Un crédit refusé à cause d’un impayé que vous n’avez jamais contracté. Une location qui vous échappe parce que le dossier affiche de faux revenus. Une embauche ajournée après la diffusion d’informations erronées sur votre parcours. Une prime d’assurance majorée en raison d’un sinistre qui n’est pas le vôtre. Dans chacun de ces cas, le problème n’est pas seulement une erreur isolée : une donnée fausse, enregistrée dans un fichier, continue de produire des effets chaque jour tant qu’elle n’est pas corrigée et que son usage n’est pas gelé.

Le droit européen vous donne alors deux leviers immédiats : obtenir la rectification de la donnée inexacte et exiger la limitation de son utilisation pendant la vérification. Puis, si l’organisme refuse ou traîne, un troisième levier prend le relais : la plainte devant la CNIL et le recours devant le juge, avec la réparation du préjudice subi. Trois décisions récentes de tribunaux judiciaires, rendues en 2025 et 2026 dans des litiges de fichage bancaire et de diffusion de données à des tiers, montrent comment ces leviers fonctionnent en pratique, ce que le juge ordonne sous astreinte et ce qu’il refuse quand la preuve du préjudice manque.

Cet article décrit la méthode complète : identifier le responsable du fichier, formuler une demande de rectification qui aboutit, geler l’usage du faux, obliger l’organisme à prévenir les tiers destinataires, puis saisir la CNIL et le juge et chiffrer votre préjudice. Les règles citées sont celles du règlement général sur la protection des données, directement applicable en France, éclairées par la doctrine de la CNIL et par la jurisprudence récente des tribunaux judiciaires.

I. Faire corriger la donnée fausse et geler son utilisation

A. La rectification : obtenir la correction de chaque donnée inexacte ou incomplète

Le principe est posé par le règlement européen : les données doivent être « exactes et, si nécessaire, tenues à jour », et « toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». L’exactitude n’est donc pas une simple recommandation adressée aux organismes : c’est une obligation de résultat qui pèse sur le responsable du traitement, et elle ouvre à votre profit un droit d’action directe. Le texte ajoute : « La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. » Lorsque la donnée est incomplète au regard de l’usage qui en est fait, vous pouvez exiger qu’elle soit complétée, « y compris en fournissant une déclaration complémentaire ». La CNIL présente ce droit comme le moyen d’éviter qu’un organisme utilise ou diffuse des informations erronées sur vous, et elle met à disposition un modèle de courrier pour rectifier des données inexactes.

La première étape consiste à identifier le bon interlocuteur, car une demande adressée au mauvais organisme fait perdre des semaines. Le responsable du traitement est celui qui décide du fichier et de son contenu : la banque qui a déclaré l’incident de paiement, l’employeur qui tient le dossier du personnel, l’assureur qui a enregistré le sinistre, le bailleur ou l’agence qui a constitué le dossier de location, le site de commerce en ligne qui a enregistré une adresse ou un historique d’achat erroné. Dans le cas particulier du Fichier national des incidents de remboursement des crédits aux particuliers, « Un fichier national recense les informations sur les incidents de paiement caractérisés liés aux crédits accordés aux personnes physiques pour des besoins non professionnels. » « Ce fichier est géré par la Banque de France », qui centralise les déclarations sans en être l’auteur : c’est l’établissement qui a déclaré l’incident qu’il faut mettre en cause en premier, puisque lui seul peut reconnaître l’erreur et ordonner la radiation. Le fichier « a pour finalité de fournir » aux établissements de crédit « un élément d’appréciation de la solvabilité des personnes qui sollicitent un crédit », et il est « soumis à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés », dont le texte organise en France les contrôles et les recours. La Banque de France décrit les modalités pratiques de consultation du FICP. Une ordonnance de référé rendue le 28 mai 2026 par le tribunal judiciaire d’Arras illustre cette configuration : un particulier soutenait n’avoir jamais contracté le prêt à l’origine de son inscription, affirmait que son identité avait été usurpée, avait déposé plainte au commissariat et demandait à la société de crédit de confirmer par écrit l’absence de toute relation contractuelle et de lui communiquer la copie de ses données ainsi que l’origine de celles-ci. Le juge a ordonné la communication d’une copie en langage clair de l’ensemble des données, y compris celles des zones dites blocs-notes ou commentaires, ainsi que toute information disponible sur leur origine.

La demande doit être écrite, précise et accompagnée de ses preuves. Désignez chaque donnée contestée une par une, indiquez la valeur exacte que vous demandez à la place, et joignez les pièces qui établissent la réalité : pièce d’identité, contrat, relevés, attestation de l’employeur, jugement, dépôt de plainte en cas d’usurpation d’identité, capture du refus de crédit ou du message de l’organisme. Quand la donnée est incomplète plutôt que fausse au sens strict, par exemple un dossier qui mentionne un incident de paiement sans mentionner la décision de justice qui l’a ensuite annulé ou l’effacement de dette accordé en surendettement, fournissez vous-même le complément : le règlement vous autorise à joindre une déclaration complémentaire, et un dossier qui tait une information décisive est aussi trompeur qu’un chiffre erroné. Un jugement du tribunal judiciaire de Versailles du 21 novembre 2025 montre l’importance de ce chaînage des pièces : un emprunteur avait bénéficié d’un effacement partiel de dette imposé par la commission de surendettement, l’établissement l’avait néanmoins inscrit au FICP en juillet 2024, puis avait reconnu son erreur et radié le fichage en juillet 2025. Le tribunal a retenu que l’inscription était intervenue à tort et a indemnisé le préjudice moral des deux demandeurs, en s’appuyant sur l’historique documenté du dossier.

Le responsable du traitement doit répondre vite. Le règlement impose de vous informer des mesures prises « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », avec une prolongation possible de deux mois pour les demandes complexes, à condition de vous prévenir dans le premier mois. S’il refuse de donner suite, il doit vous expliquer pourquoi et vous rappeler les voies de recours. En pratique, exigez un accusé de réception dès l’envoi en recommandé ou par courriel avec preuve de dépôt, notez la date de réception, et relancez à l’expiration du délai d’un mois. L’absence totale de réponse, documentée par vos envois, sera ensuite votre meilleure pièce devant la CNIL et devant le juge : dans l’affaire d’Arras, le demandeur avait mis en demeure l’établissement dès le mois d’août 2025, puis déposé plainte auprès de la CNIL en janvier 2026 pour absence de réponse à sa demande d’accès, avant d’assigner en référé en février 2026. Cette chronologie rigoureuse a permis au juge de constater que les demandes n’étaient pas sérieusement contestables et d’ordonner les injonctions.

Distinguez enfin la rectification des droits voisins, car chaque droit a son régime et ses conditions. L’accès vise à obtenir la copie des données et l’information sur leur origine ; la rectification vise à corriger ce qui est inexact ou incomplet ; l’effacement vise à supprimer des données dont le traitement n’a plus de base légale ; l’opposition vise à faire cesser un traitement fondé sur l’intérêt légitime ou la prospection. Si un organisme vous répond sur le terrain de l’effacement alors que vous demandiez la rectification, ou s’il vous oppose la conservation d’un dossier au lieu de corriger son contenu, reformulez par écrit en visant expressément la rectification et, pendant la vérification, la limitation du traitement. Pour approfondir le premier de ces droits voisins, vous pouvez lire notre analyse du refus de copie de vos données personnelles : accès, CNIL et juge, qui décrit la procédure d’accès dont la rectification prend souvent le relais.

B. La limitation et la notification : empêcher que le faux continue de circuler

Obtenir la correction ne suffit pas toujours : pendant que l’organisme vérifie, la donnée fausse reste dans le fichier, visible des conseillers, transmise aux partenaires, exploitée par les scores automatiques. Le règlement prévoit pour cette phase un second droit, trop rarement invoqué : la limitation du traitement, qui gèle l’usage des données contestées. La CNIL la présente comme le droit de geler l’utilisation de vos données pendant l’examen de votre contestation. Quatre situations ouvrent ce droit : « l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel » ; le traitement est illicite et vous préférez le gel à l’effacement ; le responsable n’a plus besoin des données mais vous en avez encore besoin pour constater, exercer ou défendre vos droits en justice ; vous vous êtes opposé au traitement et la balance des intérêts légitimes reste à vérifier. Dans votre courrier, visez donc les deux droits ensemble : rectification de la donnée désignée et, dans l’attente, limitation de tout usage autre que la conservation.

Les effets du gel sont stricts. Une fois la limitation obtenue, les données « ne peuvent, à l’exception de la conservation, être traitées » qu’avec votre consentement, pour la constatation, l’exercice ou la défense de droits en justice, pour la protection des droits d’autrui ou pour des motifs importants d’intérêt public. Concrètement, l’organisme doit marquer le dossier comme contesté, interdire sa consultation par les services opérationnels, suspendre toute transmission à des tiers et toute décision fondée sur la donnée litigieuse, et n’utiliser le fichier que pour les besoins stricts autorisés. L’ordonnance d’Arras du 28 mai 2026 en donne une illustration judiciaire : le demandeur, qui contestait tout contrat avec l’établissement et invoquait une usurpation d’identité avec enquête pénale en cours, avait sollicité la limitation sur le fondement de l’illicéité du traitement ; le juge des référés, constatant que l’établissement ne justifiait d’aucune mesure de limitation malgré une mise en demeure reçue en août 2025, lui a ordonné de justifier des mesures limitant le traitement aux seuls besoins de l’enquête pénale en cours, sous astreinte de 100 euros par jour de retard passé huit jours après la signification. La leçon est double : le gel doit être demandé avec un périmètre précis d’usage autorisé, et son inexécution ouvre la voie à l’astreinte.

Le troisième verrou concerne les tiers qui ont déjà reçu la donnée fausse : banque qui a interrogé le fichier, assureur partenaire, employeur destinataire d’une attestation, copropriétaires destinataires d’une diffusion, plateforme qui a repris l’information. Le règlement dispose : « Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement », « à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés ». Exigez donc, dans votre demande, la liste des destinataires et la preuve de leur notification individuelle, et demandez à être informé de ces destinataires, droit que le texte vous reconnaît expressément. Un jugement du tribunal judiciaire d’Aix-en-Provence du 5 août 2025 montre la portée concrète de cette obligation : un syndic avait diffusé à l’ensemble des copropriétaires des données personnelles d’une famille, y compris des données de santé et les noms de leurs médecins et témoins ; le tribunal a condamné la société à effacer ces données de l’ensemble de ses fichiers et de l’espace client dans un délai de deux mois, sous astreinte provisoire de 50 euros par jour de retard pendant trois mois, et à notifier par tous moyens aux copropriétaires de la résidence l’effacement effectué, sous la même astreinte. Sans cette notification descendante, la rectification resterait lettre morte dans chaque boîte aux lettres où le faux a circulé.

En pratique, construisez votre dossier en trois enveloppes. Première enveloppe : la demande de rectification avec la donnée contestée, la valeur correcte et les pièces. Deuxième enveloppe : la demande de limitation pendant la vérification, avec le périmètre d’usage autorisé que vous acceptez, par exemple les seuls besoins d’une enquête pénale en cours ou la conservation pour la défense de vos droits. Troisième enveloppe : la demande de liste des destinataires et de notification de la correction à chacun d’eux. Envoyez l’ensemble au responsable du traitement et, lorsque le fichier est un fichier réglementé comme le FICP, doublez la démarche auprès de l’établissement déclarant et conservez la preuve de chaque envoi. Si l’organisme corrige sans prévenir les destinataires, ou s’il gèle l’affichage sans cesser d’alimenter les scores internes, votre relance visera précisément ces deux manquements, qui sont des violations autonomes du règlement et qui aggravent le préjudice réparable.

II. Contraindre l’organisme qui refuse et obtenir réparation

A. La CNIL et le juge : l’escalade qui débloque le dossier

Quand le délai d’un mois expire sans réponse satisfaisante, l’escalade suit un ordre précis : relance et mise en demeure, plainte devant la CNIL, puis juge judiciaire. La relance n’est pas une formalité : elle doit rappeler la date de la demande initiale, constater l’absence de réponse ou analyser l’insuffisance de la réponse, impartir un dernier délai bref, et annoncer la plainte et l’assignation. Joignez-y les pièces nouvelles éventuelles et exigez à nouveau, séparément, la rectification, la limitation et la notification aux destinataires. Un organisme qui répond en refusant doit motiver son refus et vous informer des recours ; un refus standard non motivé, ou motivé par un motif étranger à votre demande, constitue déjà un indice de manquement que la CNIL et le juge prendront en compte.

La plainte devant la CNIL est le recours administratif naturel. Le règlement prévoit que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle », en particulier dans l’État de sa résidence, de son travail ou du lieu de la violation. En France, cette réclamation s’exerce en saisissant la CNIL, après avoir conservé la copie de vos démarches préalables auprès de l’organisme : la Commission exige en principe que vous ayez d’abord exercé vos droits directement, sauf cas particuliers. La plainte doit identifier l’organisme, décrire chaque manquement avec ses dates, joindre les demandes, les preuves d’envoi, les réponses reçues et les pièces établissant l’inexactitude. Vous pouvez demander à la CNIL d’enquêter, de mettre en demeure l’organisme et, le cas échéant, de prononcer une sanction. Si la Commission ne traite pas votre réclamation ou ne vous informe pas de son état d’avancement dans un délai de trois mois, le règlement vous ouvre un recours juridictionnel effectif contre l’autorité de contrôle elle-même. Pour déposer utilement, utilisez la procédure d’adresse de plainte auprès de la CNIL et conservez le récépissé, qui servira aussi devant le juge à démontrer votre diligence.

Le juge judiciaire peut être saisi en parallèle, sans attendre l’issue de la plainte, pour ordonner sous astreinte et pour indemniser. La voie rapide est le référé : le président du tribunal judiciaire peut « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », et « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier, ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire ». Vous pouvez donc obtenir en quelques semaines des injonctions de communiquer, de rectifier, de limiter ou d’effacer, assorties d’astreintes journalières dont le juge de l’exécution assurera ensuite la liquidation. L’ordonnance d’Arras l’illustre point par point : communication de la copie complète des données avec leur origine, justification des mesures de limitation, astreinte de 100 euros par jour de retard après huit jours, dépens et 1 000 euros de frais irrépétibles à la charge de l’établissement. Le jugement d’Aix-en-Provence montre la même logique au fond, avec un délai de deux mois et une astreinte provisoire de 50 euros par jour pendant trois mois, appliquée à la fois à l’effacement et à la notification aux destinataires. Pour obtenir de telles mesures, présentez au juge un dossier ordonné : la donnée contestée et sa preuve d’inexactitude, la demande initiale et sa date de réception, la relance et la mise en demeure, la plainte CNIL et son récépissé, les préjudices déjà subis avec leurs justificatifs, et des demandes d’injonction rédigées avec des délais et des périmètres précis. Un juge ordonne d’autant mieux qu’on lui propose des mesures exécutables : telle donnée à rectifier en tel sens, tel usage à suspendre, telle liste de destinataires à notifier, dans tel délai, sous telle astreinte.

Le cas du fichage bancaire mérite une mention particulière, car il concentre les difficultés. Vérifiez d’abord votre situation auprès des guichets de la Banque de France, puis écrivez à l’établissement déclarant en visant la rectification et la radiation, avec les pièces du dossier de surendettement, du paiement, de la forclusion ou de l’usurpation selon votre cas. Si l’établissement reconnaît l’erreur et radie, comme la société Franfinance l’a fait en juillet 2025 dans l’affaire jugée à Versailles, ne refermez pas le dossier pour autant : la radiation ne répare pas à elle seule les mois de fichage indu, les crédits refusés entre-temps, ni l’anxiété provoquée par les mises en demeure. C’est l’objet du second temps du procès, celui de la réparation, où la reconnaissance de l’erreur par l’adversaire devient votre meilleure pièce.

B. La réparation : chiffrer le préjudice causé par la donnée fausse

Le droit à réparation est autonome : même quand la donnée a fini par être corrigée, le préjudice subi entre-temps reste indemnisable. Le règlement dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le responsable qui a participé au traitement répond du dommage causé par la violation, et le sous-traitant répond lorsqu’il a manqué à ses obligations propres ou agi hors des instructions licites du responsable. Chacun peut être tenu pour le tout afin de garantir une réparation effective, avec ensuite un recours entre co-responsables selon leurs parts respectives. L’exonération suppose la preuve que le fait dommageable ne lui est nullement imputable, preuve qui échoue dès que l’erreur est établie et reconnue.

Le préjudice matériel se chiffre pièce par pièce : crédits refusés puis souscrits à des conditions dégradées, surcoûts d’intérêts documentés par les offres comparées, location perdue avec les frais d’agence et d’hébergement temporaire, mission ou embauche manquée avec la perte de revenus correspondante, prime d’assurance majorée, frais de démarches et de constats. Le préjudice moral se prouve par le retentissement documenté : anxiété face aux mises en demeure et aux menaces de poursuites, démarches répétées et la lassitude, sentiment d’impuissance devant un fichier qui vous désigne comme débiteur défaillant alors que vous avez payé ou que vous n’avez jamais contracté. Le jugement de Versailles du 21 novembre 2025 retient exactement cette analyse : l’inscription au FICP était intervenue à tort malgré l’effacement partiel de dette accordé en surendettement, l’établissement avait reconnu son erreur et radié le fichage, et le tribunal a relevé que ce fichage inopiné avait pu générer un important sentiment d’anxiété chez les demandeurs, notamment au regard des nombreux courriers de mise en demeure et d’annonce de poursuites, avant de condamner la société à 500 euros à chacun au titre du préjudice moral, plus les dépens et 300 euros à chacun pour les frais irrépétibles. Le jugement d’Aix-en-Provence du 5 août 2025, dans l’affaire de diffusion de données à l’ensemble des copropriétaires, a condamné le syndic à 1 000 euros à chacun des deux parents au titre du préjudice moral, avec effacement sous astreinte et notification aux destinataires.

La troisième décision tempère utilement cet élan : en référé, la provision suppose une obligation non sérieusement contestable, et le juge d’Arras a rejeté les provisions de 4 000 et 2 000 euros sollicitées au titre du préjudice moral, en retenant qu’aucun préjudice ouvrant droit à indemnité n’était caractérisé dans ce dossier et que l’obligation d’indemnisation se heurtait à une contestation sérieuse. Ce rejet ne signifie pas l’absence de tout préjudice : il signifie que le demandeur, qui sollicitait une avance en référé, n’avait pas encore rapporté la preuve caractérisée de son dommage et de son lien avec la faute, alors même que le juge ordonnait par ailleurs la communication et la limitation sous astreinte. La méthode à en tirer est claire : devant le juge des référés, demandez les injonctions et l’astreinte, qui supposent l’évidence du droit ; devant le juge du fond, demandez l’indemnisation, avec un dossier de préjudice complet. Constituez dès le premier jour votre dossier de preuves : refus écrits de crédit, de location ou d’embauche mentionnant le motif, offres de prêt comparées avant et après, factures d’hébergement et de déménagement, échanges avec l’organisme, constats d’huissier des affichages et des diffusions, certificats médicaux si l’anxiété a nécessité un suivi, attestations de proches sur le retentissement au quotidien. Un préjudice raconté sans pièce se heurte à la contestation sérieuse ; un préjudice documenté mois par mois obtient les condamnations des jugements de Versailles et d’Aix.

N’oubliez pas les têtes de demande accessoires, qui sécurisent l’exécution : injonction de justifier des mesures prises dans un délai déterminé, astreinte par jour de retard avec compétence du juge de l’exécution pour la liquidation, dépens, frais irrépétibles, exécution provisoire de droit en première instance. Le fondement indemnitaire de droit commun reste l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Les frais de procédure se récupèrent sur le fondement de l’article 700 du code de procédure civile, qui permet au juge de faire payer à la partie perdante « la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens », et « Les décisions de première instance sont de droit exécutoires à titre provisoire », ce qui rend vos condamnations immédiatement exécutables malgré l’appel. Et lorsque plusieurs acteurs se renvoient la responsabilité, par exemple l’établissement déclarant et l’hébergeur du fichier, ou le syndic et son prestataire informatique, dirigez vos demandes contre chacun pour le tout sur le fondement de la responsabilité conjointe, en laissant au juge le soin de répartir ensuite les parts. Cette architecture des demandes, injonction plus astreinte plus indemnisation, est celle qui a produit les trois décisions citées : communication et gel ordonnés à Arras, indemnisation après radiation à Versailles, effacement notifié aux tiers et indemnisé à Aix.

En résumé, face à une donnée fausse qui vous bloque, agissez dans cet ordre : identifiez le responsable du fichier et écrivez-lui en visant ensemble la rectification, la limitation pendant vérification et la notification aux destinataires, avec les pièces qui établissent la valeur correcte. Relancez à un mois, mettez en demeure, déposez plainte devant la CNIL avec le récépissé de vos démarches. Assignez ensuite le juge pour obtenir sous astreinte la copie, la correction, le gel et la notification descendante, puis faites chiffrer au fond le préjudice matériel et moral documenté depuis le premier refus. La donnée exacte est un droit, pas une faveur : les textes l’imposent, la CNIL l’accompagne, et les tribunaux l’ordonnent sous astreinte avant de l’indemniser.