Lorsque des données personnelles sont divulguées sans autorisation (que ce soit par une entreprise, un employeur, un prestataire de services ou encore un syndic de copropriété), les personnes concernées ignorent souvent qu’elles disposent d’un recours concret : la saisine de la CNIL.
Cette autorité administrative indépendante est chargée de veiller au respect du Règlement Général sur la Protection des Données, plus connu sous le nom de RGPD.
Qui peut saisir la CNIL en cas de violation du RGPD ?
La plainte auprès de la CNIL est ouverte à toute personne physique dont les données personnelles ont fait l’objet d’un traitement illicite. Il peut s’agir, par exemple, de la publication non autorisée de documents contenant votre identité, votre adresse, des informations patrimoniales ou encore des données relatives à votre vie privée.
En revanche, les personnes morales (sociétés ou associations) ne peuvent pas saisir la CNIL en leur nom propre. C’est la personne physique, en tant qu’individu, qui est titulaire du droit de plainte.
Une démarche préalable auprès de l’organisme concerné
Avant de saisir la CNIL, il est nécessaire d’avoir contacté l’organisme mis en cause afin de lui demander de remédier à la situation. Cette démarche peut prendre la forme d’un courrier simple, d’un email ou, pour plus de sécurité, d’une mise en demeure adressée par avocat, afin de formaliser les demandes et de conserver une preuve des démarches effectuées.
Ce n’est qu’en l’absence de réponse satisfaisante, ou en cas de refus, que la saisine de la CNIL est possible.
Le dépôt de plainte et les délais de traitement
La plainte auprès de la CNIL peut être déposée en ligne, via le téléservice dédié, ou par voie postale.
Elle suppose toutefois de présenter les faits de manière claire, d’identifier précisément les manquements RGPD reprochés et de joindre les éléments permettant d’établir la violation alléguée.
Il convient également d’être lucide sur les délais : la CNIL n’est pas un recours d’urgence. Si elle informe le plaignant des suites données à sa plainte dans un délai de trois mois, l’instruction complète du dossier peut prendre plusieurs mois, voire davantage selon la complexité de l’affaire.
Que peut faire la CNIL concrètement ?
À l’issue de son instruction, la CNIL peut prendre différentes mesures à l’encontre de l’organisme mis en cause : rappel à l’ordre, mise en demeure de se conformer au RGPD ou, dans les cas les plus graves, sanction financière.
Il est toutefois essentiel de préciser que la CNIL n’indemnise pas directement les victimes. Les éventuelles amendes sont versées à l’État, et non à la personne dont les données ont été divulguées.
Son rôle est donc de faire respecter la réglementation applicable aux données personnelles, mais non de réparer le préjudice individuel subi.
Peut-on obtenir une réparation financière ?
Oui, mais par une voie distincte.
Pour obtenir des dommages et intérêts, il est nécessaire d’engager une action judiciaire devant le tribunal compétent, notamment sur le fondement de l’article 82 du RGPD, qui prévoit un droit à réparation en cas de dommage matériel ou moral causé par une violation du règlement.
La plainte auprès de la CNIL et l’action judiciaire sont donc deux démarches différentes, mais complémentaires. En effet, lorsque la CNIL constate officiellement une violation du RGPD, cette décision peut constituer un élément utile dans le cadre d’une demande indemnitaire devant le juge.
Faites-vous accompagner
La saisine de la CNIL peut sembler accessible, mais la rédaction d’une plainte solide suppose d’identifier précisément les manquements au RGPD, de présenter les faits de manière rigoureuse et de réunir les preuves utiles.
Par ailleurs, si une action judiciaire est envisagée afin d’obtenir une indemnisation, il est important que les démarches soient menées de manière cohérente.
Une analyse préalable permet de déterminer si les conditions d’une plainte sont réunies, d’évaluer les chances d’obtenir une intervention de la CNIL et d’envisager, le cas échéant, une action en réparation du préjudice subi.
