Votre banque ignore depuis deux mois votre demande de copie des données qu’elle détient sur vous. Votre employeur a installé des caméras dans vos bureaux sans vous en informer. Un site marchand refuse de supprimer votre compte alors que vous l’avez quitté. Dans ces situations, la plainte auprès de la CNIL est le réflexe le plus souvent cité, et il est souvent justifié. Mais il est mal compris : la Commission nationale de l’informatique et des libertés enquête et sanctionne les organismes, elle ne vous indemnise pas. Obtenir réparation de votre préjudice suppose une action distincte devant le juge, avec ses conditions et ses preuves, confirmées en 2026 par la Cour de cassation. Cet article décrit la plainte de bout en bout, de son dépôt à ses issues, puis les recours qui permettent réellement d’être indemnisé ou de faire cesser la violation.
I. Déposer une plainte CNIL et la suivre jusqu’au bout
A. D’abord exercer vos droits auprès de l’organisme, puis saisir la CNIL
La plainte n’est pas la première étape, elle est la seconde. Avant de saisir la CNIL, vous devez exercer vos droits directement auprès de l’organisme qui traite vos données : droit d’accès, de rectification, d’effacement ou d’opposition, prévus aux articles 15 à 22 du [règlement (UE) 2016/679] (RGPD). Cette démarche préalable conditionne l’examen de votre plainte : la CNIL vous demandera ce que vous avez déjà tenté et ce que l’organisme vous a répondu. Conservez-en les preuves dès le départ, copies des courriers et messages, accusés de réception, captures datées : elles serviront à la fois devant la CNIL et, plus tard, devant le juge.
L’organisme ne peut pas vous faire attendre indéfiniment. Le texte européen est précis : l’organisme doit vous répondre dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception de votre demande, comme le prévoit l’article 12, paragraphe 3, du RGPD ; la CNIL retient d’ailleurs ce repère d’un mois dans ses exemples de plainte recevable. Dans les dossiers complexes, ce délai peut être prolongé de deux mois, à condition que l’organisme vous informe de cette prolongation et de ses motifs avant l’expiration du premier mois, selon ce même article 12, paragraphe 3. Un silence persistant au-delà de ces délais, ou un refus non motivé, caractérise le point de départ utile de votre plainte.
Le dépôt lui-même est simple. La CNIL indique que la plainte peut être adressée par son téléservice de plainte en ligne dans les cas qu’il couvre, par le service d’aide en ligne pour les autres cas, ou par courrier postal adressé à CNIL, Service des Plaintes, 3 place de Fontenoy, 75007 Paris, comme l’explique la page officielle Adresser une plainte à la CNIL. Joignez tout document attestant les faits décrits : la page officielle recommande de fournir ces justificatifs, par exemple la copie du courrier resté sans réponse que vous aviez adressé à l’organisme, d’après cette même page d’aide de la CNIL. Plus votre dossier est daté et documenté, plus l’instruction sera rapide.
Vous pouvez aussi vous faire aider. Le RGPD permet à toute personne de mandater un organisme, une organisation ou une association à but non lucratif, valablement constitué et actif dans la protection des données, pour introduire une réclamation en son nom et exercer ses droits, selon l’article 80, paragraphe 1 (voir les cas couverts par le téléservice de la CNIL). Les associations de consommateurs et de défense des libertés numériques utilisent régulièrement ce mandat, y compris pour des plaintes collectives contre des pratiques identiques subies par des milliers de personnes. Si votre litige concerne la récupération de vos données auprès d’un ancien fournisseur, les démarches de récupération et de transmission de vos données personnelles obéissent à la même logique : exercer d’abord le droit auprès de l’organisme, documenter le refus, puis saisir l’autorité.
Lorsque l’organisme est établi dans un autre État de l’Union européenne, par exemple une plateforme dont le siège européen est en Irlande ou au Luxembourg, votre plainte reste recevable auprès de la CNIL. L’article 77 du RGPD vous permet de saisir l’autorité de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation, et les autorités coopèrent ensuite entre elles pour désigner celle qui pilotera le dossier. Concrètement, déposez votre plainte en français auprès de la CNIL avec les mêmes pièces, et précisez le siège européen de l’organisme ainsi que le service français ou le site en langue française par lequel vous avez été démarché. Cette dimension transfrontalière allonge parfois l’instruction, car la décision finale résulte d’une coopération entre autorités, mais elle ne vous prive d’aucun droit : l’information sur l’état d’avancement prévue par l’article 77, paragraphe 2, s’applique de la même façon, et le recours juridictionnel de l’article 78 reste ouvert.
B. L’instruction par la CNIL : pouvoirs, information et issues
Une fois votre plainte déposée, le droit européen vous reconnaît un véritable droit à la réclamation : toute personne concernée peut introduire une réclamation auprès d’une autorité de contrôle, notamment celle de son pays de résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, lorsqu’elle estime qu’un traitement de ses données viole le règlement, selon l’article 77, paragraphe 1, du RGPD (la CNIL détaille les cas concernés). Pour un résident français, cette autorité est la CNIL. Et l’instruction n’est pas une boîte noire : l’autorité saisie doit informer l’auteur de la plainte de l’état d’avancement et de l’issue de sa réclamation, y compris de la possibilité d’un recours juridictionnel prévu à l’article 78, selon l’article 77, paragraphe 2, du RGPD. Vous devez donc être tenu informé des suites, et la CNIL doit vous indiquer les recours possibles.
Concrètement, la CNIL instruit en contactant l’organisme mis en cause, en lui demandant ses observations et, si nécessaire, en procédant à des contrôles. Ses pouvoirs sont étendus. Elle peut adresser un rappel à l’ordre à l’organisme dont le traitement a violé le règlement, et lui ordonner de satisfaire aux demandes d’exercice des droits présentées par les personnes concernées, selon l’article 58, paragraphe 2, du RGPD. Elle peut aussi ordonner la mise en conformité dans un délai déterminé, imposer la limitation ou l’interdiction d’un traitement, ordonner l’effacement des données et infliger une amende administrative, seule ou en complément des autres mesures selon les caractéristiques de chaque cas, toujours selon ce même article 58, paragraphe 2. C’est cette palette qui donne à votre plainte son poids : l’organisme sait qu’un dossier individuel peut déclencher un contrôle et une sanction publique.
Pour autant, deux limites doivent être comprises dès le départ. D’abord, les délais d’instruction peuvent être longs : la CNIL elle-même avertit que les délais de traitement des plaintes peuvent être importants en raison du grand nombre de saisines et de la complexité des dossiers, comme le rappelle sa page d’aide sur les plaintes. Ensuite, la plainte peut ne pas aboutir à une sanction, par exemple si l’organisme se met en conformité en cours d’instruction ou si les faits ne sont pas établis. Dans ce cas, vous n’êtes pas démuni. Si l’autorité compétente ne traite pas la réclamation ou n’informe pas le plaignant de son avancement ou de son issue dans un délai de trois mois, toute personne concernée dispose alors d’un recours juridictionnel effectif contre cette inaction, selon l’article 78, paragraphe 2, du RGPD. Le silence gardé pendant trois mois ouvre donc un recours devant le juge contre l’inaction de l’autorité. Et si la CNIL prend une décision qui vous concerne et que vous la contestez, le recours s’exerce devant la juridiction administrative, sachant que « La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée », selon l’article R. 421-1 du code de justice administrative. Ce délai de deux mois court à compter de la notification de la décision de la CNIL, et il doit être vérifié sur cette notification elle-même.
II. Obtenir réparation : la plainte ne suffit pas, le juge indemnise
A. L’action en réparation devant le juge et ses trois conditions
C’est le point que les victimes découvrent souvent trop tard : la CNIL sanctionne l’organisme au nom de l’intérêt général, elle ne verse aucune indemnité aux plaignants. L’indemnisation relève d’une action distincte, portée devant le juge judiciaire contre l’organisme responsable. Son fondement est européen et direct : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », selon l’article 82, paragraphe 1, du RGPD. Le responsable du traitement, et dans certains cas son sous-traitant, répond donc personnellement du dommage causé par un traitement contraire au règlement.
Le juge français applique ce texte avec trois conditions cumulatives, rappelées avec netteté par la Cour de cassation en 2026. Dans un litige opposant un salarié à son ancien employeur, qui avait utilisé des preuves issues d’un traitement de données contraire au RGPD, la cour d’appel avait accordé 5 000 euros de dommages et intérêts en retenant que la violation du règlement avait nécessairement causé un préjudice. La chambre sociale a cassé : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », selon l’arrêt de la Cour de cassation, chambre sociale, du 24 juin 2026, n° 24-22.792. Il faut établir la violation, puis établir le dommage qu’elle a causé, puis le lien entre les deux : « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral », comme l’a jugé la Cour de justice de l’Union européenne, cité par ce même arrêt du 24 juin 2026.
Deux précisions de la Cour de justice, reprises par la Cour de cassation, sont favorables aux victimes. D’une part, le seuil de gravité n’existe pas : le droit européen « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité », selon ce même arrêt du 24 juin 2026. Une anxiété avérée après une fuite de vos données bancaires ou de santé n’a pas besoin d’être qualifiée de grave pour être indemnisable, elle doit seulement être démontrée. D’autre part, la réparation est intégrale et seulement compensatoire : elle couvre tout le préjudice prouvé, sans plafond tiré du règlement et sans fonction punitive. Concrètement, constituez votre préjudice pièce par pièce : courriers de relance et réponses de l’organisme, constats d’huissier ou captures horodatées des données restées en ligne, relevés d’opérations frauduleuses après une fuite, certificats médicaux si le trouble est caractérisé, attestations de proches, perte de temps et démarches documentées. Un dossier de plainte CNIL bien tenu, avec la décision ou les échanges obtenus, devient une pièce maîtresse de l’action en réparation.
Le préjudice moral mérite une attention particulière, car c’est lui que les organismes contestent le plus. Depuis que la Cour de justice a écarté tout seuil de gravité, il suffit de démontrer un trouble réel : l’anxiété durable après la diffusion de vos données de santé ou de vos coordonnées bancaires, la crainte d’une usurpation d’identité qui vous oblige à surveiller vos comptes pendant des mois, l’humiliation liée à la publication d’images de vidéosurveillance, la perte de confiance envers un employeur qui vous surveillait à votre insu. Les juges apprécient ces troubles à partir d’éléments objectifs, attestations, échanges avec l’organisme, signalements à votre banque, démarches de sécurisation, avis médical si vous avez consulté. Le montant alloué varie selon l’intensité et la durée démontrées, sans barème tiré du RGPD : chiffrez avec mesure, poste par poste, plutôt qu’en réclamant une somme globale inexpliquée.
Contre qui agir ? Contre le responsable du traitement en priorité, c’est-à-dire celui qui détermine les finalités et les moyens : l’employeur, la banque, le site marchand, l’éditeur de l’application. Le sous-traitant, par exemple l’hébergeur ou le prestataire informatique, n’est responsable que s’il a manqué à ses obligations propres ou agi hors des instructions du responsable. Et lorsque plusieurs acteurs participent au même traitement, la victime est protégée : lorsque plusieurs acteurs participent au même traitement, chacun d’eux répond du dommage dans sa totalité, afin de garantir à la victime une réparation effective, selon l’article 82, paragraphe 4, du RGPD. Vous pouvez donc assigner l’interlocuteur le plus solvable ou le plus accessible, à charge pour lui de se retourner ensuite contre les autres. Enfin, le forum vous est favorable : chaque personne concernée dispose d’un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés par un traitement contraire au règlement, sans préjudice de sa plainte auprès de l’autorité de contrôle, selon l’article 79, paragraphe 1, du RGPD ; et cette action peut aussi être portée devant les juridictions du pays de sa résidence habituelle, selon l’article 79, paragraphe 2, du RGPD. Un résident français peut donc agir devant le juge français contre un organisme établi dans un autre État membre.
B. Articuler les voies : CNIL, juge civil et juge pénal
Les voies ne s’excluent pas, elles se combinent, et c’est même prévu par les textes : votre droit de réclamation s’exerce sans préjudice de tout autre recours administratif ou juridictionnel, comme le rappelle l’article 77, paragraphe 1, du RGPD. Vous pouvez donc mener de front une plainte CNIL, qui vise la sanction et la mise en conformité de l’organisme, et une action en justice, qui vise la cessation de l’illicite et votre indemnisation. L’ordre utile est le suivant : mise en demeure à l’organisme avec rappel des textes et délai de réponse, dépôt de la plainte CNIL avec le dossier complet, puis assignation si le dommage subsiste ou si l’organisme persiste. La mise en demeure n’est pas une formalité vaine : elle fige la date à laquelle l’organisme savait, elle interrompt les discussions dilatoires et elle est lue attentivement par les juges.
Dans les cas graves, le volet pénal s’ajoute. Le détournement de finalité, par exemple un fichier client utilisé à d’autres fins que celles annoncées, ou des données détournées par un salarié ou un prestataire, est puni sévèrement : « Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en oeuvre de ce traitement, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-21 du code pénal. De même, maintenir un traitement malgré une interdiction ou une mesure ordonnée expose son auteur à la même peine : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-16 du code pénal. Une plainte pénale, déposée au commissariat ou par courrier au procureur de la République, peut alors accompagner la plainte CNIL et l’action civile, notamment après une fuite de données exploitée par des tiers ou une vidéosurveillance clandestine au travail.
Devant le juge, ne limitez pas vos demandes à une somme d’argent. L’action fondée sur les articles 79 et 82 du RGPD permet de solliciter la cessation de l’illicite, l’effacement des données indûment conservées, la communication des données retenues et, le cas échéant, l’interdiction de poursuivre le traitement litigieux. Ces mesures peuvent être demandées en référé lorsque l’urgence est caractérisée, par exemple des données sensibles encore exposées en ligne ou une surveillance toujours active au moment où vous saisissez le tribunal. La plainte CNIL et la procédure judiciaire se renforcent alors mutuellement : une mise en demeure de l’autorité, une injonction de mise en conformité ou une sanction rendue publique éclaire le juge sur la réalité de la violation, tandis qu’une décision de justice qui constate l’illicite et chiffre le préjudice donne à votre dossier une autorité que l’organisme ne peut plus ignorer dans ses échanges avec la CNIL.
Trois situations fréquentes illustrent l’articulation. Premièrement, la banque qui ignore votre droit d’accès : après le délai d’un mois sans réponse complète, plainte CNIL avec la demande initiale et sa preuve d’envoi, puis action en injonction de communiquer et en dommages et intérêts si le silence vous a causé un tort, par exemple un crédit refusé faute de dossier rectifié. Deuxièmement, l’employeur qui filme ses salariés sans information préalable : plainte CNIL pour contrôle, et devant le conseil de prud’hommes ou le tribunal judiciaire, demande de cessation du dispositif et réparation du préjudice moral lié à la surveillance, avec captures, attestations de collègues et, si possible, la position prise par la CNIL. Troisièmement, la fuite de données chez un commerçant ou un prestataire : conservez les notifications de l’organisme, relevez les usages frauduleux, déposez plainte au pénal si une escroquerie suit la fuite, saisissez la CNIL, et chiffrez votre préjudice, opérations contestées, temps passé, anxiété documentée, pour l’action fondée sur l’article 82 du RGPD. Dans chaque cas, la règle d’or est identique : écrire d’abord à l’organisme, garder chaque preuve, saisir la CNIL sans attendre la prescription de vos droits, puis faire trancher le juge sur la réparation, en vous souvenant que la Cour de cassation exige un dommage prouvé et pas seulement une violation.
Gardez enfin une copie de tout : la plainte déposée, son accusé de réception, chaque échange avec l’organisme et avec la CNIL, les décisions reçues. Ce dossier chronologique fait souvent la différence, car il établit les dates, donc les délais, et il montre au juge que vous avez agi avec méthode avant de demander réparation. Une victime organisée obtient plus vite gain de cause qu’une victime seulement indignée.
La plainte CNIL est donc une arme réelle, mais incomplète par nature : elle punit et fait cesser, elle n’indemnise pas. Retenez cinq réflexes. Exercez vos droits par écrit auprès de l’organisme et laissez passer le délai d’un mois avant de saisir la CNIL. Déposez une plainte documentée, en ligne ou par courrier, avec toutes les pièces. Suivez l’instruction et réagissez au silence de trois mois par le recours juridictionnel prévu à cet effet. Contestez dans le délai de deux mois toute décision de la CNIL qui vous ferait grief. Et pour être indemnisé, portez le dommage devant le juge : prouvez la violation, prouvez le préjudice, prouvez le lien, sans croire qu’une violation suffit à elle seule. C’est à ce prix que la protection de vos données devient effective, et pas seulement déclarative.