Vous avez déposé une plainte sur le site de la Commission nationale de l’informatique et des libertés, reçu un accusé de réception, puis plus rien. Les semaines passent, parfois les mois, sans information sur l’état d’avancement ni sur l’issue de votre dossier. Cette situation est fréquente : l’autorité reçoit chaque année plusieurs dizaines de milliers de plaintes et ses délais de traitement peuvent être importants. Le silence ne signifie pourtant ni que votre plainte est perdue, ni que vous êtes démuni. Le droit européen et le droit français organisent précisément ce qui se passe après trois mois sans nouvelles, ce que vaut une clôture de plainte et quels recours restent ouverts devant le Conseil d’État comme devant le juge judiciaire pour obtenir réparation.
Cet article décrit d’abord la mécanique du silence : le droit de plainte, l’obligation d’information de la CNIL et la naissance d’une décision implicite de rejet au bout de trois mois. Il explique ensuite comment agir : relancer utilement, contester une clôture ou un rejet implicite devant le Conseil d’État dans les délais, et porter séparément une demande d’indemnisation devant le juge judiciaire sur le fondement du règlement général sur la protection des données.
I. Le silence de la CNIL après votre plainte : ce que prévoient les textes
Déposer une plainte ne déclenche pas une enquête automatique suivie d’une sanction. La CNIL examine, trie, instruit dans la mesure nécessaire et choisit les suites. Comprendre cette mécanique évite deux erreurs symétriques : croire que le silence vaut abandon de vos droits, ou croire qu’une plainte suffit à faire condamner l’organisme mis en cause.
A. Un droit de plainte assorti d’une obligation d’information
Toute personne qui estime que le traitement de données personnelles la concernant viole le règlement européen peut saisir l’autorité de contrôle, en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée. L’article 77 du règlement dispose que « L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78 ». Le droit de plainte et le droit d’être informé de son sort forment ainsi un ensemble indissociable.
En droit français, la loi du 6 janvier 1978 confie à la CNIL le traitement des réclamations et plaintes : elle « traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable ». La formule « dans la mesure nécessaire » est essentielle : la CNIL dispose d’un pouvoir d’appréciation sur l’ampleur des investigations et sur les suites. Une plainte même fondée n’oblige pas l’autorité à prononcer une mise en demeure ou une sanction ; elle l’oblige à examiner le dossier et à en rendre compte dans un délai raisonnable.
En pratique, la CNIL décrit elle-même la procédure sur sa page officielle : avant de la saisir, il faut d’abord exercer ses droits directement auprès de l’organisme, qui doit répondre sous un mois maximum, et conserver les preuves de cette démarche. Une fois la plainte déposée, La CNIL indique qu’elle fait le maximum pour informer chaque plaignant de l’état d’avancement, au moins dans les trois mois suivant le dépôt, puis de l’issue de la plainte. L’autorité précise que les délais dépendent du nombre de demandes reçues, de la complexité des sujets, des échanges avec les organismes mis en cause et parfois de l’attente d’une décision de justice sur la question de fond. Si l’analyse juridique approfondie conduit à considérer la plainte comme non fondée, un courrier est adressé pour en informer l’auteur. Déposer une plainte complète dès le départ réduit le risque de clôture pour dossier inexploitable. La CNIL attend des éléments précis : votre identité et vos coordonnées, l’identification de l’organisme mis en cause, le récit daté des faits, la copie de votre demande préalable de droits et de la réponse reçue ou la preuve de l’absence de réponse sous un mois, ainsi que toute pièce établissant le manquement, comme des captures d’écran, des conditions générales ou des échanges de courriels. Formulez une demande explicite : accès à vos données, effacement, opposition à la prospection, cessation d’un dispositif de surveillance. Plus la demande est ciblée et documentée, plus l’instruction est rapide, et plus une éventuelle clôture devra être motivée au regard de pièces que vous aurez vous-même versées.
Les mesures envisageables vont de l’accompagnement de l’organisme vers la conformité jusqu’au rappel à la loi, à la mise en demeure publique ou non, puis à la sanction par la formation restreinte, avec possibilité de coopération européenne quand le traitement concerne plusieurs États membres.
Ce cadre explique pourquoi un dossier peut rester des mois au stade de l’instruction sans que cela constitue d’emblée une faute. Il n’interdit pas pour autant de réagir : passé un certain temps sans information, le silence produit des effets juridiques précis.
B. Trois mois sans réponse : la naissance d’un rejet implicite contestable
Le règlement européen ouvre un recours juridictionnel effectif « lorsque l’autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation qu’elle a introduite au titre de l’article 77 ». Ce délai de trois mois constitue donc le premier repère : sans traitement ni information à cette échéance, la voie du recours au juge s’ouvre.
Le droit français ajoute une mécanique propre. L’article 10 du décret du 29 mai 2019 prévoit que le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet. Autrement dit, trois mois après le dépôt sans réponse caractérisée, une décision implicite de rejet naît, et cette décision peut être contestée devant le Conseil d’État. Le Conseil d’État l’a rappelé le 27 août 2026 dans une affaire où un usager se plaignait du traitement de ses données par une société gérant un service de messagerie en ligne : le courriel de la CNIL informant l’intéressé que sa plainte avait été transmise au service compétent et que, vu le grand nombre de plaintes reçues, les délais de traitement pouvaient être importants n’a pas empêché la naissance du rejet implicite. Le juge relève que « De telles indications ne peuvent être regardées, en l’espèce, comme ayant été de nature à faire obstacle à la naissance d’une décision implicite de rejet de sa plainte, après l’expiration du délai de trois mois ». Un simple message d’attente générique ne vaut ni traitement ni information sur l’état d’avancement au sens des textes.
La même solution a été retenue le même jour dans un litige relatif à des plaintes contre le fichier d’un conseil national chargé d’une mission de sécurité privée : les courriels types annonçant la transmission au service de l’exercice des droits et des plaintes et des délais importants n’ont pas fait obstacle aux rejets implicites nés à trois mois (Conseil d’État, 27 août 2026). Ces deux décisions confirment une règle pratique : conservez l’accusé de réception et tout message de la CNIL, notez la date exacte du dépôt, et comptez trois mois. Passé ce délai sans information substantielle, vous disposez d’une décision susceptible de recours.
Deux précisions complètent le tableau. D’abord, si la CNIL prend ensuite une décision expresse de clôture, celle-ci retire la décision implicite antérieure : le recours dirigé contre le seul rejet implicite devient sans objet, et il faut contester la décision expresse si elle est elle-même critiquable. Dans l’affaire du service de messagerie, la clôture expresse du 20 janvier 2026 avait retiré le rejet implicite, et le requérant, qui ne contestait pas cette clôture devenue définitive, a vu sa requête déclarée sans objet. Pour fixer les idées, reprenez le calendrier de l’affaire jugée le 27 août 2026 : plainte déposée le 7 mai 2025, message d’attente le 12 mai, puis silence substantiel. Le rejet implicite est né à l’expiration des trois mois, soit autour du 7 août 2025, et le délai de recours contre cette décision implicite a couru à compter de cette naissance. La clôture expresse intervenue le 20 janvier 2026 a ensuite retiré ce rejet implicite, de sorte que seul un recours dirigé contre la clôture elle-même, dans les deux mois de sa notification, aurait pu prospérer. Ce calendrier montre l’importance de dater chaque étape et de ne pas laisser passer les délais en attendant une hypothétique réponse : le temps de la procédure administrative et le temps des recours se superposent, et c’est au plaignant de sécuriser les deux.
Ensuite, la clôture n’est pas une sanction déguisée ni un blanc-seing donné à l’organisme : elle met fin à l’instruction de la plainte, avec information du plaignant, et laisse intactes les autres voies d’action, notamment devant le juge judiciaire.
II. Relancer, contester et obtenir réparation : le plan d’action
Le silence ou la clôture ne ferment pas le dossier. Trois leviers s’articulent : la relance administrative pour obtenir une décision expresse, le recours devant le Conseil d’État contre le rejet ou la clôture, et l’action en réparation portée devant le juge judiciaire contre l’organisme à l’origine du traitement litigieux. Chacun obéit à ses propres délais et conditions.
A. Relancer la CNIL puis saisir le Conseil d’État dans les délais
La première étape consiste à relancer par écrit en rappelant la date de dépôt, le numéro de dossier figurant sur l’accusé de réception et l’absence d’information depuis plus de trois mois. Joignez les preuves de votre démarche préalable auprès de l’organisme et tout élément nouveau : réponse tardive de l’organisme, persistance du manquement, préjudice qui s’aggrave. Une relance circonstanciée augmente les chances d’obtenir soit une information sur l’état d’avancement, soit une décision expresse de clôture que vous pourrez ensuite contester en connaissance de cause. Si l’organisme vous répond directement pendant l’instruction, transmettez ces éléments à la CNIL, qui le demande expressément aux plaignants.
Le recours devant le Conseil d’État répond à des règles strictes que la jurisprudence récente illustre nettement. D’abord, le juge vérifie le délai raisonnable d’instruction : dans une décision du 20 décembre 2023, le Conseil d’État a jugé qu’une plainte enregistrée en août 2019 et encore à l’instruction en 2023, avec de simples réponses d’attente adressées après des relances, n’avait pas été traitée dans le délai raisonnable exigé par la loi, de sorte que le requérant pouvait contester la décision implicite de rejet (Conseil d’État, 20 décembre 2023). Le juge a relevé que « la CNIL ne peut être regardée comme ayant traité cette plainte dans le délai raisonnable exigé par les dispositions de l’article 8 de la loi du 6 janvier 1978 ». Le silence prolongé ouvre donc bien la porte du prétoire, même lorsque l’autorité a envoyé des messages d’attente.
Ensuite, le contrôle exercé sur les suites données à la plainte reste limité. Dans cette même affaire, le requérant interrogeait la CNIL sur l’existence et la base juridique d’un fichier sans invoquer d’illégalité précise ni d’atteinte à ses propres données ; le Conseil d’État a estimé que l’autorité n’avait pas commis d’erreur manifeste d’appréciation en s’abstenant de prendre des mesures, et que « les circonstances que la CNIL ne l’a pas traitée dans un délai raisonnable et qu’elle n’a pas suffisamment informé M. A… de son état d’avancement sont sans incidence sur la légalité de la décision attaquée ». La leçon est claire : pour obtenir l’annulation, il faut démontrer une illégalité du traitement ou une atteinte caractérisée à vos droits, pas seulement la lenteur de l’instruction. De même, le juge ne peut pas enjoindre à la CNIL de sanctionner : le choix des suites relève de son appréciation, sous le contrôle restreint de l’erreur manifeste.
Enfin, les délais de recours sont impératifs. Contre une décision expresse de clôture notifiée avec l’indication des voies et délais, le délai est de deux mois à compter de la notification ; une requête arrivée plus d’un an après la clôture a été rejetée comme tardive dans l’affaire du 27 août 2026 relative au fichier de sécurité privée. Ce délai de deux mois résulte d’une règle générale du contentieux administratif : « La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée ». Le Conseil d’État est compétent en premier et dernier ressort pour les recours contre les décisions de la CNIL prises au titre de sa mission de contrôle. En revanche, une demande d’indemnisation adressée au juge administratif sans réclamation indemnitaire préalable formée devant la CNIL est irrecevable : dans l’affaire précitée, les conclusions indemnitaires ont été rejetées parce que l’intéressé « n’a pas présenté auprès de la CNIL de réclamation préalable tendant à l’indemnisation des préjudices ». Avant toute demande pécuniaire contre l’autorité, écrivez donc à la CNIL pour chiffrer votre préjudice et solliciter son indemnisation ; le refus ou le silence de deux mois ouvrira le recours.
Un cas particulier mérite attention : celui où l’organisme mis en cause est établi dans un autre État membre de l’Union européenne, comme une plateforme ou un réseau social dont le siège européen se trouve en Irlande ou au Luxembourg. Votre plainte reste recevable auprès de la CNIL, puisque le règlement permet de saisir l’autorité de votre résidence habituelle, mais son instruction peut alors passer par la coopération européenne entre autorités, ce que la CNIL signale elle-même parmi les facteurs d’allongement des délais. Dans cette configuration, le délai de trois mois garde la même valeur : l’absence d’information à cette échéance ouvre le recours juridictionnel contre l’autorité saisie, indépendamment de la transmission du dossier à une autorité chef de file. Mentionnez dans votre plainte et vos relances l’établissement européen de l’organisme quand vous le connaissez, car cette indication oriente l’aiguillage du dossier et évite des demandes de compléments qui retardent l’examen.
La réclamation indemnitaire préalable mérite un soin particulier. Elle s’adresse à la présidente de la CNIL, expose les faits d’instruction reprochés, décrit le préjudice subi du fait de l’inaction alléguée et chiffre la somme demandée, en distinguant le préjudice moral des éventuels frais engagés. Joignez les pièces qui établissent la chronologie : dépôt, relances, réponses d’attente, décision de clôture. Le silence gardé par l’autorité sur cette réclamation pendant deux mois fait naître à son tour une décision implicite de rejet, cette fois de la demande indemnitaire, qui ouvre le recours devant le Conseil d’État. Notez que les demandes présentées au titre des frais de procédure suivent en général le sort des conclusions principales : dans les deux affaires de 2026 comme dans celle de 2023, les demandes fondées sur l’article L. 761-1 du code de justice administrative ont été rejetées avec le surplus des conclusions. Il est donc inutile de multiplier les demandes accessoires quand les conclusions principales sont fragiles ; concentrez l’effort sur la démonstration de l’illégalité de la décision attaquée.
B. Porter la demande de réparation devant le juge judiciaire
La plainte auprès de l’autorité de contrôle et l’action en réparation sont deux voies distinctes et cumulables. Le règlement prévoit que « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement ». Cette action se dirige contre le responsable du traitement ou le sous-traitant, devant les juridictions de l’État membre de leur établissement ou de votre résidence habituelle. En France, il s’agit du juge judiciaire : tribunal judiciaire le plus souvent, conseil de prud’hommes si le litige oppose un salarié à son employeur sur un traitement lié au travail. L’issue de la plainte CNIL ne conditionne pas cette action : une clôture sans sanction n’interdit pas de demander réparation, et une sanction de la CNIL ne dispense pas de prouver son préjudice.
Le fondement de la réparation figure à l’article 82 du règlement : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». La Cour de justice de l’Union européenne a précisé le régime de ce droit dans un arrêt du 4 mai 2023 : la simple violation du règlement ne suffit pas, il faut démontrer un dommage et un lien de causalité ; en revanche, les États membres ne peuvent pas subordonner la réparation du préjudice moral à un seuil de gravité ; et le montant de l’indemnisation relève des règles nationales, dans le respect des principes d’équivalence et d’effectivité (CJUE, 4 mai 2023, C-300/21). Concrètement, une anxiété avérée liée à la perte de contrôle de vos données, des démarches répétées restées vaines, un refus persistant d’accès ou d’effacement malgré vos demandes peuvent caractériser un préjudice moral réparable, même modeste, dès lors qu’il est établi par des pièces : échanges avec l’organisme, accusés de réception, constats, attestations. Cette exigence probatoire explique pourquoi la démarche préalable compte autant : si un organisme refuse de vous remettre la copie de vos données, la procédure d’accès documentée pas à pas, depuis la demande jusqu’à la saisine, conditionne la solidité d’une action ultérieure, comme le détaille ce guide consacré à l’organisme qui refuse la copie des données.
Devant le juge judiciaire, la charge de la preuve se décompose en trois éléments cumulatifs rappelés par la Cour de justice : une violation du règlement, un dommage matériel ou moral, et un lien de causalité entre les deux. La violation peut résulter d’un défaut de réponse à l’exercice de vos droits, d’une collecte sans base légale, d’une conservation excessive ou d’une sécurité défaillante ; le dommage s’établit par toutes pièces, comme des attestations de proches sur l’anxiété subie, des justificatifs de temps passé et de frais engagés, ou la démonstration d’un refus persistant malgré des demandes réitérées ; le lien causal se déduit de la chronologie entre le manquement et ses conséquences. Avant d’assigner, adressez à l’organisme une mise en demeure récapitulative qui reprend ces trois éléments et fixe un délai de régularisation et d’indemnisation : ce courrier, resté sans effet, deviendra une pièce maîtresse du dossier judiciaire et démontrera que l’action n’a été engagée qu’en dernier recours.
Le manquement peut aussi revêtir une dimension pénale, distincte des deux voies précédentes. Le code pénal réprime notamment le fait de mettre en œuvre un traitement sans respecter les formalités préalables prévues par la loi : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». D’autres incriminations visent la collecte déloyale, le détournement de finalité ou la conservation au-delà de la durée autorisée. La plainte pénale se dépose auprès du procureur de la République ou des services de police et de gendarmerie, indépendamment de la plainte CNIL ; elle obéit à ses propres délais de prescription et à l’appréciation du parquet sur l’opportunité des poursuites. Elle n’ouvre pas droit à indemnisation automatique : la constitution de partie civile devant le juge pénal ou l’action civile devant le juge judiciaire restent nécessaires pour obtenir réparation.
Tout au long de la procédure, conservez l’intégralité des preuves : demande initiale à l’organisme et son envoi, réponse ou absence de réponse, dépôt de la plainte et accusé de réception, relances, décision de clôture avec son enveloppe ou ses métadonnées de notification pour établir la date du point de départ du délai de deux mois. N’attendez pas l’issue de la voie administrative pour mettre l’organisme en demeure de se conformer à vos droits : une mise en demeure adressée en parallèle, rappelant les faits et les textes, interrompt l’inertie, crée une pièce supplémentaire et peut conduire à une résolution amiable sans attendre le juge. Si le manquement cesse entre-temps, évaluez avec soin l’intérêt de poursuivre : un recours contre une clôture devenue sans objet procédural peut être déclaré non avenu, tandis que l’action en réparation du préjudice déjà subi conserve son utilité dès lors que le dommage est établi.
En synthèse, face à une plainte sans réponse, le calendrier utile tient en quatre repères : à trois mois sans information substantielle, un rejet implicite contestable est né ; la relance écrite et documentée prépare soit une décision expresse, soit un recours ; la contestation d’une clôture expresse doit intervenir dans les deux mois de sa notification devant le Conseil d’État ; et l’action en réparation se construit en parallèle devant le juge judiciaire, pièces et préjudice à l’appui, sans attendre l’issue de la procédure administrative.
Une plainte à la CNIL sans réponse n’est ni un échec ni une impasse : le silence de trois mois fait naître une décision de rejet que le Conseil d’État peut contrôler, et la clôture ultérieure doit être contestée dans les deux mois si elle est critiquable. Parallèlement, le droit à réparation devant le juge judiciaire suit son propre chemin, sans seuil de gravité pour le préjudice moral mais avec une exigence stricte de preuve du dommage et du lien avec la violation. La méthode qui protège le mieux vos droits combine les deux : une plainte administrative relancée et documentée, puis, quand le manquement persiste, un recours ciblé contre la décision de l’autorité et une action en indemnisation étayée contre l’organisme responsable.