Plainte auprès de la CNIL (manquement RGPD)

La plainte CNIL est la réclamation par laquelle vous signalez à la Commission Nationale de l'Informatique et des Libertés qu'un organisme — entreprise, administration, association, site web — ne respecte pas vos droits sur vos données personnelles. Ce droit est garanti par l'article 77 du Règlement général sur la protection des données (RGPD).

La CNIL est l'autorité française chargée de veiller à l'application du RGPD et de la loi Informatique et Libertés du 6 janvier 1978. Lorsque vous estimez qu'un traitement de vos données vous porte atteinte, vous pouvez la saisir afin qu'elle instruise votre dossier, rappelle l'organisme à ses obligations et, le cas échéant, prononce des mesures correctrices ou des sanctions.

Cette plainte ne vise pas à obtenir une indemnisation personnelle : la CNIL n'accorde pas de dommages et intérêts. Son rôle est de faire cesser le manquement et de protéger l'intérêt général lié à la vie privée. Pour une réparation financière, c'est le juge civil qu'il faut saisir, en parallèle ou ensuite.

Toute personne concernée par un traitement de données peut saisir la CNIL : vous n'avez pas à justifier d'un préjudice particulier ni d'un intérêt à agir au sens judiciaire. Il suffit que vos données personnelles soient en jeu et qu'un droit garanti par le RGPD soit, selon vous, méconnu.

Les droits que vous pouvez faire valoir

• Droit d'accès : obtenir une copie des données qu'un organisme détient sur vous (article 15 du RGPD).
• Droit de rectification : faire corriger des données inexactes ou incomplètes (article 16).
• Droit à l'effacement (« droit à l'oubli ») : faire supprimer vos données dans les cas prévus (article 17).
• Droit d'opposition : vous opposer à un traitement, notamment à la prospection commerciale (article 21).
• Droit à la limitation et à la portabilité de vos données (articles 18 et 20).
• Refus du démarchage, défaut de consentement, cookies déposés sans accord, vidéosurveillance abusive, fuite de données…

La saisine de la CNIL a du sens lorsque vous avez sollicité l'organisme et que celui-ci n'a pas respecté ses obligations. L'article 12 du RGPD impose au responsable de traitement de répondre à votre demande dans un délai d'un mois (prolongeable de deux mois en cas de complexité, à condition de vous en informer). Passé ce délai sans réponse satisfaisante, la voie de la plainte vous est ouverte.

Les situations typiques

C'est l'étape qui conditionne le traitement de votre plainte. Avant de saisir l'autorité, adressez votre demande à l'organisme — idéalement à son délégué à la protection des données (le DPO) — et conservez la preuve de chaque échange.

Beaucoup d'organismes désignent un DPO dont les coordonnées figurent dans leur politique de confidentialité ou sur leur site. C'est l'interlocuteur dédié pour vos demandes relatives à vos données. Formulez votre demande par écrit (courriel ou courrier), datez-la, et demandez une réponse motivée.

1. 1Adressez votre demande à l'organisme ou à son DPO, par écrit, en précisant le droit que vous exercez.
2. 2Conservez une copie horodatée de cette demande (capture, accusé d'envoi, recommandé).
3. 3Attendez le délai légal d'un mois prévu par l'article 12 du RGPD.
4. 4En cas de refus ou de silence, relancez une fois pour démontrer votre bonne foi.
5. 5Conservez le refus reçu ou la preuve de l'absence de réponse : ce sont vos pièces maîtresses.

Notre assistant vous guide question après question pour produire une lettre claire, complète et adressée au bon service de la CNIL. Voici les informations à préparer :

1. 1Vos coordonnées de plaignant : nom, prénom et adresse, pour que la CNIL puisse vous tenir informé.
2. 2L'identification précise de l'organisme mis en cause : dénomination, adresse, site web et, si vous le connaissez, le contact de son DPO.
3. 3La nature exacte du manquement : le droit RGPD bafoué, les dates, les données concernées, les faits datés.
4. 4Le récit de vos démarches préalables, daté, avec le sort réservé à chaque relance (refus, silence).
5. 5La liste des pièces et preuves jointes, numérotées : demande initiale, refus, captures, emails reçus.
6. 6Le mode d'envoi : lettre recommandée avec accusé de réception, ou dépôt direct en ligne sur cnil.fr.

Décrivez le manquement de façon factuelle

Une plainte vague ou purement émotionnelle peine à être instruite. Nommez le droit méconnu (accès, rectification, effacement, opposition, portabilité), citez l'article du RGPD correspondant si vous le connaissez, indiquez les dates et les données précisément concernées. Plus votre exposé est concret, plus la CNIL pourra agir vite.

Au-delà du texte, certains éléments font la différence entre une plainte traitée et une plainte classée. Voici ce que la CNIL attend de votre dossier.

La plainte CNIL n'est qu'une voie parmi d'autres pour défendre vos données. Selon votre objectif, une démarche différente — ou complémentaire — peut être plus adaptée.

Une fois votre plainte reçue, la CNIL en accuse réception puis l'examine. Le délai d'instruction varie généralement de quelques mois à un an selon la complexité du dossier et le volume de plaintes en cours. La CNIL vous tient informé de l'avancement et de la suite donnée.

Les suites possibles

• Un rappel à l'ordre ou une demande de mise en conformité adressée à l'organisme.
• Une mise en demeure de cesser le manquement dans un délai imparti.
• Une mesure correctrice, voire une sanction (amende administrative) en cas de manquement grave ou persistant.
• Le classement de la plainte si le manquement n'est pas caractérisé ou si l'organisme régularise rapidement.

Gardez précieusement votre numéro de dossier et l'accusé de réception : ils vous permettront de suivre l'avancement et d'apporter, si la CNIL vous le demande, des compléments d'information utiles à l'instruction.