Dans un arrêt du 18 mars 2019, le Conseil d’Etat s’est prononcé sur la notion de motif légitime permettant à une personne de s’opposer au traitement de ses données à caractère personnel. Une mère s’était opposée à ce que les données personnelles relatives à ses enfants scolarisés dans une école primaire soient enregistrées et conservées dans deux bases de données de l’Education nationale.

Le droit d’opposition permet à toute personne de refuser l’utilisation de ses données personnelles par un responsable de traitement. Antérieurement au Règlement général sur la protection des données (RGPD), l’article 38 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés disposait que ce droit était ouvert à toute personne justifiant de motifs légitimes. Le RGPD maintient le droit d’opposition en modifiant son contenu.

Mathias Avocats vous en dit plus sur la décision du Conseil d’Etat.

Quels étaient les faits ?

La requérante a vu rejetée sa demande d’opposition au traitement des données personnelles de ses enfants dans les bases de données de l’Education nationale « Base élèves premier degré » (BE1D) et « base nationale identifiant élève » (BNIE) par l’inspecteur de l’académie dans une décision du 26 novembre 2010. La requérante a formé un recours pour excès de pouvoir contre cette décision. Le tribunal administratif de Paris a rejeté ce recours dans un jugement rendu le 12 juillet 2013 qui a ensuite été annulé par la Cour administrative d’appel de Paris. Le 27 août 2016, le Conseil d’Etat a annulé ce dernier arrêt et renvoyé l’affaire à nouveau devant la juridiction de second degré. Dans un nouvel arrêt du 25 octobre 2016, celle-ci a prononcé un non-lieu à statuer concernant le rejet de la demande d’opposition de la requérante pour la base BE1D et a confirmé le jugement du tribunal administratif de Paris concernant la base BNIE.

La cour administrative d’appel de Paris avait notamment considéré qu’il n’y avait plus lieu à statuer sur la demande d’opposition au traitement des données de la base BEID, celles-ci ayant été effacées postérieurement à l’introduction de la requête.

Quelle était la réglementation applicable ?

Au moment du litige, la réglementation applicable était la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés non encore modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles. L’article 6 de la loi de 1978 non modifiée pose les principes directeurs relatifs au traitement et à la collecte des données. Ces actions doivent notamment être réalisées de manière loyale et licite pour des finalités déterminées, explicites et légitimes. De plus, la durée de conservation des données à caractère personnel ne doit pas excéder la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

Par ailleurs, l’article 38 alinéa 1^er de la même loi disposait que « toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Toutefois, aucune précision n’a été apportée par le législateur sur la notion de motifs légitimes, à charge pour la jurisprudence de la définir. La Cour de cassation a ainsi jugé dans un arrêt du 28 septembre 2004 que le simple fait d’exercer sa faculté d’opposition au traitement des données concernées constituait en soit un motif légitime d’opposition en matière politique, philosophique ou religieuse, en l’espèce au regard de traitements mis en oeuvre par l’Eglise de scientologie.

Ainsi, une personne ne justifiant pas de motifs légitimes ne pouvait voir accueillir sa demande d’opposition au traitement de ses données personnelles. Cependant, la loi de 1978 prévoyait également deux cas spéciaux dans lesquels l’exercice du droit d’opposition est tout simplement impossible : lorsque le traitement répond à une disposition expresse et lorsque le droit d’opposition a été écarté par une disposition expresse de l’acte autorisant le traitement.

 Quelle est la décision du Conseil d’Etat ?

Dans un arrêt du 18 mars 2019, le Conseil d’Etat a confirmé l’arrêt de la Cour administrative d’appel de Paris en date du 25 octobre 2016 qui avait rejeté la demande d’opposition de la requérante aux traitements des données à caractère personnel relatives à ses enfants dans les deux bases de données tenus par l’Education nationale.

En effet, concernant d’une part la base BEID, la Conseil d’Etat confirme le non-lieu prononcé par la juridiction de second degré. La durée de conservation des données traitées dans cette base ne devant excéder la fin de l’année civile au cours de laquelle l’élève a cessé d’être scolarisé, les données ont été effacées du traitement postérieurement à l’introduction de la requête. De ce fait, la demande d’opposition au traitement formulée par cette dernière était devenue sans objet.

De plus, concernant d’autre part la base BNIE, le Conseil d’Etat a considéré que l’article 38 de la loi de 1978 ouvrant le droit pour toute personne physique de s’opposer pour des motifs légitimes à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement est subordonné « à l’existence de raisons légitimes tenant de manière prépondérante à sa situation particulière ». Or, lors de sa demande d’opposition, la requérante a invoqué des « craintes d’ordre général concernant notamment la sécurité du fonctionnement de la base, sans faire état de considérations qui lui seraient propres ou seraient propres à ses enfants ».

Que retenir ?

Ainsi, l’on peut retenir de cette décision que :

• Une demande d’opposition doit être justifiée par des motifs légitimes tenant de manière prépondérante à la situation particulière de la personne concernée ;
• L’invocation de craintes d’ordre général, sans lien avec la situation personnelle du demandeur, ne constitue pas un motif légitime valable.

Par cet arrêt, le Conseil d’Etat subordonne l’exercice du droit d’opposition à la justification de motifs légitimes tenant à une situation particulière, bien que cette précision ne figure pas dans l’article 38 de la loi de 1978. Toutefois, cette référence n’est pas sans rappeler la tournure de phrase du RGPD s’agissant du droit d’opposition. En effet, l’article 21 du RGPD dispose que « la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant ».

Ainsi cet arrêt impose une plus grande précision quant aux motifs légitimes permettant d’exercer le droit d’opposition.

Mathias Avocats demeure à votre disposition pour toute question portant sur la protection des données à caractère personnel.