Plainte auprès de la CNIL (Violation de Données Personnelles)

La Plainte auprès de la CNIL (Violation de Données Personnelles) est, en droit français, une plainte auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), fondé sur l'article 77 du Règlement Général sur la Protection des Données (RGPD) et la loi n°78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés). Il est régi par Règlement (UE) 2016/679 art. 77 (RGPD).

La CNIL est l'autorité de contrôle nationale française au sens de l'article 51 du RGPD, créée par la loi n°78-17 du 6 janvier 1978 et dont les pouvoirs d'enquête et de sanction ont été considérablement renforcés depuis l'entrée en application du RGPD le 25 mai 2018. La CNIL peut prononcer des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial d'une entreprise (RGPD art. 83), contraindre un responsable de traitement à se mettre en conformité (injonction, RGPD art. 58 § 2), ou ordonner la limitation ou la suspension temporaire d'un traitement de données. La jurisprudence de la CNIL inclut des sanctions emblématiques : 150 millions d'euros contre Google LLC et Facebook Ireland (délibérations CNIL n°SAN-2022-001 et SAN-2022-002 du 6 janvier 2022 pour le mécanisme de refus des cookies), 50 millions d'euros contre Google LLC (délibération n°SAN-2019-001 du 21 janvier 2019, première grande sanction RGPD en France).

La Plainte CNIL en France peut être déposée dans plusieurs situations : traitement illicite de données à caractère personnel (absence de base légale au sens de l'article 6 du RGPD), refus d'exercice des droits des personnes (droit d'accès RGPD art. 15, droit de rectification art. 16, droit à l'effacement art. 17 dit « droit à l'oubli », droit à la limitation du traitement art. 18, droit à la portabilité des données art. 20, droit d'opposition art. 21, droits relatifs à la prise de décision automatisée art. 22), violation de données personnelles non notifiée à la CNIL ou non communiquée aux personnes concernées (RGPD art. 33 et 34), défaut d'information du responsable de traitement sur les finalités et modalités du traitement (RGPD art. 13 et 14), transfert illicite de données hors Union européenne sans garanties appropriées (RGPD art. 44 à 49).

Avant de déposer une Plainte CNIL en France, la personne concernée doit avoir préalablement exercé ses droits directement auprès du responsable de traitement concerné. Cette démarche préalable est une condition de recevabilité de la plainte (sauf en cas d'urgence ou lorsqu'il est manifestement vain de contacter le responsable). Le responsable de traitement dispose d'un délai d'un mois pour répondre à la demande d'exercice des droits, délai pouvant être prolongé de deux mois supplémentaires en raison de la complexité ou du nombre de demandes (RGPD art. 12 § 3). Si le responsable n'a pas répondu dans ces délais ou a refusé la demande de manière injustifiée, la personne peut saisir la CNIL par voie électronique via le téléservice « Plainte en ligne » accessible sur le site cnil.fr, par courrier postal, ou via le formulaire papier disponible sur le site de la CNIL.

La CNIL dispose d'un délai de trois mois pour informer l'auteur de la plainte des suites données à sa demande (RGPD art. 78 § 2). Si la CNIL décide de ne pas donner suite à la plainte ou de ne pas mener d'enquête, elle doit motiver sa décision et informer le plaignant de son droit de former un recours contentieux devant le Conseil d'État (contrôle juridictionnel des décisions de la CNIL) ou devant le tribunal judiciaire compétent pour faire valoir ses droits civils en réparation du préjudice subi (Code civil art. 1240, RGPD art. 82). Les personnes résidant dans d'autres États membres de l'UE peuvent déposer une plainte CNIL si le responsable de traitement incriminé est établi en France ou si la violation a eu lieu en France.

La Plainte CNIL en France est appropriée dès lors qu'un responsable de traitement ou un sous-traitant traite des données personnelles en violation des dispositions du RGPD ou de la loi Informatique et Libertés n°78-17 du 6 janvier 1978 modifiée, et que la démarche amiable préalable auprès du responsable de traitement n'a pas abouti dans les délais réglementaires.

Les cas les plus fréquemment traités par la CNIL incluent : le refus ou l'absence de réponse à une demande d'exercice des droits (accès, rectification, effacement, portabilité) dans le délai d'un mois prévu par l'article 12 du RGPD ; le démarchage commercial par courrier électronique ou SMS sans consentement préalable exprès du destinataire (loi n°2004-575 du 21 juin 2004 sur la confiance dans l'économie numérique, loi LCEN, art. 22, qui transpose l'article 13 de la directive 2002/58/CE dite « ePrivacy ») ; les cookies et traceurs déposés sans consentement valide conformément aux recommandations de la CNIL du 17 septembre 2020 (délibérations SAN-2022-001 et SAN-2022-002) ; la violation de données personnelles (data breach) affectant les droits et libertés des personnes, notamment en cas de divulgation non autorisée d'adresses, numéros de téléphone, données de santé, données bancaires ou numéros de sécurité sociale.

La Plainte CNIL en France est particulièrement recommandée dans les secteurs à risque identifiés par la CNIL dans son rapport annuel : secteur de la santé (traitements de données de santé sensibles RGPD art. 9, HDS - Hébergeurs de Données de Santé agréés), secteur des ressources humaines et du recrutement (fichier salarié, vidéosurveillance en entreprise, géolocalisation des salariés), secteur du commerce en ligne et de la publicité ciblée (profilage, RGPD art. 21 et 22), et secteur bancaire et assurantiel (données financières, scoring crédit, traitement CRBF).

La plainte CNIL est également le recours adapté en cas de violation des obligations spécifiques du Délégué à la Protection des Données (DPO, Data Protection Officer, RGPD art. 37 à 39) désigné par le responsable de traitement ou sous-traitant (défaut de désignation obligatoire, inaccessibilité du DPO, absence de registre des activités de traitement RGPD art. 30), ou en cas de non-conformité des transferts internationaux de données vers des pays tiers (absence de décision d'adéquation de la Commission européenne, absence de garanties appropriées telles que les clauses contractuelles types, BCR - Binding Corporate Rules).

La Plainte CNIL en France comporte des éléments essentiels dont l'absence entraîne l'irrecevabilité ou le traitement dégradé de la réclamation.

L'identification du plaignant est obligatoire : la CNIL ne traite pas les plaintes anonymes (article 77 § 1 RGPD précise « chaque personne concernée »). Vous devez indiquer vos nom, prénom, adresse postale et adresse électronique, ainsi que vos coordonnées téléphoniques. L'identification du responsable de traitement incriminé est tout aussi importante : dénomination sociale, adresse du siège social, numéro SIREN si disponible, site web officiel, adresse électronique du DPO ou du service de traitement des demandes. Si le responsable de traitement est établi dans un autre État membre de l'UE, mentionnez-le car la procédure « One Stop Shop » (guichet unique, RGPD art. 60) peut s'appliquer : la CNIL coopère avec l'autorité de contrôle chef de file (celle de l'État membre de l'établissement principal du responsable).

La description précise des violations constitue le cœur de la plainte : dates des faits, nature du traitement litigieux, données personnelles concernées (état civil, données de santé, données bancaires, données de localisation, identifiants en ligne adresse IP, cookies, etc.), finalité invoquée par le responsable et base légale déclarée. Joignez impérativement la preuve de votre démarche préalable auprès du responsable : courrier ou courriel d'exercice de vos droits avec date d'envoi (recommandé avec accusé de réception si courrier postal), réponse négative ou absence de réponse du responsable. Les captures d'écran, copies de courriels, captures des formulaires de consentement défaillants, et tout document établissant la violation constituent des preuves essentielles.

La plainte CNIL en France peut également être déposée via le téléservice « Plainte en ligne » sur le site officiel cnil.fr, sans qu'il soit nécessaire d'utiliser un formulaire papier. Le téléservice permet de joindre des pièces justificatives numériques et de suivre l'avancement du traitement de la plainte. Pour les violations de données les plus graves (vol de données de santé, fraude bancaire, usurpation d'identité), une déclaration complémentaire auprès du commissariat ou de la gendarmerie nationale au titre de l'article 323-1 du Code pénal (accès frauduleux à un système informatique) est recommandée.

Des modèles de lettres types pour l'exercice des droits auprès des responsables de traitement, ainsi que des guides pratiques pour rédiger une plainte CNIL efficace, sont disponibles sur forms-legal.com, site de référence pour les documents légaux en France.

La Plainte CNIL en France se dépose selon deux modalités principales : par voie électronique via le téléservice « Plainte en ligne » accessible sur cnil.fr (méthode recommandée, traitement plus rapide), ou par courrier postal adressé à la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07.

Étape 1 — Démarche préalable obligatoire : avant de saisir la CNIL, envoyez une demande formelle d'exercice de vos droits au responsable de traitement concerné (courrier recommandé ou courriel avec demande d'accusé de réception), en précisant précisément le droit exercé (accès, rectification, effacement, etc.), les données concernées, et votre fondement légal (RGPD art. 15 à 22). Conservez une preuve d'envoi datée. Attendez la réponse pendant un mois (délai légal) ; en l'absence de réponse ou en cas de refus injustifié, vous pouvez saisir la CNIL.

Étape 2 — Constitution du dossier : rassemblez tous les éléments prouvant la violation : copies des courriers échangés avec le responsable, captures d'écran des refus ou silenices, copies des documents où apparaissent vos données traitées illicitement, contrats ou conditions générales d'utilisation mentionnant les traitements.

Étape 3 — Rédaction de la plainte : décrivez les faits de manière chronologique et précise (dates, noms des interlocuteurs, références des correspondances), sans commentaires subjectifs. Identifiez clairement les violations de droits invoquées en les rattachant aux textes (RGPD art. 6 pour absence de base légale, art. 15 pour refus d'accès, etc.).

Étape 4 — Transmission à la CNIL : via le téléservice cnil.fr/fr/plaintes ou par courrier postal. Conservez l'accusé de réception électronique ou le récépissé postal. Le numéro de dossier attribué par la CNIL vous permettra de suivre l'avancement de votre plainte.

Étape 5 — Instruction par la CNIL : la CNIL dispose d'un délai de trois mois pour vous informer des suites de votre plainte. Des services de la CNIL peuvent vous contacter pour obtenir des précisions ou des pièces complémentaires. Si la CNIL classe sans suite, vous disposez d'un délai de deux mois pour former un recours pour excès de pouvoir devant le Conseil d'État.

La Plainte CNIL en France est encadrée par un corpus juridique européen et national dense. Le Règlement (UE) 2016/679 (RGPD) est le texte fondateur, d'application directe dans l'ensemble des États membres de l'UE depuis le 25 mai 2018. L'article 77 consacre le droit de réclamation auprès d'une autorité de contrôle, l'article 78 garantit le droit à un recours juridictionnel effectif contre une autorité de contrôle, et l'article 82 ouvre le droit à réparation du préjudice subi par toute personne ayant subi un dommage matériel ou moral du fait d'une violation du RGPD.

La loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi Informatique et Libertés, LIL) constitue le cadre national français. Elle a été profondément révisée par la loi n°2018-493 du 20 juin 2018 relative à la protection des données personnelles pour adapter le droit français au RGPD, puis par l'ordonnance n°2018-1125 du 12 décembre 2018 qui a procédé à la réécriture complète de la LIL. L'article 11 de la LIL définit les missions de la CNIL (mission de veille, information, accompagnement et contrôle).

Les sanctions encourues par les responsables de traitement en violation du RGPD sont définies à l'article 83 du RGPD : jusqu'à 10 millions d'euros ou 2 % du CA mondial pour les violations des articles 8, 11, 25 à 39, 42 et 43 ; jusqu'à 20 millions d'euros ou 4 % du CA mondial pour les violations des articles 5, 6, 7, 9, 12 à 22, 44 à 49. La CNIL peut également prononcer des injonctions de mise en conformité (RGPD art. 58 § 2 d), des avertissements (art. 58 § 2 b), et des mesures provisoires de limitation ou de suspension de traitement (art. 58 § 2 f). Les sanctions pénales complémentaires sont prévues par les articles 226-16 à 226-24 du Code pénal (peines d'emprisonnement et amendes pour traitement illicite de données personnelles, collecte frauduleuse, détournement de finalité).

Les données de santé bénéficient d'une protection renforcée au titre de l'article 9 du RGPD (catégorie spéciale de données). Les traitements de données de santé en France sont soumis à l'agrément HDS (Hébergeur de Données de Santé, loi n°2016-41 du 26 janvier 2016 de modernisation du système de santé, art. 96), au référentiel de sécurité des Systèmes d'Information de Santé (PGSSI-S, politique générale de sécurité des SI de santé, Arrêté du 28 septembre 2011 relatif aux exigences pour les hébergeurs de données de santé).

Les erreurs fréquentes dans la rédaction ou le dépôt d'une Plainte CNIL en France fragilisent le traitement de la réclamation par l'autorité de contrôle.

Première erreur : omettre la démarche préalable auprès du responsable de traitement. La CNIL vérifie systématiquement que le plaignant a d'abord tenté de faire valoir ses droits directement auprès du responsable. Sans preuve d'une demande préalable non satisfaite, la plainte peut être renvoyée au plaignant avec invitation à contacter d'abord le responsable (ou son DPO). Conservez toujours une preuve datée de votre demande (accusé de réception, capture d'écran du courriel avec horodatage).

Deuxième erreur : ne pas identifier précisément le responsable de traitement. Une plainte visant « une entreprise » sans dénomination sociale complète, adresse et SIREN est difficile à instruire. Si le responsable est une grande plateforme numérique établie dans un autre État membre (Meta Ireland, Google Ireland), précisez-le : la CNIL peut devoir coopérer avec l'autorité de l'État membre d'établissement via le mécanisme One Stop Shop.

Troisième erreur : confondre la plainte CNIL avec d'autres recours. La CNIL traite les violations du RGPD et de la LIL, pas les litiges commerciaux généraux ni les infractions pénales (ces dernières doivent être signalées à la police ou à la gendarmerie). Si vous avez subi une fraude bancaire ou une usurpation d'identité en raison d'une violation de données, déposez aussi une plainte pénale (article 434-14 ou 323-1 du Code pénal) indépendamment de la plainte CNIL.

Quatrième erreur : déposer une plainte incomplète sans pièces justificatives. La CNIL traite plus efficacement les plaintes documentées. Joignez systématiquement : la preuve de votre démarche préalable, la réponse (ou l'absence de réponse) du responsable, tout document établissant la violation (capture d'écran, contrat, courriel de prospection non sollicitée, etc.).

Cinquième erreur : ne pas mentionner le fondement juridique précis. Indiquer explicitement quels articles du RGPD ou de la LIL ont été violés renforce la qualité de la plainte et oriente l'enquêteur CNIL vers les points à examiner en priorité.