Article 79 RGPD : agir contre le responsable du traitement

Une personne peut agir en justice contre le responsable du traitement ou un sous-traitant lorsqu’elle estime que ses droits RGPD ont été violés. L’Art. 79 ouvre cette voie juridictionnelle, distincte d’une plainte à la CNIL. Il précise aussi dans quel État membre l’action peut être engagée.

Article 79 : une action contre l’organisme

L’Art. 79(1) garantit un recours effectif à la personne concernée si elle considère que ses droits ont été violés par un traitement de ses données contraire au règlement. Ce droit s’exerce sans préjudice des recours administratifs ou extrajudiciaires, y compris la réclamation auprès d’une autorité. Source : RGPD, Art. 79(1).

La réclamation de l’article 77 n’est donc pas présentée par cet article comme un préalable obligatoire. En revanche, les conditions procédurales de l’action envisagée doivent être vérifiées : juridiction, représentation, délais et demandes recevables.

Dans quel État membre agir ?

L’Art. 79(2) prévoit :

• les juridictions de l’État membre où le responsable ou le sous-traitant dispose d’un établissement ;
• également celles de l’État membre de la résidence habituelle de la personne concernée, sauf si le défendeur est une autorité publique d’un État membre agissant dans l’exercice de ses prérogatives de puissance publique.

Le texte parle d’un établissement, pas uniquement de l’établissement principal utilisé pour identifier l’autorité chef de file. Il ne faut pas transposer automatiquement les règles du guichet unique à la compétence du juge. Source : Art. 79(2).

Cette règle désigne un État membre. Elle ne suffit pas, à elle seule, à désigner le tribunal précis à l’intérieur de cet État. En France, la nature du défendeur et du litige doit être examinée ; toutes les actions RGPD ne relèvent pas par principe d’une même juridiction parisienne.

Distinguer les demandes

Notre guide des recours de l’article 78 concerne l’autorité, tandis que celui de l’article 82 traite de la réparation. L’accès au juge n’implique pas une indemnisation automatique : l’Art. 82(1) vise un dommage matériel ou moral subi du fait d’une violation.

Constituer une chronologie utile

Avant de choisir une procédure, réunir les éléments qui permettent de comprendre la difficulté : identité de l’organisme, traitement concerné, dates, demande formulée, réponse reçue et effet concret du manquement allégué.

Exemple hypothétique : une personne demande l’effacement de données utilisées pour une campagne publicitaire et reçoit encore des messages. Les pièces utiles comprennent la demande, la réponse éventuelle, les messages ultérieurs et les informations permettant d’identifier leur origine. Ce dossier doit permettre de distinguer la poursuite de cette prospection d’une conservation séparée imposée pour d’autres finalités.

Si plusieurs actions existent dans différents États membres, leur coordination doit aussi être examinée. L’article 81 prévoit un contact entre juridictions et, sous ses conditions, une suspension ou un dessaisissement.

Identifier le traitement et l’acteur visé

Une marque commerciale, une plateforme et l’entité qui décide du traitement peuvent être différentes. Réunissez les éléments permettant d’identifier l’organisme : notice d’information, contrat, coordonnées du service sollicité et réponses reçues. Si plusieurs sociétés apparaissent, notez le rôle attribué à chacune et les points qui restent incertains.

La présence d’un prestataire technique ne signifie pas que toutes les demandes doivent lui être adressées seul. La qualification dépend notamment de celui qui détermine les finalités et les moyens et de celui qui agit pour son compte. Les définitions des Art. 4(7) et (8), ainsi que les obligations pertinentes de l’Art. 28, doivent être rapprochées des faits. Une désignation contractuelle apporte une information ; elle ne résout pas automatiquement toutes les responsabilités.

Délimitez aussi l’opération contestée. « L’entreprise possède mes données » est trop général pour expliquer un manquement. Le problème peut porter sur une collecte, une divulgation, une durée de conservation ou la réponse à un droit. Plusieurs opérations peuvent coexister sans avoir la même finalité ni le même fondement. Cette distinction rend les demandes et les pièces plus précises.

Formuler le résultat recherché

Avant d’engager une action, décrivez le changement attendu : obtenir l’accès à certaines données, faire rectifier une information, contester une conservation ou faire cesser une utilisation. Il faut ensuite examiner le droit invoqué et ses conditions. L’effacement, par exemple, comporte les situations de l’Art. 17(1) et les exceptions de l’Art. 17(3) ; ce droit ne signifie pas que toute donnée doit disparaître dès qu’une personne le demande.

Si vous recherchez également une indemnisation, distinguez cette demande de la correction du traitement. L’Art. 82 vise un dommage matériel ou moral causé par une violation. Préparez les éléments relatifs au manquement allégué, au dommage et au lien entre eux. Un montant choisi pour exprimer un mécontentement ne remplace pas l’analyse de ces conditions.

La grille suivante est une aide à la préparation du dossier, sans constituer un acte de procédure :

Conserver les preuves avec leur contexte

Gardez les messages dans une forme permettant de retrouver leur date, leur destinataire et leur contenu. Une capture isolée peut être utile, mais elle doit être accompagnée des informations nécessaires à sa compréhension. Pour une page web, notez l’adresse et la date de consultation. Pour un échange avec un service client, conservez la référence du dossier et les réponses successives.

Distinguez les faits directement constatés des interprétations. Recevoir un message après une demande peut soulever une difficulté ; il faut encore identifier son auteur, sa finalité et sa date de préparation ou d’envoi lorsque ces éléments sont disponibles. Ne présentez pas comme certaine une transmission à un tiers dont vous n’avez pas la preuve.

Les pièces doivent également être proportionnées au litige. Évitez de communiquer des dossiers concernant d’autres personnes sans nécessité pour la démarche engagée. Si un document comporte des informations confidentielles ou sensibles, faites examiner ses modalités d’utilisation. Le besoin de prouver un fait n’autorise pas indistinctement toute collecte ou toute diffusion.

Approfondir l’exemple de la prospection persistante

Reprenons l’exemple fictif d’une personne qui reçoit encore des publicités après sa demande. Supposons qu’elle ait écrit au service indiqué dans la notice, reçu une confirmation et conservé deux messages ultérieurs. Ces seules pièces ne permettent pas de conclure que tous les fichiers du groupe sont concernés ni de fixer une indemnité.

La première question consiste à vérifier si la demande comportait une opposition à la prospection. L’Art. 21(2) et (3) prévoit que les données ne sont plus traitées à cette fin lorsque la personne s’y oppose, y compris pour le profilage lié à cette prospection. Cette analyse est distincte du maintien éventuel de données pour une obligation comptable ou un contentieux identifié.

Le dossier peut donc séparer la campagne contestée, la réponse apportée et la conservation invoquée pour une autre finalité. Si l’organisme explique qu’un prestataire a envoyé les messages, cette réponse doit être rapprochée du rôle des acteurs et des instructions applicables. L’exemple reste une méthode de préparation : il ne décrit pas un jugement rendu ni un dommage déjà établi.

Organiser les démarches parallèles et leurs échéances

La personne peut disposer de plusieurs voies, mais chacune a son objet. Une réclamation auprès de l’autorité et une action contre l’organisme ne doivent pas être suivies dans un dossier indifférencié. Conservez pour chacune la référence, les demandes formulées, les actes reçus et les prochaines échéances à vérifier.

Le délai de trois mois mentionné à l’Art. 78(2) concerne notamment l’information par l’autorité sur l’avancement ou l’issue d’une réclamation. Il ne constitue pas une attente obligatoire de trois mois avant l’action de l’Art. 79. Il ne fixe pas davantage la prescription de toutes les demandes dirigées contre le responsable ou le sous-traitant.

Ne présumez pas non plus qu’un échange amiable modifie les délais de l’action envisagée. Cette question doit être examinée selon les règles procédurales applicables. Un calendrier de préparation interne aide à réunir les pièces, mais il ne remplace pas l’identification de la juridiction, des formalités et des délais légaux.

Préparer la consultation et actualiser le dossier

Pour faire examiner la voie judiciaire, réunissez une synthèse courte accompagnée des pièces numérotées. Indiquez le résultat recherché, l’identité des acteurs, les pays concernés et les démarches déjà entreprises. Cette présentation permet de vérifier plus efficacement la compétence et les conditions de l’action, sans imposer une procédure uniforme à des litiges différents.

Si l’organisme répond ou corrige le traitement pendant cette préparation, conservez cette évolution. Une correction peut modifier la demande utile sans répondre à toutes les questions sur le passé ou sur un dommage allégué. À l’inverse, l’absence de réponse ne démontre pas automatiquement tous les griefs possibles. Le dossier doit rester fidèle à son état réel au moment où la démarche est décidée.

Ce qu’il faut retenir

• L’Art. 79 ouvre une voie judiciaire contre le responsable ou le sous-traitant.
• La saisine de la CNIL n’est pas un préalable posé par cet article.
• Établissement du défendeur et résidence habituelle déterminent les options prévues, avec une exception pour la puissance publique.
• Juridiction nationale précise, délais et réparation exigent une analyse complémentaire.

FAQ

Dois-je attendre une décision de la CNIL avant d’agir ?

L’Art. 79 garantit le recours sans préjudice de la réclamation administrative. Il faut néanmoins organiser les démarches et vérifier les règles procédurales applicables à l’action envisagée.

L’article 79 impose-t-il un délai de prescription de cinq ans ?

Il ne fixe pas un tel délai. La prescription et son point de départ doivent être déterminés selon le droit applicable et la nature de la demande, sans généraliser une durée à tous les litiges.

Puis-je demander automatiquement une indemnité si le RGPD est violé ?

L’Art. 79 ouvre le recours. Une demande indemnitaire doit être examinée au regard de l’Art. 82, qui exige notamment un dommage causé par la violation.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.