Une banque vous inscrit dans un fichier d’incidents de paiement pour un crédit que vous n’avez jamais souscrit. Un ancien employeur conserve un dossier truffé d’appréciations que vous contestez et continue de le diffuser à des partenaires. Un commerçant exploite des images de vidéosurveillance que vous voulez préserver pour un procès, alors que la durée de conservation touche à sa fin. Dans chacune de ces situations, demander l’effacement immédiat n’est ni possible ni souhaitable : les données doivent parfois être conservées, pour une enquête pénale en cours, pour la constatation d’un droit en justice ou le temps de vérifier leur exactitude. Mais conservation ne signifie pas libre utilisation.

Le règlement européen sur la protection des données organise précisément cette position intermédiaire : la limitation du traitement, que la Commission nationale de l’informatique et des libertés présente comme le droit de geler temporairement l’utilisation de certaines données. L’organisme conserve les informations mais ne doit plus les utiliser, sauf exceptions étroitement définies. Ce mécanisme reste pourtant méconnu, alors qu’il répond à des situations de crise très concrètes : une donnée fausse qui circule, une opposition dont l’examen prend des semaines, un traitement dont la licéité est discutée.

Ce guide explique d’abord dans quels cas vous pouvez exiger ce gel et ce qu’il impose à l’organisme, puis comment contraindre un organisme qui refuse ou ignore votre demande : mise en demeure, plainte devant la CNIL, injonction du juge sous astreinte et réparation du préjudice.

I. Obtenir le gel de l’utilisation de vos données

A. Les quatre situations qui ouvrent le droit à la limitation

Le droit à la limitation du traitement est défini par l’article 18 du règlement (UE) 2016/679 du 27 avril 2016, texte directement applicable en France et relayé par la loi nationale : l’article 53 de la loi n° 78-17 du 6 janvier 1978 dispose que « Le droit à la limitation du traitement s’exerce dans les conditions prévues à l’article 18 du règlement (UE) 2016/679 du 27 avril 2016. »

Quatre situations ouvrent ce droit, et chacune correspond à un cas de figure courant.

Première situation : vous contestez l’exactitude des données, pendant le temps nécessaire à l’organisme pour vérifier. C’est le cas le plus fréquent : inscription contestée dans un fichier d’incidents de paiement, revenus mal renseignés dans un dossier client, mentions disciplinaires inexactes dans un dossier de ressources humaines. Tant que la vérification est en cours, l’organisme doit geler l’utilisation des données litigieuses au lieu de continuer à les exploiter comme si elles étaient établies.

Deuxième situation : le traitement est illicite, mais vous préférez le gel à l’effacement. Par exemple, des photographies diffusées sans votre accord sur le site d’un professionnel : vous pouvez exiger que leur utilisation soit limitée plutôt que de demander leur destruction immédiate, notamment si vous voulez préserver la preuve du manquement pour une action ultérieure.

Troisième situation : l’organisme n’a plus besoin des données, mais vous en avez besoin pour constater, exercer ou défendre un droit en justice. C’est l’hypothèse miroir : l’organisme voudrait effacer, par exemple des images de vidéosurveillance arrivant au terme de leur durée de conservation, alors que vous souhaitez les voir conservées pour une procédure. La CNIL illustre ce cas par la demande d’accès à une caméra de vidéosurveillance : le droit à la limitation sert alors à exiger la non-suppression d’une vidéo utile à un litige.

Quatrième situation : vous vous êtes opposé au traitement et l’organisme vérifie si ses motifs légitimes priment les vôtres. Pendant cet examen, qui peut durer plusieurs semaines, l’utilisation des données doit être gelée. La CNIL cite l’exemple d’une photographie gênante publiée sur un réseau social : dans l’attente de savoir s’il existe un motif légitime de la conserver, l’organisme doit procéder à sa dépublication.

Dans tous les cas, la demande doit identifier précisément les données concernées et le motif invoqué parmi ces quatre situations. Une contestation vague et générale donne à l’organisme un prétexte pour répondre à côté de la question. Décrivez la donnée litigieuse, indiquez en quoi elle est inexacte ou pourquoi son utilisation doit cesser, et visez expressément la limitation du traitement. Conservez la preuve de l’envoi et de la réception : lettre recommandée avec accusé de réception ou canal électronique horodaté.

La pratique des juridictions confirme l’importance de cette formalité. Dans une ordonnance de référé du 28 mai 2026, le tribunal judiciaire d’Arras a constaté qu’un demandeur inscrit au Fichier des incidents de remboursement des crédits aux particuliers avait, par lettre recommandée avec accusé de réception, sollicité « la limitation de traitement de ses données à caractère personnel sur le fondement de l’article 18.1 b) du RGPD » avant de saisir le juge (tribunal judiciaire d’Arras, ordonnance de référé du 28 mai 2026, n° RG 26/00024). Cette mise en demeure préalable, précise et visée, a structuré toute la suite de la procédure.

B. Ce que le gel impose concrètement à l’organisme

Obtenir la limitation ne fait pas disparaître les données : il en interdit l’utilisation. L’article 18, paragraphe 2, du règlement pose le principe : une fois le traitement limité, les données, à l’exception de leur conservation, ne peuvent être traitées qu’avec votre consentement, pour la constatation, l’exercice ou la défense de droits en justice, pour la protection des droits d’une autre personne, ou encore pour des motifs importants d’intérêt public. Autrement dit, l’organisme stocke mais n’exploite plus : il ne peut ni diffuser la donnée contestée à des partenaires, ni l’utiliser pour fonder une décision à votre encontre, ni la réutiliser à des fins commerciales ou de profilage.

Cette interdiction d’utilisation comporte un corollaire souvent négligé : l’organisme doit prévenir ceux à qui il avait communiqué les données. L’article 19 du règlement lui impose de notifier à chaque destinataire toute limitation effectuée, sauf impossibilité ou efforts disproportionnés, et de vous informer de ces destinataires si vous le demandez. En droit français, l’article 54 de la loi n° 78-17 du 6 janvier 1978 renvoie à ce même mécanisme. Exigez donc systématiquement la liste des destinataires déjà servis : une banque qui vous a fiché a pu transmettre l’information à d’autres établissements, un employeur a pu diffuser votre dossier à des prestataires de recrutement, et le gel ne produit ses effets que si chacun d’eux est averti.

Le gel n’est pas définitif par nature. Lorsqu’il a été accordé parce que vous contestiez l’exactitude des données, le règlement impose à l’organisme de vous informer avant de lever la limitation. Vous devez donc être avisé avant toute reprise de l’utilisation, ce qui vous laisse la possibilité de contester la prétendue vérification ou de saisir l’autorité de contrôle. Si l’organisme lève le gel sans vous prévenir et réutilise les données, ce manquement distinct renforce votre dossier en cas de plainte ou d’action en justice.

Le juge des référés sait traduire ces principes en mesures concrètes. Dans l’affaire d’Arras précitée, où l’inscription au fichier d’incidents résultait selon le demandeur d’une usurpation d’identité ayant donné lieu à une plainte pénale, le tribunal a ordonné à l’établissement financier de justifier des mesures destinées à limiter le traitement des données « aux seuls besoins de l’enquête pénale en cours » (tribunal judiciaire d’Arras, 28 mai 2026). La formule est précieuse : le gel n’est pas une interdiction abstraite, il se décline en mesures vérifiables, cantonnées à la seule finalité qui justifie encore la conservation. Demandez au juge, et avant lui à l’organisme, des engagements précis : qui accède encore aux données, pour quelle finalité exclusive, avec quelle traçabilité.

Choisir la limitation plutôt que l’effacement ou l’opposition n’est pas qu’une question de tactique : c’est parfois la seule demande juridiquement disponible. Lorsque vous avez besoin des données pour un procès en cours ou à venir, exiger leur destruction vous priverait de vos propres preuves. Lorsque l’organisme est légalement tenu de conserver certaines informations, par exemple des documents comptables ou des données nécessaires à la lutte contre la fraude, l’effacement se heurtera à une obligation légale de conservation que le juge validera. La limitation contourne cet obstacle : elle laisse subsister la conservation obligatoire tout en interdisant l’utilisation litigieuse. De même, si vous vous êtes déjà opposé au traitement et que l’organisme traîne pour examiner votre opposition, formuler une demande de limitation en parallèle sécurise la période d’attente au lieu de laisser l’utilisation se poursuivre pendant l’instruction de l’opposition. Les trois droits se combinent : l’accès pour savoir ce qui est détenu, la rectification pour corriger, la limitation pour figer en attendant, l’effacement pour supprimer lorsque plus rien ne justifie la conservation. Le droit d’accès lui-même reste le préalable utile : avant de figer des données, vérifiez par une demande de copie ce que l’organisme détient réellement.

L’organisme ne peut pas non plus balayer votre demande d’un revers de main en la qualifiant d’excessive. Le règlement ne l’y autorise que dans des hypothèses étroites : demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, et c’est à lui de démontrer ce caractère. Une première demande précise, ciblée sur des données identifiées et rattachée à l’une des quatre situations légales ne remplit pas cette définition, même si elle porte sur un volume important de documents. La CNIL rappelle aux employeurs comme aux autres organismes que la vérification de votre identité ne doit pas devenir un obstacle : si l’organisme a des doutes raisonnables sur votre identité, il peut demander des informations complémentaires, mais il ne peut exiger des pièces abusives ou disproportionnées. Un employeur qui connaît son salarié ne peut pas conditionner le gel à la production d’un passeport, et un organisme qui vous écrit régulièrement ne peut pas prétendre ne pas savoir qui vous êtes. Toute exigence dilatoire de ce type doit être consignée par écrit : elle établira la mauvaise foi en cas de plainte ou d’action en justice.

Précision importante pour les litiges complexes : lorsque vos données sont détenues ou traitées par un prestataire extérieur, par exemple un logiciel de ressources humaines, un hébergeur ou un sous-traitant de recouvrement, le gel doit être répercuté dans toute la chaîne. Vérifiez qui est responsable du traitement et qui n’est que sous-traitant, et pensez à faire encadrer contractuellement vos traitements de données externalisés : un contrat de sous-traitance bien rédigé impose au prestataire d’exécuter sans délai vos demandes de limitation et d’en justifier. Adressez votre demande au responsable du traitement, qui ne peut se retrancher derrière son prestataire pour justifier son inertie.

II. Contraindre l’organisme qui refuse ou ignore le gel

A. La mise en demeure puis la plainte devant la CNIL

Le règlement impose au responsable du traitement de répondre à toute demande relative à vos droits dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de sa réception, délai qui peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, à condition de vous en informer. Passé ce délai sans réponse, ou en cas de refus non motivé, vous disposez de deux leviers : la mise en demeure, puis la réclamation devant l’autorité de contrôle.

La mise en demeure n’est pas une simple formalité. Elle doit rappeler la demande initiale, viser expressément la limitation du traitement et la situation invoquée, impartir un délai précis pour s’exécuter, et annoncer la saisine de la CNIL puis du juge. Envoyez-la en recommandé avec accusé de réception : le juge d’Arras a relevé avec attention que le demandeur avait procédé par lettres recommandées, et ces pièces horodatées établissent le point de départ des délais comme la mauvaise foi éventuelle de l’organisme.

Si la mise en demeure reste sans effet, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation. En France, cette réclamation s’adresse à la CNIL, après l’exercice préalable de vos droits auprès de l’organisme : joignez à votre plainte la copie de votre demande initiale, de la mise en demeure et des accusés de réception. La CNIL accompagne ces démarches et précise que l’absence de réponse dans le délai d’un mois, sans information sur une prolongation, justifie la plainte.

L’autorité saisie de votre réclamation doit vous informer de l’état d’avancement et de l’issue de la procédure. Si elle ne traite pas votre réclamation ou ne vous informe pas dans un délai de trois mois, vous disposez d’un recours juridictionnel effectif contre l’autorité elle-même. La CNIL peut mettre l’organisme en demeure de se conformer, prononcer des injonctions et des sanctions financières, et ordonner en urgence l’interruption provisoire d’un traitement. Avant d’en arriver là, le simple courrier d’intervention de la Commission suffit souvent à débloquer un dossier : les organismes répondent rarement avec la même lenteur à l’autorité de contrôle qu’à un particulier isolé.

Parallèlement, pensez au délégué à la protection des données de l’organisme, dont les coordonnées doivent vous avoir été communiquées. Le saisir par écrit, en copie de votre mise en demeure, crée un interlocuteur interne tenu de veiller au respect du règlement et laisse une trace supplémentaire de vos diligences.

B. Le juge : injonction sous astreinte et réparation du préjudice

Lorsque l’urgence l’exige, par exemple parce que des données contestées continuent d’être diffusées à des tiers ou utilisées pour refuser un crédit, un emploi ou un logement, le juge des référés peut ordonner le gel sans attendre le fond du litige. L’ordonnance d’Arras du 28 mai 2026 l’illustre : le tribunal a enjoint à l’établissement de justifier des mesures de limitation cantonnées aux seuls besoins de l’enquête pénale, et assorti cette injonction d’une astreinte « à raison de 100 euros par jour de retard » passé un délai de huit jours à compter de la signification (tribunal judiciaire d’Arras, ordonnance de référé du 28 mai 2026, n° RG 26/00024). L’astreinte est l’outil qui transforme une obligation abstraite en pression financière quotidienne : demandez-la systématiquement, en proposant un montant proportionné à l’enjeu et à la taille de l’organisme.

L’action au fond obéit à des règles de compétence favorables au particulier : chaque personne concernée dispose d’un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle. En France, le tribunal judiciaire est compétent pour ordonner la limitation, enjoindre la notification aux destinataires et statuer sur la réparation.

Sur la réparation, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du préjudice subi. Le refus ou l’ignorance d’une demande de limitation caractérise une telle violation dès lors que les conditions de l’article 18 étaient réunies. Le préjudice réparable comprend le refus de crédit ou d’embauche provoqué par la donnée contestée, la prolongation d’un fichage injustifié, l’atteinte à la réputation professionnelle, ainsi que le préjudice moral lié à l’impuissance face à un organisme qui persiste à utiliser des informations que vous contestez. Documentez chaque conséquence : décisions de refus écrites, captures des diffusions, attestations de tiers, chronologie des démarches restées sans réponse.

Une exigence de réalisme s’impose toutefois sur la procédure à choisir. Dans l’affaire d’Arras, le tribunal a rejeté les demandes de provisions de 4 000 et 2 000 euros pour préjudice moral, tout en ordonnant le gel sous astreinte et en condamnant l’établissement aux dépens et à 1 000 euros au titre des frais de procédure. Le référé-provision suppose une créance non sérieusement contestable : lorsque le principe ou le montant du préjudice reste discuté, le juge des référés ordonne les mesures urgentes mais renvoie l’indemnisation au juge du fond. Ne présentez donc pas le référé comme une voie d’indemnisation rapide et certaine : sollicitez-y l’injonction de geler et l’astreinte, et réservez la demande de dommages et intérêts chiffrée et étayée à l’action au fond, où l’article 82 du règlement fonde une réparation intégrale du dommage matériel et moral.

Enfin, anticipez les moyens de défense de l’organisme. Il pourra soutenir que votre demande est manifestement infondée ou excessive, notamment en cas de demandes répétitives, ou invoquer les droits et libertés d’autrui pour refuser certaines communications. Ces exceptions sont d’interprétation stricte et c’est à l’organisme de démontrer leur bien-fondé : une première demande précise, ciblée sur des données identifiées et fondée sur l’une des quatre situations légales, satisfait rarement à la définition de l’excès. Il pourra aussi affirmer ne plus détenir les données : exigez alors une attestation précise de suppression et la liste des destinataires antérieurs, car la limitation suppose d’abord d’établir qui détient quoi.

Un mot enfin des traitements régaliens, qui obéissent à des règles particulières. Pour les traitements relevant de la sécurité, de la défense ou de la prévention des infractions, la loi organise elle aussi une limitation à la place de l’effacement : lorsque l’exactitude des données est contestée sans qu’il soit possible de trancher, ou lorsque les données doivent être conservées à des fins probatoires, le responsable limite le traitement au lieu d’effacer, et il doit vous informer avant de mettre fin à cette limitation. Si votre difficulté concerne un fichier de police, de gendarmerie ou de renseignement, la voie d’accès passe par une demande de vérification adressée à la CNIL elle-même, qui exerce le droit pour votre compte sans pouvoir toujours vous révéler le contenu. Cette configuration ne doit pas être confondue avec le droit commun de l’article 18 : ne présentez jamais une demande de limitation de droit commun à un service de renseignement comme s’il s’agissait d’un fichier commercial, et inversement ne laissez pas un organisme privé se prévaloir d’un régime dérogatoire qui ne s’applique qu’aux autorités publiques.

Concrètement, une demande de limitation efficace tient en cinq éléments. Présentez-vous sans exposer plus de données qu’utile : nom, références client ou matricule, et coordonnées pour la réponse suffisent en principe, et tout justificatif d’identité supplémentaire doit rester proportionné. Désignez avec précision les données visées : relevés, période, fichier ou application concernée, captures ou références qui permettent à l’organisme de les retrouver sans recherche abusive. Indiquez la situation légale invoquée, par exemple l’exactitude contestée en attendant vérification, ou la conservation nécessaire à un droit en justice que vous identifiez. Formulez l’interdiction d’utilisation en termes explicites : ni diffusion à des tiers, ni alimentation d’une décision de crédit, de recrutement ou de location, ni réutilisation commerciale, avec information des destinataires déjà servis. Enfin, fixez un délai de réponse conforme au délai légal d’un mois et annoncez la plainte devant la CNIL puis la saisine du juge en cas de silence. Ce formalisme n’est pas du juridisme : chaque élément verrouille un moyen de défense habituel de l’organisme, de l’identité prétendument invérifiable à la demande jugée trop vague pour être exécutée.

Préparez aussi l’hypothèse où l’organisme répond qu’il ne détient plus rien. Cette affirmation ne clôt pas le dossier : exigez une attestation écrite et datée de la suppression, la date et le périmètre exacts de l’effacement, ainsi que la liste des destinataires auxquels les données avaient été communiquées avant leur suppression, afin que chacun soit avisé. Si l’organisme affirme avoir tout effacé mais que vous recevez encore des sollicitations fondées sur les anciennes données, ou qu’un partenaire continue de vous opposer l’information litigieuse, conservez ces pièces : elles démontrent soit une suppression incomplète, soit une notification des destinataires omise, et fondent à la fois la plainte et l’action en réparation. À l’inverse, si l’organisme établit de bonne foi qu’il ne détient réellement aucune donnée vous concernant, le juge rejettera l’injonction, comme l’a fait le tribunal judiciaire de Paris face à une demande portant sur des données vieilles de plus de vingt ans que la société déclarait ne plus détenir (tribunal judiciaire de Paris, 13 février 2025). D’où l’intérêt de ne demander le gel que sur des données dont vous pouvez rendre l’existence plausible : relevés récents, courriers reçus, captures d’écran, décisions fondées sur ces informations.

Conclusion : geler d’abord, effacer ou rectifier ensuite

La limitation du traitement est l’outil des situations intermédiaires : donnée contestée en cours de vérification, traitement illicite que vous voulez figer plutôt que détruire, données à préserver pour un procès, opposition en cours d’examen. Elle impose à l’organisme de conserver sans utiliser, d’avertir les destinataires déjà servis et de vous prévenir avant toute reprise. Exigez-la par écrit en visant précisément votre situation, mettez en demeure en recommandé, saisissez la CNIL en joignant vos preuves de démarches, puis demandez au juge une injonction de geler sous astreinte et la réparation de votre préjudice. Le gel n’est pas une renonciation à l’effacement ou à la rectification : c’est la mesure conservatoire qui empêche le dommage de s’aggraver pendant que le fond du litige se règle.

Besoin d’un avis rapide sur votre dossier

Vous contestez des données utilisées contre vous et l’organisme refuse de geler leur utilisation. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la stratégie adaptée : demande de limitation, mise en demeure, plainte devant la CNIL ou action devant le juge.

Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact du cabinet.