Article 77 RGPD : préparer une réclamation à la CNIL

Votre demande d’accès reste sans réponse, vos données continuent d’être utilisées malgré une opposition, ou vous contestez un autre traitement : l’Art. 77 du RGPD permet d’introduire une réclamation auprès d’une autorité de contrôle. En France, la démarche se prépare auprès de la CNIL avec des faits datés et des pièces utiles.

Article 77 : qui peut agir et auprès de qui ?

Toute personne concernée peut introduire une réclamation si elle considère qu’un traitement de ses données viole le RGPD. Elle peut notamment s’adresser à l’autorité de l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée. Ce droit existe sans préjudice des autres recours administratifs ou juridictionnels. Source : RGPD, Art. 77(1).

Le texte ne réserve pas la réclamation aux violations ayant déjà causé un dommage financier. Il ne dispense pas pour autant d’expliquer les faits : une affirmation abstraite ne permet pas à l’autorité de comprendre quel traitement est contesté.

Préparer la démarche française

Pour un droit non respecté, la CNIL demande de commencer par l’exercer auprès de l’organisme et de conserver les échanges. En cas de réponse incomplète, contestez-la auprès de celui-ci avant la saisine. La plainte doit être précise, rédigée en français, identifier l’organisme et comporter les copies utiles ; conservez les originaux. Le dépôt peut se faire par le téléservice ou par courrier. Source : parcours officiel de plainte CNIL.

Le délai de réponse de l’organisme relève de l’Art. 12(3) : un mois, avec prolongation possible de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’informer la personne dans le premier mois et d’expliquer les motifs. Ce délai ne doit pas être confondu avec celui du suivi de la réclamation. Voir les modalités d’exercice des droits et le texte du chapitre III.

Cette première démarche a un sens pour un droit que l’organisme doit pouvoir satisfaire. Elle ne signifie pas qu’il faille obtenir son autorisation pour signaler toute autre violation. Identifiez le problème avant de choisir un parcours : absence de réponse à une demande d’accès, collecte contestée ou divulgation de données ne se documentent pas exactement de la même façon.

Cas rempli : une demande d’accès laissée sans réponse

Exemple hypothétique. Camille est adhérente de l’association fictive La Bibliothèque des objets, qui prête du matériel de bricolage. Elle souhaite connaître les données conservées sur ses emprunts et les informations la concernant inscrites dans son dossier. Elle adresse une demande d’accès le 12 janvier 2026 au contact indiqué dans la notice. Elle utilise le courriel connu de l’association et précise son numéro d’adhérente.

L’association accuse réception le même jour. Au 12 février, Camille n’a reçu ni les données ni une information motivant une prolongation. Elle relance le 16 février en rappelant la demande et la réception. Le 2 mars, le problème persiste : elle prépare une réclamation. La relance n’est pas présentée comme une formalité qui ouvrirait automatiquement un nouveau mois au bénéfice de l’association.

Camille formule un grief limité et vérifiable : sa demande d’accès n’a pas été traitée dans les conditions prévues. Elle ne prétend pas savoir que ses données ont été vendues ou que l’association cache des informations. Ces soupçons ne figurent pas dans le dossier faute d’éléments. L’absence de réponse suffit à décrire la difficulté soumise à l’autorité.

Le bordereau de pièces du cas

Camille conserve les originaux et transmet des copies lisibles. Elle n’ajoute pas l’historique de tous ses échanges associatifs. Une discussion sur l’organisation d’un atelier sans rapport avec l’accès n’aide pas à comprendre le grief et peut exposer les coordonnées d’autres adhérents.

La réclamation rédigée

Le texte suivant est rempli pour ce scénario. Les identités, coordonnées et événements sont fictifs ; l’adresse électronique utilise un domaine réservé aux exemples.

Objet : absence de réponse à ma demande d’accès du 12 janvier 2026.

Je suis Camille Martin, adhérente no 284 de l’association La Bibliothèque des objets, située au 18 rue des Ateliers, à Nantes dans cet exemple. Le contact utilisé est donnees@bibliotheque-objets.example.invalid.

Le 12 janvier 2026, j’ai demandé l’accès aux données personnelles de mon compte adhérent, notamment mon historique d’emprunts et les informations de mon dossier, ainsi que les informations prévues par l’article 15 du RGPD. L’association a accusé réception le même jour.

Je n’ai reçu ni réponse au fond ni information relative à une prolongation. Ma relance du 16 février est également restée sans réponse au 2 mars 2026. Je conteste cette absence de traitement de ma demande.

Je joins ma demande, son accusé de réception, ma relance et les coordonnées de l’association. Je demande l’examen de cette réclamation au titre de l’article 77 du RGPD et l’information sur son avancement et son issue. Je peux être contactée à camille.martin@example.invalid.

Ce modèle n’impose pas de démonstration juridique longue. Il donne au lecteur du dossier les dates, l’organisme, le droit exercé, la difficulté et les pièces permettant de vérifier le récit. Remplacez les faits par les vôtres ; n’ajoutez pas un accusé de réception ou une relance qui n’existent pas.

Quand une preuve ou une réponse manque

Si Camille avait seulement conservé une capture de son texte avant l’envoi, elle devrait distinguer la rédaction de la preuve de transmission. Elle rechercherait le message envoyé ou l’accusé du formulaire. À défaut, elle expliquerait cette limite et pourrait renouveler sa demande par un moyen permettant d’en conserver la trace. Elle ne transformerait pas la date de rédaction en date de réception certaine.

Une difficulté d’identification se traite également avec précision. L’organisme peut demander des informations supplémentaires nécessaires pour confirmer l’identité lorsqu’il a des doutes raisonnables, selon l’Art. 12(6). Cela ne crée pas une obligation générale de joindre spontanément une copie complète de sa pièce d’identité à chaque demande. Présentez à la CNIL les renseignements déjà fournis, la demande complémentaire reçue et votre réponse éventuelle. RGPD, Art. 12(6).

Dans une variante, l’association transmet le 10 mars une fiche contenant seulement le nom et les coordonnées de Camille, alors que son message indiquait expressément les emprunts. Camille ne maintient pas que toute réponse est absente. Elle signale à l’association ce qui semble manquer et demande une explication. Elle conserve cet échange et complète sa réclamation en rappelant la référence du dossier, plutôt que de multiplier des plaintes identiques.

L’association pourrait expliquer que certaines données ne sont plus détenues. Camille doit alors distinguer une absence de données d’un refus de communiquer des données existantes. Le droit d’accès n’impose pas de recréer un historique supprimé ; une contestation sur les circonstances de la suppression constituerait un point différent à expliquer avec les éléments disponibles.

Si une réponse complète arrive tardivement, elle est aussi portée à la connaissance de l’autorité. Elle peut résoudre la difficulté d’accès sans effacer le fait historique du retard. Décrivez ce qui est désormais réglé et ce qui reste contesté ; ne promettez pas qu’une réponse tardive entraîne nécessairement une sanction ou, à l’inverse, une clôture automatique.

Suivi : trois mois ne signifie pas décision finale

L’Art. 77(2) impose d’informer l’auteur de l’avancement et de l’issue de sa réclamation, y compris des possibilités de recours. L’Art. 78(2) ouvre un recours lorsque l’autorité compétente ne traite pas la réclamation ou n’informe pas la personne, dans les trois mois, de son avancement ou de son issue. Il ne promet pas une clôture de tous les dossiers en trois mois. Source : Art. 77(2) et 78(2).

Conservez le numéro de dossier, l’accusé de réception et les messages ultérieurs. En cas de silence ou de décision contestée, examinez les recours contre l’autorité à partir de cette chronologie.

Ce que la réclamation peut apporter

La CNIL peut intervenir dans son champ de compétence, mais elle n’attribue pas de dommages et intérêts. La réclamation n’est pas non plus une plainte pénale. Source : limites de l’intervention de la CNIL.

Pour agir contre le responsable ou le sous-traitant devant un juge, voir l’article 79. Une demande de réparation répond aux conditions de l’article 82. Ces finalités doivent être distinguées dès la préparation du dossier.

Ce qu’il faut retenir

• La réclamation concerne un traitement de données relatif à son auteur.
• Des faits datés, une difficulté précise et des pièces utiles facilitent son examen.
• Le suivi dans les trois mois ne signifie pas une décision finale dans ce délai.
• Réclamation, recours contre l’organisme et indemnisation répondent à des objets distincts.

FAQ

Dois-je démontrer un préjudice financier pour déposer une réclamation ?

L’Art. 77(1) ne pose pas cette condition. Il faut exposer le traitement de vos données que vous considérez contraire au RGPD.

Puis-je saisir une autorité dans mon pays de résidence ?

L’Art. 77(1) le prévoit notamment pour l’État membre de résidence habituelle. Le traitement du dossier peut ensuite impliquer une coopération entre autorités selon les compétences applicables.

Trois mois sans décision finale suffisent-ils à caractériser l’inaction ?

Il faut examiner les informations reçues et le traitement de la réclamation. L’Art. 78(2) vise l’absence de traitement ou d’information sur l’avancement ou l’issue, pas seulement l’absence de clôture.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.