Un courrier de banque vous apprend qu’un crédit que vous n’avez jamais souscrit a généré un incident de paiement de 743,78 euros et que votre nom figure au Fichier des incidents de remboursement des crédits aux particuliers. Vous déposez plainte pour usurpation d’identité, vous écrivez à l’établissement pour contester, et rien ne bouge : le fichage demeure, les données circulent, le préjudice s’aggrave. Dans cette situation, le règlement européen met à votre disposition une arme intermédiaire trop peu utilisée : la limitation du traitement. Elle ne supprime pas les données, elle en gèle l’usage pendant le temps de la vérification ou du litige. Le tribunal judiciaire d’Arras vient d’en montrer l’efficacité en référé, le 28 mai 2026, en ordonnant à un établissement de crédit de limiter le traitement des données d’une victime d’usurpation aux seuls besoins de l’enquête pénale en cours, sous astreinte de 100 euros par jour de retard. Cet article explique quand vous pouvez exiger ce gel, ce qu’il produit exactement, et comment l’obtenir quand l’organisme refuse, de la demande écrite à la plainte devant la CNIL puis au recours devant le juge.
I. La limitation du traitement : dans quels cas l’exiger et ce qu’elle gèle vraiment
A. Les quatre situations qui ouvrent le droit au gel
L’article 18 du règlement général sur la protection des données pose le principe : « La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque l’un des éléments suivants s’applique ». Quatre situations sont ensuite énumérées, et chacune correspond à un scénario concret de la vie des dossiers.
Le premier cas vise l’exactitude contestée : « l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel ». C’est le cas de la victime d’usurpation d’identité qui affirme n’avoir jamais signé le contrat de crédit : tant que la banque n’a pas vérifié l’origine du contrat, elle doit geler l’usage des données litigieuses. La CNIL décrit ce cas en termes simples : en attendant que les données soient vérifiées et corrigées, la personne peut demander à l’organisme de ne plus utiliser ses informations. Cette articulation avec la rectification est logique puisque chacun a le droit d’obtenir la rectification « des données à caractère personnel la concernant » qui sont inexactes, dans les meilleurs délais. Si l’organisme refuse de corriger, notre analyse des recours quand un organisme refuse de rectifier des données inexactes détaille la marche à suivre devant la CNIL et le juge.
Le deuxième cas concerne le traitement illicite : « le traitement est illicite et la personne concernée s’oppose à leur effacement et exige à la place la limitation de leur utilisation ». Dans l’affaire jugée à Arras, le demandeur soutenait précisément que le traitement de ses données était illicite, réalisé sans son consentement et sans base légale ni contractuelle, et il invoquait ce fondement pour exiger la limitation plutôt que l’effacement pur et simple. La logique est claire : quand un crédit frauduleux a été souscrit à votre nom, vous avez besoin que les traces soient conservées pour l’enquête pénale et pour établir la fraude, tout en interdisant à la banque de continuer à les exploiter comme s’il s’agissait de votre dette. Effacer immédiatement serait détruire la preuve ; geler, c’est neutraliser l’usage sans détruire la preuve.
Le troisième cas protège la conservation pour la justice : « le responsable du traitement n’a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ». La CNIL donne l’exemple parlant des images de vidéosurveillance : leur durée de conservation ne doit pas dépasser un mois, mais votre droit à la limitation vous permet d’exiger de l’organisme qu’il ne supprime pas la vidéo dont vous avez besoin pour une procédure. Le même raisonnement vaut pour des relevés, des enregistrements ou des historiques de connexion : l’organisme voulait purger, vous obtenez le gel pour les besoins de votre action.
Le quatrième cas accompagne l’opposition : « la personne concernée s’est opposée au traitement en vertu de l’article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée ». Quand vous vous opposez à un traitement fondé sur l’intérêt légitime, l’organisme doit vérifier si ses motifs priment les vôtres, car le responsable du traitement ne traite plus les données, à moins qu’il ne démontre « des motifs légitimes et impérieux » qui prévalent sur vos intérêts et vos droits et libertés, ou un besoin de constatation, d’exercice ou de défense de droits en justice. Pendant cette vérification, la limitation fige la situation : l’organisme ne peut pas continuer à exploiter vos données comme si votre opposition n’existait pas.
B. Geler ne veut pas dire effacer : conservation sans utilisation, exceptions strictes et fin du gel
Une fois la limitation obtenue, le régime des données change du tout au tout. Le texte européen dispose que ne peuvent, « à l’exception de la conservation », être traitées que dans quatre hypothèses : avec votre consentement, pour la constatation, l’exercice ou la défense de droits en justice, pour la protection des droits d’une autre personne physique ou morale, ou encore pour des motifs importants d’intérêt public de l’Union ou d’un État membre. La CNIL résume la portée pratique d’une formule que chacun comprend : « ne devra plus utiliser les données » mais « devra les conserver ». L’organisme stocke, il n’exploite plus : pas de prospection sur ces données, pas de transmission à des partenaires, pas de scoring, pas de décision fondée sur elles.
Les exceptions à ce gel sont étroites et doivent être interprétées strictement. Votre propre consentement peut autoriser une utilisation ponctuelle, mais un consentement arraché par des conditions générales obscures ne suffira pas : il doit être libre, spécifique et éclairé. La constatation, l’exercice ou la défense de droits en justice couvre le cas typique de l’enquête pénale pour usurpation d’identité : la banque conserve les données du contrat frauduleux et les tient à disposition des enquêteurs, sans pouvoir s’en servir pour poursuivre le recouvrement contre vous. La protection des droits d’autrui vise par exemple la situation où les mêmes données sont nécessaires pour établir les droits d’un co-emprunteur de bonne foi. Les motifs importants d’intérêt public concernent des hypothèses comme la santé publique ou la sécurité, appréciées au cas par cas, et c’est à l’organisme d’établir qu’un tel motif existe réellement, pas de l’invoquer en formule incantatoire.
Le gel n’est pas définitif par nature : il dure le temps de la vérification ou du litige. Quand le motif disparaît, l’organisme peut lever la limitation, mais il doit vous prévenir : le responsable du traitement doit vous informer avant de lever la limitation, comme l’explique la page de la CNIL consacrée à ce droit. Cette information préalable vous permet de contester la levée si la vérification annoncée n’a pas vraiment eu lieu ou si le litige est toujours pendant. Exigez que cette notification soit écrite, datée et motivée : une levée silencieuse suivie d’une reprise de l’exploitation de vos données constitue une violation distincte, susceptible d’alimenter à la fois votre plainte devant la CNIL et votre demande de réparation devant le juge.
La limitation produit aussi des effets en chaîne que beaucoup d’organismes négligent. Le règlement impose que le responsable du traitement notifie « à chaque destinataire » auquel les données ont été communiquées toute rectification, tout effacement ou toute limitation, à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés. Concrètement, si la banque a transmis vos données à un huissier, à un assureur-crédit ou à une société de recouvrement, elle doit les informer du gel. Demandez-lui par écrit la liste de ces destinataires et la preuve des notifications : en cas de fichage FICP, vérifiez que la Banque de France, qui centralise ce fichier en application de l’article L. 751-1 du code de la consommation, a bien été avisée que les données litigieuses ne doivent plus être exploitées. Ce point est décisif car un fichage qui subsiste dans les bases interrogées par les établissements de crédit bloque vos demandes de financement pendant toute sa durée.
Ne confondez pas la limitation avec l’opposition ou avec le retrait du consentement, qui obéissent à d’autres conditions et produisent d’autres effets. L’opposition fait cesser le traitement quand elle est fondée, le retrait du consentement prive le traitement de sa base légale pour l’avenir, tandis que la limitation fige les données en l’état sans les détruire. Dans la pratique, les trois droits se combinent : on s’oppose à la poursuite du recouvrement fondé sur un contrat frauduleux, on exige simultanément la limitation pour empêcher toute autre exploitation pendant la vérification, et on demande l’accès pour identifier l’origine de la fraude. Quand l’organisme persiste malgré votre opposition ou malgré votre retrait du consentement, les recours spécifiques applicables sont décrits dans notre dossier sur le blocage de l’usage des données après opposition ou retrait du consentement. La limitation reste l’outil de prédilection quand vous avez besoin que les données subsistent pour la preuve : effacer trop tôt, c’est offrir à l’organisme l’argument qu’il ne reste rien à juger, alors que geler conserve l’objet du litige intact.
Dès le premier courrier, identifiez le bon interlocuteur. Les organismes importants ont désigné un délégué à la protection des données, et la CNIL recommande de le saisir directement pour signifier les manquements. Adressez votre demande à la fois au service client ou au service contentieux et au délégué, par des envois séparés et traçables, afin qu’aucune perte interne ne puisse être opposée. La CNIL met à disposition des modèles de courrier pour exercer vos droits : utilisez-les comme trame, mais personnalisez chaque modèle avec la référence exacte du dossier, les dates des événements, le cas de limitation invoqué et la liste des pièces jointes. Un courrier générique sans référence de contrat ni date de contestation donne à l’organisme un prétexte pour répondre par une fin de non-recevoir ou pour réclamer des compléments qui font courir le délai à son profit. Précisez que vous exigez une réponse écrite dans un délai d’un mois, la confirmation écrite du gel avec sa date d’effet, la liste des destinataires déjà informés et l’engagement d’être informé avant toute levée de la limitation.
Quand le litige porte sur un fichage bancaire, ne vous contentez pas d’une promesse verbale de régularisation : vérifiez le défichage effectif. « Un fichier national recense les informations sur les incidents de paiement caractérisés liés aux crédits accordés aux personnes physiques pour des besoins non professionnels » : ce fichier est géré par « la Banque de France, laquelle est seule habilitée à centraliser ces informations ». Après le gel, demandez à l’établissement une attestation écrite de radiation ou de gel transmise à la Banque de France, puis exercez votre droit d’accès auprès de la Banque de France elle-même pour contrôler que la mention litigieuse a disparu ou qu’elle est neutralisée. Si un nouvel incident est déclaré pendant la contestation, contestez-le immédiatement par le même circuit et signalez-le au juge et à la CNIL comme une aggravation du trouble. Chaque déclaration nouvelle postérieure à votre contestation documentée renforce la démonstration d’un traitement poursuivi en connaissance de cause.
Le délai de réponse de l’organisme est encadré. Le règlement prévoit que le responsable du traitement fournit à la personne concernée des informations sur les mesures prises dans les meilleurs délais et en tout état de cause « dans un délai d’un mois » à compter de la réception de la demande. Si votre demande est complexe, au besoin, ce délai « peut être prolongé de deux mois » compte tenu de la complexité et du nombre de demandes, à charge pour l’organisme de vous informer de cette prolongation et de ses motifs dans le délai initial d’un mois. La position de la CNIL est que c’est précisément pendant cette période de prolongation que le gel doit jouer : l’organisme prend du temps pour vérifier, il gèle en attendant. Et s’il refuse de donner suite, il vous informe sans tarder et au plus tard dans un délai d’un mois « des motifs de son inaction » ainsi que de la possibilité de saisir l’autorité de contrôle et le juge. Un silence pur et simple après un mois est donc déjà une faute, qui ouvre la voie des recours décrits ci-après.
II. Quand l’organisme refuse le gel : plainte devant la CNIL puis injonction du juge des référés
A. La demande écrite préalable et la plainte devant la CNIL
Aucun recours efficace ne s’improvise : tout commence par une demande écrite adressée au responsable du traitement, c’est-à-dire à l’organisme qui décide de l’usage de vos données, banque, assureur, employeur, plateforme ou administration. Cette demande doit identifier précisément les données litigieuses, indiquer le cas de limitation invoqué parmi les quatre examinés plus haut, et fixer un délai de réponse d’un mois. Joignez les pièces qui établissent la contestation : dépôt de plainte pénale pour usurpation d’identité, attestation sur l’honneur de non-souscription, expertises d’écriture si vous en disposez, captures des signalements antérieurs. Demandez parallèlement l’accès à l’ensemble de vos données, car « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes » : finalités, catégories de données, destinataires, durée de conservation. Dans l’affaire d’Arras, le juge a ordonné la communication d’une copie en langage clair de l’ensemble des données, y compris celles figurant dans les zones blocs-notes ou commentaires, ainsi que toute information disponible sur l’origine des données, notamment l’adresse électronique utilisée pour les adresser : réclamez ces éléments dès votre premier courrier, ils conditionnent la preuve de la fraude.
Envoyez cette demande en recommandé avec accusé de réception ou par tout moyen conférant date certaine, et conservez-en copie avec les preuves de dépôt. La CNIL insiste sur ce point de méthode : conservez une copie du courriel ou de votre demande formulée par voie électronique, avec captures d’écran si nécessaire. Si l’organisme conteste votre identité, il peut vous demander des justificatifs complémentaires, mais il ne peut pas utiliser ce prétexte pour enterrer votre demande : il doit traiter votre dossier dans le délai légal.
Si, après un mois, vous n’avez reçu aucune réponse ou une réponse de refus non motivée, la plainte devant la CNIL devient possible. Le règlement ouvre à à toute personne concernée le droit d’introduire « une réclamation auprès d’une autorité de contrôle », en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée. Pour un résident français face à un établissement opérant en France, cette autorité est la CNIL. La procédure suppose une démarche préalable que la CNIL énonce sans détour : avant de demander son intervention, vous devez d’abord « exercer vos droits Informatique et Libertés ». L’organisme doit vous répondre dans les meilleurs délais, et « sous un mois maximum », et « vous pouvez vous adresser à la CNIL » si vous n’avez reçu aucune réponse après un mois. Votre plainte doit donc joindre la demande initiale, la preuve de son envoi, la réponse éventuelle de l’organisme et tout élément établissant la violation, par exemple la persistance du fichage ou la poursuite d’actes de recouvrement malgré la contestation.
Gardez à l’esprit les limites de cette voie. La CNIL ne peut pas être votre mandataire, elle n’exerce pas vos droits à votre place, et surtout elle ne vous alloue pas de dommages et intérêts : elle contrôle, met en demeure et sanctionne. C’est pourquoi, quand le dommage est en cours et que chaque semaine de fichage injustifié aggrave votre situation, le recours au juge s’impose en parallèle, sans attendre l’issue de la plainte. Les deux voies sont indépendantes : le règlement réserve expressément tout autre recours administratif ou juridictionnel à côté de la réclamation. Enfin, si les faits relèvent de l’usurpation d’identité, sachez que votre plainte à la CNIL ne vaut pas dépôt de plainte pénale et n’en constitue pas un préalable (voir la page de la CNIL sur les plaintes) : déposez plainte au pénal pour usurpation, délit puni par l’article 226-4-1 du code pénal, qui dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». Cette plainte pénale nourrit à la fois votre demande de limitation, cantonnée aux besoins de l’enquête, et votre démonstration du préjudice.
B. Le juge des référés ordonne le gel sous astreinte : l’enseignement de l’ordonnance d’Arras du 28 mai 2026
Quand l’organisme maintient le traitement contesté, le juge des référés peut être saisi pour obtenir rapidement des mesures d’attente. Le règlement fonde ce recours : « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement ». En procédure civile française, deux textes se combinent. D’une part, « Dans tous les cas d’urgence, le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend ». D’autre part, le juge des référés « peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite ». La limitation du traitement entre naturellement dans ces mesures conservatoires : elle fige la situation en attendant le jugement au fond, sans préjuger de l’issue du litige sur la dette ou sur la validité du contrat.
L’ordonnance rendue par le tribunal judiciaire d’Arras le 28 mai 2026, dans un litige opposant un particulier à la société Floa, illustre parfaitement ce mécanisme. Les faits étaient les suivants : par courrier du 4 juillet 2025, l’établissement avait informé le demandeur de son inscription au FICP pour un incident de paiement de 743,78 euros sur un crédit que l’intéressé affirmait n’avoir jamais souscrit. Le 11 juillet 2025, il déposait plainte pour usurpation d’identité. Le 5 août 2025, son avocat mettait la banque en demeure de confirmer l’inexistence de tout contrat, de transmettre les informations sur l’origine des données et de limiter le traitement sur le fondement de l’article 18 du règlement. Le 28 janvier 2026, faute de réponse satisfaisante sur l’accès aux données, une plainte était déposée devant la CNIL. Le 26 février 2026, l’affaire était portée devant le juge des référés. Cette chronologie est un modèle de construction de dossier : contestation documentée, mise en demeure, saisine de l’autorité de contrôle, puis saisine du juge avec des demandes précises assorties d’astreintes.
Le juge a fait droit à l’essentiel. Il a ordonné la communication d’une copie en langage clair de l’ensemble des données, y compris les zones internes de commentaires, ainsi que les informations sur leur origine, et surtout il a « ORDONNONS à la SA Floa de justifier des mesures destinées à limiter le traitement des données à caractère personnel de M. [O] [G] aux seuls besoins de l’enquête pénale en cours », en décidant que « DISONS que, passé le délai de 8 jours à compter de la date de signification de cette ordonnance, la SA Floa sera astreinte à raison de 100 euros par jour de retard ». Le cantonnement aux besoins de l’enquête pénale reprend exactement la logique de l’article 18, paragraphe 2 : conservation pour la défense des droits en justice, interdiction de toute autre exploitation. L’astreinte donne au gel une force pratique immédiate : chaque jour de résistance coûte à l’organisme, et le juge de l’exécution reste compétent pour liquider l’astreinte.
Deux nuances de cette décision méritent d’être retenues pour calibrer vos demandes. D’abord, le juge a rejeté les demandes de provision sur dommages et intérêts, 4 000 euros pour le fichage injustifié et 2 000 euros pour les manœuvres déloyales alléguées, au motif qu’aucun préjudice indemnisable n’était caractérisé au stade du référé : l’obligation d’indemniser se heurtait à une contestation sérieuse. Cela ne signifie pas qu’aucune réparation ne sera jamais accordée, car le règlement pose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir « réparation du préjudice subi », mais cette réparation relève du juge du fond, sur preuve du dommage et du lien avec la violation. Ensuite, le juge a condamné l’établissement aux dépens et à 1 000 euros au titre des frais irrépétibles : même sans provision, la partie qui obtient le gel ne supporte pas seule le coût de la procédure. La stratégie gagnante combine donc le référé pour le gel et l’accès, la plainte CNIL pour la pression de conformité, la plainte pénale pour l’enquête, et l’action au fond pour la réparation et, le cas échéant, la radiation définitive du fichage.
Préparez dès ce stade l’action au fond, car le référé ne règle que l’urgence. L’ordonnance d’Arras l’illustre : le juge des référés a accordé le gel, l’accès et l’astreinte, mais il a renvoyé les parties à se pourvoir au fond pour le surplus et rejeté les provisions demandées. L’action au fond servira trois objectifs. D’abord, la radiation définitive du fichage injustifié et, le cas échéant, l’injonction de rectifier les bases internes de l’établissement, avec astreinte définitive cette fois. Ensuite, la réparation du préjudice : refus de crédit causé par le fichage, frais engagés pour faire valoir vos droits, atteinte à la réputation bancaire et préjudice moral lié à des mois de démarches. Le règlement attribue la charge de cette preuve selon des règles précises : tout responsable du traitement ayant participé au traitement est « responsable du dommage causé par le traitement » qui constitue une violation du règlement, tandis que le sous-traitant ne répond que de ses propres manquements, et un responsable du traitement ou un sous-traitant est exonéré de responsabilité s’il prouve que le fait qui a provoqué le dommage « ne lui est nullement imputable ». Conservez donc chaque refus de crédit écrit, chaque relevé mentionnant l’incident, chaque échange avec la banque : c’est ce dossier qui transformera, au fond, le gel provisoire en indemnisation. Enfin, l’action au fond permet de faire constater publiquement l’illicéité du traitement, constat qui pèse dans la plainte devant la CNIL et dans d’éventuelles négociations avec l’établissement.
Conclusion
La limitation du traitement est le chaînon manquant entre la contestation et la décision finale : elle empêche que des données dont vous démontrez le caractère douteux continuent à produire des effets pendant que l’organisme vérifie, que la CNIL instruit ou que le juge tranche. Retenez l’ordre des opérations : demande écrite précise invoquant l’article 18 avec le cas applicable, demande d’accès et d’information sur l’origine des données, mise en demeure, puis, après un mois sans réponse satisfaisante, plainte devant la CNIL et assignation en référé pour obtenir le gel sous astreinte, avec cantonnement aux besoins de l’enquête quand une usurpation est en cause. Conservez chaque preuve d’envoi et chaque réponse, exigez la notification du gel aux destinataires des données, et faites constater par écrit toute levée de la limitation avant d’en contester le bien-fondé. L’ordonnance d’Arras du 28 mai 2026 montre qu’un dossier construit dans cet ordre obtient du juge des mesures concrètes et chiffrées, là où une simple protestation téléphonique n’obtient rien.
Besoin d’un avis rapide sur votre dossier
Vous contestez l’usage de vos données personnelles en matière de numérique et de données personnelles, après une usurpation d’identité, un fichage injustifié ou le refus d’un organisme de geler un traitement litigieux. Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique pour examiner votre dossier et vos pièces. Joignez le cabinet au 06 46 60 58 22 ou écrivez via la page formulaire de contact.