Déposer une plainte à la CNIL : la procédure, les pièces à joindre et les délais

La CNIL est l'autorité qui fait respecter le RGPD en France. Elle instruit les plaintes des particuliers contre les organismes, publics ou privés, qui ne respectent pas leurs droits sur leurs données personnelles. Mais elle ne traite pas tout, et elle n'accepte une plainte qu'à certaines conditions. Voici la procédure telle qu'elle est décrite sur cnil.fr.

1. Vérifier que la CNIL est la bonne porte

La CNIL intervient uniquement sur des questions de protection des données personnelles. Elle ne peut pas :

• exercer vos droits à votre place : elle n'est pas votre mandataire ;
• traiter une plainte imprécise ou sans justificatifs (une simple crainte ne suffit pas) ;
• vous obtenir des dommages et intérêts ;
• régler un litige de droit du travail, de droit à l'image, de consommation ou de droit pénal ;
• condamner pénalement un organisme pour harcèlement, diffamation ou discrimination.

Si votre problème relève d'un autre domaine, la CNIL renvoie vers l'inspection du travail, la répression des fraudes, le Défenseur des droits, cybermalveillance.gouv.fr, le 33700 pour les SMS et appels indésirables, ou un avocat.

2. La condition : avoir d'abord exercé vos droits

C'est le point qui fait rejeter le plus de plaintes. Avant de saisir la CNIL, vous devez avoir écrit vous-même à l'organisme (ou à son délégué à la protection des données, le DPO) pour exercer votre droit : accès, rectification, effacement, opposition. Et conserver la preuve de cette demande.

L'organisme doit répondre dans un délai d'un mois maximum. Il peut vous demander une copie de pièce d'identité en cas de doute, ou prolonger le délai de deux mois si la demande est complexe, à condition de vous le dire.

Vous pouvez ensuite saisir la CNIL dans deux cas :

• aucune réponse après un mois (exemple donné par la CNIL : vous avez demandé à un site la suppression de vos données de son fichier marketing il y a plus d'un mois, sans réponse) ;
• une réponse incomplète ou erronée, que vous avez d'abord contestée auprès de l'organisme, sans résultat.

Gardez tout : la demande envoyée, sa date, les relances, la réponse ou l'absence de réponse, et des captures d'écran des pages qui diffusent vos données.

3. Ce que doit contenir la plainte

D'après cnil.fr, la plainte doit :

• être rédigée en français ;
• indiquer l'organisme visé : nom, coordonnées, numéro SIREN ;
• préciser votre identité et vos coordonnées (votre identité n'est révélée à l'organisme que si c'est indispensable) ;
• comporter un mandat écrit si vous agissez pour quelqu'un d'autre (un proche, un collègue) ;
• raconter précisément la situation et joindre les pièces utiles : échanges de courriers avec l'organisme, adresse URL de la page qui diffuse vos données, votre qualité vis-à-vis de l'organisme (client, salarié, administré, adhérent…). Conservez les originaux.

Une plainte complète et précise est instruite ; une plainte vague est classée.

4. Déposer la plainte

En ligne : le service de plainte sur cnil.fr propose un formulaire adapté à chaque situation (suppression d'un contenu sur Internet, droit d'accès auprès d'un employeur, etc.). Il faut créer un compte, qui sert ensuite à suivre l'avancement du dossier et à échanger avec l'agent chargé de votre plainte.

Par courrier : Commission nationale de l'informatique et des libertés, Service des plaintes, 3 place de Fontenoy, 75007 Paris.

Si vous ne voulez pas créer de compte, la CNIL invite d'abord à chercher la réponse dans sa rubrique « Besoin d'aide », puis à la contacter.

5. Ce qui se passe ensuite

La CNIL vérifie d'abord que la plainte est recevable et complète. Si elle concerne l'exercice de vos droits, la CNIL écrit à l'organisme ou à son DPO pour que votre demande soit satisfaite. Pour les autres motifs, elle choisit le mode d'intervention selon le manquement et la nature de l'organisme : rappel à l'ordre, mise en demeure, sanction financière.

Si l'analyse juridique conclut que la plainte n'est pas fondée, vous recevez un courrier qui vous l'explique.

Côté délais, la CNIL s'engage à vous informer de l'état d'avancement au moins dans les trois mois suivant le dépôt. Le traitement complet dépend du volume de plaintes reçues, de la complexité du sujet, des échanges avec l'organisme et parfois d'une décision de justice attendue : comptez de quelques semaines à plusieurs mois. Si l'organisme vous contacte directement entre-temps, la CNIL demande à en être informée.

6. Si vous n'êtes pas satisfait de l'issue

Un recours gracieux est possible par courrier à la présidente de la CNIL, dans les deux mois suivant la décision de clôture. Ensuite, le Conseil d'État peut être saisi selon les règles du contentieux administratif.

À savoir : une plainte à la CNIL n'est pas une plainte pénale et n'en est pas un préalable. En cas d'usurpation d'identité ou d'infraction, vous pouvez déposer plainte à tout moment auprès de la police, de la gendarmerie ou du procureur (voir notre guide Usurpation d'identité : les premiers gestes, dans l'ordre).

Le cas des courtiers en données

Les sociétés qui collectent et revendent des profils (annuaires, « people search », courtiers marketing) sont les organismes les plus souvent silencieux face à une demande d'effacement. La procédure est la même : demande, un mois d'attente, preuve, puis plainte.

Pour ses clients, RadarDelete envoie la demande à chaque courtier, relance à 30 jours et archive chaque réponse. Quand un courtier reste muet ou refuse sans motif, votre espace génère le dossier de plainte prêt à déposer, avec la demande, la relance et le mandat en annexes. Le fonctionnement est détaillé sur la page Plainte CNIL contre un courtier qui ne répond pas.

Sources : CNIL, « Adresser une plainte à la CNIL » (cnil.fr/fr/adresser-une-plainte) ; CNIL, « Les différentes mesures que la CNIL peut prendre ».