Une demande de droit d’accès qui reste sans réponse peut justifier une réclamation auprès de la CNIL, à condition de conserver les preuves de la démarche et de respecter les délais applicables. Cette plainte permet de signaler un problème de protection des données personnelles, mais ne garantit ni une décision immédiate ni une indemnisation.
Pour distinguer le silence de l’organisme responsable de celui de la CNIL, il faut suivre deux chronologies différentes. Les délais, les pièces à réunir et les recours possibles dépendent de l’étape concernée.
A retenir :
- Délai d’un mois pour répondre à une demande relative aux droits RGPD
- Preuves datées des échanges avec l’organisme responsable
- Réclamation CNIL précise, documentée et limitée aux faits vérifiables
- Suivi distinct des recours et d’une éventuelle demande d’indemnisation
Absence de réponse à une demande RGPD : quand saisir la CNIL
Droit d’accès : le délai laissé à l’organisme
Lorsqu’une demande porte sur des données personnelles, l’organisme doit en principe répondre dans un délai d’un mois. Selon l’article 12(3) du RGPD, il peut prolonger ce délai de deux mois si la demande est complexe ou nombreuse, mais doit en informer la personne durant le premier mois et expliquer pourquoi.
Camille, adhérente d’une association fictive, demande le 12 janvier une copie des données liées à son compte. Si elle ne reçoit aucune réponse ni avis de prolongation au 12 février, elle peut relancer l’association et préparer les éléments d’une réclamation. Une relance aide à clarifier la situation, mais ne crée pas automatiquement un nouveau délai au bénéfice de l’organisme.
Réclamation CNIL : les démarches préalables utiles
Selon la CNIL, lorsqu’un droit n’a pas été respecté, il faut d’abord s’adresser à l’organisme concerné et conserver la trace de cette demande. En cas de refus ou de réponse incomplète, expliquez précisément ce qui manque avant de transmettre votre plainte.
La démarche préalable permet à l’organisme responsable de traiter la demande et aide la CNIL à comprendre le différend. Elle ne doit pas être confondue avec une obligation d’obtenir son autorisation pour signaler toute autre atteinte à la protection des données.
Les pièces utiles pour une demande d’accès sans réponse :
- Copie de la demande initiale et date d’envoi
- Accusé de réception ou preuve de transmission disponible
- Relance envoyée et éventuelle réponse de l’organisme
- Coordonnées permettant d’identifier clairement le responsable
| Situation | Élément à vérifier | Pièce utile |
|---|---|---|
| Demande sans réponse | Date de transmission et délai écoulé | Courriel envoyé ou justificatif du formulaire |
| Réponse incomplète | Droit exercé et informations manquantes | Demande initiale et réponse reçue |
| Prolongation annoncée | Information reçue dans le premier mois | Message précisant les motifs |
| Doute sur l’identité | Renseignements complémentaires demandés | Demande de vérification et réponse transmise |
Une fois ces éléments réunis, la qualité du récit compte autant que le nombre de documents joints. Un dossier lisible permet de passer des échanges dispersés à des faits vérifiables.
Préparer une plainte à la CNIL avec des faits vérifiables
Présenter une chronologie simple et complète
La réclamation gagne en clarté lorsqu’elle précise le droit exercé, l’identité de l’organisme et les dates essentielles. Selon les indications de la CNIL, les justificatifs des démarches préalables et de l’absence de réponse facilitent l’examen de la recevabilité.
Dans le cas de Camille, le dossier peut mentionner la demande du 12 janvier, l’accusé de réception, puis la relance du 16 février restée sans réponse. Elle décrit le problème d’accès sans affirmer, faute de preuve, que l’association aurait vendu ses données ou dissimulé des informations.
Pour rédiger une réclamation exploitable :
- Décrire le traitement contesté et le droit exercé
- Indiquer les dates sans transformer une supposition en fait
- Joindre des copies lisibles plutôt que des originaux
- Écarter les échanges sans rapport et les données de tiers
Un dossier peut être déposé par le téléservice de la CNIL ou par courrier. Si une information manque, mieux vaut l’indiquer franchement que présenter une date de rédaction comme une preuve certaine d’envoi.
Réponse tardive, réponse partielle et mise en demeure
Si l’organisme répond après le dépôt, transmettez cette évolution à la CNIL et distinguez ce qui est résolu de ce qui reste contesté. Une réponse tardive peut régler l’accès aux données, sans effacer le retard ni entraîner automatiquement une sanction ou la clôture du dossier.
Une mise en demeure n’est pas une étape que la personne doit nécessairement accomplir elle-même avant de saisir la CNIL. L’autorité décide des suites relevant de ses pouvoirs ; la réclamation ne constitue pas, à elle seule, une demande de dommages et intérêts.
| Évolution du dossier | Action utile | Précaution |
|---|---|---|
| Aucune réponse de l’organisme | Transmettre demande et preuves d’envoi | Ne pas avancer de motifs non établis |
| Réponse partielle | Identifier précisément les éléments manquants | Distinguer absence de réponse et réponse incomplète |
| Réponse reçue après la plainte | Informer la CNIL de la nouvelle situation | Préciser les points encore contestés |
| Demande de vérification d’identité | Joindre la demande et les échanges associés | Ne pas transmettre spontanément des pièces inutiles |
Silence de la CNIL : suivre la réclamation et connaître les recours
Après trois mois, demander où en est le dossier
Le délai accordé à l’organisme pour répondre à une demande RGPD ne correspond pas au suivi de la plainte auprès de la CNIL. Selon la CNIL, ses services peuvent renseigner une personne sur l’avancement lorsque sa réclamation a été adressée depuis plus de trois mois.
Si le dépôt a été effectué par le téléservice, la personne peut consulter son compte CNIL. Elle peut aussi contacter l’autorité par le canal prévu à cet effet en indiquant le numéro de dossier communiqué dans l’accusé de réception.
Pour suivre une réclamation déjà déposée :
- Conserver le numéro de dossier et l’accusé de réception
- Attendre plus de trois mois avant la demande de suivi indiquée par la CNIL
- Utiliser le compte associé au téléservice ou le contact officiel
- Rappeler la référence dans chaque échange relatif au dossier
Selon les articles 77 et 78 du RGPD, la personne doit être informée de l’avancement ou de l’issue de sa réclamation et peut disposer d’un recours si l’autorité ne la traite pas ou ne l’informe pas dans les conditions prévues. Trois mois ne signifient donc pas que chaque dossier doit être définitivement clos.
Réclamation, action en justice et réparation : des voies distinctes
La CNIL peut examiner un manquement relevant de ses compétences, mais sa procédure ne remplace pas une action contre l’organisme responsable devant un juge. L’article 79 du RGPD prévoit le recours juridictionnel contre le responsable du traitement ou son sous-traitant.
Une demande de réparation répond à une autre finalité et relève notamment de l’article 82 du RGPD. Avant d’engager un recours, clarifiez le résultat recherché : faire examiner une pratique, contester l’inaction d’une autorité ou obtenir réparation d’un dommage allégué.
Cette distinction évite d’attendre d’une plainte administrative une indemnisation qu’elle ne décide pas elle-même. Pour préparer le suivi, gardez une chronologie unique regroupant les échanges avec l’organisme et ceux adressés à la CNIL.
Source : CNIL, « Vous avez écrit mais vous n’avez pas reçu de réponse » et informations sur le suivi d’une plainte ; Règlement général sur la protection des données, articles 12, 77, 78, 79 et 82.
