Un courrier annonce une inscription au fichier des incidents de remboursement des crédits aux particuliers pour un impayé de 743,78 euros, alors que le destinataire n’a jamais souscrit le crédit en cause. Il dépose plainte pour usurpation d’identité, écrit en recommandé à l’établissement pour exiger la copie de ses données, leur origine et le gel de leur usage, puis saisit la CNIL devant le silence opposé à sa demande. Faute de réponse satisfaisante, il assigne en référé. Le 28 mai 2026, le tribunal judiciaire d’Arras ordonne à la société Floa de communiquer la copie de l’ensemble des données en langage clair, avec toute information disponible sur leur origine, et de justifier de mesures limitant le traitement aux seuls besoins de l’enquête pénale en cours, sous astreinte de 100 euros par jour de retard passé huit jours à compter de la signification.
Cette ordonnance récente illustre la méthode complète face à des données inexactes qu’un organisme refuse de corriger : demander la rectification sur le fondement de l’article 16 du RGPD, exiger l’accès et l’origine sur celui de l’article 15, imposer la limitation du traitement sur celui de l’article 18, saisir la CNIL d’une réclamation sans renoncer au juge, puis contraindre en référé et réclamer réparation. Chaque étape répond à une question pratique distincte, et chacune suppose des preuves précises. Cet article décrit ces leviers dans l’ordre où un dossier les mobilise, avec leurs conditions, leurs exceptions et leurs limites, à partir des textes et de deux décisions lues intégralement : l’ordonnance du tribunal judiciaire d’Arras du 28 mai 2026 et l’arrêt de la cour d’appel de Paris du 20 février 2025 dans une affaire d’effacement et d’opposition opposant un particulier à un éditeur de presse.
I. Exiger la correction et le gel : des droits précis, assortis de délais stricts
A. Faire rectifier les données inexactes et savoir d’où elles viennent
Le droit à rectification est posé par l’article 16 du règlement (UE) 2016/679 du 27 avril 2016, qui ouvre du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes Le même article ajoute que, compte tenu des finalités du traitement, les données incomplètes doivent être complétées, y compris par une déclaration complémentaire fournie par la personne Deux enseignements s’en dégagent pour la pratique. D’abord, l’inexactitude s’apprécie par rapport à la réalité : un contrat attribué à une personne qui ne l’a jamais signé, une adresse électronique qui n’est pas la sienne, une créance inexistante rattachée à son nom constituent des inexactitudes caractérisées. Ensuite, l’incomplétude ouvre un droit propre : la personne peut fournir une déclaration complémentaire, par exemple la plainte pénale pour usurpation d’identité ou l’attestation de l’absence de versement, afin que le dossier reflète la contestation.
La demande de rectification gagne à être combinée avec une demande d’accès. L’article 15 du même règlement dispose, comme le rappelle l’ordonnance du 28 mai 2026 : « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes ». Parmi ces informations figure, au point g), « lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ». Dans l’affaire d’Arras, le demandeur sollicitait précisément la copie en langage clair de l’ensemble des informations figurant dans les fichiers informatisés ou manuels, y compris les zones dites blocs-notes ou commentaires, ainsi que toute information disponible sur l’origine des données, notamment l’adresse électronique utilisée. Le juge a fait droit à cette demande dans son principe : il a ordonné la communication d’une copie en langage clair de l’ensemble des données à caractère personnel figurant dans les fichiers, avec toute information disponible sur leur origine. Concrètement, la lettre recommandée initiale doit donc viser large : copie des données, finalités, catégories, destinataires, durée de conservation, source et, le cas échéant, existence d’une décision automatisée. Plus la demande est complète, plus le refus ou le silence ultérieur caractérise un manquement.
Un troisième texte sécurise l’effet utile de la rectification obtenue : l’article 19 du règlement impose au responsable du traitement de notifier à chaque destinataire auquel les données ont été communiquées toute rectification, tout effacement ou toute limitation, sauf impossibilité ou efforts disproportionnés, et de fournir à la personne concernée des informations sur ces destinataires si elle en fait la demande. Dans un dossier de fichage bancaire, cette notification compte autant que la correction interne : l’information erronée a circulé vers le fichier national géré par la Banque de France, et c’est cette circulation qu’il faut tarir. Le code de la consommation prévoit en son article L751-1 : « Un fichier national recense les informations sur les incidents de paiement caractérisés liés aux crédits accordés aux personnes physiques pour des besoins non professionnels. » Le même article précise que ce fichier « est géré par la Banque de France, laquelle est seule habilitée à centraliser ces informations ». Il ajoute : « Il est soumis à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. » La radiation du fichier national doit donc être demandée en même temps que la rectification interne, par écrit, avec accusé de réception, et la réponse de l’établissement doit être conservée : dans l’affaire d’Arras, la société avait conditionné la radiation à des renonciations écrites dont le demandeur contestait la portée, ce qui alimentait le litige sur la loyauté du processus.
Le calendrier est encadré. L’article 12, paragraphe 3, du règlement impose au responsable du traitement d’informer la personne des mesures prises à la suite d’une demande formulée au titre des articles 15 à 22 dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception de la demande, délai pouvant être prolongé de deux mois en cas de complexité ou de demandes multiples, à charge d’en informer la personne dans le premier mois. Passé ce délai sans réponse, le dossier bascule : la réclamation auprès de la CNIL et l’assignation en référé deviennent les voies naturelles. La CNIL met à disposition des modèles de courrier pour exercer ces droits, et sa page des droits des personnes rappelle que chacun peut rectifier les informations inexactes le concernant. L’envoi en recommandé avec accusé de réception, la copie de la pièce d’identité strictement nécessaire et le rappel du délai d’un mois forment le socle probatoire du contentieux ultérieur.
B. Geler l’usage des données pendant la contestation : limitation, opposition et réclamation CNIL
Quand l’exactitude est contestée, le droit commun n’impose pas seulement de corriger : il permet de geler. L’article 18 du règlement ouvre la limitation du traitement dans quatre cas, dont deux intéressent directement les dossiers de données fausses : l’exactitude est contestée, pendant la durée permettant au responsable de la vérifier, et le traitement est illicite alors que la personne s’oppose à l’effacement et exige à la place la limitation de l’utilisation, le texte visant le cas où le traitement est illicite et où la personne s’oppose à l’effacement pour exiger à la place la limitation de l’utilisation. Dans l’affaire d’Arras, le conseil du demandeur avait demandé, dès le 5 août 2025, la limitation du traitement sur le fondement de l’article 18, paragraphe 1, point b), en soutenant que le traitement réalisé sans consentement ni base contractuelle était illicite et que l’établissement refusait de le limiter. Le juge a ordonné à la société de justifier des mesures destinées à limiter le traitement aux seuls besoins de l’enquête pénale en cours. Cette formulation mérite attention : la limitation n’est pas une suppression, mais une consigne d’usage restreint, ici cantonnée aux besoins de l’enquête, avec interdiction corrélative d’un usage courant du type recouvrement. Pour le praticien, la demande de limitation doit donc préciser le périmètre souhaité : conservation sans utilisation active, accès réservé, suspension de toute transmission à des tiers et de toute mesure d’exécution.
Le droit d’opposition complète le dispositif sur un autre fondement. L’article 21 du règlement énonce : « La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions » Il poursuit : « Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice. » La charge de la démonstration pèse donc sur l’organisme : c’est à lui d’établir des motifs légitimes et impérieux qui prévalent. En droit interne, la loi du 6 janvier 1978 organise ce droit à son article 56, qui s’exerce « dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016 », comme le relève l’arrêt parisien du 20 février 2025. L’opposition doit exposer la situation particulière : usurpation d’identité établie par plainte pénale, absence de relation contractuelle, risque de fichage et de refus de crédit. Plus cette situation est documentée, plus l’organisme peine à opposer des motifs prévalant.
La réclamation auprès de la CNIL constitue le troisième volet du gel. L’article 77 du règlement reconnaît à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée, lorsqu’elle estime que le traitement la concernant méconnaît le texte. Dans l’affaire d’Arras, une plainte avait été déposée le 28 janvier 2026 pour absence de réponse à une demande d’accès. Devant le juge, la société soutenait que seule la CNIL était compétente pour répondre aux demandes de communication et de limitation. L’ordonnance écarte cette lecture en fait : elle ordonne les communications et la justification des mesures de limitation sans surseoir à la plainte. L’enseignement est net : la voie administrative et la voie judiciaire se cumulent. La plainte devant la CNIL peut aboutir à un rappel, une mise en demeure ou une sanction, tandis que le juge ordonne des mesures individuelles sous astreinte. L’article 79 du règlement confirme cette dualité en reconnaissant à « chaque personne concernée » « droit à un recours juridictionnel effectif » lorsqu’elle estime que les droits que le règlement lui confère ont été violés. Déposer plainte ne fait donc pas perdre le droit d’assigner, et assigner ne prive pas la plainte de son objet.
II. Contraindre l’organisme et obtenir réparation : juge, astreinte, exceptions et préjudice
A. Le référé : obtenir l’injonction sous astreinte quand l’obligation n’est pas sérieusement contestable
Le juge des référés est le juge naturel de l’urgence et de l’évidence. L’article 834 du code de procédure civile dispose : « Dans tous les cas d’urgence, le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend. » L’article 835 du même code va plus loin : « Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite. » Le même article ajoute : « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier, ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. » Communiquer la copie des données, révéler leur origine et limiter le traitement sont des obligations de faire qui relèvent de ce texte quand elles découlent directement des articles 15 et 18 du RGPD.
L’ordonnance du 28 mai 2026 (RG 26/00024) montre comment ces principes s’appliquent à un dossier d’usurpation d’identité. Le juge donne acte à la société de sa déclaration de ne détenir aucune créance, ordonne la communication d’une copie en langage clair de l’ensemble des données figurant dans les fichiers informatisés ou manuels, y compris les zones blocs-notes ou commentaires, avec toute information disponible sur l’origine, et ordonne de justifier des mesures limitant le traitement aux seuls besoins de l’enquête pénale. Le tout sous astreinte de 100 euros par jour de retard passé huit jours à compter de la signification, le juge de l’exécution restant compétent pour liquider l’astreinte ou en prononcer une nouvelle. Trois détails intéressent la rédaction de l’assignation. Premièrement, l’exigence du langage clair exclut les exports bruts incompréhensibles : la copie doit être lisible par la personne. Deuxièmement, les zones de commentaires internes sont incluses : l’organisme ne peut pas retenir les annotations des opérateurs. Troisièmement, l’origine doit être documentée, jusqu’à l’adresse électronique utilisée pour transmettre les données litigieuses. Demander ces trois éléments en visant les articles 15 et 18 donne à l’injonction son assise.
La même ordonnance fixe la limite de la provision. Le demandeur sollicitait 4 000 euros au titre du fichage indu et 2 000 euros au titre de manœuvres déloyales alléguées tenant aux renonciations exigées pour la radiation. Le juge les rejette : l’existence de l’obligation de réparer se heurtait à une contestation sérieuse, notamment sur la réalité du préjudice et son quantum, le demandeur n’établissant pas s’être trouvé dans l’impossibilité d’obtenir un crédit du fait du fichage. En revanche, il alloue 1 000 euros au titre de l’article 700 du code de procédure civile — « Le juge condamne la partie tenue aux dépens ou qui perd son procès à payer : 1° A l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens » — et met les dépens à la charge de la société. La leçon est double : l’injonction de communiquer et de limiter s’obtient en référé parce que l’obligation légale n’est pas sérieusement contestable, tandis que l’indemnisation suppose un préjudice démontré qui relève le plus souvent du juge du fond, sauf évidence. Le dossier de référé doit donc être construit en deux étages : d’un côté les manquements objectifs (silence après LRAR, absence de copie, absence de limitation), de l’autre les pièces du préjudice (refus de crédit écrit, justificatifs de démarches, attestations), sans surjouer la provision quand la preuve du quantum reste débattue.
La préparation matérielle conditionne le succès. L’assignation doit joindre la lettre recommandée initiale avec son accusé, la plainte pénale pour usurpation d’identité, la réclamation CNIL et sa preuve de dépôt, les courriers de l’organisme y compris ceux conditionnant la radiation à des renonciations, et tout document établissant l’usage persistant des données (relances, menaces de recouvrement, refus de crédit). L’argument de l’organisme selon lequel la demande serait sans objet parce qu’il reconnaît désormais l’usurpation ou a déposé plainte à son tour ne suffit pas : dans l’affaire d’Arras, la société avait elle-même porté plainte auprès du procureur pour un préjudice de 6 305,33 euros et déclarait ne détenir aucune créance, mais le juge a néanmoins ordonné les communications et la limitation, car la reconnaissance verbale ne remplace ni la copie des données ni la preuve des mesures de gel. De même, l’exception tirée de la compétence exclusive de la CNIL ne prospère pas face à une demande d’exécution d’obligations légales précises. Pour une analyse voisine des recours ouverts quand l’organisme ne répond pas à une demande d’accès, avec la plainte CNIL, le juge et la réparation, voir notre article sur le droit d’accès RGPD quand l’organisme ne répond pas : plainte CNIL, juge et réparation.
B. Les frontières du droit : presse et liberté d’expression, puis la réparation du préjudice
Les droits de rectification, d’effacement et d’opposition ne sont pas absolus. L’article 17 du règlement reconnaît que « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique », puis écarte ces dispositions « dans la mesure où ce traitement est nécessaire », notamment « à l’exercice du droit à la liberté d’expression et d’information ». L’arrêt de la cour d’appel de Paris du 20 février 2025 (RG 21/15496) en fournit une application détaillée. Un homme condamné en 2009 pour complicité et recel d’abus de confiance dans la gestion d’un club de football demandait à un éditeur de presse de supprimer une brève relatant sa condamnation, subsidiairement de l’anonymiser, infiniment subsidiairement de la désindexer, et réclamait 15 000 euros de dommages et intérêts. Le tribunal puis la cour le déboutent et le condamnent aux dépens ainsi qu’à 1 500 euros puis 2 000 euros au titre de l’article 700.
La cour rappelle d’abord que le droit à l’effacement comme le droit d’opposition ne s’appliquent pas si le maintien des données est nécessaire à la liberté d’expression et d’information ou s’il est justifié par des motifs légitimes et impérieux. Elle juge que la mention des éléments d’identification et l’évocation de condamnations pénales relèvent du droit à l’information du citoyen et de la liberté d’expression sur un sujet d’intérêt général, ici la condamnation d’une personnalité ayant présidé un club sportif connu, dans le débat toujours actuel des relations entre le sport et l’argent. Elle écarte l’argument tiré d’une erreur sur les montants (300 000 euros évoqués contre 257 700 euros retenus), d’une mention de l’appel jugée trop indirecte et de la dispense d’inscription au bulletin n° 2 du casier, qui ouvre la possibilité d’une embauche publique mais n’interdit pas la connaissance de la condamnation. Surtout, elle précise que la dérogation au profit de la presse n’est pas absolue : l’organe de presse doit démontrer que la persistance de la publicité des données, nécessaire à la liberté d’expression et d’information, ne porte pas une atteinte exagérée au droit à l’oubli et à la vie privée. La cour mobilise à cette fin les critères dégagés par la Cour européenne des droits de l’homme dans l’affaire Hurbain contre Belgique : nature de l’information archivée, temps écoulé, intérêt contemporain, notoriété de la personne, répercussions négatives, accessibilité et impact de la mesure sur la liberté d’expression. En l’espèce, dix ans séparaient la condamnation d’appel du jugement, durée jugée insuffisante face à la gravité des faits ; l’intéressé, resté dirigeant dans le sport, conservait une notoriété ; le préjudice professionnel allégué n’était pas démontré, l’intéressé ayant retrouvé un emploi dans une autre fédération alors que l’article restait en ligne.
Deux points de cet arrêt servent directement les dossiers de rectification. D’une part, l’anonymisation est refusée parce que le nom est un élément essentiel de l’information : faire paraître l’article sans désigner l’intéressé constituerait une restriction excessive à la liberté d’information. Transposé aux demandes de rectification adressées à un journal, cela signifie qu’une erreur secondaire, comme un montant légèrement inexact, ne suffit pas à obtenir la suppression ou l’anonymisation si l’information substantielle est exacte et d’intérêt général. D’autre part, la désindexation doit être demandée aux exploitants des moteurs de recherche, non à l’éditeur : la cour relève que l’article n’était plus indexé sur le moteur utilisé par plus de 90 % des internautes français et qu’il appartenait au demandeur de saisir les moteurs, ce qu’il avait fait avec succès. En droit interne, la cour rappelle que le droit à l’effacement « s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 » en vertu de l’article 51 de la loi du 6 janvier 1978, comme le constate le même arrêt du 20 février 2025, et que le droit d’opposition s’exerce dans les conditions de l’article 21 en vertu de l’article 56 de la même loi. Face à un éditeur, la demande doit donc être calibrée : correction d’une inexactitude substantielle plutôt que suppression d’une information gênante mais exacte, et saisine distincte des moteurs pour le déréférencement.
Reste la réparation quand les données fausses ont produit des effets. L’article 82, paragraphe 1, du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte le droit d’obtenir du responsable du traitement ou du sous-traitant réparation de son préjudice. En droit français, l’article 1240 du code civil énonce : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Dans l’affaire d’Arras, le demandeur invoquait une négligence dans la vérification de l’identité de l’emprunteur, l’inquiétude d’être assimilé à un débiteur défaillant et des manœuvres déloyales tenant aux renonciations exigées. Le juge des référés a refusé la provision tout en réservant le fond : la faute et le quantum appelaient un débat que le référé ne tranche pas quand la contestation est sérieuse. Devant le juge du fond, le préjudice réparable se prouve par écrit : refus de crédit motivé par le fichage, surcoût d’emprunt, perte de chance documentée, frais engagés, atteinte morale attestée. La radiation du fichier national, obtenue de la Banque de France sur signalement de l’établissement ou sur intervention du juge, ne répare pas à elle seule le passé : elle fait cesser le trouble pour l’avenir, tandis que l’indemnisation compense la période d’inscription indue. Lorsque l’usurpation d’identité est établie, l’action peut aussi se diriger contre les vérifications manquées lors de la souscription : le demandeur d’Arras visait les contrôles d’identité prescrits pour le crédit, et cette argumentation relève du fond, pièces de souscription à l’appui.
En synthèse, le dossier gagnant combine quatre couches : une demande écrite complète visant les bons articles et le délai d’un mois, une réclamation CNIL en cas de silence, une assignation en référé sollicitant des injonctions précises sous astreinte plutôt qu’une provision hasardeuse, et une action au fond sur la réparation avec un préjudice chiffré et justifié. Les organismes qui traitent ces demandes savent que le juge ordonne la copie en langage clair, l’origine et le gel, même quand une plainte CNIL est en cours et même quand l’usurpation est reconnue : seule l’exécution documentée éteint le litige. Les personnes qui contestent une publication de presse doivent inversement mesurer l’obstacle de la liberté d’expression et viser la correction de l’inexactitude substantielle ainsi que le déréférencement auprès des moteurs, plutôt que la suppression pure. Dans tous les cas, la règle probatoire est la même : écrire en recommandé, conserver chaque réponse, dater chaque silence et chiffrer chaque conséquence.
Conclusion
Des données inexactes que l’organisme refuse de corriger ne sont pas une fatalité administrative : le règlement européen donne les leviers, le juge des référés les rend effectifs et le juge du fond les convertit en réparation. La rectification de l’article 16 impose la correction dans les meilleurs délais, l’accès de l’article 15 impose la copie lisible et l’origine, la limitation de l’article 18 impose le gel pendant la vérification ou quand le traitement est illicite, l’opposition de l’article 21 renverse la charge de la preuve sur l’organisme, et les articles 77 et 79 ouvrent ensemble la plainte CNIL et le recours juridictionnel effectif. L’ordonnance d’Arras du 28 mai 2026 montre que ces droits, exercés par écrit puis portés en référé sur le fondement de l’article 835 du code de procédure civile, produisent des injonctions sous astreinte avec un périmètre exigeant : langage clair, zones internes incluses, origine documentée, usage cantonné aux besoins de l’enquête pénale. L’arrêt parisien du 20 février 2025 rappelle la frontière : face à une information exacte d’intérêt général, la liberté d’expression l’emporte et la demande doit se recentrer sur la correction de l’erreur substantielle et le déréférencement auprès des moteurs. Entre ces deux pôles, la méthode tient en peu de mots : écrire précisément, saisir la CNIL du silence, assigner pour obtenir l’injonction, puis chiffrer le préjudice pour obtenir réparation.
Besoin d’un avis rapide sur votre dossier
Vous contestez des données inexactes en matière de numérique et données personnelles et l’organisme refuse de les corriger. Maître Reda KOHEN, avocat au Barreau de Paris, étudie votre dossier et vous indique la voie la plus rapide : rectification, limitation du traitement, plainte CNIL ou saisine du juge. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.