Vous avez écrit au site qui refuse d’effacer vos données, vous avez déposé une plainte en ligne à la CNIL, puis plus rien. Les semaines passent, aucun courrier, aucun appel, et l’organisme mis en cause continue d’exploiter vos informations comme si de rien n’était. Cette situation est devenue courante : la Commission nationale de l’informatique et des libertés reçoit chaque année des dizaines de milliers de réclamations et reconnaît elle-même que les délais de traitement peuvent être importants. Le silence de l’autorité ne signifie pourtant ni que votre dossier est perdu, ni que vous êtes démuni. Le droit européen et le droit français organisent précisément ce cas de figure : un silence de trois mois vaut rejet, ce rejet se conteste devant le Conseil d’État, et l’organisme qui viole vos droits répond de son préjudice devant le juge judiciaire.

Encore faut-il avoir déposé une plainte recevable. La première cause d’échec ne tient pas à la CNIL mais au plaignant lui-même : beaucoup saisissent l’autorité sans avoir d’abord exercé leurs droits auprès de l’organisme, sans pièces, ou en lui demandant ce qu’elle n’a pas le pouvoir de faire. Cet article décrit la méthode complète : constituer un dossier qui tient, déposer une réclamation efficace, relancer utilement, attaquer le rejet implicite et obtenir réparation.

I. Déposer une plainte que la CNIL peut instruire

La réclamation prévue par le règlement européen n’est pas un simple signalement. L’article 77 du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, ouvre à « toute personne concernée […] le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement », selon la formulation reprise par le Conseil d’État dans sa décision du 27 août 2026 rendue sur une plainte contre la société Discord (texte officiel). Ce droit suppose donc une violation alléguée du règlement, pas une simple question ni une demande d’information. La CNIL, de son côté, « traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable », comme l’exige le d) du 2° du I de l’article 8 de la loi n° 78-17 du 6 janvier 1978, dans les termes rappelés par le Conseil d’État le 20 décembre 2023 (texte officiel).

A. Exercer d’abord vos droits auprès de l’organisme qui détient vos données

Avant de demander l’intervention de la CNIL, vous devez d’abord exercer vos droits directement auprès de l’organisme. La Commission l’écrit noir sur blanc sur sa page de dépôt de plainte : elle « ne peut pas être votre mandataire ». Concrètement, identifiez l’organisme ou son délégué à la protection des données, exercez votre droit par écrit et conservez les preuves de votre demande. Les modèles de courriers proposés par la CNIL couvrent l’accès, la rectification, l’effacement, l’opposition et la portabilité.

Ce préalable n’est pas une formalité de politesse, c’est le cœur du dossier. Le droit d’accès s’exerce « dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 », rappelle l’article 49 de la loi du 6 janvier 1978, et le droit à l’effacement « dans les conditions prévues à l’article 17 » du même règlement, selon l’article 51 de cette loi. Le droit à l’information s’exerce, lui, dans les conditions prévues aux articles 12 à 14 du RGPD. Si vous reprochez à un site de conserver votre compte fermé, commencez par lui demander l’effacement par écrit ; s’il s’agit d’un ancien employeur qui garde vos données après votre départ ou d’un recruteur qui conserve votre candidature, la demande préalable écrite conditionne toute la suite. Nos analyses détaillées de ces situations, comme le refus de copie de vos données personnelles ou la conservation abusive après clôture d’un compte, montrent que le dossier se gagne ou se perd à ce stade.

L’organisme doit vous répondre dans les meilleurs délais et au plus tard dans un délai d’un mois, comme le rappelle le considérant 59 du RGPD ; la CNIL reprend ce délai en pratique : « sous un mois maximum », avec une prolongation possible de deux mois si votre demande est complexe ou nécessite des investigations. Passé ce délai sans réponse, ou en cas de refus, la voie de la plainte s’ouvre réellement. Conservez chaque preuve : le courriel ou la lettre recommandée, l’accusé de réception, les captures d’écran de votre espace client, la réponse de l’organisme ou son silence daté. Une plainte accompagnée de ces pièces part avec une avance considérable sur une plainte qui se borne à raconter les faits.

Si la démarche individuelle vous impressionne, le règlement autorise le mandat associatif. L’article 80 du RGPD permet à la personne concernée de mandater un organisme, une organisation ou une « association à but non lucratif » pour qu’il « introduise une réclamation en son nom » et exerce les droits prévus aux articles 77, 78 et 79 ainsi que, lorsque le droit national le prévoit, le droit à réparation de l’article 82. En France, plusieurs associations agréées accompagnent ainsi les plaignants, ce qui renforce le poids du dossier sans en changer la nature : la plainte reste l’exercice d’un droit individuel fondé sur une violation alléguée du règlement.

L’erreur la plus fréquente consiste à saisir la CNIL comme on saisit un médiateur, en lui demandant de négocier à votre place ou de trancher un litige commercial. La Commission n’est ni un conciliateur ni votre avocat : elle contrôle la conformité des traitements et sanctionne les manquements. Une plainte qui ne vise aucune règle précise du RGPD ou de la loi française, et qui ne démontre aucune atteinte à vos données, s’expose à la clôture. Le Conseil d’État l’a rappelé le 20 décembre 2023 dans une affaire où le plaignant s’était borné à interroger la CNIL sur l’existence et le cadre juridique d’un fichier, « sans se prévaloir d’aucune illégalité entachant ce traitement, ni d’aucune atteinte à ses droits » : la Commission « n’a pas commis d’erreur manifeste d’appréciation en s’abstenant de prendre des mesures », et le rejet de la plainte est légal (CE, 10e-9e ch. réunies, 20 décembre 2023, n° 471469, texte officiel). Formulez donc votre grief en droit : tel traitement, telle donnée, telle règle violée, telle atteinte subie.

B. Adresser une réclamation complète, en ligne ou par courrier

La plainte se dépose en ligne via le téléservice de la CNIL ou par courrier postal. Le service public détaille la démarche de plainte en ligne, et la Commission précise les pièces attendues : votre identité, l’organisme mis en cause, la description précise des faits, et surtout toutes les informations utiles à la compréhension de votre plainte : « les échanges de courriers avec l’organisme », l’adresse URL de la page qui diffuse vos données, votre qualité (client, employé, administré, adhérent), en conservant vos originaux. Chaque affirmation doit s’appuyer sur une pièce : la demande de droit restée sans réponse, la réponse de refus, la capture de la page qui diffuse vos données, le relevé qui prouve la prospection persistante.

Choisissez le bon guichet. Si vous résidez en France, la CNIL est votre autorité de plainte, même lorsque l’organisme est établi dans un autre État membre : la coopération européenne entre autorités répartit ensuite l’instruction, avec une autorité cheffe de file selon les articles 55 et 56 du RGPD. Si l’organisme visé relève du secteur répressif, police ou justice pénale, le régime applicable est celui de la directive (UE) 2016/680 et de son titre III de la loi du 6 janvier 1978, et la plainte suit un circuit adapté ; ne mélangez pas les fondements. Si les faits sont susceptibles de constituer une infraction pénale, par exemple une usurpation d’identité ou un accès frauduleux à vos comptes, la CNIL le rappelle elle-même : sa plainte ne vaut pas plainte pénale et n’en est pas le préalable. Déposez alors aussi une plainte pénale auprès du procureur de la République ou des services de police ou de gendarmerie, à tout moment, sans attendre l’issue de la procédure CNIL. Les deux voies sont indépendantes et cumulables : la sanction administrative ne répare pas votre préjudice, et la condamnation pénale n’efface pas les données.

Dès le dépôt, la Commission s’engage à faire le maximum pour vous informer de l’état d’avancement, au moins dans les trois mois suivant le dépôt, et de l’issue de votre plainte. Conservez l’accusé de dépôt et notez la date : c’est elle qui fait courir le délai de trois mois au terme duquel le silence vaut décision de rejet, comme on le verra. Si la CNIL vous écrit pour vous demander des compléments, répondez vite et précisément ; un dossier qui dort après une demande de pièces s’expose à la clôture pour défaut d’éléments. Si votre situation évolue, par exemple si l’organisme régularise partiellement ou si de nouveaux faits surviennent, signalez-le par écrit en référençant votre numéro de plainte. La relance n’est pas une marque d’impatience, c’est un acte de procédure : elle crée une trace, interrompt l’oubli et prépare, le cas échéant, le recours contre le rejet implicite.

II. Quand la CNIL garde le silence ou clôt votre plainte

Le moment critique arrive trois mois après le dépôt. Soit la CNIL vous a informé de l’avancement ou de l’issue, soit elle est restée silencieuse, soit elle vous a adressé une clôture que vous estimez injustifiée. Chaque situation ouvre une voie différente, et les confondre fait perdre des mois.

A. Le silence de trois mois vaut rejet : le recours devant le Conseil d’État

L’article 78 du RGPD ouvre un recours effectif contre l’autorité de contrôle « lorsque l’autorité de contrôle compétente ne traite pas sa réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de sa réclamation » (Conseil d’État, 27 août 2026). En droit français, ce mécanisme est précisé par l’article 10 du décret n° 2019-536 du 29 mai 2019 : « Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet. » Le silence n’est donc pas un vide juridique, c’est une décision attaquable, et le juge compétent pour les actes de la CNIL est le Conseil d’État.

La jurisprudence la plus récente illustre parfaitement le mécanisme. Le 27 août 2026, le Conseil d’État a statué sur la plainte d’un utilisateur contre la société Discord, déposée le 7 mai 2025 (CE, 10e chambre, 27 août 2026, n° 509592, texte officiel). La CNIL lui avait écrit dès le 12 mai 2025 que sa plainte, après un premier examen de recevabilité, était transmise au service compétent et qu’« en raison du grand nombre de plaintes reçues […] les délais de traitement peuvent être importants ». Le Conseil d’État juge que de telles indications « ne peuvent être regardées, en l’espèce, comme ayant été de nature à faire obstacle à la naissance d’une décision implicite de rejet de sa plainte, après l’expiration du délai de trois mois ». Autrement dit, l’accusé de réception standard de la CNIL n’interrompt pas le délai : trois mois après le dépôt sans information sur l’avancement ou l’issue, le rejet implicite naît, et le recours devient possible. En l’espèce, la CNIL avait ensuite poursuivi l’instruction et clôturé explicitement la plainte le 20 janvier 2026, ce qui valait retrait du rejet implicite et rendait le recours sans objet, d’où le non-lieu prononcé. L’enseignement pratique est double : le délai court dès le dépôt, et une clôture explicite ultérieure retire le rejet implicite, de sorte que le recours doit alors viser la clôture elle-même.

Mais attention à ce que le juge peut réellement ordonner. Dans l’affaire jugée le 20 décembre 2023 (texte officiel), le requérant demandait au Conseil d’État d’enjoindre à la CNIL « d’instruire sa plainte jusqu’à la sanction à laquelle elle doit donner lieu ». Le Conseil d’État rejette cette prétention : la Commission dispose d’un pouvoir d’appréciation sur les suites à donner, et le juge de l’excès de pouvoir annule une décision illégale sans se substituer à l’autorité pour choisir la sanction. De même, le retard à lui seul ne vicie pas la décision : dans cette affaire, la CNIL avait mis plus de quatre ans à instruire, et le Conseil d’État admet que ce délai excède le « délai raisonnable » exigé par l’article 8 de la loi du 6 janvier 1978, ce qui permet au plaignant de saisir le juge du rejet implicite ; pour autant, « les circonstances que la CNIL ne l’a pas traitée dans un délai raisonnable et qu’elle n’a pas suffisamment informé […] de son état d’avancement sont sans incidence sur la légalité de la décision attaquée ». Le retard ouvre la porte du prétoire, il ne fait pas gagner le procès : encore faut-il démontrer une illégalité, c’est-à-dire une violation du RGPD ou de la loi que la CNIL aurait manifestement mal appréciée.

En pratique parisienne, le recours s’introduit devant le Conseil d’État, au Palais-Royal à Paris, dans les deux mois de la naissance du rejet implicite ou de la notification de la clôture explicite. Le mémoire doit identifier précisément la décision attaquée, exposer la violation du RGPD alléguée avec ses preuves, et formuler des conclusions d’annulation assorties, si nécessaire, d’une injonction de réexaminer la plainte. Avant ce contentieux lourd, une étape souvent négligée mérite d’être tentée : la CNIL indique que, si vous n’êtes pas satisfait de l’issue de votre plainte, vous pouvez adresser un « recours gracieux » par courrier postal à l’attention de sa présidente, dans les deux mois suivant la décision de clôture. Ce recours gracieux ne suspend pas les délais contentieux, il les accompagne : il signale l’erreur alléguée et permet parfois une réouverture sans juge.

B. Faire condamner l’organisme : le juge judiciaire et la réparation du préjudice

La plainte à la CNIL ne répare rien par elle-même : la Commission sanctionne les organismes, elle n’indemnise pas les victimes. L’article 79 du RGPD ouvre à toute personne un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant dont le traitement viole ses droits, et l’article 82 ajoute que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (Cass., ch. soc., 24 juin 2026). En France, cette action indemnitaire se porte devant le tribunal judiciaire, par exemple à Paris pour les litiges nés en Île-de-France comme celui qui oppose un salarié à son ancien employeur sur la conservation de ses données (voir notre analyse), indépendamment de la procédure suivie devant la CNIL. Vous pouvez agir alors même que votre plainte est encore en cours d’instruction, et la décision de la CNIL, si elle constate des manquements, constitue une pièce de poids sans lier le juge civil sur le préjudice.

La Cour de cassation vient de préciser une règle décisive pour ce contentieux. Le 24 juin 2026, la chambre sociale a jugé, au visa de l’article 82, paragraphe 1, que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » et qu’il appartient au juge d’apprécier « si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral » (Cass., ch. soc., 24 juin 2026, n° 24-22.792, texte officiel). En l’espèce, une cour d’appel avait alloué 5 000 euros de dommages et intérêts à un salarié de la société Natixis au motif que le non-respect du RGPD lui avait nécessairement causé un préjudice : cassation partielle, l’arrêt est annulé sur ce point et l’affaire renvoyée. La Cour reprend ainsi la solution dégagée par la Cour de justice de l’Union européenne, selon laquelle la violation du règlement ne crée pas une présomption de dommage. Concrètement, votre assignation doit décrire un préjudice réel : des démarches et du temps perdu, une anxiété documentée, une prospection subie malgré l’opposition, une décision défavorable prise sur la base de données inexactes, une atteinte à la réputation ou à la vie privée. Factures, attestations, constats, échanges avec l’organisme et, le cas échéant, certificat médical : le dommage moral se prouve comme le dommage matériel, par pièces, jamais par affirmation.

Parallèlement, la sanction administrative peut frapper l’organisme, et elle éclaire l’ampleur des manquements que la CNIL retient dans les dossiers biométriques et de droits des personnes. Le 17 octobre 2022, la formation restreinte a prononcé contre la société Clearview AI une amende de 20 millions d’euros assortie d’une injonction sous astreinte, pour défaut de base légale, non-respect du droit d’accès, non-respect du droit à l’effacement et défaut de coopération (délibération SAN-2022-019 du 17 octobre 2022, tableau des sanctions de la CNIL). Cette décision montre que le refus d’accès et le refus d’effacement, précisément les griefs les plus courants des plaintes individuelles, figurent parmi les manquements les plus lourdement sanctionnés. Votre plainte isolée s’inscrit ainsi dans une politique de contrôle documentée, ce qu’il est utile de rappeler dans vos écritures comme dans vos relances.

Reste la question du temps et de l’argent. Agir sur les deux fronts, CNIL et juge, coûte moins cher qu’on ne le croit si le dossier est ordonné dès le départ : la demande de droit préalable, la plainte documentée et la relance datée servent dans les deux procédures sans travail redondant. Saisi tôt, le tribunal peut ordonner l’effacement ou la rectification sous astreinte en référé lorsque l’illicéité est manifeste, pendant que la plainte CNIL suit son cours vers une éventuelle sanction. L’articulation inverse existe aussi : une mise en demeure publique ou une sanction de la CNIL renforce considérablement une action indemnitaire ultérieure, puisqu’elle établit la faute. Dans tous les cas, ne laissez pas les délais s’étioler : le rejet implicite naît à trois mois, le recours gracieux se forme dans les deux mois de la clôture, et l’action en réparation doit être engagée avant que les preuves ne se dispersent et que les journaux de traitement ne soient purgés.

Une plainte à la CNIL sans réponse n’est donc pas une impasse, c’est un dossier qui change de nature. Pendant les trois premiers mois, tout repose sur la qualité de votre réclamation : droits exercés au préalable, pièces conservées, grief formulé en droit. Après trois mois de silence, le rejet implicite vous ouvre le prétoire du Conseil d’État, et la jurisprudence de 2023 comme celle d’août 2026 balise ce recours avec précision : le juge contrôle la légalité, pas l’opportunité de la sanction, et le retard à lui seul ne fait pas gagner. Devant le tribunal judiciaire, la réparation suppose un dommage prouvé, comme la Cour de cassation vient de le rappeler en juin 2026. Méthode, pièces et délais : à ces trois conditions, le silence de la CNIL devient le point de départ de vos recours, et non leur point final.