RGPD: clôture de plainte et absence de recours art. 78 si non concerné

Droit d’accès RGPD: quand une « clôture de plainte » n’ouvre pas de recours

Le 20 mai 2026, le Conseil d’État a jugé qu’une décision de clôture de plainte par la CNIL n’est pas, en soi, une « décision juridiquement contraignante » au sens de l’article 78 RGPD, si le plaignant n’est pas concrètement concerné par le traitement. Enseignement clé pour vos processus « droits des personnes » au Luxembourg.

L’affaire

Par une décision du 20 mai 2026 (n° 504639, 504641), le Conseil d’État a rejeté le recours d’un ancien élève et de son père contre la décision de la présidente de la CNIL de clore leur plainte visant un article de la « charte RGPD – Parents/Élèves » d’un établissement scolaire privé. Les requérants soutenaient que la charte, publiée après le départ définitif de l’élève, conditionnait l’exercice de certains droits (opposition, portabilité, effacement) à une désinscription de fait, en violation du RGPD. La CNIL avait mis en demeure l’établissement d’ajuster l’information, puis clôturé la plainte au vu des mesures correctrices. Le Conseil d’État retient que: (1) la saisine ne constituait pas une « réclamation » au sens de l’article 77 RGPD, les stipulations litigieuses n’ayant jamais été applicables aux intéressés; et (2) la clôture de la plainte ne constitue pas une « décision juridiquement contraignante » « qui les concerne » au sens de l’article 78 RGPD. Les requérants n’avaient donc pas intérêt à agir contre cette clôture (absence de grief direct). Voir décision intégrale sur Légifrance: Conseil d’État, 20 mai 2026, n° 504639, 504641.

Le raisonnement juridique

• Le RGPD organise deux voies parallèles: (a) la « réclamation » auprès de l’autorité de contrôle (art. 77) et (b) les recours juridictionnels effectifs (art. 78 et 79). L’article 78, paragraphe 1, ouvre un recours « contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne »; le paragraphe 2 ouvre un recours lorsque l’autorité ne traite pas la réclamation ou n’informe pas le plaignant dans les trois mois. Texte officiel: EUR‑Lex, chap. VIII, art. 77–78. Pour un rappel pratique au Luxembourg, voir notre page dédiée au RGPD et ses articles 77–78.
• Pour le Conseil d’État, une clôture de plainte après action de sensibilisation ou de mise en conformité « douce » ne crée pas, par elle‑même, une situation juridique contraignante à l’égard du plaignant — surtout si celui‑ci n’est pas personnellement affecté par le traitement (charte postérieure, pas d’application aux requérants). En conséquence, ni l’article 77 ni l’article 78 ne confèrent, dans un tel cas, un intérêt à agir. Voir le considérant sur l’absence de « décision juridiquement contraignante » et d’« intérêt pour agir » dans l’arrêt du 20 mai 2026.
• Cette lecture s’inscrit dans l’économie du RGPD:
  • L’article 77 garantit la possibilité d’alerter l’autorité; il n’implique pas que toute réponse fasse grief.
  • L’article 78 suppose soit une décision contraignante affectant le plaignant, soit une inertie de l’autorité (silence > 3 mois). CNPD – Chapitre VIII (art. 77–78).
• Convergence avec la pratique des autorités: la CNPD luxembourgeoise indique privilégier la résolution non contraignante quand cela suffit à faire cesser le manquement, sans nécessairement adopter une mesure formelle (injonction, sanction). Une telle issue ne préjuge pas d’un droit au recours si elle ne « concerne » pas juridiquement le plaignant. Voir « Procédure relative aux réclamations » (CNPD): CNPD, procédure réclamations.

Côté « droits d’accès », ce cadre dialoguera avec les lignes directrices de l’EDPB sur l’article 15: l’effectivité du droit dépend d’une demande ciblée, de l’identification et d’une réponse motivée — mais le contentieux de l’article 78 ne s’ouvre pas mécaniquement dès qu’une plainte est clôturée. Voir: EDPB, Guidelines 01/2022 – Right of access.

Ce que ça change concrètement

1. Documenter et clôturer proprement les demandes d’accès (art. 15) et les plaintes associées
   • Rendre une réponse écrite dans le délai d’un mois, prorogeable de deux mois si nécessaire, avec motifs et information sur les voies de droit (réclamation CNPD, art. 77).
   • Si une plainte CNPD survient, coopérer de façon à corriger rapidement l’information ou la documentation (notice, charte, FAQ) — une clôture sans mesure contraignante demeure possible si la conformité est rétablie et si le plaignant n’est pas affecté. Références: EDPB – Droit d’accès, CNPD – Droit d’accès (fiche pratique), CNPD – Droit d’accès (particuliers). Pour structurer ces parcours, l’appui d’un mandat DPO certifié peut sécuriser vos délais et modèles de réponse.
2. Clarifier quand un recours juridictionnel (art. 78) est ouvert — et quand il ne l’est pas
   • Un recours art. 78, §1, vise une décision « juridiquement contraignante » qui « concerne » le requérant (ex.: injonction, sanction prise à son égard). Une simple clôture d’une plainte tiers, ou une action soft de l’autorité, n’entre pas nécessairement dans ce périmètre. EUR‑Lex, art. 78; CE, 20 mai 2026.
   • Un recours art. 78, §2, est envisageable si l’autorité ne traite pas la réclamation ou n’informe pas le plaignant sous trois mois. La CNPD rappelle cette exigence d’information. CNPD – Chapitre VIII.
3. Ajuster vos modèles « information droits » et vos registres
   • Éviter toute clause dissuasive (« l’exercice de vos droits entraîne votre radiation »). Une telle formulation peut déclencher contrôles et correctifs. Pour un cadrage local, voir nos ressources RGPD Luxembourg et conformité CNPD.
   • Prévoir une matrice de réponses types, incluant les motifs de refus partiel (données de tiers, secrets, droits et libertés d’autrui) et la preuve d’identité. L’EDPB insiste sur la granularité et la traçabilité.

Pièges fréquents

• Considérer qu’une clôture de plainte par l’autorité « fait grief » au plaignant dans tous les cas. L’arrêt du 20 mai 2026 rappelle que ce n’est pas automatique: absence d’affectation concrète = pas d’intérêt à agir (art. 78). Conseil d’État, 20 mai 2026.
• Répondre tardivement ou sans voie de droit mentionnée. Le défaut d’information dans les trois mois ouvre un risque de recours art. 78, §2, contre l’autorité et fragilise votre position vis‑à‑vis du plaignant. EUR‑Lex, art. 77–78; CNPD – Chapitre VIII.
• Utiliser des notices « droits » dissuasives ou imprécises. Les formulations ambiguës exposent à une mise en demeure; l’autorité peut demander une correction, même sans sanction formelle. CNPD – Procédure réclamations.
• Confondre plainte (art. 77) et action individuelle (art. 79). La plainte ne remplace pas l’action en responsabilité (art. 82) ni le recours contre le responsable de traitement; vos mentions doivent distinguer clairement ces voies. EUR‑Lex, chap. VIII.
• Négliger la preuve d’identité et la portée de la copie (art. 15, §3). L’EDPB exige une copie des données et non des documents bruts systématiques; la protection des tiers et des secrets demeure un filtre. EDPB – Right of access.

Sources officielles

• Conseil d’État (France), 10e–9e chambres réunies, 20 mai 2026, n° 504639, 504641 (ECLI:FR:CECHR:2026:504639.20260520) — décision intégrale. https://www.legifrance.gouv.fr/ceta/id/CETATEXT000054121355
• Règlement (UE) 2016/679 (RGPD), Chapitre VIII, art. 77–78 — Journal officiel de l’UE (EUR‑Lex). https://eur-lex.europa.eu/eli/reg/2016/679/oj/?locale=fr
• CNPD (Luxembourg) — Chapitre VIII (voies de recours), fiche et pages « droit d’accès »; procédure relative aux réclamations. https://cnpd.public.lu/fr/legislation/droit-europ/union-europeenne/rgpd/chapitre-8.html ; https://cnpd.public.lu/fr/particuliers/vos-droits/droit-acces.html ; https://cnpd.public.lu/fr/actualites/national/2024/04/fiche-droit-acces.html ; https://cnpd.public.lu/fr/decisions-avis/2020/procedure-reclamations.html
• EDPB — Guidelines 01/2022 on data subject rights – Right of access (version finale, 17 avril 2023). https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en

Commentaire régulateur

Au Luxembourg, la CNPD rappelle qu’elle peut privilégier des mesures non contraignantes pour rétablir la conformité, tout en informant le plaignant de l’issue et des voies de droit (art. 77–78). L’arrêt du 20 mai 2026 confirme que cette approche « corrective avant coercitive » n’ouvre pas automatiquement la voie d’un recours juridictionnel au titre de l’article 78 si le plaignant n’est pas concrètement concerné. Pour les DPO/CISO/juristes, l’enjeu est de structurer des procédures d’accès solides, d’ajuster promptement les notices et de tracer, dès l’instant T, la conformité de bout en bout.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.