Conseil d'État · 10ème et 9ème chambres réunies — 5 juin 2025

Vu les procédures suivantes :
1° Sous le n° 499596, par un mémoire enregistré le 11 mars 2025 au secrétariat du contentieux du Conseil d'État, la société Cosmospace demande au Conseil d'État, en application de l'article 23-5 de l'ordonnance n° 58-1067 du 7 novembre 1958 et à l'appui de sa requête tendant à l'annulation de la délibération de la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL) n° SAN-2024-014 en date du 26 septembre 2024 mettant à sa charge une amende administrative d'un montant de 250 000 euros pour divers manquements au règlement général sur la protection des données (RGPD) et à l'article L. 34-5 du code des postes et communications électroniques et ordonnant la publication de sa délibération dans des conditions permettant d'identifier la société requérante pendant deux ans à compter de cette publication, de renvoyer au Conseil constitutionnel la question de la conformité aux droits et libertés garantis par la Constitution des dispositions des articles 19 et 22 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés en tant qu'elles ne prévoient pas, pour la personne faisant l'objet d'une procédure de sanction par la CNIL, l'information préalable du droit qu'elle a de se taire.
2° Sous le n° 499597, par un mémoire enregistré le 11 mars 2025 au secrétariat du contentieux du Conseil d'État, la société Télémaque demande au Conseil d'État, en application de l'article 23-5 de l'ordonnance n° 58-1067 du 7 novembre 1958 et à l'appui de sa requête tendant à l'annulation de la délibération de la formation restreinte de la CNIL n° SAN-2014-015 en date du 26 septembre 2024 mettant à sa charge une amende administrative d'un montant de 150 000 euros pour divers manquements au RGPD et à l'article L. 34-5 du code des postes et communications électroniques et ordonnant la publication de sa délibération dans des conditions permettant d'identifier la société requérante pendant deux ans à compter de cette publication, de renvoyer au Conseil constitutionnel la question de la conformité aux droits et libertés garantis par la Constitution des dispositions des articles 19 et 22 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés en tant qu'elles ne prévoient pas, pour la personne faisant l'objet d'une procédure de sanction par la CNIL, l'information préalable du droit qu'elle a de se taire.
Vu les autres pièces des dossiers ;
Vu :
- la Constitution, notamment son Préambule et son article 61-1 ;
- l'ordonnance n° 58-1067 du 7 novembre 1958 ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Alexandra Poirson, auditrice,
- les conclusions de Mme Esther de Moustier, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SCP Zribi et Texier, avocat de la société Cosmospace et de la société Télémaque ;
Considérant ce qui suit :
1. Les mémoires présentés à l'appui des requêtes n°s 499596 et 499597 soulèvent les mêmes questions. Il y a lieu de les joindre pour statuer par une seule décision.
2. Aux termes du premier alinéa de l'article 23-5 de l'ordonnance du 7 novembre 1958 portant loi organique sur le Conseil constitutionnel : " Le moyen tiré de ce qu'une disposition législative porte atteinte aux droits et libertés garantis par la Constitution peut être soulevé () à l'occasion d'une instance devant le Conseil d'Etat () ". Il résulte des dispositions de ce même article que le Conseil constitutionnel est saisi de la question prioritaire de constitutionnalité à la triple condition que la disposition contestée soit applicable au litige ou à la procédure, qu'elle n'ait pas déjà été déclarée conforme à la Constitution dans les motifs et le dispositif d'une décision du Conseil constitutionnel, sauf changement des circonstances, et que la question soit nouvelle ou présente un caractère sérieux.
3. D'une part, les dispositions de l'article 19 de la loi du 6 janvier 1978, dans leur rédaction applicable au litige, déterminent l'étendue et les modalités des pouvoirs d'enquête à caractère administratif conférés à la Commission nationale de l'informatique et des libertés (CNIL) pour l'exercice des missions qui lui sont confiées par cette même loi ainsi que par le règlement général sur la protection des données. Elles précisent, en particulier, les conditions dans lesquelles les membres et les agents de la CNIL peuvent accéder aux locaux servant à la mise en œuvre d'un traitement de données à caractère personnel et les cas dans lesquels cet accès est soumis à l'autorisation préalable et au contrôle du juge des libertés et de la détention. Elles prévoient notamment que les membres et agents de la CNIL " peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie " et qu'ils " peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles et nécessaires à l'accomplissement de leur mission ".
4. D'autre part, l'article 22 de la même loi dispose que : " Les mesures prévues aux IV et V de l'article 20 et aux 1° à 7° du I de l'article 21 de la présente loi sont prononcées sur la base d'un rapport établi par l'un des membres de la Commission nationale de l'informatique et des libertés, désigné par le président de celle-ci parmi les membres n'appartenant pas à la formation restreinte. Ce rapport est notifié au responsable de traitement ou à son sous-traitant, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations. La formation restreinte peut entendre toute personne dont l'audition lui paraît susceptible de contribuer utilement à son information, y compris les agents des services de la commission. / La formation restreinte peut rendre publiques les mesures qu'elle prend. Elle peut également ordonner leur insertion dans des publications, journaux et supports qu'elle désigne, aux frais des personnes sanctionnées. / Sans préjudice des obligations d'information qui incombent au responsable de traitement ou à son sous-traitant en application de l'article 34 du règlement (UE) 2016/679 du 27 avril 2016, la formation restreinte peut ordonner que ce responsable ou ce sous-traitant informe individuellement, à ses frais, chacune des personnes concernées de la violation relevée des dispositions de la présente loi ou du règlement précité ainsi que, le cas échéant, de la mesure prononcée./ Lorsque la formation restreinte a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que l'amende administrative s'impute sur l'amende pénale qu'il prononce. / L'astreinte est liquidée par la formation restreinte, qui en fixe le montant définitif. / Les sanctions pécuniaires et les astreintes sont recouvrées comme les créances de l'État étrangères à l'impôt et au domaine. "
5. Les sociétés requérantes reprochent à ces dispositions de ne pas prévoir, en méconnaissance du droit de ne pas s'incriminer soi-même résultant de l'article 9 de la Déclaration des droits de l'homme et du citoyen, l'obligation pour les membres ou agents de la CNIL d'aviser préalablement les gestionnaires de traitement de données à caractère personnel ou leurs représentants de leur droit de garder le silence, au stade de l'enquête comme lors de la procédure de sanction suivie devant la formation restreinte.
6. En premier lieu, les dispositions de l'article 19 de la loi du 6 janvier 1978, relatives aux pouvoirs d'enquête de la CNIL sont en principe mises en œuvre avant l'engagement d'une procédure de sanction. Elles n'ont en outre pas pour objet le recueil, par les enquêteurs de la CNIL, des explications d'une personne portant sur des faits pour lesquels elle serait mise en cause dans le cadre d'une procédure tendant à l'adoption de mesures de sanction à son encontre. Dans ces conditions, elles n'impliquent pas par elles-mêmes que les personnes sollicitées soient préalablement informées du droit qu'elles auraient de se taire. Par suite, la question soulevée par les sociétés Cosmospace et Télémaque, en tant qu'elle porte sur cet article 19, laquelle n'est pas nouvelle, ne présente pas un caractère sérieux. Il n'y a pas lieu de la renvoyer au Conseil constitutionnel.
7. En second lieu, les dispositions de l'article 22 de la loi du 6 janvier 1978, relatives à l'exercice du pouvoir de sanction de la CNIL, sont applicables au litige. Elles n'ont pas déjà été déclarées conformes à la Constitution par le Conseil constitutionnel. L'appréciation du grief tiré de ce qu'elles porteraient atteinte aux droits et libertés garantis par la Constitution suppose, notamment, de déterminer si l'obligation pour une autorité administrative indépendante investie d'un pouvoir de sanction d'informer les personnes poursuivies de leur droit de garder le silence s'applique aux personnes morales et, dans l'affirmative, selon quelles modalités. La question prioritaire de constitutionnalité soulevée par les sociétés requérantes, en tant qu'elle porte sur cet article 22, présente ainsi un caractère sérieux. Par suite, il y a lieu de la renvoyer au Conseil constitutionnel.
D E C I D E :
--------------
Article 1er : Il n'y a pas lieu de renvoyer au Conseil constitutionnel la question de la conformité aux droits et libertés garantis par la Constitution de l'article 19 de la loi n° 78-17 du 6 janvier 1978.
Article 2 : La question de la conformité à la Constitution de l'article 22 de la loi n° 78-17 du 6 janvier 1978 est renvoyée au Conseil constitutionnel.
Article 3 : Il est sursis à statuer sur les requêtes des sociétés Cosmospace et Télémaque jusqu'à ce que le Conseil constitutionnel ait tranché la question de constitutionnalité mentionnée à l'article 2.
Article 4 : La présente décision sera notifiée à la société Cosmospace, à la société Télémaque, au ministre d'Etat, garde des sceaux, ministre de la justice et à la Commission nationale de l'informatique et des libertés.
Copie en sera adressée au Premier ministre.
Délibéré à l'issue de la séance du 28 mai 2025 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, M. Nicolas Polge, M. Vincent Daumas, Mme Rozen Noguellou, M. Didier Ribes, conseillers d'Etat et Mme Alexandra Poirson, auditrice-rapporteure.
Rendu le 5 juin 2025.
Le président :
Signé : M. Jacques-Henri Stahl
La rapporteure :
Signé : Mme Alexandra Poirson
La secrétaire :
Signé : Mme Magali Méaulle
Nos 499596, 499597