Quand la Cour de justice européenne remet en question les pratiques françaises de fichage
La protection des données personnelles fait régulièrement l'objet de débats passionnés en France et en Europe. Le 25 mars 2026, la Cour de justice de l'Union européenne (CJUE) a rendu un arrêt fondamental qui remet en cause une pratique française longtemps tolérée : le fichage massif des citoyens sans consentement explicite. Cette décision intervient dans une affaire dénommée « Comdribus » et marque un tournant majeur dans l'interprétation du RGPD en matière de traitement des données.
À retenir :
- La CJUE désavoue les systèmes de fichage français jugés non-conformes au RGPD
- Le consentement des personnes doit être explicite et non présumé pour les traitements de données sensibles
- Cette jurisprudence renforce les obligations des organisations françaises en matière de protection de la vie privée
- Des ajustements législatifs et opérationnels devront être apportés pour se conformer à cet arrêt
Comprendre le fichage : une pratique sous les projecteurs du RGPD
Le fichage consiste à enregistrer systématiquement des données personnelles de citoyens, souvent à des fins de surveillance ou de contrôle administratif. En France, plusieurs systèmes de fichage ont été mis en place au fil des années, certains remontant à plusieurs décennies. Ces pratiques, bien qu'ayant une légitimité administrative, posent une question centrale : respectent-elles vraiment le droit fondamental à la protection de la vie privée et les principes énoncés par le RGPD ?
Le Règlement Général sur la Protection des Données, entré en vigueur en 2018, établit un cadre strict pour le traitement des données personnelles. L'article 6 du RGPD exige une base légale pour tout traitement de données. Parmi les six bases légales possibles, le consentement (article 7) doit être libre, spécifique, éclairé et univoque. Or, les systèmes de fichage français reposaient souvent sur des bases légales implicites ou générales, sans demander explicitement l'accord des personnes concernées.
L'arrêt Comdribus : un désaveu clair des pratiques françaises
La CJUE a clairement énoncé que le système français de fichage n'était pas conforme au RGPD. Cette décision est particulièrement significative car elle émane de la plus haute juridiction européenne en matière de droit de l'Union. Le jugement souligne que les autorités françaises ne peuvent pas présumer le consentement des citoyens ou s'appuyer sur des fondements juridiques généraux et flous pour justifier un traitement massif de données.
Selon les principes établis par le CEPD (Comité européen de la protection des données), le consentement doit être la résultante d'une action affirmative claire de la personne. Les silences, les cases pré-cochées ou les pratiques implicites ne constituent pas un consentement valide au sens du RGPD. La CJUE reprend cette doctrine en appliquant fermement à la France, mettant en lumière des lacunes dans le respect des obligations réglementaires.
Les implications pour la France et ses administrations
Cette décision de la CJUE crée une obligation immédiate pour la France de réviser ses systèmes de fichage. Les administrations publiques, les collectivités locales et les organismes publics opérant des fichiers de données personnelles devront :
- Réévaluer les bases légales de leurs traitements
- Mettre en place un mécanisme de consentement explicite pour les citoyens
- Revoir leurs politiques d'information et de transparence
- Adapter leurs systèmes informatiques et procédures administratives
- Documenter précisément chaque traitement dans des registres conformes
La CNIL (Commission Nationale de l'Informatique et des Libertés), autorité française de contrôle, sera probablement amenée à publier de nouvelles recommandations et lignes directrices pour accompagner cette transition. Les contrôles futurs de la CNIL seront également plus exigeants sur la démonstration du consentement et de la légalité des fichiers existants.
Le consentement au cœur du RGPD : une protection renforcée
Cette jurisprudence rappelle un principe fondamental : le consentement n'est pas une simple formalité administrative, c'est un droit fondamental. L'article 7 du RGPD stipule que « la personne est libre de consentir ou non ». Aucune pénalité, aucune restriction de service ne doit être imposée au citoyen qui refuse de consentir à un traitement facultatif de ses données.
Pour les organisations concernées, cela signifie qu'un travail pédagogique important doit être mené auprès des citoyens. Il ne suffit plus de dire « vos données sont protégées » ; il faut expliquer précisément pourquoi les données sont collectées, qui y accède, combien de temps elles sont conservées, et obtenir un accord explicite. Selon la CNIL, cette transparence est non seulement une obligation légale, mais aussi un facteur de confiance entre les institutions et les citoyens.
Quelles conséquences pour les fichiers actuels ?
Les fichiers qui ne répondent pas aux critères fixés par la CJUE devront être modifiés ou supprimés. Cette transition ne sera pas instantanée, mais elle doit être enclenchée rapidement. Les responsables de traitement (organismes publics ou privés) qui continuent à opérer des fichiers en violation avec cette jurisprudence s'exposent à :
- Des mises en demeure de la CNIL
- Des amendes administratives pouvant atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (pour les entreprises)
- Des actions en justice de la part des personnes concernées
- Une perte de confiance et une atteinte à leur réputation
Cette escalade des risques explique pourquoi la conformité au RGPD ne doit pas être considérée comme une contrainte administrative, mais comme un investissement stratégique.
L'impact sur les droits des personnes et la vie privée
Au-delà des enjeux administratifs et légaux, cette décision renforce les droits des citoyens français. Chaque personne pourra désormais contester plus facilement un fichage auprès de la CNIL ou en justice, en s'appuyant sur cette jurisprudence. Les droits énoncés aux articles 15 à 22 du RGPD (droit d'accès, droit de rectification, droit à l'oubli, droit de limitation, etc.) deviennent plus accessibles et plus protecteurs.
Un citoyen qui découvre qu'il a été fichage sans consentement explicite peut désormais invoquer l'arrêt Comdribus pour exiger la suppression de ses données. Cette jurisprudence offre un cadre juridique solide aux militants et associations de défense de la vie privée numérique pour exercer un contrôle démocratique sur les pratiques des institutions.
Questions fréquentes
Qu'est-ce qui différencie le fichage français de celui autorisé par le RGPD ?
Le RGPD n'interdit pas le fichage en tant que tel, mais il en encadre strictement les conditions. Un fichage peut être légal s'il repose sur une base légale valide (loi, contrat, consentement, etc.) et respecte les principes de nécessité, de proportionnalité et de transparence. Le système français en question ne respectait pas ces conditions, notamment concernant le consentement des personnes.
Les administrations peuvent-elles continuer à conserver des fichiers de citoyens ?
Oui, mais uniquement si elles respectent les conditions du RGPD : base légale claire, objectif légitime et limité, information transparente, durée de conservation justifiée, et sécurité des données. Dans certains cas, un consentement explicite sera nécessaire. Dans d'autres, une base légale statutaire (mission d'une administration) peut suffire, à condition de démontrer sa conformité aux principes du RGPD.
Comment les citoyens peuvent-ils exercer leurs droits face à un fichage ?
Tout citoyen peut demander à la CNIL de vérifier si un fichage est conforme au RGPD, ou contacter directement l'organisation responsable du fichier pour exercer ses droits (accès, rectification, suppression, limitation, portabilité). L'arrêt Comdribus renforce la position juridique de ceux qui contesteraient un fichage. Des associations comme La Quadrature du Net offrent également du soutien et de l'expertise sur ces questions.
Conclusion : un tournant vers une protection plus rigoureuse
L'arrêt Comdribus de la CJUE marque un tournant important dans l'histoire de la protection des données en France et en Europe. Il signifie que les gouvernements, même avec des intentions légitimes, ne peuvent pas contourner les principes fondamentaux du RGPD pour des raisons de commodité administrative. Le consentement et la transparence ne sont pas des obstacles à la gouvernance, mais des éléments essentiels d'une gouvernance démocratique et respectueuse des droits.
Pour les organisations – publiques comme privées – cette jurisprudence est un appel à l'action : revoir leurs traitements de données, renforcer leur conformité RGPD, et investir dans une véritable culture de protection des données. Pour les citoyens, c'est une victoire qui renforce leur capacité à contrôler leurs données et à défendre leur vie privée numérique.