Vu la procédure suivante :
Par une requête, enregistrée le 27 octobre 2023 au secrétariat du contentieux du Conseil d'Etat, M. C... B... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision du 23 octobre 2023 par laquelle la présidente de la Commission nationale de l'informatique et des libertés (CNIL) a procédé à la clôture de la procédure de réclamation que M. et Mme B... ont engagée à l'encontre de la société Hoist Finance, relative à un traitement automatisé de données personnelles les concernant géré par cette société et portant sur une créance relative à un prêt personnel ;
2°) d'enjoindre à la CNIL de reprendre cette procédure et de prendre une nouvelle décision sur leurs griefs dans un délai de six mois à compter de la décision du Conseil d'État statuant sur sa requête.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Sophie Delaporte, conseillère d'Etat,
- les conclusions de M. Frédéric Puigserver, rapporteur public ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que la société BNP Paribas Personal Finance a cédé, le 16 décembre 2019, à la société Hoist Finance la créance qu'elle détenait sur M. B... et son épouse au titre d'un prêt immobilier contracté par eux initialement le 8 août 2008 auprès de la société Sygma Banque, et lui a ainsi transféré la responsabilité du traitement de données à caractère personnel ayant pour finalité la gestion de ce prêt. M. et Mme B... ont, par l'intermédiaire d'un mandataire, saisi la Commission nationale de l'informatique et des libertés (CNIL) le 7 avril 2023 d'une réclamation, complétée le 16 septembre 2023, contestant la licéité de ce traitement, ainsi que les conditions dans lesquelles la société Hoist Finance exerce son rôle de responsable du traitement. Par une décision du 23 octobre 2023, dont M. B... demande l'annulation pour excès de pouvoir, la présidente de la CNIL a prononcé la clôture de la réclamation dont elle avait été saisie.
2. En premier lieu, en expliquant que le traitement en cause n'était plus, depuis l'intervention du RGPD, soumis à une autorisation préalable, la présidente de la CNIL a énoncé des éléments de droit et de fait qui ne présentent pas, contrairement à ce qui est allégué, un caractère inintelligible.
3. En deuxième lieu, aux termes de l'article 6 du règlement (UE) du 27 avril 2016 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE, dit RGPD, qui énonce les conditions de licéité des traitements de données à caractère personnel : " 1. Le traitement n'est licite que si et dans la mesure où, au moins une des conditions suivantes est remplie : / (...) / b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; / (...) ".
4. Il ressort des termes mêmes de ces dispositions qui portent sur les conditions de licéité des traitements de données à caractère personnel qu'elles ne peuvent être utilement invoquées pour contester, comme le fait M. B..., la licéité de l'opération de cession de créance entre la société BNP Paribas Personal Finance et la société Hoist Finances. Il ne ressort pas, en outre, des pièces du dossier et des affirmations générales du requérant que le traitement contesté ne serait pas nécessaire à l'exécution du contrat de prêt auquel ce dernier est partie.
5. En troisième lieu, M. B... ne critique pas les précisions apportées par la CNIL pour contrôler en particulier le respect par la société Hoist Finances de ses obligations d'informations découlant de l'article 14 du RGPD qui concerne les hypothèses, où comme ici, les données à caractère personnel n'ont pas été collectées auprès de la personne concernée. S'il allègue cependant que la décision attaquée n'explique pas ce qui aurait interdit à la société Hoist Finances de respecter les articles 12 à 14 du RGPD, il n'assortit son moyen d'aucune précision permettant d'en apprécier le bien-fondé.
6. En dernier lieu, le moyen tiré de ce que la CNIL n'aurait pas exercé le contrôle qui lui incombe pour assurer son droit d'accès et celui de son épouse au traitement en litige, consacré par l'article 15 du RGPD, est également dépourvu des précisions qui permettent d'en apprécier le bien-fondé.
7. Il résulte de tout ce qui précède que M. B... n'est pas fondé à demander l'annulation de la décision du 23 octobre 2023 par laquelle la présidente de la CNIL a procédé à la clôture de la réclamation. Par voie de conséquence, ses conclusions à fin d'injonction ne peuvent qu'être rejetées.
D E C I D E :
--------------
Article 1er : La requête de M. B... est rejetée.
Article 2 : La présente décision sera notifiée à M. C... B... et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 5 décembre 2024 où siégeaient : M. Olivier Yeznikian, conseiller d'Etat, présidant ; Mme Rozen Noguellou, conseillère d'Etat et Mme Sophie Delaporte, conseillère d'Etat-rapporteure.
Rendu le 31 décembre 2024.
Le président :
Signé : M. Olivier Yeznikian
La rapporteure :
Signé : Mme Sophie Delaporte
La secrétaire :
Signé : Mme Marie-Léandre Monnerville
