Règlement (UE) 2016/679, article 77

Une réclamation a été déposée contre votre organisation

L'article 77 du règlement (UE) 2016/679 donne à toute personne le droit d'introduire une réclamation auprès d'une autorité de contrôle si elle considère que le traitement de ses données constitue une violation du règlement. La très grande majorité des procédures ouvertes par l'autorité française naissent de cette voie, et non d'une initiative spontanée.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que l'article 77 ouvre à la personne

Le paragraphe 1 permet à toute personne concernée d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise. Le paragraphe 2 impose à l'autorité saisie d'informer l'auteur de la réclamation de l'état d'avancement et de l'issue de celle-ci, y compris de la possibilité d'un recours juridictionnel au titre de l'article 78, dans un délai de trois mois.

Ce droit est gratuit, ne suppose aucun formalisme et s'exerce indépendamment de toute action devant les juridictions, que l'article 79 ouvre par ailleurs. La réclamation peut porter sur n'importe quel manquement, mais deux motifs dominent largement : l'absence de réponse à une demande d'exercice des droits, et la réception de prospection malgré une opposition.

Comment l'instruction se déroule

L'autorité saisie apprécie d'abord sa compétence, notamment au regard du mécanisme d'autorité chef de file du chapitre VII lorsque le traitement est transfrontalier. Elle examine ensuite le grief et, le plus souvent, adresse à l'organisation une demande d'observations portant sur les faits allégués.

Cette demande est le moment décisif. Elle porte sur un cas individuel, mais elle appelle la production de pièces qui décrivent le traitement dans son ensemble : base légale, information délivrée, durées, procédure de réponse aux demandes. Une organisation qui répond en traitant le seul cas individuel sans pouvoir produire ces pièces transforme un litige ponctuel en constat général.

Il en résulte une règle simple : la réponse doit régler le cas de la personne et, séparément, établir que le traitement est conforme. Ces deux volets ne se substituent pas l'un à l'autre.

Régler le cas individuel, sans en faire un aveu

Lorsque la réclamation est fondée — une demande d'accès restée sans réponse, une opposition à la prospection non exécutée —, la première action consiste à y donner suite immédiatement et à en informer l'autorité. Cette exécution tardive ne vaut pas reconnaissance d'un manquement systémique ; elle est en revanche prise en compte au titre des mesures prises pour atténuer le dommage, que vise l'article 83.2.

Lorsque la réclamation n'est pas fondée, la réponse expose les motifs, en s'appuyant sur les dispositions applicables : une demande d'effacement refusée au titre de l'article 17.3, une prospection adressée dans le cadre d'une relation contractuelle existante, un délai suspendu par une vérification d'identité justifiée au titre de l'article 12.6. Ces motifs sont recevables lorsqu'ils sont documentés à la date des faits, non lorsqu'ils sont reconstitués.

Le contact direct avec la personne, lorsqu'il est encore possible, règle une partie des situations. Il ne doit comporter aucune contrepartie : subordonner l'exécution d'un droit au retrait de la réclamation est en soi un manquement, puisque l'exercice d'un droit ne se négocie pas.

Ce que la réclamation révèle souvent

Une réclamation isolée est rarement isolée dans ses causes. Une demande restée sans réponse signale le plus souvent l'absence de circuit de remontée depuis les points d'entrée ordinaires — accueil, service client, adresse générique. Une prospection malgré opposition signale une désynchronisation entre les listes de diffusion et le registre des oppositions.

Traiter la cause plutôt que le cas est, ici, la seule stratégie qui réduise l'exposition : l'autorité qui reçoit une seconde réclamation de même nature sur la même organisation dispose alors d'un élément de caractère répétitif, que l'article 83.2 fait expressément entrer en compte.

Questions fréquentes

L'auteur d'une réclamation est-il identifié auprès de l'organisation ?

L'instruction suppose que l'organisation puisse répondre sur des faits déterminés, ce qui implique en pratique de connaître la situation visée. La procédure est conduite par l'autorité de contrôle, qui détermine les éléments communiqués. L'organisation ne peut en aucun cas prendre de mesure défavorable à l'égard de la personne en raison de sa réclamation.

Combien de temps l'autorité met-elle à instruire une réclamation ?

L'article 77.2 du règlement (UE) 2016/679 impose à l'autorité d'informer l'auteur de la réclamation de son état d'avancement et de son issue dans un délai de trois mois, ainsi que de la possibilité d'un recours juridictionnel au titre de l'article 78. La durée réelle de l'instruction varie selon la complexité du dossier et la nature des griefs.

Une réclamation conduit-elle nécessairement à une sanction ?

Non. Une part importante des réclamations se clôt après que l'organisation a donné suite à la demande individuelle et justifié la conformité du traitement. L'autorité dispose de l'éventail de l'article 58.2, qui va du rappel à l'ordre à l'amende, et elle apprécie au regard des circonstances, dont la réaction de l'organisation.

Un salarié peut-il saisir la CNIL contre son employeur ?

Oui. L'article 77 du règlement ouvre la réclamation à toute personne concernée, sans considération de sa qualité, et vise expressément l'autorité de l'État membre du lieu de travail. Les réclamations de salariés portent le plus souvent sur les dispositifs de contrôle de l'activité et sur l'accès au dossier personnel.

Ce que ce régime déclenche ailleurs

Les réclamations émanant de salariés visent principalement la vidéosurveillance, la géolocalisation et la journalisation : leur proportionnalité se documente avant, pas pendant l'instruction.

Les dispositifs de contrôle des salariés

Qualifier la violation, tenir le délai de 72 heures, articuler les régimes de notification, et les décisions à prendre dans les premières heures.

Rançongiciel

Les quatre échéances de l'article 113, ce que chacune rend applicable, et ce qu'il faut avoir fait avant la suivante.

Calendrier AI Act

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.