Comment porter plainte auprès de la CNIL : le guide pas à pas

Vous avez demandé à un organisme d'effacer vos données et rien ne bouge. Pas de réponse, un refus peu clair, ou une réponse qui ne règle rien. Dans ce cas, vous pouvez saisir la CNIL, l'autorité chargée de la protection des données en France. Cet article explique à quel moment le faire, comment, et ce qu'il faut avoir sous la main.

Nous nous appuyons uniquement sur deux pages de la CNIL, citées en fin d'article. Elles détaillent surtout le droit à l'effacement, et c'est celui-ci que nous prenons comme fil conducteur.

Le droit à l'effacement : ce qu'il permet

Vous avez le droit de demander à un organisme l'effacement de données à caractère personnel qui vous concernent. Il peut s'agir d'une photo gênante sur un site, ou d'une information collectée par un organisme que vous jugez inutile. Le texte de référence cité par la CNIL est l'article 17 du règlement général sur la protection des données (RGPD).

La CNIL indique que vous pouvez obtenir l'effacement si au moins une de ces situations correspond à votre cas :

• vos données sont utilisées à des fins de prospection ;
• elles ne sont pas ou plus nécessaires au regard des objectifs pour lesquels elles ont été collectées ;
• vous retirez votre consentement ;
• elles font l'objet d'un traitement illicite, par exemple la publication de données piratées ;
• elles ont été collectées quand vous étiez mineur, dans le cadre d'un blog, d'un forum, d'un réseau social ou d'un site web ;
• elles doivent être effacées pour respecter une obligation légale ;
• vous vous êtes opposé au traitement et le responsable du fichier n'a pas de motif légitime ou impérieux de refuser.

Ce droit a des limites. Il ne doit pas aller à l'encontre de la liberté d'expression et d'information, d'une obligation légale (la CNIL cite une facture, conservée dix ans), de certains usages d'intérêt public en matière de santé, de l'archivage, de la recherche ou des statistiques, ni de la défense de droits en justice. Un refus n'est donc pas forcément abusif : il peut reposer sur l'une de ces raisons.

À qui écrire en premier

La CNIL n'intervient pas en première ligne. Votre demande part d'abord vers l'organisme qui détient vos données.

Identifiez-le, puis cherchez sur son site la page consacrée à l'exercice de vos droits. Elle se cache souvent sous un intitulé comme « politique de confidentialité », « politique vie privée » ou « mentions légales ». Si vous peinez à trouver les coordonnées du délégué à la protection des données ou du responsable, la CNIL renvoie vers une fiche pratique dédiée.

Deux cas particuliers, selon la CNIL :

• pour un contenu gênant sur un réseau social, la suppression se demande directement auprès du site ;
• pour qu'un lien ne soit plus référencé à votre nom et prénom, il faut contacter directement le moteur de recherche.

Ce qu'il faut mettre dans la demande

Vous pouvez écrire par voie électronique (formulaire, adresse e-mail, bouton prévu sur le site) ou par courrier.

Le point le plus important : indiquez précisément les données à effacer. La CNIL le souligne, car l'exercice de ce droit n'entraîne pas la suppression simple et définitive de tout ce qu'un organisme détient sur vous. Deux exemples donnés par la CNIL :

• demander l'effacement de votre photo sur un site n'aboutit pas à la suppression de votre compte ;
• demander la suppression de votre compte n'entraîne pas celle des factures et documents comptables, soumis à une obligation légale de conservation.

Côté identité, l'organisme ne peut vous demander un justificatif que s'il a des doutes raisonnables sur qui vous êtes, par exemple pour éviter une usurpation d'identité. Il ne peut pas réclamer des pièces abusives, non pertinentes ou disproportionnées. Si on vous en demande trop, gardez aussi la trace de cet échange.

La CNIL propose des modèles à personnaliser, notamment pour supprimer des données personnelles et pour clôturer un compte en ligne.

Conserver la preuve de vos démarches

Cette étape pèse lourd si vous devez ensuite saisir la CNIL. La CNIL la décrit comme primordiale.

• Par voie électronique : faites une capture d'écran de votre demande et de la réponse, et conservez une copie du courriel ou de votre demande en ligne.
• Par courrier : demandez un accusé de réception. Il prouvera la date de votre démarche.

Pour la capture d'écran, la CNIL indique la touche « impr écran » sur PC, ou le raccourci cmd + MAJUSCULE + 4 sur Mac.

Les délais à connaître

Selon la CNIL, le responsable du fichier doit procéder à l'effacement dans les meilleurs délais et au plus tard dans un délai d'un mois. Ce délai peut être porté à trois mois compte tenu de la complexité de la demande. Dans ce cas, l'organisme doit vous informer des raisons de cette prolongation.

Concrètement :

1. Notez la date à laquelle vous avez envoyé votre demande (d'où l'intérêt de l'accusé de réception ou de la capture d'écran).
2. Si l'organisme vous écrit pour annoncer une prolongation et en donne les raisons, conservez ce message.
3. Si aucune réponse n'est venue sous un mois, ou si la réponse est insatisfaisante, la CNIL indique que vous pouvez la saisir.

Les pages que nous avons consultées ne détaillent pas de délais pour les autres droits. Pour une demande d'accès, reportez-vous à la page de la CNIL consacrée au droit d'accès plutôt qu'à cet article.

Si l'organisme ne répond pas : saisir la CNIL

Trois situations ouvrent cette possibilité pour l'effacement : un refus, une réponse insatisfaisante, ou une absence de réponse sous un mois.

La CNIL propose une page de plaintes en ligne. Elle fonctionne en trois étapes :

1. le choix d'une rubrique ;
2. la précision de votre demande ;
3. vos démarches.

Les rubriques visibles sur la page sont : banque et crédit, commerce, internet, téléphonie, travail, et un choix « autres cas ». Choisissez celle qui se rapproche le plus de l'organisme concerné. Si vous hésitez, « autres cas » existe pour cela.

Nous ne décrivons pas ici le détail des écrans suivants, ni ce qu'il se passe après l'envoi : les pages que nous avons lues ne le précisent pas, et nous préférons ne rien affirmer de plus.

Ce qu'il faut avoir sous la main

Pour que votre dossier tienne la route, rassemblez avant de commencer :

• le nom de l'organisme et la page où vous avez trouvé comment exercer vos droits ;
• votre demande, telle que vous l'avez envoyée, avec sa date ;
• l'accusé de réception si vous avez écrit par courrier, ou la copie du courriel ou de la demande en ligne ;
• la réponse de l'organisme s'il y en a eu une, ou la preuve qu'il n'y en a pas eu ;
• les captures d'écran de ces échanges ;
• le cas échéant, la demande de pièces d'identité de l'organisme, si elle vous paraît excessive.

La CNIL ne publie pas, sur les pages citées, de liste officielle des pièces à joindre. Cette liste est donc la nôtre, construite à partir de ce qu'elle présente comme utile pour la saisir : conserver une copie de vos démarches et prouver leur date.

Avant de vous lancer : voir ce qui circule sur vous

Pour savoir à qui écrire, il faut déjà savoir où se trouvent vos données. Cela peut venir d'un site connu, d'un courtier en données qui recoupe et revend des informations, ou d'une fuite de données ancienne.

L'analyse gratuite de Remove Me, sans compte, cherche dans les résultats web publiquement visibles, dans les fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données. Le bilan s'affiche ensuite, débloqué par un code à 6 chiffres envoyé par e-mail.

Un bilan vide ne prouve pas que rien n'existe : il montre seulement ce que nous avons pu voir. Et Remove Me n'envoie pas encore de demandes d'effacement à votre place. Cette démarche reste la vôtre, avec les étapes décrites plus haut.

En résumé

• Écrivez d'abord à l'organisme, en précisant les données concernées.
• Conservez la preuve de votre demande et de sa date.
• Laissez passer un mois, ou davantage si l'organisme justifie une prolongation.
• Si le silence ou la réponse ne vous satisfait pas, déposez une plainte sur la page de la CNIL.

L'équipe Remove Me