Comment contester une sanction de la CNIL ?

La CNIL peut prononcer différentes sanctions à l’égard des responsables de traitement ou de sous-traitants en cas de violation du RGPD ou de la loi informatique et libertés. Plusieurs recours sont ouverts pour contester ces délibérations.

Le recours "classique" en pleine juridiction

Les décisions par lesquelles la formation restreinte de la CNIL prononce des sanctions, sur le fondement de l’article 45 ou 46 de la loi informatique et libertés, sont susceptibles de recours en plein juridiction devant le Conseil d’Etat. Cela signifie que le Conseil peut non seulement confirmer annuler, mais aussi modifier, réformer ou remplacer la décision de la CNIL.

Le Conseil d’Etat a par exemple pu annuler des délibérations de la CNIL prononçant des amendes pécuniaires à l’égard de responsables de traitement, au motif par exemple que les contrôleurs de la CNIL n’avaient pas informer le responsable des locaux de la possibilité de s’opposer à leurs opérations de contrôle, au cours desquels ils avaient relevé les manquements ayant donné lieu à sanction (Conseil d’Etat, 7 juillet 2010, décision n° 309721). Le Conseil d’Etat encadre ainsi non seulement les pouvoirs d’investigation de la CNIL, mais aussi ses pouvoirs de sanctions puisqu’il a notamment prononcé l’annulation d’une décision de sanction, dès lors qu’elle avait été publiée sur le site de la CNIL et sur Legifrance sans que la formation restreinte ne précise la durée à l’issue de laquelle sa délibération serait anonymisée (Conseil d’Etat, 28 septembre 2016, décision n° 389448).

À compter de la date de notification ou de la publication de la décision de la formation restreinte, l'organisme mis en cause dispose d'un délai de deux mois pour former un recours. Cependant, la décision attaquée est exécutoire dès sa notification, et le recours formé devant le conseil d’Etat n’a pas d’effet suspensif.

Le principal inconvénient d’un tel recours est la longueur de la procédure ; aussi peut-il être préférable en certaines hypothèses de recourir aux procédés utilisables en cas d’urgence, les référés.

Les procédures d’urgence

Certaines des procédures de référé prévues par le Code de justice administrative peuvent être utilisées pour agir contre une décision de la CNIL, et notamment le référé-suspension et le référé-

Le référé-suspension, prévu par l’article L521-1 du Code de la justice administrative, permet de demander au juge des référés du Conseil d’Etat de suspendre temporairement l’exécution d’une décision administrative dans l’attente d’un verdict au fond.

Pour qu’un tel référé aboutisse, il faut que la décision fasse l’objet d’une requête en annulation ou en réformation, que l’urgence justifie cette procédure (par exemple si la CNIL décide de rendre publique la sanction prononcée) et qu’il existe un doute sérieux quant à sa légalité.

Selon le degré d’urgence, la décision de suspendre l’exécution de la décision peut être prise dans un délai allant de 48 heures à 1 mois.

Lorsque la suspension est prononcée, il est statué sur la requête en annulation ou en réformation de la décision dans les meilleurs délais. En effet, la mesure de suspension prononcée par le juge des référés est provisoire ; elle cesse de produire son effet dès que le Conseil d’Etat se prononce au fond

Le référé-liberté, prévu à l’article L521-2 du Code de la justice administrative, permet d’obtenir du juge des référés du Conseil d’Etat toutes mesures nécessaires à la sauvegarde d’une liberté fondamentale à laquelle la formation restreinte de la CNIL aurait porté une atteinte grave et manifestement illégale.

Ainsi, pour pouvoir engager un tel référé, il faut non seulement justifier d’une urgence rendant nécessaire une intervention rapide du juge, mais également démontrer qu’une liberté fondamentale est en cause et que l’atteinte qui lui est portée est grave et manifestement illégale. Le juge des référés se prononce alors dans un délai de 48 heures.

Les recours devant le juge judiciaire

Certains éléments du contentieux relatifs aux contrôles de la CNIL échappent à la compétence du juge administratif. Ainsi, l’ordonnance rendue par le juge de la liberté et de la détention ayant autorisé un contrôle de la CNIL après opposition à la visite par le responsable des locaux est susceptible d’appel devant le premier président de la cour d’appel. Ce dernier est également compétent pour connaître des recours contre le déroulement des opérations de visite autorisées par le juge des libertés et de la détention.

L’appel doit être formé dans un délai de 15 jours après la notification de l’ordonnance dans le premier cas et du procès-verbal de visite dans le second, et n’est pas suspensif.