Consécration du pouvoir de sanction de la CNIL (CE référés, 19 février 2008)

La CNIL, autorité administrative indépendante créée par la loi du 1er janvier 1978 afin de surveiller la gestion des données personnelles dans les secteurs public et privé, s’efforce de communiquer régulièrement sur la nécessité pour chacun de protéger les données personnelles qui le concernent.

Outre le manque de moyens, la CNIL insiste régulièrement sur l’absence de conscience, chez les entreprises comme les particuliers, des enjeux de l’utilisation des données personnelles. Alors que la CNIL voudrait voir constitutionnalisée la protection des données, le Conseil d’Etat, à sa façon, est venu renforcer le discours de la CNIL, en entérinant les pouvoirs juridictionnels dont elle dispose, notamment depuis la réforme du 6 août 2004.

Par délibération du 28 juin 2007, une société Profil France s’était vue enjointe par la CNIL de cesser la mise en œuvre d’un traitement de données personnelles, et suite au constat de la persistance des irrégularités la CNIL avait condamné Profil France à payer une lourde amende de plus d’un an de bénéfice.

Profil France avait pour objet l’identification et la poursuite de créanciers récalcitrants, mais usait à cette fin de nombreuses données personnelles collectées de façon déloyale par usurpation de titres et fonctions, voire simplement interdites à la collecte.

La société Profil France a introduit un recours devant le Conseil d’Etat en s’appuyant sur divers points de procédure, et notamment en reprochant au président de la CNIL d’avoir diligenté seul une procédure de contrôle. Profil France arguait également de différentes irrégularités de procédure, dont la confusion des phases d’instruction et de jugement, et estimait que la CNIL avait violé le principe du contradictoire pour n’avoir pas levé l’anonymat des dénonciations qui l’avaient conduites à agir.

Balayant l’ensemble des arguments avancés par la plaignante, le Conseil d’Etat a estimé que le caractère contradictoire, régulier et impartial du contrôle mené par la CNIL, ainsi que le caractère proportionné de la décision en résultant, étaient établis. Ni l’initiative de la CNIL ni son administration de l’instruction n’étaient contraire aux dispositions de l’article 6-1 de la Convention Européenne des Droits de l’Homme (CEDH), invoqué par Profil France.

Le Conseil d’Etat a énoncé à cette occasion que la CNIL pouvait être regardée comme une juridiction au sens de l’article 6-1 de la CEDH, et que bien que pouvant s’émanciper du principe de séparation de l’instruction et du jugement, la CNIL avait respecté les exigences de contradictoire et d’impartialité, qui conféraient à sa décision un caractère licite et équitable.

La Commission, qui ne fait usage de ses  pouvoirs de sanction qu’après avoir mis en demeure le responsable du traitement de respecter les obligations imposées par les textes législatifs et réglementaires, a donc respecté les droits de la défense tout au long de l’instruction et dans sa décision. C’est la première fois que le Conseil d’Etat reconnaît que la CNIL est une « juridiction, eu égard à sa nature, à sa composition et à ses attributions ».

La CNIL ressort ainsi renforcée dans ses pouvoirs de contrôle et de sanction.