Votre plainte à la CNIL vient d’être clôturée, ou elle est restée sans réponse depuis des mois, alors que l’organisme mis en cause n’a rien changé. Cette situation, fréquente, ne signifie ni que le traitement contesté est régulier, ni que vous avez épuisé vos recours. Le règlement général sur la protection des données ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, puis un recours juridictionnel contre cette autorité, et parallèlement une action directe contre l’organisme devant le juge. En France, la clôture d’une plainte se conteste devant le Conseil d’État, dans un délai de deux mois, tandis que la réparation du préjudice se demande au juge judiciaire, sur le fondement des articles 79 et 82 du règlement. Encore faut-il respecter l’ordre des démarches, constituer un dossier précis et comprendre l’étendue réelle du contrôle exercé par le juge administratif : cinq décisions récentes du Conseil d’État, rendues entre fin 2024 et juin 2026, montrent que la CNIL dispose d’un large pouvoir d’appréciation et que le simple rappel à l’ordre adressé à l’organisme suffit souvent à justifier la clôture. Cet article explique comment déposer une plainte qui sera instruite, comment réagir à la clôture ou au silence, et comment obtenir, par la voie adaptée, le réexamen du dossier ou la réparation du dommage.
I. Donner à sa plainte toutes les chances d’être instruite par la CNIL
A. Exercer d’abord ses droits directement auprès de l’organisme
Avant toute saisine de la CNIL, la démarche préalable auprès de l’organisme qui traite vos données est obligatoire dans la pratique et déterminante pour la suite. La CNIL l’indique sans détour sur sa page officielle : avant de demander son intervention, vous devez d’abord exercer vos droits Informatique et Libertés. Concrètement, identifiez l’organisme ou son délégué à la protection des données, exercez votre droit par écrit et conservez les preuves de votre demande. Cette étape n’est pas une formalité : la CNIL refuse de traiter une plainte imprécise ou incomplète, notamment en cas de simple crainte, de suspicion non étayée ou d’absence de justificatifs des démarches accomplies auprès de l’organisme.
Le fondement de cette exigence se trouve dans le règlement lui-même. Le responsable du traitement doit faciliter l’exercice des droits conférés aux articles 15 à 22, qui couvrent l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition. Surtout, le règlement (UE) 2016/679, disponible sur EUR-Lex, impose un calendrier précis à l’organisme : il fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne et d’en exposer les motifs dans le premier mois. La CNIL reprend ce délai dans les mêmes termes : l’organisme doit répondre dans les meilleurs délais, et sous un mois maximum, avec une prolongation possible de deux mois pour les demandes complexes.
Si l’organisme ne répond pas du tout, sa réponse est incomplète ou il refuse de donner suite, chaque situation appelle une réaction distincte. En l’absence de réponse après un mois, vous pouvez saisir la CNIL, par exemple après une demande d’effacement restée lettre morte. Si la réponse vous paraît incomplète ou erronée, contestez-la d’abord auprès de l’organisme, car ce second échange suffit parfois à régler le problème, avant de saisir la CNIL en cas d’échec. Et si l’organisme refuse formellement, il doit vous informer sans tarder, et au plus tard dans le mois, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Ce courrier de refus motivé constitue une pièce maîtresse de votre future plainte : il prouve la démarche préalable et cadre le désaccord.
B. Déposer une plainte précise, complète et assortie de preuves
La plainte se dépose en ligne, selon la démarche décrite par le service public. Son contenu détermine son sort. Décrivez les faits avec des dates, identifiez le traitement et l’organisme, précisez le droit que vous avez exercé et la réponse reçue, et joignez les justificatifs : copie de votre demande initiale, preuve de son envoi et de sa réception, réponse de l’organisme, captures ou documents montrant la persistance du manquement. Une plainte qui se limite à une suspicion générale, sans désigner de manquement vérifiable, s’expose à un classement rapide. À l’inverse, un dossier daté et documenté place les services d’instruction en situation d’intervenir utilement auprès de l’organisme.
Une fois saisie, la CNIL examine les faits et décide des suites à leur donner, avec une marge d’appréciation considérable que le Conseil d’État rappelle avec constance. Dans sa décision du 19 juin 2026 relative aux traitements de billetterie de SNCF Connect, la Haute juridiction juge que la commission dispose, en principe, d’un large pouvoir d’appréciation et qu’elle peut tenir compte de la gravité des manquements allégués, du sérieux des indices, de la date et du contexte des faits, ainsi que de l’ensemble des intérêts généraux dont elle a la charge. Autrement dit, la CNIL n’est pas tenue de sanctionner chaque manquement signalé : elle peut classer une plainte dont la portée lui paraît limitée, dès lors qu’elle a examiné les faits.
Ce cadre légal résulte de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dont le Conseil d’État rappelle les termes dans sa décision du 31 décembre 2024 rendue à propos de la société Boursorama : la CNIL traite les réclamations, pétitions et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable. Le président de la commission peut adresser à l’organisme un avertissement, un rappel à ses obligations légales ou, si le manquement peut être corrigé, une mise en demeure de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, de mettre les opérations de traitement en conformité avec les textes applicables. Ce n’est que s’il estime qu’un manquement a été commis, le cas échéant après ces mesures, qu’il peut saisir la formation restreinte en vue de mesures correctrices ou de sanctions.
Plusieurs issues récentes illustrent cette gradation. Dans l’affaire Boursorama, la CNIL avait mis en demeure la société de cesser de collecter les identifiants de connexion à l’espace impots.gouv.fr de ses clients, avait constaté une violation des articles 25 et 32 du règlement, puis, la société ayant cessé ce traitement, avait clôturé la plainte : le Conseil d’État a validé cette clôture. Dans une affaire de traceurs déposés sur un site et de pixels de suivi insérés dans des courriels, jugée le 31 décembre 2025, la CNIL s’était bornée à rappeler à l’organisme que toute opération de lecture ou d’écriture sur le terminal de l’utilisateur devait respecter le consentement, puis avait clôturé : le juge a estimé qu’un tel rappel constituait une mesure appropriée et que ni la rapidité du traitement ni une erreur matérielle sur le nom de l’organisme dans le courrier de clôture n’entachaient la décision. Dans une affaire de géolocalisation d’un véhicule de service utilisé dans un conflit avec un ancien employeur, jugée le 27 mai 2026, l’intervention de la CNIL auprès de la société pour lui rappeler ses obligations a été jugée suffisante, sans qu’il soit nécessaire de mettre en oeuvre des pouvoirs d’enquête ou d’engager une sanction. La leçon pratique est directe : une clôture précédée d’un rappel ou d’une mise en demeure, même sans sanction, est en principe régulière, et votre dossier de plainte doit donc viser, dès le départ, des manquements graves, actuels et prouvés.
Il faut enfin garder à l’esprit ce que la CNIL ne fera jamais pour vous. La CNIL ne peut pas être votre mandataire : elle n’exerce pas vos droits à votre place. Elle ne vous obtiendra pas de dommages et intérêts et ne constatera pas votre préjudice : la réparation relève du juge. Elle ne tranche pas les litiges de droit du travail, de droit de la consommation ou de droit pénal qui entourent parfois le différend sur les données. Celui qui attend de la plainte une indemnisation ou le règlement global d’un conflit salarial se trompe de voie : la plainte vise la conformité du traitement, tandis que la réparation et le litige sous-jacent relèvent d’autres juges, comme l’expose la seconde partie.
II. Contester la clôture ou le silence, puis obtenir réparation par la voie adaptée
A. Déférer la clôture au Conseil d’État dans les deux mois
L’auteur d’une plainte n’est pas démuni face à une clôture qu’il estime injustifiée : l’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Cette solution, réaffirmée le 19 juin 2026 dans l’affaire SNCF Connect, vaut pour la clôture expresse notifiée par courrier ou message électronique. Elle vaut également, et c’est un point souvent ignoré, lorsque la commission a instruit, constaté un manquement et pris une mesure de premier niveau : dans l’affaire Boursorama, le Conseil d’État juge que l’auteur d’une plainte peut déférer au juge le refus du président de la CNIL d’engager une procédure sur le fondement de l’article 20 de la loi du 6 janvier 1978, y compris après des mesures d’instruction, la constatation d’un manquement et une mise en demeure. Autrement dit, le fait que la CNIL ait agi ne ferme pas le recours : vous pouvez soutenir qu’elle aurait dû aller plus loin et saisir la formation restreinte. Dès 2017, dans une affaire où un client reprochait à sa banque une protection insuffisante des mots de passe d’accès aux comptes en ligne, le Conseil d’État avait examiné le recours du plaignant contre la clôture alors même qu’une sanction avait été prononcée, ce qui confirme l’ancienneté et la stabilité de cette voie de droit.
Ce recours se porte directement devant le Conseil d’État, en premier et dernier ressort. Le code de justice administrative, consultable sur Legifrance, dispose que le Conseil d’État connaît en premier et dernier ressort des recours dirigés contre les décisions prises par la Commission nationale de l’informatique et des libertés au titre de sa mission de contrôle. Il n’y a donc pas de tribunal administratif intermédiaire : la requête est adressée au secrétariat du contentieux du Conseil d’État. Le délai est de deux mois à compter de la notification de la décision de clôture, conformément à la règle selon laquelle la juridiction ne peut être saisie que par un recours formé contre une décision, dans les deux mois à partir de la notification ou de la publication de la décision attaquée. Ce délai est strict : une requête tardive sera rejetée sans examen au fond, de sorte que la date de réception du courrier ou du message de clôture doit être conservée avec soin.
Face au silence prolongé de la CNIL, sans aucune décision de clôture, la stratégie diffère mais reste encadrée. Le règlement impose à l’autorité d’informer l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. Surtout, il ouvre un recours juridictionnel effectif lorsque l’autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation qu’elle a introduite au titre de l’article 77. En droit français, le silence gardé par une autorité administrative sur une demande vaut en principe décision implicite de rejet, et l’intéressé dispose alors, pour former son recours, d’un délai de deux mois à compter de la date à laquelle est née une décision implicite de rejet, la date du dépôt de la demande devant être établie à l’appui de la requête. En pratique, conservez donc la preuve du dépôt de votre plainte en ligne et de vos relances, patientez au-delà du délai de trois mois prévu par le règlement, puis adressez une relance circonstanciée avant d’envisager le recours : un dossier montrant une autorité durablement silencieuse malgré des manquements actuels et documentés présente mieux qu’une requête prématurée.
Le contrôle exercé par le Conseil d’État sur la clôture reste toutefois restreint, et c’est la principale cause d’échec des recours. Le juge censure la décision pour illégalité externe et, au fond, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. L’erreur manifeste signifie qu’il ne suffit pas de démontrer que la CNIL aurait pu sanctionner : il faut établir qu’aucune autorité raisonnable, placée dans la même situation, n’aurait clôturé. Les cinq décisions récentes le confirment sans exception : rejet du recours dans l’affaire SNCF Connect, où le plaignant se bornait à invoquer le caractère prématuré de la clôture sans apporter d’éléments permettant d’en apprécier le bien-fondé ; rejet dans l’affaire des traceurs et pixels, où la rapidité du traitement a été jugée sans incidence sur la légalité ; rejet dans l’affaire de géolocalisation du véhicule de service, où le rappel à l’organisme a été jugé suffisant ; rejet dans l’affaire Boursorama, malgré la violation constatée des articles 25 et 32 du règlement, dès lors que le traitement litigieux avait cessé. Pour renverser une clôture, votre requête doit donc apporter des éléments nouveaux ou décisifs : persistance actuelle du manquement avec preuves datées, gravité particulière tenant à la nature des données ou au nombre de personnes concernées, indices sérieux et concordants que la CNIL n’a pas examinés, ou erreur de droit identifiable dans le courrier de clôture.
Enfin, la requête peut utilement comporter des conclusions à fin d’injonction, tendant à ce qu’il soit enjoint à la CNIL de réexaminer la plainte ou de rouvrir l’instruction. Le juge administratif peut en effet prescrire une mesure d’exécution dans un sens déterminé lorsque sa décision l’implique nécessairement, en vertu de l’article L. 911-1 du code de justice administrative. Mais ces conclusions suivent le sort de la demande d’annulation : dans les affaires de traceurs comme dans celle de géolocalisation, le Conseil d’État a rejeté les injonctions sollicitées par voie de conséquence du rejet de l’annulation. L’injonction n’est donc pas une voie autonome permettant d’obtenir une sanction : elle n’a de portée que si l’annulation de la clôture est prononcée, et le requérant doit formuler avec précision la mesure attendue, par exemple le réexamen de tel manquement documenté, plutôt qu’une demande générale de sanction dont le choix appartient à la commission.
Ceux qui subissent une sanction de la CNIL comme organisme mis en cause relèvent d’un contentieux distinct, celui des sanctions et des mises en demeure, avec ses propres moyens tenant à la procédure de sanction et à la proportionnalité. Pour le situer par rapport à la situation du plaignant, on peut se reporter à l’analyse du recours contre une sanction de la CNIL devant le Conseil d’État : amende, injonction et publicité, qui expose la perspective de l’organisme sanctionné : les deux contentieux se complètent et montrent que la clôture d’un côté n’empêche pas la sanction de l’autre, lorsque les manquements le justifient.
B. Agir directement contre l’organisme devant le juge judiciaire
Quelle que soit l’issue de la plainte, le règlement préserve une voie indépendante et souvent plus rentable pour la victime : l’action directe contre l’organisme qui traite les données. Le texte est limpide : chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement. Cette action se porte devant les juridictions de l’État membre où le responsable dispose d’un établissement, ou devant celles de votre résidence habituelle, sauf cas particulier des autorités publiques agissant dans l’exercice de leurs prérogatives. Elle n’exige ni plainte préalable à la CNIL ni épuisement d’un recours administratif : la réclamation auprès de l’autorité et le recours contre l’organisme sont des voies parallèles, la première visant la conformité, la seconde la protection de vos droits et la réparation.
Le fondement indemnitaire est l’article 82 du règlement : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le responsable qui participe au traitement répond du dommage causé par la violation, tandis que le sous-traitant n’en répond que s’il a méconnu les obligations qui lui incombent spécifiquement ou s’il a agi hors des instructions licites du responsable ou contrairement à elles. Chacun peut s’exonérer en prouvant que le fait dommageable ne lui est nullement imputable, et lorsque plusieurs acteurs participent au même traitement, chacun est tenu pour le tout afin de garantir une réparation effective. Devant le tribunal judiciaire, vous devrez donc prouver trois éléments : la violation du règlement, par exemple un refus d’effacement, une conservation excessive, une collecte sans base légale ou une sécurité défaillante ; le préjudice, matériel comme des frais ou une perte d’exploitation, ou moral comme l’atteinte à la vie privée, l’anxiété liée à l’exposition des données ou le temps perdu à faire valoir vos droits ; et le lien entre les deux.
L’articulation avec la procédure CNIL mérite une attention particulière, car les pièces de l’une servent dans l’autre. Le courrier de mise en demeure adressé par la CNIL à l’organisme, la constatation d’une violation des articles 25 ou 32 du règlement, ou même le simple courrier de clôture décrivant l’intervention de la commission, constituent des éléments de preuve puissants devant le juge judiciaire, qui n’est pas lié par l’appréciation de la CNIL mais qui tiendra compte de ses constatations. Inversement, une clôture pour portée limitée ne prive pas le juge du pouvoir de constater la violation et d’indemniser la victime : l’affaire Boursorama l’illustre, où la clôture est intervenue après cessation du traitement, sans effacer le préjudice subi pendant la période de collecte illicite des identifiants. De même, dans l’affaire de géolocalisation du véhicule de service, le salarié disposait d’un litige prud’homal parallèle, ce qui rappelle que les données issues d’un traitement irrégulier peuvent également être écartées des débats dans un autre procès. Constituez donc, dès la plainte, un dossier à double usage : échanges avec l’organisme, dépôt de plainte et relances, courriers de la CNIL, constats d’huissier ou captures datées de la persistance du manquement, justificatifs du préjudice.
Reste la question du coût et des délais, qu’il faut aborder sans détour. Le recours devant le Conseil d’État contre la clôture est une procédure écrite, technique, où la représentation par un avocat est requise et où le contrôle restreint rend l’issue incertaine lorsque la CNIL a instruit et motivé sa décision. L’action en réparation devant le tribunal judiciaire suppose de chiffrer le préjudice et d’en rapporter la preuve, avec des montants qui varient fortement selon la gravité et la durée de la violation. Dans les deux cas, une mise en demeure adressée à l’organisme avant tout procès, rappelant précisément les articles violés et le préjudice, ouvre fréquemment la voie à une résolution amiable : effacement, cessation du traitement et indemnisation transactionnelle. Cette étape, conduite avec méthode, évite un procès dont l’issue dépendra de pièces que vous pouvez réunir dès aujourd’hui.
Conclusion
La clôture de votre plainte par la CNIL, ou son silence prolongé, ne clôt pas votre dossier. Retenez l’essentiel : exercez d’abord vos droits auprès de l’organisme dans le délai d’un mois, déposez ensuite une plainte précise et documentée, et conservez chaque preuve de dépôt et de relance. Si la CNIL clôt après avoir rappelé l’organisme à ses obligations ou l’avoir mis en demeure, sachez que le Conseil d’État valide le plus souvent cette gradation et ne censure que l’erreur manifeste, l’erreur de droit ou le détournement de pouvoir : votre recours, formé dans les deux mois directement devant lui, doit apporter des éléments nouveaux et décisifs. Si la CNIL reste silencieuse au-delà de trois mois sans vous informer, le règlement vous ouvre un recours juridictionnel et le silence prolongé peut être contesté comme un refus implicite. Et quelle que soit la voie administrative, l’action directe contre l’organisme devant le juge judiciaire demeure ouverte pour faire cesser la violation et obtenir réparation du préjudice matériel et moral sur le fondement des articles 79 et 82 du règlement. La plainte à la CNIL et le procès contre l’organisme ne s’excluent pas : bien articulés, ils contraignent l’organisme à se mettre en conformité et vous indemnisent du dommage subi.
Besoin d’un avis rapide sur votre dossier
Vous rencontrez une difficulté en numérique et données personnelles : plainte CNIL clôturée ou sans réponse, organisme qui refuse d’effacer vos données ou traitement dont vous contestez la régularité. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond lors d’une consultation téléphonique : exposez les faits, les pièces déjà réunies et le courrier de la CNIL. Téléphone : 06 46 60 58 22. Contact en ligne : formulaire de contact.