Vous avez déposé une plainte devant la CNIL après un refus d’accès à vos données, une suppression ignorée ou une prospection qui ne s’arrête pas, et depuis, plus rien. Aucune nouvelle après plusieurs semaines, ou un courrier bref qui annonce que votre dossier est clos sans mesure contraignante. Cette situation est fréquente et elle suscite une question directe : votre plainte a-t-elle servi à quelque chose, et que pouvez-vous encore exiger, de l’organisme comme de la CNIL elle-même ? La réponse tient en deux idées simples. D’une part, la plainte devant la CNIL ne remplace jamais l’action directe contre l’organisme qui détient vos données : vous pouvez saisir le juge pour obtenir la copie, l’effacement ou la cessation du traitement, même si la CNIL n’a encore rien décidé. D’autre part, le silence ou la clôture de la CNIL ouvre lui-même des voies de recours, encadrées par des délais stricts et des pièces à réunir sans attendre. Cet article décrit ces deux fronts, les textes applicables, les délais vérifiés et les erreurs qui font perdre des mois.
I. Comprendre ce que votre plainte devant la CNIL produit et ce qu’elle ne produit pas
A. La démarche préalable, le délai d’un mois et le rôle exact de la CNIL
Avant de saisir la CNIL, la règle posée par l’autorité elle-même est de contacter d’abord l’organisme, ou son délégué à la protection des données lorsqu’il en a désigné un, afin de lui signifier les manquements reprochés. La CNIL l’indique sur sa page consacrée à la plainte, qui invite à la saisir lorsqu’aucune réponse de l’organisme n’a été reçue après un mois. Conservez donc la preuve de cette démarche préalable : message envoyé depuis votre adresse habituelle, accusé de réception, réponse reçue ou constat d’absence de réponse à l’expiration du délai. Sans cette preuve, votre plainte risque d’être jugée prématurée et renvoyée vers l’organisme, ce qui fait perdre plusieurs semaines.
Le délai d’un mois ne vient pas seulement de la pratique de la CNIL. Il figure dans le règlement général sur la protection des données. Le règlement (UE) 2016/679 prévoit à son article 12, paragraphe 3, que le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition que l’organisme vous informe de la prolongation et de ses motifs dans le délai initial d’un mois. Si l’organisme ne donne pas suite à votre demande, l’article 12, paragraphe 4, lui impose de vous informer sans tarder et au plus tard dans un délai d’un mois des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Un silence pur et simple après un mois constitue donc déjà, en lui-même, un manquement que votre plainte doit décrire précisément, avec les dates.
Une fois la plainte déposée, il faut comprendre le rôle de la CNIL. En droit français, « Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016 », selon l’article 8 de la loi du 6 janvier 1978. La CNIL reçoit des milliers de plaintes chaque année et elle dispose d’un pouvoir d’appréciation sur les suites à leur donner : demande d’observations à l’organisme, contrôle, mise en demeure, procédure de sanction, ou clôture sans mesure publique. Le règlement lui impose toutefois une obligation d’information : l’article 77, paragraphe 2, du règlement (UE) 2016/679 dispose que l’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. Vous avez donc le droit d’être tenu informé, et une absence totale d’information pendant plusieurs mois n’est pas une situation normale : c’est le point de départ des recours décrits dans la seconde partie.
L’enseignement du Conseil d’État éclaire cette logique de gradation. Dans une décision du 6 juin 2018 concernant un éditeur de site sanctionné après un contrôle, le Conseil d’État a jugé que la CNIL ne peut faire usage de ses pouvoirs de sanction qu’après avoir mis en demeure le responsable du traitement et en l’absence de mise en conformité dans le délai fixé, et il a rappelé l’obligation de coopération qui pèse sur l’organisme mis en demeure, tenu de communiquer à la CNIL tous les éléments permettant d’apprécier la correction des manquements avant l’expiration du délai. Voir Conseil d’État, 10e et 9e chambres réunies, 6 juin 2018, n° 412589. Concrètement, la CNIL privilégie la mise en conformité avant la sanction, et de nombreuses plaintes se terminent par une régularisation silencieuse de l’organisme plutôt que par une amende publique. C’est une bonne nouvelle quand l’organisme finit par s’exécuter, mais c’est aussi la raison pour laquelle votre plainte peut sembler rester sans effet visible : la régularisation vous est parfois notifiée sommairement, sans détail sur les mesures prises.
B. Silence prolongé, classement sans suite ou réponse insatisfaisante : qualifier votre situation pour choisir la bonne voie
Trois situations doivent être distinguées, car elles n’ouvrent pas les mêmes recours ni les mêmes délais. La première est le silence prolongé de la CNIL après le dépôt de votre plainte. Le règlement fixe ici un repère de trois mois : l’article 78, paragraphe 2, du règlement (UE) 2016/679 ouvre un recours juridictionnel effectif lorsque l’autorité de contrôle ne traite pas une réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation introduite au titre de l’article 77. Si vous avez déposé votre plainte il y a plus de trois mois sans aucune information sur son avancement, vous vous trouvez dans le champ de ce texte. Notez la date exacte du dépôt et conservez l’accusé de réception : c’est le point de départ du délai.
La deuxième situation est la clôture explicite, parfois appelée classement sans suite : la CNIL vous informe qu’elle n’engage pas de poursuite ou qu’elle clôt le dossier après réponse de l’organisme. Cette décision vous déçoit, surtout si l’organisme n’a toujours pas transmis la copie de vos données ni cessé la prospection. Il faut alors lire attentivement le courrier : indique-t-il les voies et délais de recours ? Mentionne-t-il que l’organisme s’est mis en conformité, et sur quels points précis ? Une clôture ne signifie pas que vos droits ont été jugés infondés au fond. Elle signifie que l’autorité, dans l’exercice de son pouvoir d’appréciation, n’a pas estimé devoir sanctionner. Vos droits contre l’organisme subsistent intégralement, et la décision de clôture peut elle-même être contestée devant le juge administratif dans les conditions décrites plus bas.
La troisième situation est la réponse insatisfaisante de l’organisme transmise par l’intermédiaire de la CNIL : copie partielle, effacement allégué sans preuve, argumentaire juridique contestable sur la conservation des données. La recommandation pratique de la CNIL vaut ici pleinement : contestez d’abord cette réponse auprès de l’organisme, par écrit, point par point, avant de relancer la CNIL. Cette relance écrite nourrit ensuite les deux recours possibles : elle démontre votre diligence devant le juge judiciaire saisi contre l’organisme, et elle établit la persistance du manquement devant le juge administratif saisi contre la carence ou la clôture de la CNIL.
Une erreur fréquente doit être écartée dès ce stade : attendre l’issue de la plainte CNIL avant d’agir contre l’organisme. Les deux voies sont indépendantes. L’article 79, paragraphe 1, du règlement (UE) 2016/679 reconnaît à chaque personne concernée un droit à un recours juridictionnel effectif si elle considère que ses droits ont été violés du fait d’un traitement effectué en violation du règlement, sans préjudice de tout recours administratif et du droit d’introduire une réclamation auprès de l’autorité de contrôle. Autrement dit, la plainte devant la CNIL ne suspend pas votre droit de saisir le juge contre l’organisme, et l’attente passive est la principale cause de perte de temps constatée dans ces dossiers. Le bon réflexe consiste à mener les deux démarches en parallèle : relancer la CNIL d’un côté, mettre en demeure l’organisme puis saisir le juge de l’autre.
II. Agir sur les deux fronts : contraindre l’organisme et faire trancher le juge
A. Contraindre l’organisme : relance documentée, mise en demeure puis action directe devant le juge judiciaire
Le premier front est celui de l’organisme qui détient vos données : entreprise, administration, association, professionnel de santé pour les données non médicales couvertes par le règlement, ou tout responsable de traitement. La séquence utile comprend trois étapes, chacune documentée. D’abord, la relance écrite après le délai d’un mois : rappelez la demande initiale avec sa date, citez le droit invoqué — droit d’accès de l’article 15 ou droit à l’effacement de l’article 17 du règlement (UE) 2016/679 — et fixez un dernier délai raisonnable, généralement quinze jours. Envoyez cette relance par un moyen qui prouve la réception : lettre recommandée avec accusé de réception ou message électronique avec accusé, conservé avec ses pièces jointes.
Ensuite, la mise en demeure formelle, qui prépare l’action en justice. Elle reprend l’historique complet : demande initiale du jour J, absence de réponse ou réponse partielle, relance restée vaine, plainte déposée devant la CNIL avec sa date et son numéro d’enregistrement. Elle énonce précisément ce que vous exigez : communication de la copie de l’ensemble des données personnelles vous concernant, avec les informations sur les finalités, les destinataires et la durée de conservation prévues par l’article 15 ; effacement des données visées avec attestation écrite, sur le fondement de l’article 17 ; cessation de toute prospection ; et, le cas échéant, réparation du préjudice subi. Elle avertit que, faute d’exécution dans le délai fixé, vous saisirez le tribunal judiciaire aux fins d’injonction sous astreinte et de dommages et intérêts. Si l’organisme est établi à Paris ou en Île-de-France, ou si vous y résidez, cette mise en demeure prépare une assignation devant le tribunal judiciaire de votre lieu de résidence, ce qui évite des déplacements inutiles.
L’action directe devant le juge judiciaire constitue le levier le plus concret quand la CNIL tarde ou classe. L’article 79, paragraphe 2, du règlement (UE) 2016/679 prévoit que l’action contre un responsable du traitement peut être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle. En France, le tribunal judiciaire connaît de ces demandes : injonction de communiquer la copie des données, injonction d’effacer, interdiction de poursuivre un traitement illicite, le tout sous astreinte, et condamnation à réparer le préjudice. En cas d’urgence — par exemple une diffusion en cours de vos données ou une prospection massive qui se poursuit malgré l’opposition — le juge des référés peut être saisi pour obtenir rapidement une mesure provisoire, sans attendre le jugement au fond. Le code de procédure civile prévoit que le président du tribunal judiciaire peut, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite. Voir l’article 835 du code de procédure civile : « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent ».
Le dossier à présenter au juge doit être complet dès l’assignation. Rassemblez la demande initiale et sa preuve d’envoi, la relance et la mise en demeure avec leurs accusés, la plainte CNIL avec son accusé d’enregistrement et toute correspondance ultérieure, les captures ou copies prouvant le traitement contesté — messages de prospection avec leurs dates, pages montrant la conservation de vos données, refus écrit opposé par l’organisme — ainsi que les justificatifs du préjudice : temps passé, démarches engagées, conséquences professionnelles ou personnelles, attestations de témoins le cas échéant. Un dossier chronologique clair, avec un tableau des dates, vaut mieux qu’une accumulation désordonnée de pièces : le juge doit voir en quelques minutes que vous avez été diligent et que l’organisme ne l’a pas été.
Un point mérite une attention particulière : la preuve du préjudice en matière de réparation. L’article 82, paragraphe 1, du règlement (UE) 2016/679 dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Mais ce droit n’est pas automatique : la Cour de cassation a jugé, au visa de ce texte, que la simple violation du règlement ne suffit pas à ouvrir droit à réparation et que le demandeur doit démontrer l’existence et l’étendue de son préjudice, tout en rappelant que la réparation du dommage moral ne peut pas être subordonnée à un seuil de gravité. Voir Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792. Concrètement, décrivez et chiffrez : heures perdues à relancer, frais engagés, anxiété liée à l’exposition de vos données, démarchage subi malgré l’opposition, avec pièces à l’appui. Une demande de dommages et intérêts sans aucun justificatif sera rejetée, même si la violation est établie. Ce principe rejoint le droit commun de la responsabilité, selon lequel tout fait de l’homme qui cause à autrui un dommage oblige son auteur à le réparer, ce qui suppose un dommage démontré. Voir l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ».
Pour situer votre demande d’accès dans son cadre pratique, vous pouvez utilement consulter notre analyse consacrée au refus de copie des données personnelles et aux recours devant la CNIL et le juge, qui détaille le contenu exigible d’une copie et la conduite à tenir face à un organisme qui refuse de transmettre.
B. Contraindre la CNIL : relance au bout de trois mois, recours contre la carence ou la clôture, et réparation
Le second front vise l’autorité elle-même, et il commence par une relance méthodique. Si trois mois se sont écoulés depuis votre plainte sans information sur son avancement, écrivez au service des plaintes en rappelant le numéro d’enregistrement, la date de dépôt et l’objet du litige, et demandez expressément l’état d’avancement et l’issue envisagée, en visant l’obligation d’information de l’article 77, paragraphe 2. Cette relance n’est pas une formalité : elle établit la carence et elle interrompt l’impression d’abandon du dossier, qui conduit parfois à un classement pour inactivité apparente du plaignant. Répondez toujours aux demandes de pièces complémentaires de la CNIL dans les délais indiqués, et confirmez chaque envoi.
Si la CNIL garde le silence malgré la relance, ou si elle vous notifie une clôture que vous contestez, le recours juridictionnel contre l’autorité devient l’option à examiner avec un avocat. L’article 78, paragraphe 1, du règlement (UE) 2016/679 ouvre un recours effectif contre une décision juridiquement contraignante de l’autorité qui concerne le plaignant, et son paragraphe 2 vise expressément l’hypothèse où l’autorité ne traite pas la réclamation ou n’informe pas la personne concernée dans un délai de trois mois. En France, l’action contre la CNIL est portée devant les juridictions de l’État membre où l’autorité est établie, selon le paragraphe 3 du même article, soit concrètement le juge administratif parisien, avec au sommet le Conseil d’État qui connaît des recours contre les décisions de la CNIL. Les délais contentieux sont stricts : en cas de silence valant décision implicite de rejet, le code de justice administrative prévoit que l’intéressé dispose, pour former un recours, d’un délai de deux mois à compter de la date à laquelle est née la décision implicite de rejet, avec obligation d’établir la date du dépôt de la demande. Voir l’article R. 421-2 du code de justice administrative : « Sauf disposition législative ou réglementaire contraire, dans les cas où le silence gardé par l’autorité administrative sur une demande vaut décision de rejet, l’intéressé dispose, pour former un recours, d’un délai de deux mois à compter de la date à laquelle est née une décision implicite de rejet ». Faites donc vérifier sans tarder le point de départ applicable à votre situation et la nature exacte de la décision contestée, car une clôture motivée et un simple silence n’obéissent pas toujours au même régime. Pour une décision explicite notifiée, le délai de principe est de deux mois à compter de la notification ou de la publication. Voir l’article R. 421-1 du code de justice administrative : « dans les deux mois à partir de la notification ou de la publication de la décision attaquée ».
Le recours contre la CNIL poursuit deux objectifs distincts qu’il ne faut pas confondre. Le premier est l’annulation ou la réformation de la décision contestée, avec une injonction d’instruire ou de réexaminer la plainte : le juge administratif peut assortir sa décision de mesures d’exécution, puisque l’article L. 911-1 du code de justice administrative permet à la juridiction, saisie de conclusions en ce sens, de prescrire la mesure d’exécution dans un sens déterminé, assortie le cas échéant d’un délai. Voir : « Lorsque sa décision implique nécessairement qu’une personne morale de droit public ou un organisme de droit privé chargé de la gestion d’un service public prenne une mesure d’exécution dans un sens déterminé, la juridiction, saisie de conclusions en ce sens, prescrit, par la même décision, cette mesure assortie, le cas échéant, d’un délai d’exécution ». Le second objectif est indemnitaire : si la faute de l’autorité ou la violation du règlement vous a causé un dommage, la réparation s’obtient sur le fondement de l’article 82 contre le responsable ou le sous-traitant, ou devant le juge administratif pour la responsabilité de la puissance publique, dans les deux cas avec un préjudice démontré et chiffré, jamais présumé. La stratégie contentieuse doit articuler ces deux volets sans les mélanger : on ne demande pas au juge de la CNIL de condamner l’organisme privé à effacer les données, et on ne demande pas au juge judiciaire de sanctionner la CNIL.
Quelques repères pratiques complètent le tableau. D’abord, la plainte devant la CNIL est gratuite et se dépose en ligne, mais le recours juridictionnel contre l’autorité ou contre l’organisme obéit aux règles ordinaires de procédure, avec ministère d’avocat obligatoire devant certaines juridictions : renseignez-vous avant l’expiration des délais. Ensuite, si votre litige relève d’un autre ressort qu’un litige parisien — organisme établi dans une autre région, traitement localisé ailleurs — vérifiez la juridiction territorialement compétente plutôt que de tout centraliser à Paris par réflexe. Enfin, gardez à l’esprit que la CNIL publie régulièrement ses mises en demeure et ses sanctions : une clôture de votre plainte individuelle n’empêche pas l’autorité d’agir par ailleurs contre le même organisme, et une sanction ultérieure, même non liée formellement à votre dossier, peut conforter une action en réparation en établissant la persistance des manquements, comme l’illustre la décision du Conseil d’État du 6 juin 2018 précitée sur la sanction prononcée après mise en demeure inexécutée.
Pour agir vite et dans le bon ordre, retenez cette séquence : demande à l’organisme avec preuve d’envoi, relance à un mois, plainte CNIL avec accusé, relance de la CNIL à trois mois, mise en demeure de l’organisme, puis double saisine — juge judiciaire contre l’organisme pour l’accès, l’effacement et la réparation, juge administratif contre la carence ou la clôture de la CNIL. Chaque étape alimente la suivante, et chaque délai manqué affaiblit la suivante. Un dossier tenu dès le premier jour transforme une plainte apparemment enterrée en une action qui aboutit.
Pour comprendre vos droits avant de saisir la CNIL, le service public rappelle la démarche pas à pas sur sa page adresser une plainte en ligne à la CNIL, qui précise qu’il faut contacter l’organisme d’abord et ne saisir la CNIL qu’en cas de difficulté, de réponse insatisfaisante ou d’absence de réponse.
Besoin d’un avis rapide sur votre dossier
Vous avez déposé une plainte devant la CNIL restée sans réponse ou classée sans suite, et l’organisme refuse toujours de vous remettre vos données ou de les effacer. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique les recours utiles devant le juge et devant la CNIL. Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.