Votre banque affiche une adresse que vous n’avez jamais habitée, votre ancien employeur conserve une qualification que vous n’avez jamais eue, votre assureur retient un sinistre que vous n’avez jamais déclaré, un fichier client propage un numéro de téléphone qui n’est pas le vôtre. Une donnée inexacte n’est jamais anodine : elle fonde des refus de crédit, des licenciements, des résiliations, des contrôles répétés. Le droit européen vous donne une arme directe contre cette situation : le droit de rectification. Encore faut-il savoir qui saisir, dans quel délai, avec quelles preuves, et ce que le juge accepte de corriger ou non. Le Conseil d’État vient de fixer une limite nette le 30 septembre 2025 : la rectification couvre l’inexactitude matérielle établie, pas les appréciations subjectives. Cet article décrit la procédure complète : exiger la correction de l’organisme, geler l’usage des données contestées, saisir la CNIL en cas de refus ou de silence, agir devant le juge et obtenir réparation du préjudice subi.
I. Exiger de l’organisme la correction de vos données inexactes
A. Un droit ciblé : l’inexactitude matérielle établie, pas les opinions
Le règlement européen sur la protection des données consacre un principe d’exactitude : les données doivent être exactes et, si nécessaire, tenues à jour, et toutes les mesures raisonnables doivent être prises pour que les données inexactes au regard des finalités du traitement soient effacées ou rectifiées sans tarder. Ce principe figure à l’article 5 du règlement (UE) 2016/679. Il pèse sur le responsable du traitement en permanence, indépendamment de toute demande de votre part. Quand vous constatez une erreur, le texte vous ouvre un droit d’action personnel : l’article 16 du même règlement prévoit que vous pouvez obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données vous concernant qui sont inexactes, et compte tenu des finalités du traitement, que les données incomplètes soient complétées, y compris par une déclaration complémentaire de votre part. En droit français, l’article 50 de la loi du 6 janvier 1978, texte dont l’article 50 renvoie au règlement pour la rectification et dont l’article 49 fait de même pour l’accès dispose : « Le droit de rectification s’exerce dans les conditions prévues à l’article 16 du règlement (UE) 2016/679 du 27 avril 2016. »
Les erreurs les plus fréquentes se concentrent dans quelques fichiers à fort impact. En matière bancaire et de crédit, une adresse jamais habitée, un incident de paiement soldé mais toujours affiché comme dû, voire un crédit souscrit par un tiers usurpateur, ferment l’accès au financement : c’est le cas jugé à Metz, où l’inscription reposait sur un contrat que la demanderesse n’avait jamais signé. En matière de ressources humaines, une qualification erronée, une absence injustifiée enregistrée à tort ou un motif de départ déformé suivent le salarié dans les attestations et les vérifications d’antécédents. En assurance, un sinistre imputé à tort renchérit la prime pendant des années. En location, une dette éteinte maintenue dans le dossier locatif fait échec à chaque candidature. Dans chacun de ces cas, la première question est la même : la donnée est-elle factuellement fausse et déterminante pour la décision prise sur votre fondement ? Si oui, la rectification est la voie directe. Si la donnée, même exacte, a été collectée ou conservée en violation des règles — sans base légale, au-delà de la durée nécessaire, malgré une opposition fondée — c’est l’effacement qu’il faut demander, sur le fondement de l’article 17 du règlement et de l’article 51 de la loi informatique et libertés, éventuellement en cumul avec la rectification pour les mentions partiellement fausses. Et quand vous contestez l’exactitude sans pouvoir encore la trancher, le gel de l’article 18 protège l’intervalle. Formuler les trois demandes à titre principal et subsidiaire dans le même courrier évite à l’organisme de rejeter votre lettre au prétexte d’un fondement mal choisi.
La cour d’appel de Paris rappelle l’architecture des droits qui accompagne ce mécanisme : les articles 16, 17, 18, 21 et 22 du règlement ouvrent respectivement la rectification, l’effacement, la limitation, l’opposition et l’encadrement des décisions automatisées (CA Paris, Pôle 1 chambre 3, 25 juin 2024, RG n° 23/18268). La rectification s’articule donc avec l’effacement, la limitation et l’opposition : selon les cas, vous demanderez la correction, le gel provisoire ou la suppression pure et simple.
La CNIL décrit ce droit comme la faculté de faire corriger des informations erronées vous concernant, par exemple un âge ou une adresse inexacts, ou de compléter des données lacunaires, par exemple une adresse sans numéro d’appartement, en lien avec la finalité du traitement. Trois conditions se dégagent. D’abord, il doit s’agir de données à caractère personnel vous concernant : nom, adresse, date de naissance, coordonnées bancaires, historique de crédit, mentions disciplinaires, relevés d’activité. Ensuite, ces données doivent être inexactes ou incomplètes au regard de la finalité du fichier : une adresse ancienne conservée dans un fichier client actif, une situation familiale périmée, un impayé soldé qui figure toujours comme dû. Enfin, la correction demandée ne doit pas dénaturer la finalité du traitement : on corrige l’erreur, on ne réécrit pas le fichier.
C’est sur ce dernier point que le Conseil d’État a tranché le 30 septembre 2025 (CE, 30 septembre 2025, n° 497566, décision consultable sur legifrance et sur le site du Conseil d’État). Une bénéficiaire d’une prestation de compensation du handicap demandait à la maison départementale des personnes handicapées la rectification de fiches de synthèse rédigées après des visites à domicile, qui décrivaient sa situation fonctionnelle, son environnement et les entraves à sa participation sociale en vue d’élaborer son plan personnalisé de compensation. Le Conseil d’État juge que la personne concernée peut obtenir la rectification des données pertinentes au regard des finalités du traitement dont elle établit qu’elles sont entachées d’inexactitude matérielle, lorsque la correction n’est pas de nature à affecter ces finalités, et qu’elle peut obtenir le complètement des données incomplètes dans la mesure où cette situation compromet les finalités du traitement. En revanche, le droit de rectification ne s’étend pas aux appréciations ni aux autres données subjectives figurant dans le traitement : les évaluations de l’équipe pluridisciplinaire dans ses rapports de visite ne sont pas rectifiables sur ce fondement. Le pourvoi a été rejeté. La leçon est pratique : prouvez l’erreur factuelle par des pièces — pièce d’identité, justificatif de domicile, attestation de solde, bulletin rectifié — et ne demandez pas au juge de réécrire une opinion, une note ou une appréciation portée sur vous. Si l’enjeu est l’appréciation elle-même, c’est le droit d’opposition, l’accès au dossier ou le recours au fond contre la décision prise sur cette base qu’il faut mobiliser, pas l’article 16.
B. Saisir le bon interlocuteur et verrouiller les délais
La demande se dirige contre le responsable du traitement, c’est-à-dire l’organisme qui a collecté les données et détermine leurs finalités : banque, assureur, employeur actuel ou ancien, bailleur, opérateur, administration. Ce n’est ni son sous-traitant informatique, ni la CNIL en premier ressort, ni la Banque de France quand l’inscription litigieuse vient d’un établissement déclarant. Le tribunal judiciaire de Metz l’a rappelé dans un litige de fichage de crédit : les droits de rectification et d’effacement, prévus aux articles 16 et 17 du règlement et aux articles 50 et 51 de la loi du 6 janvier 1978, s’exercent auprès de l’établissement ou de l’organisme à l’origine de la déclaration, y compris sur le fondement d’une décision de justice (TJ Metz, 12 août 2025, RG n° 25/00165). Dans cette affaire, une femme contestait un crédit qu’elle n’avait jamais souscrit, la comparaison des signatures faisant naître un doute sérieux sur l’identité du signataire ; le tribunal a jugé que l’intéressée n’avait aucune raison d’être inscrite au fichier des incidents de remboursement et a ordonné la mainlevée de l’inscription. Identifiez donc l’auteur de la déclaration avant d’écrire : relevé de fichier, courrier de l’organisme, mentions légales du contrat.
Adressez une demande écrite, de préférence en recommandé avec accusé de réception ou par tout moyen donnant date certaine, au service indiqué pour l’exercice des droits — souvent le délégué à la protection des données — en désignant précisément les données contestées, la correction sollicitée et les pièces qui l’établissent. La CNIL propose un modèle de courrier pour rectifier des données inexactes, et le site service-public détaille la démarche en quatre étapes : vérifier l’erreur, constituer les justificatifs, utiliser le modèle et envoyer au responsable du traitement. Joignez la copie d’un titre d’identité si l’organisme doit vérifier votre identité, sans transmettre plus de pièces que nécessaire.
Pour un enfant mineur, la demande est exercée par les titulaires de l’autorité parentale, qui joignent la preuve de leur qualité ; l’organisme doit adapter son information à la compréhension de l’enfant quand celui-ci est en âge de discernement. Quand plusieurs organismes détiennent la même donnée fausse — banque déclarante et fichier central, employeur et organisme de vérification, assureur et intermédiaire — adressez une demande distincte à chacun et exigez de chacun la notification de ses propres destinataires : la correction obtenue auprès de l’un ne se propage pas automatiquement chez les autres. Tenez un journal horodaté de toutes les démarches : dates d’envoi, accusés de réception, noms des interlocuteurs, copies d’écran du fichier avant correction, relevés bancaires ou attestations prouvant l’exactitude revendiquée. Ce journal fera foi devant la CNIL, qui exige la preuve des démarches préalables, et devant le juge, qui appréciera la durée d’exposition à l’erreur pour chiffrer le préjudice. Si l’organisme vous oppose un refus stéréotypé sans examiner vos pièces, conservez-le : un refus non motivé et non circonstancié caractérise un manquement à l’obligation de faciliter l’exercice des droits et de répondre de façon transparente, et il aggrave la responsabilité de l’organisme dans la phase suivante.
Le responsable du traitement doit faciliter l’exercice de votre droit et vous répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, délai qui peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, à condition de vous informer des motifs de la prolongation dans le premier mois. Ces règles figurent à l’article 12 du règlement. La CNIL précise que pendant ce délai, vous pouvez demander la limitation du traitement, c’est-à-dire le gel de l’utilisation des données contestées. Ce gel, prévu à l’article 18 du règlement, interdit à l’organisme d’utiliser les données litigieuses autrement que pour les conserver, sauf votre accord ou un motif impérieux : c’est le levier qui empêche qu’un fichier faux continue de produire des refus de crédit ou des relances pendant l’instruction de votre demande. Exigez-le par écrit dès la première lettre.
Quand la rectification est effectuée, le responsable doit la notifier à chaque destinataire auquel les données ont été communiquées, sauf impossibilité ou efforts disproportionnés, et vous informer de ces destinataires si vous le demandez. C’est l’obligation de l’article 19 du règlement. Demandez systématiquement la liste des destinataires — centrale de crédit, partenaires commerciaux, prestataires de recouvrement — et la preuve des notifications : sans cette diffusion, la correction reste lettre morte et le préjudice continue. Conservez chaque envoi, chaque réponse, chaque capture d’écran du fichier avant et après : ce dossier fera la force de la plainte et du recours.
II. Refus ou silence : plainte CNIL, juge et réparation
A. La plainte devant la CNIL et ses suites concrètes
Si l’organisme refuse la rectification ou ne répond pas dans le délai d’un mois sans vous informer d’une prolongation, vous pouvez adresser une plainte à la CNIL en joignant les preuves de vos démarches préalables. La CNIL l’indique sur sa page consacrée au droit de rectification : la plainte suppose une demande préalable restée sans suite. Ce droit d’introduire une réclamation auprès d’une autorité de contrôle est garanti par l’article 77 du règlement, en particulier dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation. L’autorité saisie doit vous informer de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel.
La CNIL instruit, demande des observations à l’organisme, peut procéder à des contrôles et, en cas de manquement persistant, mettre en demeure puis sanctionner. L’inexactitude entretenue malgré votre signalement caractérise une violation du principe d’exactitude et du droit de rectification, qui aggrave la position de l’organisme : conserver sciemment des données dont l’inexactitude a été établie contredit l’obligation de rectifier sans tarder. Une mise en demeure ou une sanction ne corrige pas à elle seule votre fichier, mais elle pèse dans la négociation et devant le juge, qui y verra la confirmation officielle du manquement.
Devant la CNIL, la plainte doit exposer les faits dans l’ordre, identifier le responsable du traitement, joindre la demande initiale, les justificatifs d’exactitude, la preuve de l’envoi et le refus ou le silence. Plus le dossier est carré, plus l’instruction est rapide : les services de la CNIL traitent en priorité les plaintes documentées qui établissent un manquement caractérisé. Une mise en demeure de procéder à la rectification sous un délai déterminé est l’issue la plus utile, car elle donne à l’organisme un ordre officiel assorti d’une menace de sanction, et elle fournit au juge civil la constatation du manquement par l’autorité compétente. Si l’organisme s’exécute après la mise en demeure, votre préjudice antérieur subsiste : la correction tardive n’efface pas les mois ou les années pendant lesquels la donnée fausse a circulé, et la demande de réparation devant le juge reste fondée pour la période d’exposition. Articulez donc les deux procédures dans le temps : la plainte pour obtenir vite la correction, l’action judiciaire pour faire cesser formellement et indemniser, sans attendre l’issue de la plainte pour assigner quand l’urgence l’exige, par exemple avant une décision de crédit ou une embauche suspendue à la vérification du fichier.
Si la CNIL ne traite pas votre réclamation ou ne vous informe pas de son état d’avancement ou de son issue dans un délai de trois mois, ou si vous contestez une décision juridiquement contraignante qu’elle a prise à votre égard, l’article 78 du règlement vous ouvre un recours juridictionnel effectif contre l’autorité de contrôle devant les juridictions de l’État membre où elle est établie. En pratique, les décisions de la CNIL relèvent du Conseil d’État. Ce recours ne remplace pas l’action contre l’organisme lui-même : les deux voies peuvent se combiner, la plainte faisant pression pendant que le juge ordonne.
B. Le juge ordonne la correction et répare le préjudice prouvé
Indépendamment de la plainte, l’article 79 du règlement donne à chaque personne concernée un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant si elle estime que ses droits ont été violés par un traitement contraire au règlement. L’action se porte devant les juridictions de l’État membre où le responsable dispose d’un établissement, ou devant celles de votre résidence habituelle. En France, le tribunal judiciaire statue sur ces demandes, et le juge des référés peut être saisi en urgence pour ordonner la rectification, le gel ou la mainlevée d’une inscription sous astreinte, comme l’illustre l’ordonnance obtenue contre l’établissement déclarant dans l’affaire messine. Demandez au juge une injonction précise — remplacer telle mention par telle mention, notifier tels destinataires — assortie d’une astreinte par jour de retard, plutôt qu’une condamnation vague à « se mettre en conformité » que l’organisme traînera à exécuter.
La réparation du préjudice suit l’article 82 du règlement : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Le responsable qui a participé au traitement répond du dommage causé par la violation, et le sous-traitant répond lorsqu’il a méconnu ses obligations propres ou agi hors des instructions licites du responsable. Chacun peut être tenu pour le tout afin de garantir une réparation effective, avec ensuite un partage entre coresponsables. La Cour de justice a toutefois posé une limite que tout demandeur doit intégrer : dans son arrêt du 4 mai 2023, Österreichische Post (affaire C-300/21, fiche de l’arrêt sur le site de la Cour), elle juge que la simple violation du règlement ne suffit pas pour ouvrir droit à réparation. Il faut établir un dommage réel, matériel ou moral : crédit refusé à cause de l’inscription erronée, emploi perdu, surcoût d’assurance, démarches et anxiété documentées. Chiffrez le matériel par pièces — refus écrits, offres alternatives plus chères, attestations d’employeur — et décrivez le moral avec précision — relances, signalements à des tiers, durée d’exposition — plutôt qu’en termes généraux.
Le contentieux de la rectification croise souvent le contrat : contrat de travail qui alimente le dossier RH, contrat de crédit qui fonde la déclaration d’incident, contrat de prestation informatique ou de fourniture de fichiers qui propage l’erreur chez des destinataires. Faites auditer la chaîne contractuelle pour identifier qui a déclaré quoi à qui, et sur quelle clause l’organisme s’appuie pour refuser. Quand un prestataire ou un fournisseur est à l’origine de la donnée fausse, les règles applicables aux contrats de prestations et de sous-traitance permettent de répartir les responsabilités entre le client responsable du traitement et son cocontractant, et d’actionner les garanties prévues au contrat. Conservez enfin la preuve de la diffusion : chaque destinataire non avisé après correction reste une source de préjudice distincte, et l’absence de notification prévue par l’article 19 fonde un chef de demande autonome.
L’astreinte prononcée par le juge mérite une attention particulière : demandez un montant journalier dissuasif et prévoyez la phase de liquidation, c’est-à-dire la fixation définitive des sommes dues si l’organisme n’obtempère pas. Une astreinte liquidée à plusieurs milliers d’euros produit souvent plus d’effet que des dommages et intérêts disputés, et elle sanctionne directement la résistance. Vérifiez après exécution que la correction a bien été propagée : réinterrogez le fichier, demandez une attestation de rectification et la liste des destinataires avisés, et relancez pour chaque destinataire oublié. Chaque usage postérieur d’une donnée que l’organisme savait inexacte constitue un fait générateur distinct qui renouvelle le préjudice et justifie un complément d’indemnisation. Enfin, tirez les conséquences contractuelles : si l’erreur vient d’un prestataire qui vous fournit des fichiers ou qui traite vos propres données de clients, mettez en demeure ce cocontractant sur le fondement de ses obligations de qualité et de conformité, et renégociez les clauses de garantie, d’audit et de notification afin que la prochaine erreur soit détectée avant diffusion plutôt qu’après assignation.
En résumé, la méthode qui aboutit tient en quatre temps : demande écrite et ciblée au responsable du traitement avec justificatifs et demande de gel, relance à l’échéance du mois, plainte CNIL documentée en cas de refus ou de silence, action devant le tribunal judiciaire pour ordonner la correction sous astreinte et réparer le dommage prouvé. La rectification n’efface pas les opinions portées sur vous et ne réécrit pas les appréciations, comme le Conseil d’État vient de le confirmer, mais elle impose la vérité des faits dans tous les fichiers qui décident de votre quotidien.
Besoin d’un avis rapide sur votre dossier
Si un organisme maintient des données inexactes vous concernant — banque, assureur, employeur, bailleur, administration — et refuse de les corriger, Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et prépare la demande de rectification, la plainte CNIL et l’action devant le juge. Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.