Vous avez demandé à un organisme la copie de vos données, leur correction ou leur effacement. Un mois passe. Aucune réponse, ou un refus de quelques lignes sans motif sérieux. Vous déposez alors une plainte auprès de la Commission nationale de l’informatique et des libertés (CNIL). Puis le silence recommence, parfois long, parfois clos par un courrier de clôture que vous jugez trop rapide. À ce stade, beaucoup de plaignants hésitent entre trois erreurs : attendre sans rien faire, demander à la CNIL une indemnisation qu’elle ne peut pas accorder, ou renoncer alors que le juge reste ouvert contre l’organisme.

Le droit dessine pourtant une mécanique précise. La CNIL doit traiter la réclamation et vous informer de son avancement et de son issue. Elle choisit les suites à donner, sous le contrôle du Conseil d’État, qui vient encore de statuer le 20 octobre 2026 sur une clôture rapportée après recours. Et pendant ce temps, l’action devant le juge contre le responsable du traitement suit sa propre voie : elle seule peut aboutir à une réparation de votre préjudice.

Cet article suit l’ordre utile. Il montre d’abord comment construire le dossier qui oblige chaque acteur à répondre, du responsable du traitement jusqu’à la décision de la CNIL, expresse ou implicite. Il distingue ensuite les deux procès qui restent ouverts quand la réponse ne vous satisfait pas : le recours contre la CNIL devant le Conseil d’État, et l’action contre l’organisme devant le juge.

I. Obtenir une suite réelle : prouver la demande préalable, puis faire naître une décision attaquable

A. Tout commence avant la plainte : la demande au responsable et son délai d’un mois

La plainte ne remplace pas la demande adressée à l’organisme. Elle la prolonge. Le règlement général sur la protection des données (RGPD) donne à la personne concernée des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, et il impose au responsable du traitement un délai pour y répondre. Aux termes de l’article 12, paragraphe 3, du RGPD, le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Le point de départ est donc la réception de votre demande par l’organisme. Toute la suite dépend de votre capacité à prouver cette réception et sa date.

Ce délai d’un mois peut être prolongé, mais pas silencieusement. Le même paragraphe dispose qu’au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. L’article 12, paragraphe 3, du RGPD ajoute que le responsable informe la personne de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception. Un organisme qui se tait pendant trois mois puis invoque la complexité du dossier a manqué deux fois : il n’a ni répondu, ni annoncé le report dans le premier mois. Inversement, un report annoncé à temps et motivé rend l’attente conforme au texte, même si elle vous paraît longue.

Le refus obéit à la même discipline. Selon l’article 12, paragraphe 4, du RGPD, si le responsable du traitement ne donne pas suite à la demande, il informe la personne sans tarder et au plus tard dans un délai d’un mois à compter de la réception des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Un refus sans motifs, ou qui omet de mentionner ces deux voies de recours, est donc lui-même un manquement au règlement. Il deviendra une pièce de votre plainte, puis, le cas échéant, de votre action en justice.

Concrètement, votre demande préalable doit être écrite, datée, adressée au bon interlocuteur, et assez précise pour être exécutable. Nommez le droit exercé, identifiez les données ou le traitement visé, et gardez une preuve d’envoi et de réception : accusé de réception postal, accusé de lecture du formulaire, copie du courriel et de la réponse automatique du délégué à la protection des données. La démarche est la même dans un contexte professionnel, par exemple pour le droit d’accès du salarié à son dossier RH et à ses données numériques, où la demande écrite à l’employeur conditionne tout le contentieux ultérieur. Ce qui n’a pas été demandé clairement à l’organisme sera difficile à reprocher ensuite, devant la CNIL comme devant le juge.

Quand le délai expire sans suite conforme, le droit de réclamation s’ouvre. Aux termes de l’article 77, paragraphe 1, du RGPD, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement la concernant viole le règlement. Le texte n’exige pas que vous ayez épuisé un échange amiable donné. Mais la pièce qui rend la plainte immédiatement lisible pour l’instructeur reste la demande restée sans réponse. La CNIL décrit ses conditions de saisine sur sa page Adresser une plainte (réclamation) à la CNIL et cite en exemple la copie du courrier adressé à sa banque pour exercer son droit d’accès, resté sans réponse depuis plus d’un mois. Cette page relève du contenu pratique de la Commission, pas d’une décision : elle dit ce qu’elle attend dans le dossier, elle ne crée pas une condition de recevabilité que le règlement ne pose pas.

Une fois saisie, la CNIL n’est pas libre de se taire. L’article 77, paragraphe 2, du RGPD dispose que l’autorité de contrôle saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue de celle-ci, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. La loi française reprend cette mission. Aux termes du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978, la Commission « traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable ». Deux obligations se cumulent donc : examiner, dans la mesure nécessaire, et informer dans un délai raisonnable. Ni le règlement ni la loi ne fixent un nombre de mois pour clore l’instruction. En revanche, le droit organise ce qui se passe quand le silence dure.

B. Silence, clôture, réouverture : comment naît la décision que vous pourrez contester

Premier repère, le rejet implicite. L’article 10 du décret n° 2019-536 du 29 mai 2019 dispose : « Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet. » Ce même article précise que la Commission fournit un formulaire pouvant être rempli par voie électronique ; c’est la voie de dépôt que présente sa page Saisir la CNIL. Le rejet implicite ne signifie pas que votre plainte a été examinée et écartée au fond. Il vous donne un acte à attaquer. Il fait écho à l’article 78, paragraphe 2, du RGPD, qui ouvre un recours lorsque l’autorité de contrôle compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de celle-ci.

Mais ce rejet implicite reste fragile, car la Commission peut le faire disparaître en reprenant l’instruction. Le Conseil d’État l’a jugé le 31 décembre 2025 : saisi d’une demande d’annulation d’un rejet implicite, il a relevé que la CNIL avait ensuite interrogé le responsable et sollicité de nouvelles observations, puis il a considéré qu’elle « a poursuivi l’instruction de sa plainte au-delà du délai de trois mois, procédant ainsi au retrait de sa décision implicite de rejet », avant de prononcer un non-lieu à statuer (Conseil d’État, 31 décembre 2025, n° 502152). La leçon est pratique. Un recours formé au seul motif que trois mois se sont écoulés peut perdre son objet si l’instruction reprend pendant l’instance. Gardez donc, pour chaque relance, la date et le contenu exact des informations reçues : un simple accusé d’enregistrement ne vaut pas information sur l’avancement, et la décision du 31 décembre 2025 le dit aussi, mais des actes d’instruction réels retirent le rejet implicite.

Le silence prolongé n’est pas pour autant sans contrôle. Le 20 décembre 2023, le Conseil d’État examinait une plainte déposée en août 2019, suivie de réponses d’attente jusqu’en juillet 2023. Il a jugé que « la CNIL ne peut être regardée comme ayant traité cette plainte dans le délai raisonnable exigé par les dispositions de l’article 8 de la loi du 6 janvier 1978 » et qu’elle devait « alors être réputée l’avoir implicitement rejetée », de sorte que le plaignant pouvait contester ce rejet devant lui (Conseil d’État, 20 décembre 2023, n° 471469). La recevabilité ne décide toutefois pas du fond. Dans la même décision, le juge a rejeté la requête : le plaignant s’était borné à interroger la CNIL sur l’existence et le cadre d’un traitement, sans se prévaloir d’une atteinte à ses propres données, et le retard de traitement a été jugé « sans incidence sur la légalité de la décision attaquée » (Conseil d’État, 20 décembre 2023, n° 471469). Autrement dit, le temps écoulé ouvre la porte du juge. Il ne prouve pas, à lui seul, que la CNIL devait sanctionner.

La clôture expresse appelle le même réflexe : la lire comme une décision, pas comme une fin de non-recevoir définitive. Elle peut d’ailleurs être rapportée par la Commission elle-même. Le 20 octobre 2026, le Conseil d’État a constaté qu’après le dépôt d’un recours contre une clôture du 23 septembre 2025, la CNIL avait informé le plaignant, par un courrier du 6 janvier 2026, qu’« elle avait décidé de procéder au réexamen de sa plainte et d’en reprendre l’instruction », au regard d’éléments nouveaux, et il a prononcé un non-lieu sur l’annulation de la clôture ainsi rapportée (Conseil d’État, 20 octobre 2026, n° 509718). Deux enseignements s’en déduisent. D’abord, des éléments nouveaux et documentés peuvent justifier un réexamen sans procès. Ensuite, quand le réexamen intervient après la saisine du juge, le recours perd son objet sur la clôture rapportée : ce qui compte devient la décision qui sortira de l’instruction rouverte.

Reste à écrire une plainte qui donne prise à ce contrôle. Elle doit identifier le responsable du traitement, le traitement en cause, le droit ou l’obligation que vous estimez violés, et joindre les preuves datées : votre demande préalable, sa preuve de réception, la réponse ou l’absence de réponse à l’expiration du délai d’un mois prévu par l’article 12, paragraphe 3, du RGPD, puis tout échange ultérieur. Une plainte qui dénonce une violation précise de vos droits sur vos données n’a pas le même destin qu’une demande générale d’information sur un fichier : la décision du 20 décembre 2023 citée plus haut sanctionne précisément cette différence (Conseil d’État, 20 décembre 2023, n° 471469). Si l’organisme mis en cause corrige le tir pendant l’instruction, conservez aussi cette correction et sa date : elle pèsera, on le verra, dans le choix des suites par la Commission et dans le contrôle du juge.

II. Quand la réponse ne suffit pas : deux procès distincts, contre la CNIL ou contre l’organisme

A. Contester le choix de la CNIL devant le Conseil d’État : un contrôle réel, mais limité

Le premier procès vise la Commission elle-même. L’article 78, paragraphe 1, du RGPD reconnaît à toute personne physique ou morale le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne. Le paragraphe 3 du même article place cette action devant les juridictions de l’État membre où l’autorité est établie : pour une décision de la CNIL, le recours en annulation se porte devant le Conseil d’État, comme le montrent les quatre décisions analysées dans cet article. Le délai de ce recours contentieux est celui du droit commun administratif : aux termes de l’article R. 421-1 du code de justice administrative, « La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée. » Ne confondez pas ce délai de deux mois, qui court contre la décision de la CNIL, avec les trois mois de silence qui font naître un rejet implicite sur le fondement de l’article 10 du décret du 29 mai 2019 : le premier ferme le recours, le second l’ouvre.

Encore faut-il savoir ce que vous reprochez à la Commission. Ses armes sont graduées. Le III de l’article 20 de la loi du 6 janvier 1978 permet à son président de rappeler l’organisme à ses obligations légales ou de le mettre en demeure, notamment « De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ». Le IV du même article ouvre la saisine de la formation restreinte, qui peut prononcer une injonction de mise en conformité ou de satisfaction de vos demandes, assortie « d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard », selon les termes du 2° de ce IV (article 20 de la loi du 6 janvier 1978). Elle peut aussi infliger « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », plafonds portés à 20 millions d’euros et 4 % dans les hypothèses visées par le même 7° (article 20 de la loi du 6 janvier 1978). Ces montants sont des plafonds de sanction publique. Ils ne sont ni une promesse de sanction dans votre dossier, ni une somme qui vous reviendrait.

Car le choix entre ces suites appartient à la Commission. Le Conseil d’État l’a formulé nettement le 31 décembre 2024 : saisie d’une plainte, la CNIL examine les faits et décide des suites ; « elle dispose, en principe, d’un large pouvoir d’appréciation » et peut tenir compte notamment de la gravité des manquements allégués, du sérieux des indices, de la date et du contexte des faits (Conseil d’État, 31 décembre 2024, n° 493549). Dans cette affaire, l’instruction avait révélé des manquements, une mise en demeure avait été adressée à une banque en ligne, le traitement critiqué avait cessé rapidement après cette mise en demeure, et la plainte avait ensuite été clôturée sans saisine de la formation restreinte. Le juge a validé ce choix : eu égard au bref délai entre la mise en demeure et la cessation du manquement, ainsi qu’à l’absence de préjudice établi pour les personnes concernées, la Commission n’avait pas commis d’erreur manifeste d’appréciation (Conseil d’État, 31 décembre 2024, n° 493549). Une clôture après mise en conformité effective n’est donc pas, à elle seule, une erreur de droit.

Ce pouvoir d’appréciation n’est pas un blanc-seing. La même décision pose l’étendue du contrôle : « Il appartient au juge de censurer cette décision de refus, le cas échéant, pour un motif d’illégalité externe ou, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. » (Conseil d’État, 31 décembre 2024, n° 493549). Votre recours doit donc viser l’un de ces terrains, pièces à l’appui : un fait matériellement inexact retenu par la Commission, par exemple une cessation du traitement affirmée alors que vos captures datées montrent sa poursuite ; une erreur de droit, par exemple un refus d’examiner une demande qui entre pourtant dans les droits des articles 15 à 22 visés par l’article 12 du RGPD ; ou une appréciation que les pièces rendent insoutenable au regard de la gravité et de la persistance du manquement. Demander au juge d’imposer telle sanction précise, en revanche, méconnaît le partage des rôles : dans les décisions citées, les requérants demandaient l’annulation de la clôture et une injonction de réexaminer ou d’instruire à nouveau la plainte, non le prononcé direct d’une amende par le Conseil d’État.

Le droit de l’Union confirme cette limite. Par un arrêt du 26 septembre 2024, la Cour de justice a dit pour droit qu’en cas de constatation d’une violation de données à caractère personnel, l’autorité de contrôle n’est pas tenue d’adopter une mesure correctrice, en particulier une amende administrative, au titre de l’article 58, paragraphe 2, lorsqu’une telle intervention n’est pas appropriée, nécessaire ou proportionnée pour remédier à l’insuffisance constatée (CJUE, 26 septembre 2024, C-768/21). Dans ses motifs, elle ajoute que l’auteur d’une réclamation dont les droits ont été enfreints ne dispose pas d’un droit subjectif à voir l’autorité de contrôle imposer une amende administrative au responsable du traitement (CJUE, 26 septembre 2024, C-768/21). L’autorité doit réagir de manière appropriée quand une insuffisance persiste ; elle n’est pas tenue de sanctionner dans tous les cas, notamment quand le manquement a cessé et que le risque ne se reproduira pas. C’est exactement l’équilibre que le Conseil d’État contrôle : ni inaction injustifiée face à une violation qui dure, ni sanction automatique pour une violation corrigée.

B. Obtenir réparation : saisir le juge contre l’organisme, sans attendre la fin de la plainte

Le second procès ne vise pas la CNIL. Il vise l’organisme qui traite vos données. Aux termes de l’article 79, paragraphe 1, du RGPD, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le règlement ont été violés, et ce droit s’exerce sans préjudice du recours administratif, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77. La plainte devant la CNIL n’est donc pas un préalable obligatoire à l’action en justice. Vous pouvez saisir le juge sans attendre la clôture de l’instruction administrative. Sur le lieu du procès, l’article 79, paragraphe 2, du RGPD prévoit l’action devant les juridictions de l’État membre de l’établissement du responsable ou du sous-traitant, et ajoute qu’une telle action peut aussi être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle, sauf lorsque le défendeur est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique.

C’est dans ce procès, et seulement dans celui-ci, que la réparation se joue. La CNIL le rappelle dans sa page du 2 octobre 2026, Violations de données personnelles : dans quels cas peut-on être indemnisé ?, que c’est au juge, et non à la CNIL, de l’accorder. Il s’agit d’un contenu d’information de la Commission, qui renvoie au texte qui fonde ce droit. Aux termes de l’article 82, paragraphe 1, du RGPD, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le paragraphe 2 du même article rend tout responsable ayant participé au traitement responsable du dommage causé par un traitement violant le règlement, et ne retient la responsabilité du sous-traitant que dans des cas définis, manquement à ses obligations propres ou action hors des instructions licites. Le paragraphe 3 ménage une exonération étroite : le responsable ou le sous-traitant est exonéré, au titre du paragraphe 2, s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. (article 82, paragraphe 3, du RGPD).

Trois conditions doivent être réunies et prouvées : une violation du règlement, un dommage, et un lien entre les deux. La Cour de justice l’a précisé dans son arrêt du 4 mai 2023 : la simple violation ne suffit pas, sans qu’un seuil de gravité soit exigé pour le dommage moral (communiqué de la Cour de justice sur l’arrêt du 4 mai 2023, C-300/21). La Cour de cassation vient de tirer la conséquence contentieuse de cette exigence. Le 24 juin 2026, sa chambre sociale a cassé un arrêt qui avait alloué 5 000 euros au motif que le non-respect du règlement avait nécessairement causé un préjudice. Elle juge que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » et qu’il appartenait aux juges du fond d’apprécier si la personne établissait que la violation lui avait causé un dommage matériel ou moral (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). La même page d’information de la CNIL le formule en termes simples : le seul fait qu’une violation de données ait eu lieu ne suffit pas pour obtenir une indemnisation (Violations de données personnelles : dans quels cas peut-on être indemnisé ?).

Votre dossier de réparation se construit donc différemment de votre plainte. La plainte cherche une mise en conformité. L’action en réparation cherche la preuve d’un préjudice personnel. Gardez la notification ou le courrier de l’organisme, vos demandes et leurs accusés de réception, les réponses tardives ou incomplètes, les captures montrant la persistance du traitement, les justificatifs de dépenses engagées pour vous protéger, les démarches accomplies et tout élément daté qui relie concrètement la violation à ce que vous avez subi : perte financière, démarches imposées par une usurpation, perte de contrôle durable sur des données sensibles, inquiétude documentée par vos propres démarches de protection. À l’inverse, une demande qui se borne à invoquer le manquement, sans décrire ni étayer le dommage, s’expose exactement à la cassure prononcée le 24 juin 2026 (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792).

Faut-il alors choisir entre la plainte et le juge ? Non, mais il faut donner à chacun son rôle. La plainte peut pousser l’organisme à répondre, à effacer, à corriger : le III de l’article 20 de la loi du 6 janvier 1978 permet précisément une mise en demeure de satisfaire aux demandes d’exercice des droits. Elle produit aussi des pièces utiles, courriers d’instruction et, le cas échéant, constat de manquement par la Commission. Mais elle ne vous versera rien, et son calendrier n’est pas le vôtre. Si le traitement illicite continue et vous cause un préjudice actuel, l’action fondée sur les articles 79 et 82 du RGPD peut être engagée sans attendre son issue. Si votre seul objectif est de faire cesser le traitement et que la CNIL obtient cette cessation, un procès en réparation sans préjudice prouvé restera, lui, sans objet utile. La bonne question n’est donc pas de choisir entre la CNIL et le juge. Elle est de savoir ce que vous voulez obtenir : la conformité, la réparation, ou les deux.

Conclusion

Une plainte CNIL réussie se prépare avant son dépôt. Demande écrite et datée à l’organisme, preuve de réception, expiration du délai d’un mois prévu par l’article 12, paragraphe 3, du RGPD ou refus non motivé au regard du paragraphe 4 du même article : voilà le socle. La plainte elle-même doit nommer la violation de vos droits et joindre ces pièces, pour que la Commission examine « dans la mesure nécessaire » au sens de l’article 8 de la loi du 6 janvier 1978 et vous informe de l’avancement et de l’issue, comme l’exige l’article 77, paragraphe 2, du RGPD.

Si le silence dure trois mois sans information, un rejet implicite naît et le recours de l’article 78 du RGPD s’ouvre, sans garantir ni annulation ni sanction : le Conseil d’État contrôle un large pouvoir d’appréciation, censure l’erreur de fait, de droit ou manifeste d’appréciation, et prend acte des réouvertures d’instruction, comme le 20 octobre 2026 (Conseil d’État, 20 octobre 2026, n° 509718). Et si c’est une réparation que vous cherchez, elle se demande au juge contre le responsable du traitement, sur le fondement de l’article 82 du RGPD, à charge pour vous de prouver la violation, le dommage et le lien entre les deux. Seul le juge décide de cette réparation. La CNIL, elle, décide de la conformité. Confondre les deux fait perdre des mois. Les distinguer donne à chaque démarche sa chance d’aboutir.