Conseil d’État, 18 mai 2026, req. n°505172
Mme B… a subi au centre hospitalier universitaire de Bordeaux une première intervention chirurgicale le 24 octobre 2018, puis une seconde le 5 mai 2020, au cours de laquelle un prélèvement biologique a été réalisé.
Mme A… B… a saisi le 20 février 2025 la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte relative à l’utilisation de ses données de santé par le centre hospitalier universitaire de Bordeaux. La CNIL a prononcé la clôture de cette plainte par une décision du 1er avril 2025, confirmée le 29 avril 2025 à la suite d’un recours gracieux de l’intéressée. Mme B… demande l’annulation de cette décision et qu’il soit enjoint à la CNIL de réexaminer sa plainte.
Après avoir écarté le moyen tiré d’un défaut de motivation de la décision attaquée, le Conseil d’État écarte les moyens tirés de la méconnaissance de l’article 5 du Règlement général sur la protection des données (RGPD), de l’article 8 de la loi du 6 janvier 1978 et de dispositions du code de la santé publique.
Contrairement à ce que soutient la requérante, il n’appartenait pas à la CNIL, saisie de sa plainte sur le fondement du d) du I de l’article 8 de la loi du 6 janvier 1978, d’examiner les conditions dans lesquelles ce prélèvement biologique, qui ne constitue pas en lui-même une donnée à caractère personnel, a été effectué, conservé puis utilisé à des fins médicales par le centre hospitalier.
Le Conseil d’État écarte également les moyens tirés de la méconnaissance des articles 6 et 9 du RGPD, de l’article 8 de la charte des droits fondamentaux de l’Union européenne et de l’article 8 de la loi du 6 janvier 1978. En effet, il relève que le prélèvement biologique mentionné au point 5 a fait l’objet, pour rechercher si des fautes médicales avaient été commises lors de la prise en charge de l’intéressée, d’une première expertise médicale le 20 décembre 2022 à la demande de la présidente du tribunal administratif de Bordeaux, puis d’une seconde expertise médicale le 11 juin 2024 à l’initiative du centre hospitalier de Bordeaux, qui l’a transmise au même tribunal.
Par conséquent, si Mme B… soutient que le centre hospitalier aurait ainsi réalisé un traitement illicite de ses données de santé, le Conseil d’État relève que ces analyses avaient pour seul objet la défense contentieuse des intérêts de l’établissement. Il en résulte que la CNIL, à laquelle il n’appartenait pas d’apprécier la régularité ou le caractère probant des deux expertises médicales, a pu estimer, que ce traitement se justifiait par un « intérêt légitime » et la « défense d’un droit en justice » au sens des articles 6 et 9 du RGPD et qu’il avait été ainsi légalement mis en œuvre sans le recueil préalable du consentement de l’intéressée.
Le Conseil d’État écarte enfin les moyens tirés de la méconnaissance de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, ainsi que de ce que la CNIL aurait commis une erreur manifeste d’appréciation, en jugeant que si la requérante soutient que l’expertise médicale réalisée à l’initiative du centre hospitalier porterait atteinte au droit au respect de sa vie privée, elle ne produit aucun élément précis et circonstancié à l’appui de ses allégations, alors que cette expertise n’a été transmise par le centre hospitalier qu’à la juridiction saisie de son recours indemnitaire. La requête est rejetée.