément essentiel de la protection des personnes à l’égard des traitements de données à caractère personnel.

Ce droit à un recours juridictionnel s’ouvre déjà lorsque l’autorité de contrôle ne donne pas suite ou n’informe pas la personne concernée dans un délai de 3 mois, ou dans un délai plus court selon les prescriptions du droit national applicable, de l’état d’avancement ou de l’issue de sa réclamation (§ 2).

En principe, il appartient à la personne concernée de saisir les juridictions de l’État membre sur le territoire duquel l’autorité de contrôle est établie (§ 3).

Enfin, le texte européen fait obligation à l’autorité de contrôle de communiquer à la juridiction saisie d’une plainte contre une de ses décisions, l’avis ou la décision du Comité européen à la protection des données, qui aurait été rendu préalablement dans le cadre du mécanisme de cohérence (§ 4).

La Directive

On l’a vu (cfr. commentaire de l’article 77), sous l’empire de la Directive, les États membres devaient mettre en place une procédure permettant à tout citoyen, ou une association le représentant le cas échéant de saisir l’autorité de contrôle compétente, notamment pour vérifier la licéité d’un traitement le concernant.

La Directive prévoyait en outre que les décisions de l’autorité de contrôle « faisant grief » peuvent faire l’objet d’un recours juridictionnel.

France

La qualité d’autorité d’administrative est reconnue à la CNIL qui dispose déjà de véritables pouvoirs de contrôle et de sanction, lui permettant notamment d’infliger des amendes administratives à l’issue d’une procédure de contrôle. Partant, les décisions de la CNIL peuvent faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à partir de leur notification. On peut donc en conclure qu’en droit français, un recours juridictionnel effectif est déjà en place contre les décisions de l’autorité de contrôle.

Difficultés probables ?

L’évolution est de taille. Plusieurs États ne permettaient pas un recours contre les décisions des autorités de contrôle, il est vrai souvent à défaut de pouvoir contraignant de celles-ci. Les États devront donc insérer ce recours dans leur droit interne, selon leurs spécificités procédures propres (tribunaux administratifs, judiciaires, etc. ).

Ainsi, en droit belge, l’implémentation de ce nouveau droit à un recours juridictionnel effectif impliquera obligatoirement de mettre en place une nouvelle procédure. 

On ne serait pas étonné que, comme dans d’autres matières (droit de la concurrence, droit de l’énergie, etc.), le recours soit confié à une chambre spécialisée de la Cour d’appel de Bruxelles (actuellement, la 18ème chambre). La spécialisation requise des magistrats chargés de connaître de ce nouveau recours et l’encombrement actuel de la 18ème chambre plaide cependant pour un renforcement de celle-ci ou de la création d’une autre chambre de ce type.

Règlement
1e 2e

Art. 78

1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.

2. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77.

3. Toute action contre une autorité de contrôle est intentée devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie.

4. Dans le cas d'une action intentée contre une décision d'une autorité de contrôle qui a été précédée d'un avis ou d'une décision du comité dans le cadre du mécanisme de contrôle de la cohérence, l'autorité de contrôle transmet l'avis ou la décision en question à la juridiction concernée.

Proposition 1 close

1. Toute personne physique ou morale a le droit de former un recours juridictionnel contre les décisions d'une autorité de contrôle qui la concernent.

2. Toute personne concernée a le droit de former un recours juridictionnel en vue d’obliger l'autorité de contrôle à donner suite à une réclamation, en l'absence d'une décision nécessaire pour protéger ses droits ou lorsque l’autorité de contrôle, n’informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de sa réclamation conformément à l'article 52, paragraphe 1, point b).

3. Les actions contre une autorité de contrôle sont intentées devant les juridictions de l’État membre sur le territoire duquel l'autorité de contrôle est établie.

4. Toute personne concernée affectée par une décision d'une autorité de contrôle d'un État membre autre que celui dans lequel elle a sa résidence habituelle peut demander à l'autorité de contrôle de l'État membre dans lequel elle a sa résidence habituelle d'intenter une action en son nom contre l'autorité de contrôle compétente de l'autre État membre.

5. Les États membres mettent à exécution les décisions définitives des juridictions visées au présent article.

Proposition 2 close

1. Sans préjudice de tout recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.

2. Sans préjudice de tout recours administratif ou extrajudiciaire, chaque personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle compétente en vertu des articles 51 et 51 bis ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois ou dans un délai plus court prévu par la législation de l'Union ou d'un État membre, de l'état d'avancement ou de l'issue de sa réclamation introduite conformément à l'article 73.

3. (...) Les actions contre une (...) autorité de contrôle sont intentées devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie.

3 bis. Dans le cas d'une action intentée contre une décision d'une autorité de contrôle qui a été précédée d'un avis ou d'une décision du comité européen de la protection des données dans le cadre du mécanisme de contrôle de la cohérence, l'autorité de contrôle transmet l'avis ou la décision en question à la juridiction concernée.

4. (…)

5. (…)

Directive close

Art. 28

(…)

3. (…)

Les décisions de l'autorité de contrôle faisant grief peuvent faire l'objet d'un recours juridictionnel.

Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

Art. 19

Modifié par l'ordonnance n° 2018-1125 du 12 décembre 2018

I. - Les membres de la Commission nationale de l'informatique et des libertés ainsi que les agents de ses services habilités dans les conditions définies au dernier alinéa de l'article 10 ont accès, de 6 heures à 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d'un traitement de données à caractère personnel.

Le procureur de la République territorialement compétent en est préalablement informé.

Lorsqu'un traitement de données à caractère personnel est mis en œuvre, soit dans les parties de ces lieux, locaux, enceintes, installations ou établissements affectées au domicile privé, soit dans de tels lieux, locaux, enceintes, installations ou établissements entièrement affectés au domicile privé, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter, dans les conditions prévues au II du présent article.

II. - Le responsable de ces lieux, locaux, enceintes, installations ou établissements est informé de son droit d'opposition à la visite. Lorsqu'il exerce ce droit, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter, qui statue dans des conditions fixées par décret en Conseil d'Etat. Toutefois, lorsque l'urgence, la gravité des faits à l'origine du contrôle ou le risque de destruction ou de dissimulation de documents le justifie, la visite peut avoir lieu sans que le responsable des locaux en ait été informé, sur autorisation préalable du juge des libertés et de la détention. Dans ce cas, le responsable des lieux ne peut s'opposer à la visite.

La visite s'effectue sous l'autorité et le contrôle du juge des libertés et de la détention qui l'a autorisée, en présence de l'occupant des lieux ou de son représentant qui peut se faire assister d'un conseil de son choix ou, à défaut, en présence de deux témoins qui ne sont pas placés sous l'autorité des personnes chargées de procéder au contrôle.

L'ordonnance ayant autorisé la visite est exécutoire au seul vu de la minute. Elle mentionne que le juge ayant autorisé la visite peut être saisi à tout moment d'une demande de suspension ou d'arrêt de cette visite. Elle indique le délai et la voie de recours. Elle peut faire l'objet, suivant les règles prévues par le code de procédure civile, d'un appel devant le premier président de la cour d'appel. Celui-ci connaît également des recours contre le déroulement des opérations de visite dont la finalité est l'exercice effectif des missions prévues au III.

III. - Pour l'exercice des missions relevant de la Commission nationale de l'informatique et des libertés en application du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, les membres et agents mentionnés au premier alinéa du I du présent article peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles et nécessaires à l'accomplissement de leur mission. Ils peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. Le secret ne peut leur être opposé sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou, sous réserve du deuxième alinéa du présent III, par le secret médical.

Le secret médical est opposable s'agissant des informations qui figurent dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de service de santé. La communication des données médicales individuelles incluses dans cette catégorie de traitement ne peut alors se faire que sous l'autorité et en présence d'un médecin.

En dehors des contrôles sur place et sur convocation, ils peuvent procéder à toute constatation utile. Ils peuvent notamment, à partir d'un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d'un tiers, le cas échéant en accédant et en se maintenant dans des systèmes de traitement automatisé de données le temps nécessaire aux constatations. Ils peuvent retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle.

Pour le contrôle de services de communication au public en ligne, les membres et agents mentionnés au premier alinéa du I peuvent réaliser toute opération en ligne nécessaire à leur mission sous une identité d'emprunt. A peine de nullité, leurs actes ne peuvent constituer une incitation à commettre une infraction. L'utilisation d'une identité d'emprunt est sans incidence sur la régularité des constatations effectuées conformément au troisième alinéa du présent III. Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, précise les conditions dans lesquelles ces membres et agents procèdent dans ces cas à leurs constatations.

Les membres et agents mentionnés au premier alinéa du I peuvent, à la demande du président de la commission, être assistés par des experts.

Il est dressé procès-verbal des vérifications et visites menées en application du présent article. Ce procès-verbal est dressé contradictoirement lorsque les vérifications et visites sont effectuées sur place ou sur convocation.

IV. - Pour les traitements intéressant la sûreté de l'Etat et qui sont dispensés de la publication de l'acte réglementaire qui les autorise en application du III de l'article 31, le décret en Conseil d'Etat qui prévoit cette dispense peut également prévoir que le traitement n'est pas soumis aux dispositions du présent article.

V. - Dans l'exercice de son pouvoir de contrôle portant sur les traitements relevant du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, la Commission nationale de l'informatique et des libertés n'est pas compétente pour contrôler les opérations de traitement effectuées, dans l'exercice de leur fonction juridictionnelle, par les juridictions.

Ancienne loi close

En droit français, un arrêt du Conseil d'état reconnaît à la formation restreinte de la CNIL la qualité de tribunal, au sens de l'article 6 de la convention européenne des droits de l'homme.

En conséquence, les organismes mis en cause peuvent être assistés d'un avocat, peuvent accéder à leur dossier et être entendus lors de la formation restreinte (CE référé, 19 février 2008, n° 311974, SOCIETE PROFIL France).

A compter de la date de notification de la décision de la formation restreinte, l'organisme mis en cause dispose d'un délai de deux mois pour former un recours devant le Conseil d'État contre la décision de la CNIL.

(source : http://www.cnil.fr/linstitution/missions/sanctionner/les-sanctions-de-a-a-z/ .

close