Lettre de plainte à la CNIL pour violation données personnelles

Quand utiliser cette lettre ?

Utilisez ce modèle pour saisir la CNIL (Commission nationale de l'informatique et des libertés) lorsqu'un organisme public ou privé a laissé fuiter, perdre, divulguer ou pirater vos données personnelles (fuite après cyberattaque, fichier accessible en ligne, envoi de vos informations à un tiers, etc.). Adressez la plainte de préférence après avoir contacté l'organisme responsable sans réponse satisfaisante. Un envoi en recommandé avec accusé de réception est conseillé pour dater votre démarche, même si la CNIL propose aussi un formulaire de plainte en ligne.

Cadre légal

• Article 77 du RGPD : toute personne a le droit d'introduire une réclamation auprès d'une autorité de contrôle, en France la CNIL, si elle estime que le traitement de ses données viole le règlement.
• Articles 33 et 34 du RGPD : en cas de violation, le responsable du traitement doit la notifier à la CNIL dans un délai maximal de 72 heures et, en cas de risque élevé, informer les personnes concernées dans les meilleurs délais.
• Loi n° 78-17 du 6 janvier 1978 (Informatique et Libertés) : fonde les missions et les pouvoirs de contrôle et de sanction de la CNIL.
• Article 83 du RGPD : les manquements exposent l'organisme à des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

Formulaire de plainte CNIL : ce qui existe vraiment

Contrairement à beaucoup de démarches administratives, la CNIL ne met à disposition aucun formulaire à télécharger — ni Cerfa, ni PDF à imprimer. La plainte s'adresse de deux façons seulement :

• En ligne, via le téléservice de la CNIL : la démarche suppose de créer un compte, qui permet ensuite de suivre l'avancement du dossier et d'échanger avec le service instructeur. Le parcours oriente vers le formulaire correspondant à votre situation.
• Par courrier postal, adressé au service des plaintes de la CNIL (3 place de Fontenoy, 75007 Paris). C'est la voie que couvre le modèle proposé sur cette page : elle reste ouverte à tous et convient particulièrement si vous préférez ne pas créer de compte en ligne, ou si votre situation ne correspond à aucun des parcours proposés.

Dans les deux cas, joignez les pièces justificatives : copie de la demande restée sans réponse, accusé de réception, captures d'écran, échanges de courriels. Une plainte non documentée est beaucoup plus longue à instruire.

Avant de saisir la CNIL, adressez d'abord votre demande à l'organisme concerné. Le règlement européen sur la protection des données lui laisse un mois pour vous répondre. C'est l'absence de réponse dans ce délai, ou une réponse insatisfaisante, qui ouvre la voie à la plainte — et le courrier resté sans suite constitue alors votre principale pièce justificative.

Comment procéder

• Identifiez précisément l'organisme responsable du traitement et, si possible, son délégué à la protection des données (DPO).
• Décrivez les faits : nature des données touchées (nom, coordonnées, données bancaires, santé…), date et circonstances de la fuite, et comment vous en avez eu connaissance.
• Rappelez les démarches déjà engagées auprès de l'organisme et leur résultat.
• Joignez toutes les preuves : captures d'écran, courriels, courriers, notification reçue, dépôt de plainte éventuel.
• Demandez à la CNIL d'instruire votre réclamation et de prendre les mesures correctrices utiles.

Erreurs à éviter

• Saisir la CNIL sans avoir d'abord tenté une démarche auprès de l'organisme, sauf urgence ou gravité manifeste.
• Rester vague : sans faits datés ni pièces justificatives, la plainte est difficile à instruire.
• Confondre la plainte (qui vise la sanction de l'organisme) avec la demande d'indemnisation, qui relève du juge.
• Oublier de conserver une copie de votre courrier et l'accusé de réception.

En cas de litige

En application de l'article 78 du RGPD, la CNIL dispose de trois mois pour vous informer de l'état d'avancement ou de l'issue de votre réclamation. Si elle ne donne pas suite ou si sa décision vous est défavorable, vous pouvez la contester devant le Conseil d'État, juge administratif compétent à l'égard des décisions de la CNIL, dans le délai de droit commun de deux mois. Parallèlement, la plainte n'empêche pas d'agir en réparation : sur le fondement de l'article 82 du RGPD, vous pouvez saisir le tribunal judiciaire pour obtenir l'indemnisation du préjudice matériel ou moral subi (usurpation d'identité, perte financière, atteinte à la vie privée). Les constats de la CNIL servent souvent de preuve à l'appui de cette action civile.