Article 78 RGPD : recours contre la CNIL et délais

Contester une sanction de la CNIL, discuter la clôture d’une plainte ou réagir au silence de l’autorité ne relève pas exactement de la même situation. L’Art. 78 garantit un recours juridictionnel effectif contre l’autorité de contrôle. La première étape consiste à identifier l’acte, sa notification et la procédure applicable.

Les quatre paragraphes de l’article 78

Source : RGPD, Art. 78. Le recours contre l’autorité se distingue de la réclamation initiale et de l’action contre le responsable du traitement.

Sanction ou mise en demeure CNIL : vérifier immédiatement le délai

La CNIL indique un recours devant le Conseil d’État dans les deux mois suivant la notification d’une sanction ou d’une mise en demeure. Le délai est porté à quatre mois pour un organisme situé à l’étranger. Quatre mois n’est donc pas le délai général applicable à toute sanction. Source : réponse officielle de la CNIL.

Pour tout dossier, conserver la décision complète, les annexes, la notification et la preuve de réception. La qualification du recours et son calendrier doivent être vérifiés à partir de ces documents, sans transposer automatiquement les règles d’un autre type d’acte.

Silence sur une plainte : lire les échanges réellement reçus

Les trois mois de l’Art. 78(2) ne constituent pas un délai universel de clôture. Il faut distinguer un accusé d’enregistrement d’une information sur l’avancement.

Dans sa décision n° 491373 du 26 décembre 2025, le Conseil d’État a considéré, dans les circonstances du dossier, que les indications données lors de l’enregistrement n’empêchaient pas la naissance d’un rejet implicite, faute d’information sur l’avancement dans les trois mois. Il a ensuite prononcé un non-lieu sur cette contestation, une décision explicite de clôture étant intervenue. Source : Conseil d’État, points 3 à 5.

L’enseignement pratique est de conserver toute la chronologie. Une formule générale sur « l’inaction » ne suffit pas à déterminer l’objet du recours après une nouvelle décision de la CNIL.

Avocat et urgence : éviter les règles trop générales

Le Conseil d’État présente le recours à un avocat aux Conseils comme généralement obligatoire, avec notamment une exception pour les requêtes en excès de pouvoir en premier ressort et en appel. Il faut donc qualifier le recours avant de conclure qu’un avocat est toujours obligatoire ou toujours facultatif. Source : démarches devant le Conseil d’État.

En cas d’urgence, la même source décrit le référé-suspension, qui suppose notamment une urgence et un doute sérieux sur la légalité, avec un recours au fond. Le dépôt d’une contestation ne doit pas être traité comme une autorisation de cesser d’exécuter la décision.

Préparer un dossier lisible

Une organisation ou un plaignant peut organiser les pièces autour de quatre questions :

1. Quelle décision est contestée ? Acte complet, date, auteur et dispositif.
2. Pourquoi le recours est-il recevable ? Personne concernée par l’acte, juridiction, délai et représentation.
3. Quelles erreurs sont invoquées ? Faits, règle juridique et pièces correspondantes.
4. Que demande-t-on au juge ? Conclusions précises, avec une éventuelle demande urgente distincte.

Si la décision nationale suit un acte européen, identifier aussi la décision contraignante de l’article 65. L’Art. 78(4) prévoit sa transmission au juge ; il ne transforme pas le recours national en recours direct contre le Comité.

Cas pratique : contester une clôture sans viser le mauvais acte

Scénario entièrement fictif : Maya demande à une salle de sport la copie de ses données de fréquentation et des notes concernant ses réclamations. Elle reçoit les conditions générales du club, sans ces données. Après ses démarches auprès du club, elle saisit la CNIL. Son problème est de préparer un éventuel recours contre la clôture de sa plainte, pas de réclamer une amende déterminée contre le club.

Elle rassemble la chronologie suivante :

Dans cette hypothèse, écrire simplement « la CNIL n’a rien fait depuis trois mois » serait inexact : une intervention a été annoncée et une décision existe. Maya distingue le désaccord avec le résultat du dossier et un éventuel défaut d’information antérieur. Elle conserve aussi l’enveloppe ou les éléments électroniques utiles à la date de notification.

La décision fictive indique que les informations demandées ont été transmises. Maya relève une divergence précise : le fichier joint par le club contient ses conditions générales, pas l’historique et les notes visés. Elle ne conclut pas pour autant que tout désaccord entraîne nécessairement l’annulation. Le Conseil d’État rappelle, au point 8 de la décision 491373, le pouvoir d’appréciation de la CNIL et les motifs de contrôle du refus de donner suite à une plainte. Le recours doit mettre en discussion une erreur identifiable, avec ses pièces.

Une fiche de préparation effectivement remplie

Maya prépare cette note avant de finaliser la requête :

Acte visé : décision de clôture CNIL notifiée le 15 septembre, pièce 6. Qualité pour agir : auteure de la plainte portant sur ses propres données. Objet recherché : annulation de cette clôture et examen des suites juridiquement possibles ; pas demande au juge d’infliger une amende précise au club. Point factuel contesté : la décision indique une transmission des informations demandées, alors que la pièce 2 ne contient que des conditions générales. Appui juridique à examiner : Art. 15(3) relatif à la copie des données, Art. 77 et 78 concernant la plainte et son contrôle. Pièces décisives : demande initiale, réponse complète du club, plainte, échanges d’instruction et décision avec notification. Organisation retenue : préparation d’un recours pour excès de pouvoir, avec assistance choisie malgré la dispense de représentation applicable à cette voie ; vérification du calendrier sur la notification et dépôt préparé dès septembre, sans attendre son dernier jour.

Cette fiche est un outil de préparation, pas une requête prête à déposer. Elle évite toutefois un dossier de dizaines de captures sans lien avec les motifs attaqués. Maya numérote les documents, conserve leurs versions complètes et explique ce que chacun démontre. Si le club a envoyé une autre réponse sur une seconde adresse, elle doit la rechercher avant de soutenir qu’aucune donnée n’a été communiquée.

Le recours pour excès de pouvoir bénéficie de l’exception de représentation prévue par l’Art. R.432-2 du code de justice administrative. Cette exception ne doit pas être étendue automatiquement à toute contestation d’une sanction. Même lorsqu’elle agit sans avocat obligatoire, la personne doit présenter une demande juridiquement compréhensible et respecter les exigences de procédure.

Si une décision arrive pendant la préparation ou l’instance

Imaginons une variante : Maya avait commencé à préparer une contestation du silence et reçoit ensuite la clôture explicite. Elle conserve sa première chronologie mais réexamine aussitôt l’objet du recours, les conclusions et les délais attachés au nouvel acte. Elle ne suppose pas que la contestation du silence attaque automatiquement toutes les décisions futures.

La décision 491373 montre précisément l’importance de cette évolution : le Conseil d’État n’a plus statué sur le rejet implicite après la clôture explicite, dont il a examiné séparément la contestation. Dans un dossier en cours, transmettez la nouvelle décision à la personne qui conduit le recours et examinez les actes procéduraux nécessaires ; ne laissez pas le document dans la seule messagerie du DPO.

Une autre difficulté peut concerner la notification : page manquante, date incertaine ou indications de recours absentes. L’Art. R.421-5 du code de justice administrative conditionne l’opposabilité des délais à la mention des voies et délais de recours. N’en déduisez pas une possibilité d’attendre indéfiniment. Faites vérifier les règles applicables, conservez les preuves de réception et traitez le calendrier immédiatement.

Enfin, Maya doit distinguer ce que le recours peut résoudre. Une suspension de la clôture n’est pas, à elle seule, une injonction adressée au club de remettre les données. L’urgence doit être démontrée et la mesure demandée adaptée. Le CJA, Art. L.521-1, encadre la suspension d’une décision faisant l’objet d’un recours en annulation ou en réformation. Si le besoin est d’agir directement contre le traitement ou d’obtenir réparation, les voies des Art. 79 et 82 doivent être examinées séparément, sans attendre par principe l’achèvement du contentieux contre la CNIL.

Ce qu’il faut retenir

• L’Art. 78 couvre la décision contraignante et certaines situations d’inaction.
• Le délai CNIL annoncé pour sanctions et mises en demeure est de deux mois, porté à quatre pour un organisme à l’étranger.
• Trois mois sans clôture ne signifient pas automatiquement absence de traitement ou d’information.
• Les règles de représentation et d’urgence dépendent du recours concerné.

FAQ

Une société peut-elle invoquer l’article 78 ?

Oui. Son paragraphe 1 vise les personnes physiques et morales concernées par une décision juridiquement contraignante de l’autorité.

Où contester la décision d’une autorité d’un autre État membre ?

L’Art. 78(3) désigne les juridictions de l’État membre où cette autorité est établie. La règle est distincte de celle applicable à une action contre le responsable du traitement.

Un avis du CEPD doit-il être communiqué au juge national ?

Lorsque la décision contestée a été précédée d’un avis ou d’une décision du Comité dans le mécanisme de cohérence, l’Art. 78(4) impose à l’autorité de le transmettre à la juridiction concernée.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.