Comment porter plainte auprès de la CNIL ?

Le droit d'introduire une réclamation

L'article 77 du RGPD donne à toute personne le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, si elle considère que le traitement de ses données constitue une violation du règlement. En France, cette autorité est la CNIL. La démarche est gratuite, ne nécessite pas d'avocat et se fait principalement en ligne. Le nombre de plaintes a atteint un record de 20 150 en 2025, signe que les personnes connaissent de mieux en mieux leurs droits.

Avant de saisir la CNIL

Pour la plupart des sujets, et notamment pour l'exercice d'un droit (accès, effacement, opposition), la CNIL demande d'avoir d'abord contacté l'organisme concerné et de lui avoir laissé le délai d'un mois prévu pour répondre. Il faut conserver une copie de la demande, sa date d'envoi et la réponse éventuelle. Cette étape règle souvent le problème et permet à la CNIL, en cas d'échec, d'intervenir plus rapidement. Pour certaines situations, comme la diffusion de contenus sur internet, il convient aussi d'utiliser d'abord les outils de signalement des plateformes.

Comment déposer la plainte ?

Le site de la CNIL propose un parcours guidé qui oriente selon la nature du problème : prospection, internet, travail, vidéosurveillance, banque, santé, etc. Il permet de décrire les faits, d'identifier l'organisme mis en cause et de joindre les pièces justificatives. Une plainte précise, factuelle et documentée est traitée plus efficacement : dates, noms, captures d'écran, copie des échanges. Il est possible de se faire représenter par une association active dans la protection des données (article 80), qui peut aussi engager certaines actions de groupe en France.

Ce que la CNIL peut faire

Après examen, la CNIL peut intervenir auprès de l'organisme pour obtenir le respect du droit, lui rappeler ses obligations, procéder à un contrôle, adresser une mise en demeure ou engager une procédure de sanction. Elle informe la personne de l'état d'avancement et de l'issue de sa réclamation (article 77, paragraphe 2). Si l'organisme est établi principalement dans un autre pays de l'Union, la CNIL transmet la plainte à l'autorité chef de file et reste l'interlocutrice du plaignant. Le règlement européen de procédure applicable à partir du 2 avril 2027 encadrera mieux les délais et les droits des plaignants dans ces affaires transfrontalières.

Ce que la CNIL ne fait pas

La CNIL n'est pas un tribunal : elle ne peut pas condamner un organisme à indemniser une personne. Pour obtenir des dommages et intérêts, il faut saisir le juge, sur le fondement de l'article 82 du RGPD, en démontrant un dommage matériel ou moral et son lien avec la violation. La CNIL ne règle pas non plus les conflits de voisinage, de travail ou commerciaux en dehors de leur dimension liée aux données.

Les recours si la CNIL ne répond pas

Si la CNIL ne traite pas la réclamation ou n'informe pas la personne de l'état d'avancement dans un délai de trois mois, celle-ci peut former un recours juridictionnel (article 78). Les décisions de la CNIL, y compris un classement, peuvent être contestées devant le Conseil d'État. Indépendamment de la plainte, la personne peut aussi agir directement contre le responsable ou le sous-traitant devant le juge judiciaire ou administratif (article 79). Pour les grandes étapes du contrôle déclenché par une plainte, voir le guide sur le contrôle CNIL.

Les motifs les plus fréquents de plainte

Les plaintes reçues par la CNIL concernent principalement quelques grands domaines. La diffusion de données sur internet, notamment les demandes de déréférencement et de suppression de contenus, arrive régulièrement en tête. Viennent ensuite la prospection commerciale, avec les courriels, SMS et appels non sollicités, le secteur du travail, avec la vidéosurveillance, la géolocalisation ou l'accès aux données par les salariés, le commerce, avec les difficultés de désinscription ou de suppression de comptes, et le secteur bancaire et financier, avec les fichiers d'incidents et les refus de crédit. La CNIL publie chaque année la répartition des plaintes dans son rapport annuel, ce qui permet de suivre l'évolution des préoccupations du public. Le nombre de plaintes a atteint un record de 20 150 en 2025.

Préparer un dossier solide

La qualité du dossier conditionne largement l'efficacité de la plainte. La personne doit identifier précisément l'organisme mis en cause, avec sa dénomination et son adresse, décrire les faits de façon chronologique et factuelle, préciser le droit exercé ou le manquement reproché, et joindre les pièces utiles : copie de la demande adressée à l'organisme, preuve de son envoi, réponse reçue ou constat de l'absence de réponse, captures d'écran datées, courriels de prospection reçus, photographies d'une caméra mal orientée. Pour les démarches en ligne, il est utile de noter les adresses des pages et la date de consultation. Un dossier complet évite les échanges complémentaires et accélère l'instruction.

Le délai et l'instruction

La CNIL accuse réception de la plainte et l'oriente vers le service compétent. Pour les situations simples, elle peut intervenir rapidement auprès de l'organisme, par un courrier lui rappelant ses obligations et lui demandant de satisfaire la demande. Pour les situations plus complexes, l'instruction peut durer plusieurs mois, voire davantage lorsqu'un contrôle est nécessaire ou lorsque l'organisme est établi dans un autre État membre. Le plaignant est informé de l'état d'avancement et de l'issue de sa plainte, au plus tard dans un délai de trois mois pour un premier point. La CNIL dispose d'un pouvoir d'appréciation sur les suites à donner : elle peut clôturer une plainte lorsque l'organisme a remédié au manquement, adresser un rappel aux obligations, mettre en demeure ou engager une procédure de sanction.

Les plaintes transfrontalières

Lorsque l'organisme mis en cause est établi dans un autre État membre, la plainte déposée auprès de la CNIL est transmise à l'autorité chef de file, c'est-à-dire l'autorité du pays où se trouve l'établissement principal de l'organisme dans l'Union. C'est le cas pour la plupart des grands acteurs du numérique, dont l'établissement principal se trouve en Irlande ou au Luxembourg. La CNIL reste l'interlocutrice du plaignant, l'informe des suites et participe à la procédure de coopération en tant qu'autorité concernée. En cas de désaccord entre autorités, le Comité européen de la protection des données peut être saisi pour trancher par une décision contraignante. Ce mécanisme, dit du guichet unique, a été critiqué pour sa lenteur, ce qui a conduit à l'adoption d'un règlement de procédure qui sera applicable à partir du 2 avril 2027.

Le règlement de procédure de 2025

Le règlement européen fixant des règles de procédure supplémentaires pour l'application du RGPD, adopté en 2025, harmonise le traitement des plaintes transfrontalières. Il définit des critères communs de recevabilité des plaintes, fixe des délais pour les différentes étapes de la procédure, renforce les droits procéduraux des plaignants et des organismes mis en cause, notamment le droit d'être entendu et l'accès au dossier, et organise une procédure de règlement amiable. Il vise à réduire les durées de traitement, qui atteignaient parfois plusieurs années pour les dossiers impliquant les grandes plateformes. Il sera applicable à partir du 2 avril 2027 et conduira à adapter les procédures nationales.

Plainte, médiation et règlement amiable

Dans de nombreux cas, la plainte aboutit à une solution amiable : l'organisme, contacté par la CNIL, satisfait la demande de la personne, supprime les données, cesse la prospection ou corrige ses pratiques. La CNIL peut alors clôturer la plainte. Pour les litiges de consommation, la personne peut aussi recourir au médiateur de la consommation dont relève le professionnel, gratuitement, en parallèle ou en complément de sa démarche auprès de la CNIL. Pour les litiges avec un organisme public, le Défenseur des droits peut être saisi lorsque la situation relève de ses compétences, notamment en matière de discrimination ou de relations avec les services publics.

Plainte et action en justice

La plainte auprès de la CNIL n'est pas la seule voie. La personne peut saisir directement le juge judiciaire pour obtenir la cessation d'un traitement illicite et la réparation de son préjudice sur le fondement de l'article 82 du RGPD, ou le juge administratif lorsque l'organisme est public. Les deux démarches peuvent être menées en parallèle. La CNIL ne peut pas accorder de dommages et intérêts, alors que le juge le peut. La Cour de justice a précisé, dans l'arrêt Österreichische Post du 4 mai 2023 (C-300/21), que la réparation suppose un dommage, qui peut être moral, sans exigence d'un seuil de gravité, mais que la simple violation du RGPD ne suffit pas à ouvrir droit à indemnisation. Dans l'arrêt VB du 14 décembre 2023 (C-340/21), elle a admis que la crainte d'une utilisation abusive des données après une cyberattaque peut constituer un dommage moral.

Les recours contre les décisions de la CNIL

Le plaignant qui n'est pas satisfait de la suite donnée à sa plainte peut contester la décision de la CNIL devant le Conseil d'État, en particulier lorsqu'elle clôture la plainte ou refuse d'engager une procédure. Le Conseil d'État exerce un contrôle limité, reconnaissant à la CNIL un large pouvoir d'appréciation, mais il annule les décisions entachées d'erreur de droit ou d'erreur manifeste. La Cour de justice a précisé, dans l'arrêt du 26 septembre 2024 (C-768/21), qu'une autorité de contrôle n'est pas tenue d'exercer systématiquement un pouvoir correcteur lorsqu'elle constate une violation, notamment lorsque le responsable a déjà pris les mesures nécessaires, mais qu'elle doit agir lorsque c'est nécessaire pour remédier au manquement. L'article 78 du RGPD ouvre aussi un recours lorsque l'autorité ne traite pas la plainte ou n'informe pas le plaignant dans un délai de trois mois.

Plainte et entreprise : comment réagir ?

Une entreprise qui reçoit un courrier de la CNIL à la suite d'une plainte doit réagir rapidement et sérieusement. Elle répond dans le délai indiqué, explique la situation de façon factuelle, joint les pièces utiles et, si la plainte est fondée, indique les mesures prises pour y remédier, comme la satisfaction de la demande ou la correction d'une procédure. Une réponse rapide et constructive conduit souvent à la clôture du dossier. À l'inverse, l'absence de réponse ou une réponse évasive peut déclencher un contrôle, voire une procédure de sanction, et constitue en soi un manquement à l'obligation de coopérer avec l'autorité. Associer le délégué à la protection des données ou un conseil dès réception du courrier permet de calibrer la réponse.

Porter plainte pour soi ou pour un proche

Une plainte peut être déposée par la personne concernée, par son représentant légal ou par une personne mandatée. Un parent peut ainsi saisir la CNIL au nom de son enfant mineur, par exemple pour obtenir la suppression d'une photo publiée sans autorisation ou d'un compte créé par un tiers. Une association agréée peut également agir au nom d'une personne qui l'a mandatée, ou, dans certains cas, de sa propre initiative au titre de l'article 80 du RGPD tel que mis en œuvre par la loi française. Les héritiers d'une personne décédée peuvent saisir la CNIL pour faire respecter les droits prévus par l'article 85 de la loi Informatique et Libertés.

Les plaintes contre les cookies et les sites

Une part importante des plaintes concerne les sites internet : bandeaux cookies sans bouton de refus, traceurs déposés avant tout consentement, formulaires sans information, impossibilité de supprimer un compte. Pour ces situations, la CNIL propose un formulaire spécifique et invite à joindre des captures d'écran montrant le bandeau, l'absence de bouton de refus ou les cookies déposés, visibles dans les outils de développement du navigateur. Elle a mené plusieurs vagues de mises en demeure sur les cookies, qui ont conduit des centaines de sites à corriger leurs pratiques, et a prononcé des sanctions importantes contre de grands acteurs du numérique. Une plainte bien documentée sur un site peut ainsi contribuer à une action plus large.

Plainte et salariés

Les salariés représentent une part notable des plaignants. Ils saisissent la CNIL pour des caméras qui filment leur poste de travail en permanence, un logiciel qui enregistre leurs frappes au clavier ou leurs écrans, une géolocalisation active en dehors du temps de travail, l'accès de l'employeur à leur messagerie personnelle ou l'absence de réponse à une demande d'accès. Avant de déposer plainte, il est utile d'alerter les représentants du personnel, qui peuvent interroger l'employeur, et de consulter le délégué à la protection des données de l'entreprise s'il existe. La CNIL a sanctionné plusieurs employeurs pour une surveillance excessive, comme Amazon France Logistique, dont l'amende a été ramenée à 15 millions d'euros par le Conseil d'État fin 2025, ou de petites entreprises ayant installé des caméras dans les bureaux.

Ce que la plainte apporte au-delà du cas individuel

Une plainte ne bénéficie pas seulement à la personne qui la dépose. Elle permet à la CNIL d'identifier des pratiques répandues dans un secteur, d'orienter ses contrôles et d'adopter des recommandations ou des sanctions qui modifient les comportements de nombreux organismes. Les grandes sanctions prononcées contre des plateformes ou des courtiers en données trouvent souvent leur origine dans des plaintes individuelles ou collectives. Exercer ses droits et saisir l'autorité en cas de difficulté participe donc à l'effectivité du RGPD pour tous.

Une plainte qui n'aboutit pas toujours à une sanction

Le plaignant doit savoir que la CNIL n'est pas tenue de prononcer une sanction à la suite de chaque plainte, ni de l'informer du détail des mesures prises à l'égard de l'organisme. Son objectif premier est la mise en conformité. Lorsque l'organisme corrige rapidement le manquement, la plainte est généralement clôturée par un simple rappel des obligations. Les sanctions sont réservées aux manquements graves, répétés, ou aux organismes qui ne coopèrent pas. Le plaignant reçoit néanmoins une information sur l'issue de sa démarche, et peut contester la clôture s'il estime que son droit n'a pas été respecté. Garder des attentes réalistes évite la déception et permet de mieux mesurer l'intérêt d'une action complémentaire devant le juge, notamment pour obtenir réparation.

Cette étape préalable permet aussi de constituer le dossier : la date de la demande fait courir le délai d'un mois, et la réponse, ou son absence, devient la pièce centrale de la plainte.

Combien de temps pour porter plainte ?

Le RGPD ne fixe pas de délai pour saisir la CNIL, mais une plainte déposée longtemps après les faits sera plus difficile à instruire, faute de preuves et parce que les données peuvent avoir été supprimées. Il est donc conseillé d'agir rapidement après l'expiration du délai de réponse de l'organisme. Le formulaire de plainte en ligne et les fiches d'aide se trouvent sur le site de l'autorité : pour déposer votre réclamation, se rendre sur la CNIL.