Comment déposer une plainte CNIL en France (ce qu'elle peut et ne peut pas faire)

Une plainte auprès de la CNIL, l'autorité française de protection des données, est gratuite et peut être déposée en ligne sur cnil.fr/fr/plaintes. Elle peut donner lieu à une enquête, une mise en demeure, ou une amende versée à l'État. Elle ne permet en revanche pas d'obtenir une indemnisation pour le plaignant ; seul un tribunal civil peut accorder des dommages et intérêts.

Informations vérifiées le 19 juillet 2026. Cet article présente des informations juridiques générales, non un avis juridique.

Périmètre juridictionnel : Cet article traite de la CNIL, l'autorité de protection des données pour la France. Une plainte visant un organisme établi dans un autre pays de l'Union européenne peut relever de l'autorité de protection des données de ce pays, selon le lieu d'établissement de l'organisme et le lieu où sont prises les décisions relatives aux données.

Qu'est-ce que la CNIL et que supervise-t-elle ?

La Commission Nationale de l'Informatique et des Libertés, la CNIL, est l'autorité administrative indépendante française chargée de la protection des données. Elle contrôle la manière dont les organismes, publics et privés, collectent, utilisent, conservent et transmettent les données personnelles, dans le cadre du RGPD (le règlement général sur la protection des données de l'Union européenne) et de la loi française Informatique et Libertés.

La mission principale de la CNIL est de contrôler les pratiques des organismes, non de trancher un litige personnel entre individus. Elle peut enquêter sur un responsable de traitement, lui ordonner de corriger une pratique précise, et, dans les cas graves, le sanctionner d'une amende. Ce qu'elle ne fait pas, en revanche, c'est agir comme un tribunal statuant sur une demande d'indemnisation d'un particulier.

Cette distinction structure l'ensemble de la procédure de plainte décrite ci-dessous ; il vaut donc la peine de le dire clairement avant toute chose : une plainte auprès de la CNIL est un outil de régulation visant le comportement de l'organisme, et non une procédure d'indemnisation personnelle.

Avant de porter plainte : contactez d'abord l'organisme

La page de plainte de la CNIL elle-même recommande de contacter directement l'organisme avant de saisir la CNIL. Le formulaire de plainte en ligne demande d'ailleurs au plaignant de décrire les démarches déjà entreprises auprès de l'organisme et leur résultat.

Cette étape compte en pratique pour deux raisons. D'abord, de nombreux problèmes, en particulier les demandes d'accès, de rectification ou d'effacement, se résolvent dès lors que l'organisme est sollicité formellement par écrit. Ensuite, une démarche préalable documentée renforce la plainte si elle est ensuite transmise à la CNIL, car elle montre que l'organisme a eu une réelle occasion de corriger le problème par lui-même.

Un organisme recevant une demande d'exercice des droits dispose en principe d'un mois pour y répondre, à compter de la date de réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires pour une demande complexe, mais uniquement si l'organisme informe le demandeur de cette prolongation dans le délai initial d'un mois. Si l'organisme dépasse ce délai, ou ne répond jamais, ce manquement constitue en lui-même un motif de plainte auprès de la CNIL, la demande initiale et toute réponse devant être conservées comme preuves.

Que faut-il inclure dans une plainte auprès de la CNIL ?

Une plainte déposée auprès de la CNIL doit être rédigée en français. Elle doit identifier l'organisme concerné, y compris son nom, son adresse et son numéro SIREN le cas échéant. Elle doit comporter l'identité et les coordonnées du plaignant lui-même, et il convient d'y joindre les pièces justificatives essentielles, telles que la correspondance déjà échangée avec l'organisme, l'adresse du site internet concerné si le litige porte sur un site web, et une brève explication du lien entre le plaignant et l'organisme (client, ancien salarié, etc.).

La plainte peut être déposée de deux manières : en ligne via cnil.fr/fr/plaintes, ou par courrier à l'adresse CNIL, Service des Plaintes, 3 Place de Fontenoy, 75007 Paris. Les deux voies sont gratuites ; la CNIL ne publie aucun frais de dépôt pour l'une ou l'autre méthode.

Une plainte bien documentée, qui expose les dates, la réponse ou le silence de l'organisme, et la règle précise de protection des données en cause, progresse plus efficacement dans l'examen de la CNIL qu'un grief général.

Ce que la CNIL peut faire, et ce qu'elle ne peut pas faire

Une fois la plainte acceptée pour examen, la CNIL dispose d'un ensemble défini d'outils correctifs. Elle peut prononcer un rappel à l'ordre, un avertissement officiel de mise en conformité ; une mise en demeure, donnant à l'organisme un délai déterminé, généralement d'un à trois mois, pour corriger le problème ; une injonction de mise en conformité du traitement, assortie si nécessaire d'une astreinte journalière ; une limitation, une suspension ou une interdiction, temporaire ou définitive, du traitement ; le retrait d'une certification ; la suspension de transferts de données vers un pays situé hors de l'Union européenne ; une amende administrative ; et la publication de la décision, sauf dans le cadre de la procédure simplifiée décrite plus loin, qui n'est jamais rendue publique.

Ce que la CNIL ne peut pas faire, c'est ordonner à l'organisme de verser une somme au plaignant. Ses pouvoirs correctifs visent les pratiques de l'organisme et, lorsqu'une amende s'applique, le Trésor public. Un plaignant ne perçoit aucune part d'une amende prononcée par la CNIL.

Aucune indemnisation de la part de la CNIL : pourquoi un tribunal peut être nécessaire

C'est le point sur lequel la plupart des plaignants se trompent, et il vaut la peine de le formuler sans nuance : la CNIL ne peut pas accorder de dommages et intérêts à un particulier. Les indications de la CNIL elle-même sont directes sur ce point. Seul un juge peut ordonner à l'organisme responsable d'un fichier de verser une indemnisation, et uniquement s'il est prouvé que l'organisme a commis une faute ayant causé un préjudice mesurable.

En pratique, un plaignant qui souhaite obtenir une somme d'argent pour un préjudice causé par un manquement à la protection des données, comme une perte financière, un préjudice moral ou une atteinte à la réputation, doit généralement engager une action civile distincte devant un tribunal (un tribunal judiciaire), et non une plainte auprès de la CNIL. Les deux voies peuvent être menées en parallèle : une plainte à la CNIL vise la mise en conformité et une éventuelle sanction de l'organisme, tandis qu'une action en justice vise l'indemnisation du particulier. L'une ne remplace pas l'autre.

Toute personne hésitant entre porter plainte auprès de la CNIL, saisir un tribunal civil, ou faire les deux, doit garder cette distinction bien à l'esprit avant de choisir sa voie, car les résultats que chacune peut apporter sont réellement différents.

Quel est le délai de traitement d'une plainte CNIL ?

La CNIL s'engage à informer le plaignant de l'état de son dossier sous un délai d'au moins trois mois. Ce chiffre est fréquemment mal interprété comme un délai de résolution. Ce n'est pas le cas. Il s'agit d'un engagement de service consistant à faire un point d'étape, et non d'une promesse que le dossier sera clos à cette date.

Un dossier simple, par exemple une demande d'accès restée sans réponse que la CNIL résout par un simple rappel à l'organisme, peut être clos bien avant trois mois. Un dossier complexe, débouchant sur une procédure de sanction formelle, avec demandes de documents, contrôle sur place et audience devant la formation restreinte de la CNIL, dure habituellement bien plus longtemps. Les plaignants doivent considérer le délai de trois mois comme un point d'étape informatif, et non comme un compte à rebours vers la clôture.

La CNIL peut également clôturer un dossier sans suite, un classement sans suite, si elle ne constate aucun manquement ou estime que l'affaire ne justifie pas de procédure formelle.

La procédure de sanction simplifiée et les plafonds d'amende du RGPD

Tous les dossiers sanctionnés ne suivent pas la procédure ordinaire complète de la CNIL. Une procédure de sanction simplifiée existe pour les dossiers moins complexes ou moins graves. Elle est décidée seul par le président de la formation restreinte de la CNIL, ou par un autre membre de cette formation, et non par la formation au complet. Les amendes prononcées dans ce cadre sont plafonnées à 20 000 euros, toute astreinte journalière étant plafonnée à 100 euros par jour. Les décisions rendues au titre de la procédure simplifiée ne sont jamais publiées et ne nomment jamais l'organisme sanctionné.

Les affaires plus graves suivent la procédure ordinaire, où s'appliquent les plafonds généraux d'amende du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements les moins graves, et jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les plus graves, le montant le plus élevé étant retenu.

L'ordre de grandeur compte ici. En 2025, la CNIL a prononcé 83 sanctions au total, dont 67 au titre de la procédure simplifiée, pour un montant combiné d'environ 486,8 millions d'euros. Ce chiffre médiatisé est dominé par deux amendes importantes infligées à de grandes entreprises technologiques concernant le consentement aux cookies ; une fois ces deux dossiers exclus, les 81 sanctions restantes représentent environ 11,8 millions d'euros. Une plainte individuelle isolée portant, par exemple, sur une demande d'accès restée sans réponse ou sur une caméra de vidéosurveillance installée illégalement, a beaucoup plus de chances de relever de la procédure simplifiée, plafonnée à 20 000 euros, que de s'approcher du chiffre médiatisé. Début 2026, la CNIL a prononcé 23 sanctions simplifiées supplémentaires, pour un total de 133 750 euros, dont plusieurs concernaient des caméras exploitées sans l'autorisation préfectorale requise ou filmant des salariés de façon permanente.

Contester une décision de la CNIL

Une sanction de la CNIL, ou une mise en demeure prononcée par son président, peut être contestée devant le Conseil d'État, la plus haute juridiction administrative française. Le délai est de deux mois à compter de la notification de la décision, porté à quatre mois pour un organisme situé hors de France. Le Conseil d'État statue en premier et dernier ressort sur ces recours, ce qui signifie qu'il n'existe pas de degré d'appel ordinaire supplémentaire au-dessus de lui.

Cette voie de recours se situe du côté de l'organisme sanctionné, puisque c'est lui qui est condamné à payer une amende ou à se conformer à une mise en demeure. Un plaignant dont le dossier est simplement classé sans suite se trouve dans une situation différente, et la clôture d'une plainte individuelle n'obéit pas au même mécanisme formel de recours contre une sanction décrit ici.

Les droits individuels sur lesquels reposent la plupart des plaintes

La plupart des plaintes déposées auprès de la CNIL trouvent leur origine dans l'un des quelques droits individuels prévus par le RGPD : le droit d'accès à ses propres données, le droit de rectification des données inexactes, le droit à l'effacement, le droit d'opposition à certains traitements, et le droit à la limitation du traitement pendant la résolution d'un litige. Une présentation plus complète de ces droits, applicables dans toute l'Union européenne, figure dans ce guide sur les droits des personnes concernées au titre du RGPD.

Le schéma type d'une plainte est simple : une personne exerce l'un de ces droits par écrit, l'organisme dépasse le délai de réponse d'un mois ou refuse sans motif valable, et la personne apporte ensuite cet historique documenté à la CNIL. Le formulaire de plainte lui-même est construit autour de cette séquence, ce qui explique précisément pourquoi la CNIL demande quelles démarches ont déjà été effectuées avant que le dossier n'arrive sur son bureau.

Les plaintes relatives à la protection des données en France s'inscrivent généralement dans le cadre plus large présenté dans cette présentation du droit français de la protection des données, et les lecteurs confrontés spécifiquement à une caméra ou un dispositif d'enregistrement illégal pourront également consulter le guide complémentaire sur l'enregistrement des conversations en France. Pour l'ensemble de la couverture France de ce site, voir le hub France.

Avertissement

Cet article est fourni à titre d'information générale uniquement et ne constitue pas un avis juridique. Les règles de protection des données, la procédure de la CNIL et les montants des sanctions évoluent dans le temps ; toute personne envisageant une plainte ou une action en justice devrait vérifier les exigences en vigueur directement auprès de la CNIL sur cnil.fr ou auprès d'un avocat français qualifié avant d'agir.