Conseil d'État · 10ème chambre — 7 juin 2018

Vu la procédure suivante :
Par une requête et un mémoire en réplique, enregistrés le 31 janvier 2018 et le 27 avril 2018 au secrétariat du contentieux du Conseil d'Etat, M. B... demande au Conseil d'Etat d'annuler pour excès de pouvoir, d'une part, la décision du 25 août 2017 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte n° 15031142 à l'encontre de la caisse primaire d'assurance maladie (CPAM) de Seine-et-Marne relative à l'exercice de son droit d'accès à ses données personnelles, et, d'autre part, la décision du 6 décembre 2017 de rejet par la CNIL de son recours gracieux contre la décision du 25 août 2017.
Vu les autres pièces du dossier ;
Vu :
- le code de la sécurité sociale ;
-la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Pierre Ramain, maître des requêtes,
- les conclusions de M. Edouard Crépey, rapporteur public ;
Vu la note en délibéré présentée par M.B..., enregistrée le 30 mai 2018 ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que, par une plainte déposée le 6 novembre 2015, M. B... a demandé à la Commission nationale de l'informatique et des libertés (CNIL) d'une part, que lui soient communiquées les données personnelles, gérées par la caisse primaire d'assurance maladie (CPAM) de Seine-et-Marne, relatives à son dossier de demande d'allocation supplémentaire d'invalidité depuis le 1er janvier 2014, et, d'autre part, que lui soient apportées les garanties relatives à la sécurité et à la protection des données gérées par la caisse dans ce cadre. Après avoir été rappelée par la CNIL à ses obligations de communication des données à caractère personnel et de sécurité par un courrier du 13 février 2017, la CPAM de Seine-et-Marne a transmis les documents à M.B..., qui a demandé la communication de données complémentaires. Ces dernières lui ont été adressées le 24 juillet 2017. La présidente de la CNIL a, par une décision du 25 août 2017, clôturé la plainte de M.B.... Le 6 décembre 2017, elle a rejeté le recours gracieux formé par ce dernier contre la décision de clôture de plainte. M. B... demande l'annulation pour excès de pouvoir de ces deux décisions.
2. Aux termes de l'article 11 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. Elle exerce les missions suivantes : / (...) 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en oeuvre conformément aux dispositions de la présente loi. / A ce titre, / (...) c) Elle reçoit les réclamations, pétitions et plaintes relatives à la mise en oeuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci. (...) ". Aux termes de l'article 31 de cette même loi : " La commission met à la disposition du public, dans un format ouvert et aisément réutilisable, la liste des traitements automatisés ayant fait l'objet d'une des formalités prévues par les articles 23 à 27, à l'exception de ceux mentionnés au III de l'article 26 ". Il résulte de ces dispositions qu'il appartient à la CNIL, lorsqu'elle est saisie d'une demande tendant à la mise en oeuvre de ses pouvoirs, de procéder à l'examen des faits qui sont à l'origine de la plainte et de décider des suites à leur donner. Elle dispose, à cet effet, d'un large pouvoir d'appréciation et peut tenir compte de l'ensemble des intérêts généraux dont elle a la charge.
3. En premier lieu, il ressort des pièces du dossier que, par son courrier en date du 6 décembre 2017 portant rejet du recours gracieux de M. B...contre la décision du 25 août 2017 clôturant sa plainte, la CNIL a, d'une part, communiqué à ce dernier la liste des traitements automatisés de la CPAM de Seine-et-Marne ayant fait l'objet d'une déclaration ou d'une autorisation et, d'autre part, l'a invité à consulter en ligne le site internet de l'assurance maladie, qui tient à la disposition du public l'ensemble des traitements automatisés gérés par les caisses primaires d'assurance maladie. Si M. B...reproche à la CNIL de ne pas l'avoir informé de l'existence du traitement dénommé " Echanges inter-régimes de retraites ", il résulte des dispositions de l'article R. 161-69-1 du code de la sécurité sociale que ce traitement, qui a pour seul objet de calculer le montant des prestations de vieillesse, n'est pas géré par les caisses primaires d'assurance maladie mais par la caisse nationale d'assurance vieillesse. Par suite, le moyen tiré de ce que M. B...n'aurait pas obtenu la communication de la liste des traitements automatisés gérés par la CPAM de Seine-et-Marne ne peut qu'être écarté.
4. En second lieu, il ressort des pièces du dossier que, par un courrier du 13 février 2017, la CNIL d'une part, a rappelé à la CPAM de Seine-et-Marne ses obligations en matière de communication des données personnelles et de préservation et de sécurité de ces données, et, d'autre part, l'a invitée à lui rendre compte des mesures mises en oeuvre pour assurer l'intégrité et la sécurité des données qu'elle gère. Dans ses courriers en réponse des 6, 20 et 21 juillet 2017 et du 30 janvier 2018, la CPAM a apporté les informations utiles et présenté les garanties prises tant pour la communication au requérant de l'intégralité des données le concernant que pour le respect de l'intégrité et de la sécurité des données saisies dans les traitements qu'elle gère. Il s'ensuit qu'en décidant, au vu de ces précisions, de clôturer la plainte de M. B...et de rejeter son recours gracieux, la CNIL n'a commis aucune erreur manifeste d'appréciation.
5. Il résulte de tout ce qui précède que la requête de M. B...doit être rejetée.
D E C I D E :
--------------
Article 1er : La requête de M. B...est rejetée.
Article 2 : La présente décision sera notifiée à M. A...B...et à la Commission nationale de l'informatique et des libertés.