Votre crédit est refusé alors que vous n’avez jamais manqué un remboursement. Votre employeur conserve dans votre dossier une mention périmée ou inexacte. Votre assureur vous applique une majoration à partir d’informations dépassées. Dans chacun de ces cas, la solution passe rarement par un long procès au fond : le droit européen et le droit français imposent à l’organisme qui détient ces informations de les corriger, vite, sous le contrôle de la CNIL et du juge.
Ce droit porte un nom précis : le droit de rectification. Selon la définition qu’en donne la CNIL, toute personne peut faire rectifier, compléter, actualiser, verrouiller ou effacer les informations la concernant quand des erreurs ou des inexactitudes sont décelées, ou quand la collecte, l’utilisation, la communication ou la conservation des données est interdite. Il couvre donc la donnée fausse à corriger, la donnée incomplète à compléter et la donnée périmée à actualiser. Il ne se confond ni avec le droit d’accès, qui permet d’abord d’obtenir la copie de vos données personnelles, ni avec le droit à l’effacement.
Cet article explique qui doit corriger quoi et dans quel délai, comment formuler une demande qui oblige l’organisme à répondre, puis ce que le juge des référés et la CNIL peuvent ordonner en cas de refus. Deux décisions récentes éclairent ces recours : une ordonnance du tribunal judiciaire d’Arras du 28 mai 2026 contre un établissement ayant fait inscrire au FICP un homme victime d’une usurpation d’identité, et un arrêt de la cour d’appel de Paris du 4 septembre 2025 qui en rappelle les limites. La réparation du préjudice, enfin, obéit à ses propres conditions : elle n’est jamais automatique.
I. Ce que votre banque, votre employeur ou votre assureur doit corriger, et dans quel délai
A. Des données exactes, complètes et à jour : un droit qui vise chaque fichier vous concernant
Le règlement européen sur la protection des données pose un principe simple : les données personnelles doivent être exactes et, si nécessaire, tenues à jour, et toute donnée inexacte doit être effacée ou rectifiée sans tarder. C’est le principe d’exactitude de l’article 5 du règlement (UE) 2016/679, qui s’impose à tout responsable de traitement, public ou privé, dès lors qu’il traite des données de personnes situées en France. L’article 16 du même règlement en tire la conséquence directe en reconnaissant à chaque personne le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données inexactes la concernant et le complément des données incomplètes au regard des finalités du traitement. La page de la CNIL consacrée à ce droit détaille la marche à suivre et les recours.
Trois terrains concentrent l’essentiel des litiges : la banque et le crédit, l’employeur et le dossier du salarié, l’assureur et ses fichiers de souscription et de sinistres.
Dans le crédit, le fichier le plus redouté est le FICP. Le code de la consommation dispose qu’« Un fichier national recense les informations sur les incidents de paiement caractérisés liés aux crédits accordés aux personnes physiques pour des besoins non professionnels. » Ce fichier est géré par la Banque de France, seule habilitée à centraliser ces informations. L’inscription résulte d’une déclaration de l’établissement de crédit, et c’est donc d’abord vers cet établissement que la contestation doit se diriger quand l’inscription est injustifiée : crédit souscrit par un usurpateur, incident déjà régularisé, homonymie, erreur d’identifiant. Deux précisions du même code méritent d’être connues. D’abord, « Toutefois, l’inscription d’une personne physique au sein du fichier n’emporte pas interdiction de délivrer un crédit. » L’inscription est un élément d’appréciation de la solvabilité, pas une interdiction légale, même si en pratique les établissements s’appuient lourdement dessus. Ensuite, avant de conclure le contrat, le prêteur est tenu de vérifier la solvabilité de l’emprunteur : « Avant de conclure le contrat de crédit, le prêteur vérifie la solvabilité de l’emprunteur à partir d’un nombre suffisant d’informations, y compris des informations fournies par ce dernier à la demande du prêteur. » Un établissement qui inscrit au FICP sans vérification sérieuse de l’identité de l’emprunteur commet une négligence que le juge peut sanctionner, comme le montre l’affaire jugée à Arras et décrite plus loin. Les personnes confrontées à un refus de crédit fondé sur un score ou un traitement automatisé disposent en outre de droits spécifiques sur l’explication de la décision, que décrit l’article du cabinet sur le crédit refusé à cause d’un score ou d’un algorithme.
Chez l’employeur, le dossier du salarié concentre les erreurs les plus coûteuses : avertissements anciens qui auraient dû être retirés, évaluations comportant des faits inexacts, adresse ou situation familiale périmée, relevés d’heures erronés, motifs d’absence mal qualifiés. Le code du travail encadre strictement ce que l’employeur peut collecter et conserver. Dès le recrutement, « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Pendant l’exécution du contrat, « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Un fichier disciplinaire conservé au-delà du nécessaire, une mention qui ne correspond à aucun fait vérifié ou une donnée qui n’a aucun lien avec l’activité professionnelle entre dans le champ de la rectification, et le salarié peut exiger la correction avant que ces mentions ne produisent des effets sur sa carrière. La vidéosurveillance permanente du poste de travail ou la géolocalisation illicite relèvent du même raisonnement : des données collectées hors du cadre légal doivent être corrigées ou supprimées, et le cabinet a décrit les recours correspondants pour la caméra braquée sur le poste de travail comme pour le licenciement fondé sur une géolocalisation illicite.
Chez l’assureur, les litiges portent sur les questionnaires de santé comportant des réponses mal retranscrites, les antécédents de sinistres imputés à tort, les relevés d’information erronés et les résiliations pour fausse déclaration alors que l’erreur vient du formulaire lui-même. Les règles applicables aux questionnaires de santé et au droit à l’oubli en assurance emprunteur sont exposées dans l’article du cabinet consacré à l’assurance emprunteur. Quand l’erreur est établie, l’assureur doit rectifier ; quand il soutient que la donnée est exacte, il doit le démontrer, pièces à l’appui, et motiver son refus.
La rectification se distingue de deux droits voisins qu’il faut actionner au bon moment. Le droit à l’effacement vise la suppression des données dont le traitement est sans base légale, tandis que la rectification corrige sans supprimer. Le droit à la limitation du traitement, prévu par l’article 18 du règlement européen, permet de « geler » l’utilisation des données pendant la vérification : « l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel », le traitement doit être limité. Concrètement, une personne inscrite à tort au FICP peut demander à la fois la rectification et, en attendant, le gel de la diffusion de l’inscription contestée. L’ordonnance d’Arras citée plus loin ordonne précisément une mesure de ce type.
B. Formuler une demande qui oblige l’organisme à répondre dans le délai d’un mois
Une demande de rectification efficace suit un ordre précis : identifier le bon interlocuteur, décrire l’erreur avec preuves, exiger par écrit, puis escalader à date fixe si la réponse ne vient pas. Chaque étape compte, car la CNIL comme le juge vérifient que les démarches préalables ont été accomplies.
Le premier réflexe consiste à identifier le responsable du traitement et, s’il existe, son délégué à la protection des données. Dans une banque, il s’agit de l’établissement teneur du fichier client et déclarant au FICP ; chez l’employeur, de la société employeur, y compris pour les fichiers gérés par un prestataire de paie ou de gestion des ressources humaines ; chez l’assureur, de la compagnie ou du courtier selon le contrat. La fiche pratique de la CNIL aide à retrouver ces coordonnées quand l’organisme les dissimule derrière un service client générique. La demande est adressée au responsable du traitement, pas au sous-traitant, même si le sous-traitant doit alerter le responsable et coopérer.
La demande elle-même doit être écrite, précise et accompagnée de justificatifs. Un courrier qui se borne à écrire « vos données sont fausses, corrigez » sans dire quelle mention est contestée ni pourquoi sera difficile à faire exécuter. Il faut désigner chaque donnée litigieuse, indiquer la correction attendue et joindre les pièces qui établissent l’erreur : pièce d’identité pour une homonymie, plainte pour usurpation d’identité, attestation de régularisation d’un incident de paiement, bulletin de salaire ou contrat pour une donnée professionnelle, décision de justice ou document officiel pour une mention périmée. La CNIL met à disposition un modèle de courrier pour rectifier des données inexactes, dont l’usage est recommandé. L’envoi en lettre recommandée avec accusé de réception, ou par tout moyen conférant date certaine, fixe le point de départ du délai de réponse.
Ce délai est strictement encadré. D’après la page de la CNIL consacrée à ce droit, l’organisme doit répondre dans les meilleurs délais et au plus tard sous un mois, délai qui peut être porté à trois mois vu la complexité ou le nombre de demandes. S’il invoque cette prolongation, il doit en informer la personne dans le délai initial d’un mois en expliquant ses raisons. Pendant toute cette période, la personne peut exiger la limitation du traitement, c’est-à-dire le gel de l’utilisation des données contestées. Pour une inscription FICP contestée, ce gel signifie que l’établissement doit suspendre la diffusion de l’incident pendant qu’il vérifie, au lieu de laisser l’inscription produire ses effets.
L’organisme peut refuser, mais pas n’importe comment. Le refus doit être motivé et notifié : l’organisme doit expliquer pourquoi il estime la donnée exacte, indiquer les vérifications effectuées et rappeler les voies de recours, plainte devant la CNIL et recours juridictionnel. Un silence gardé au-delà du délai d’un mois équivaut à un refus et ouvre les mêmes recours : la CNIL invite alors à déposer plainte auprès d’elle en joignant les éléments qui attestent des démarches préalables. Conserver la copie de la demande, l’accusé de réception et les relances est donc indispensable : ce dossier de preuves conditionne la suite.
Un point mérite une vigilance particulière, illustré par l’affaire d’Arras : l’organisme ne peut pas subordonner la régularisation à des renonciations de droits. Dans cette affaire, l’établissement avait conditionné la radiation du FICP à la signature d’un écrit par lequel le client renonçait à une mention du fichier et à tout recours contre la banque « en cas de nouvelle inscription ». Le juge n’a tiré aucune conséquence favorable à la banque de cette exigence, et la banque a été condamnée aux dépens et à verser 1 000 euros au titre des frais irrépétibles. Une personne à qui l’on demande de signer une décharge ou une renonciation pour obtenir la correction de ses propres données doit refuser et le faire constater par écrit.
II. Quand l’organisme refuse ou se tait : la CNIL, le juge des référés et la réparation
A. Le juge des référés peut ordonner la communication, la limitation et la régularisation sous astreinte
Le droit européen garantit à chacun un recours effectif devant le juge : « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés ». Ce recours n’oblige pas à attendre l’issue d’une plainte devant la CNIL, et il n’est pas non plus subordonné à son succès : la plainte administrative et l’action en justice sont deux voies parallèles, qui peuvent être menées ensemble. Quand la situation est urgente ou que le trouble est illicite, la voie la plus rapide est le référé devant le président du tribunal judiciaire.
Le code de procédure civile ouvre deux portes. En cas d’urgence, « Dans tous les cas d’urgence, le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend. » Et même en présence d’une contestation sérieuse, « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier, ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. » Ordonner à une banque de communiquer la copie des données ou de geler un traitement illicite entre dans ce cadre quand l’obligation légale est claire et que l’organisme n’a pas répondu.
L’ordonnance rendue le 28 mai 2026 par le tribunal judiciaire d’Arras contre la société Floa illustre parfaitement ce mécanisme. Un homme avait été informé en juillet 2025 de son inscription au FICP pour un impayé de 743,78 euros au titre d’un crédit qu’il n’avait jamais souscrit. Il avait déposé plainte pour usurpation d’identité, puis son conseil avait mis en demeure l’établissement, par lettre recommandée reçue le 11 août 2025, de confirmer l’absence de relation contractuelle, de communiquer la copie de l’ensemble de ses données, y compris les zones de commentaires internes et l’origine des données, et de limiter le traitement de ces données aux seuls besoins de l’enquête pénale, sur le fondement de l’article 18 du règlement européen. L’établissement n’avait pas déféré à ces demandes et avait même conditionné la radiation à des renonciations de recours.
Le juge des référés a d’abord écarté l’argument de la banque selon lequel seule la CNIL serait compétente : saisie d’une plainte, l’autorité administrative ne prive pas la victime de son accès au juge, et le droit à un recours juridictionnel effectif s’exerce indépendamment. Il a ensuite constaté qu’il n’était pas contesté que l’établissement détenait toujours des données du demandeur, notamment son nom, une photocopie de sa carte d’identité et un relevé d’identité bancaire, sans avoir justifié de la transmission des informations sollicitées depuis la demande d’août 2025. Dès lors, le principe de la demande de communication n’était pas sérieusement contestable, et le juge a ordonné la communication d’une copie en langage clair de l’ensemble des données, y compris les blocs-notes et les commentaires internes, ainsi que toute information disponible sur leur origine. Il en a été de même pour la limitation du traitement aux seuls besoins de l’enquête pénale : l’établissement n’ayant justifié d’aucune mesure, l’obligation n’était pas sérieusement contestable. Chacune de ces injonctions a été assortie d’une astreinte de 100 euros par jour de retard passé un délai de huit jours à compter de la signification, la liquidation revenant au juge de l’exécution.
Cette ordonnance enseigne trois leçons pratiques. D’abord, les zones internes des fichiers, commentaires et blocs-notes des conseillers, sont comprises dans le droit d’accès : l’organisme ne peut pas se contenter de communiquer les champs structurés du dossier. Ensuite, la limitation du traitement est une arme autonome, distincte de la rectification et de l’effacement, qui permet de neutraliser immédiatement les effets d’une inscription contestée sans attendre la fin des vérifications. Enfin, l’astreinte donne au référé son efficacité : 100 euros par jour de retard incitent concrètement un établissement à s’exécuter dans le délai de huit jours.
Mais le même contentieux montre les limites du référé : le demandeur sollicitait aussi deux provisions, de 4 000 et 2 000 euros, pour le préjudice moral lié au fichage et aux manœuvres de la banque. Le juge les a rejetées, au motif qu’« aucun préjudice au titre duquel une indemnité serait due n’est caractérisé en l’espèce » et que l’obligation d’indemniser se heurtait à une contestation sérieuse. En référé, l’injonction de faire s’obtient facilement quand l’obligation est claire, tandis que l’argent s’obtient difficilement sans débat au fond. Une victime qui veut être indemnisée doit préparer un dossier distinct, avec des justificatifs de préjudice, et accepter le plus souvent un procès au fond.
Un arrêt de la cour d’appel de Paris du 4 septembre 2025 complète ce tableau par un avertissement inverse, destiné aux demandeurs. Un client poursuivait depuis plus de vingt ans sa banque, la Banque Populaire Rives de Paris, et avait obtenu de la CNIL une injonction à laquelle la banque avait fini par satisfaire. Il sollicitait néanmoins une mesure d’instruction avant tout procès, avec saisie par commissaire de justice des données que la banque détiendrait encore, en vue d’une action autonome fondée sur le règlement européen. La cour a infirmé l’ordonnance qui avait accueilli cette demande : une mesure d’instruction ne peut être sollicitée avant tout procès que sur justification d’un motif légitime, et le demandeur ne précisait pas quelles données manquaient encore alors que la banque s’était exécutée sur injonction de la CNIL. Surtout, la cour a refusé de sanctionner le demandeur pour abus de droit d’agir, en retenant que « l’appréciation inexacte qu’une partie fait de ses droits n’est pas en soi constitutive de la faute » visée par l’article 1240 du code civil, d’autant que la CNIL avait précédemment reconnu les manquements de la banque. La leçon est double : le droit d’accès et ses mesures d’exécution ne permettent pas de rouvrir indéfiniment un litige définitivement jugé ni de contraindre une banque à se soumettre à des investigations sans objet précis, mais se tromper sur l’étendue exacte de ses droits ne fait pas de la victime une fautive.
B. Obtenir réparation à Paris et en Île-de-France : préjudice prouvé, refus motivés et charge de la preuve
La réparation suppose trois éléments réunis : une faute ou un manquement, un préjudice et un lien entre les deux. Le fondement de droit commun est l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le règlement européen ajoute un fondement propre à la matière : toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation auprès du responsable du traitement. En pratique, les préjudices indemnisables vont du crédit refusé à cause d’un fichage indu aux frais engagés pour faire valoir ses droits, en passant par le trouble et l’inquiétude d’avoir été assimilé à un débiteur défaillant.
Le point décisif, rappelé par l’ordonnance d’Arras, est que le préjudice ne se présume pas. Le demandeur qui avait été inscrit à tort au FICP n’a obtenu aucune provision parce qu’il n’établissait ni la réalité ni le montant de son préjudice moral : il n’avait pas démontré, par exemple, s’être vu refuser un crédit ni produit d’éléments sur son trouble. Une victime bien préparée constitue donc son dossier dès la découverte de l’erreur : décision de refus de crédit mentionnant le FICP, échanges avec l’organisme, attestations sur les démarches accomplies, certificats médicaux si l’inquiétude a eu des conséquences, factures des frais exposés. Au fond, le juge peut allouer des dommages et intérêts et assortir la régularisation d’une astreinte ; en référé, il faut s’attendre à ce que l’indemnisation soit renvoyée au fond, sauf obligation non sérieusement contestable et préjudice évident.
L’organisme dispose aussi de moyens de défense légitimes qu’il faut anticiper. D’abord, il peut soutenir que la donnée est exacte et refuser la rectification en le motivant : relevé de compte conforme aux opérations, incident de paiement réel, mention disciplinaire correspondant à des faits établis. Ce refus motivé ne clôt pas le débat, mais il déplace la charge de la preuve : c’est alors à la personne concernée d’apporter les éléments contraires, et le juge tranche au vu des pièces des deux parties. Ensuite, l’organisme peut opposer que la demande est excessive ou répétitive, notamment quand le demandeur multiplie les courriers sans élément nouveau, comme dans l’affaire parisienne décrite plus haut. Enfin, certains traitements échappent à la rectification directe parce qu’ils relèvent de régimes spéciaux : fichiers de police et de renseignement, pour lesquels la CNIL exerce un droit d’accès indirect, ou données dont la conservation est imposée par une autre loi, par exemple en matière de lutte contre le blanchiment.
Un éclairage européen mérite d’être connu quand l’erreur se propage sur internet, par exemple lorsqu’un moteur de recherche affiche un incident de paiement ou une condamnation qui ne correspond plus à la réalité. Dans son arrêt du 8 décembre 2022 rendu dans l’affaire C-460/20, la Cour de justice de l’Union européenne a jugé que la personne qui demande le déréférencement d’un contenu prétendument inexact doit en établir le caractère manifeste, mais avec une exigence proportionnée : selon la lettre de la direction des affaires juridiques du ministère de l’économie qui commente cet arrêt, le demandeur fournit seulement les éléments de preuve qu’il peut raisonnablement être exigé de rechercher, sans avoir à produire une décision de justice préalable contre l’éditeur du site, et l’exploitant du moteur doit pendant la procédure ajouter un avertissement informant les internautes de la contestation. La logique est transposable aux litiges de rectification : à la personne qui conteste d’apporter les preuves raisonnablement à sa portée, à l’organisme de vérifier sérieusement, au juge et à la CNIL de trancher.
À Paris et en Île-de-France, le parcours présente des particularités utiles. La CNIL siège à Paris et reçoit les plaintes en ligne, avec les preuves des démarches préalables ; un dossier complet, demande initiale, accusé de réception, relance, réponse ou silence constaté à l’expiration du délai d’un mois, accélère l’instruction. Au judiciaire, le tribunal judiciaire de Paris connaît en référé des demandes fondées sur le règlement européen contre les organismes dont le siège ou l’établissement se trouve dans son ressort, et les décisions citées montrent que les juges parisiens manient couramment ces textes. Les pièces à préparer suivent l’ordre chronologique : contrats et relevés établissant l’erreur, copie de la demande de rectification et de ses justificatifs, preuve de l’envoi et de la réception, relance restée sans réponse ou refus motivé de l’organisme, plainte à la CNIL et son suivi, puis justificatifs du préjudice pour la demande indemnitaire. Les délais pratiques constatés vont de quelques semaines pour une régularisation spontanée après mise en demeure argumentée à plusieurs mois pour une ordonnance de référé assortie d’astreinte, puis à une procédure au fond si l’indemnisation est contestée.
Conclusion
Des données fausses, incomplètes ou périmées détenues par une banque, un employeur ou un assureur ne sont pas une fatalité : le droit de rectification oblige l’organisme à corriger, et le silence gardé pendant un mois ouvre la plainte devant la CNIL comme le référé devant le juge. L’ordonnance d’Arras du 28 mai 2026 prouve qu’un établissement qui inscrit à tort un client au FICP peut être contraint sous astreinte de communiquer l’ensemble de ses données et de geler leur traitement, tandis que l’arrêt parisien du 4 septembre 2025 rappelle que ces armes exigent un objet précis et un préjudice démontré. La méthode gagnante tient en quatre temps : désigner chaque erreur avec ses preuves, exiger par écrit avec date certaine, escalader à l’expiration du délai d’un mois, puis chiffrer le préjudice avec des pièces. Menée dans cet ordre, la demande de rectification cesse d’être une lettre perdue dans un service client pour devenir une obligation exécutoire.