Pour porter plainte après la divulgation de vos données personnelles, trois voies existent et se cumulent : une plainte à la CNIL pour faire sanctionner un organisme, une plainte pénale pour viser l’auteur, et une action civile pour obtenir réparation. Seule la dernière peut vous valoir de l’argent ; la CNIL, elle, indique ne pas pouvoir vous obtenir de dommages et intérêts.
Je ne suis pas juriste. Cette page résume des sources officielles (CNIL, Légifrance, service-public.gouv.fr, consultées le 13 octobre 2026). Pour un litige à enjeu, préjudice financier, harcèlement, atteinte à la réputation, faites-vous accompagner par un avocat.
Choisir la bonne voie
| Vous êtes dans ce cas | Voie à engager | Ce que vous obtenez |
|---|---|---|
| Une entreprise, une association ou une administration a laissé fuiter ou transmis vos données | Exercer d’abord vos droits auprès d’elle, puis plainte à la CNIL | Le contrôle et la sanction éventuelle de l’organisme |
| Quelqu’un a publié ou transmis vos informations (voisin, ex, internaute) | Signalement à la plateforme, puis plainte pénale | L’enquête et la condamnation éventuelle de l’auteur |
| Vous avez subi un préjudice (financier, moral) | Constitution de partie civile ou action civile | Des dommages et intérêts |
| Vous avez saisi un faux site (hameçonnage) | THESEE, plateforme de l’État pour les arnaques en ligne, et signalements à 33700 ou Signal Spam | Un dépôt de plainte en ligne |
La CNIL contrôle les organismes. Pour une publication faite par un particulier sur un réseau social, je n’ai pas trouvé dans ses pages de procédure à ce sujet : la voie la plus directe est la plateforme, puis la plainte pénale.
Qu’est-ce qu’une divulgation illicite ?
Une donnée personnelle est toute information se rapportant à une personne identifiée ou identifiable, directement ou indirectement (nom, adresse, numéro de téléphone, e-mail, adresse IP, photo, données de santé), selon l’article 4 du RGPD. Il y a divulgation illicite quand elle est portée à la connaissance d’un tiers qui n’a pas à la recevoir, sans votre accord et sans base légale. Par exemple :
- une entreprise transmet votre fichier client à un partenaire sans votre consentement ;
- un ancien employeur communique vos coordonnées ou votre situation à un tiers ;
- quelqu’un publie votre adresse, votre numéro ou des captures de conversations privées ;
- un professionnel ou une administration laisse fuiter un document qui vous concerne.
1. Plainte à la CNIL
La CNIL est l’autorité de contrôle en France. D’après sa page Adresser une plainte :
- Exercez d’abord vos droits auprès de l’organisme (ou de son délégué à la protection des données) : effacement, opposition, accès. C’est une condition, pas un conseil. Il a un mois pour répondre, prolongeable de deux mois pour une demande complexe. Conservez la preuve de votre demande. Le modèle de demande d’effacement est sur la page Just Delete Me.
- Rédigez la plainte en français, avec le nom, les coordonnées et le numéro SIREN de l’organisme, votre identité, les copies des échanges, les URL concernées et ce qui prouve votre qualité (client, salarié, adhérent).
- Déposez-la en ligne sur le service de plaintes de la CNIL (un compte est à créer) ou par courrier au service des plaintes de la CNIL, 3 place de Fontenoy, 75007 Paris. Ne passez pas par le téléservice de notification de violation : il est réservé aux organismes, la CNIL précise que les plaintes qui y sont envoyées ne sont pas prises en compte.
- Suivez l’instruction. La CNIL vise à vous informer de l’avancement au moins dans les trois mois suivant le dépôt. Si elle constate un manquement, elle peut prononcer un rappel, une mise en demeure ou une sanction financière. Pour contester un classement, un recours gracieux par courrier est possible dans les deux mois, puis le Conseil d’État.
Ce qu’elle ne fait pas : exercer vos droits à votre place, vous obtenir des dommages et intérêts, ou condamner pénalement pour harcèlement ou diffamation.
Décrivez les faits de manière factuelle et chronologique : « Le 12 mars, l’organisme X a communiqué mon numéro à Y sans mon accord. » Numérotez chaque preuve jointe.
Si c’est une fuite de données
Une entreprise victime d’une violation de données doit la notifier à la CNIL dans les meilleurs délais, avec une notification initiale attendue sous 72 heures si possible, et informer les personnes concernées en cas de risque élevé (CNIL, consultée le 13 octobre 2026). Ce n’est pas à vous de le faire, mais vous pouvez agir :
- changez les mots de passe des comptes concernés, et de tout compte qui réutilisait le même ;
- surveillez vos e-mails, vos SMS et vos relevés bancaires : une fuite sert souvent à de l’hameçonnage ciblé ;
- si l’entreprise ne vous a rien dit, exercez votre droit d’accès auprès d’elle, puis saisissez la CNIL ;
- avant de saisir vos données sur un site qui vous paraît douteux, regardez ce que disent les sources publiques avec vérifier si un site est fiable.
2. Plainte pénale
La divulgation peut constituer une infraction. Les sanctions :
| Fondement | Fait visé | Peine maximale |
|---|---|---|
| Article 226-22 du Code pénal | Communiquer sans autorisation à un tiers non habilité des données dont la divulgation porterait atteinte à la considération ou à l’intimité de la vie privée | 5 ans et 300 000 € |
| Article 226-22 (imprudence ou négligence) | Même divulgation par imprudence ou négligence | 3 ans et 100 000 € |
| Article 226-18 | Collecter des données par un moyen frauduleux, déloyal ou illicite | 5 ans et 300 000 € |
| Article 226-1 | Atteinte à l’intimité de la vie privée (propos ou image captés en lieu privé, localisation, sans consentement) | 1 an et 45 000 € |
| RGPD, article 83 | Manquement d’un organisme à ses obligations (sanction administrative de la CNIL) | Jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial |
Ce sont des maximums : le juge ajuste selon la gravité, l’intention et le préjudice.
Pour l’article 226-22, Légifrance indique que les poursuites ne peuvent être engagées que sur plainte de la victime, de son représentant légal ou de ses ayants droit. Sans votre plainte, le parquet ne peut pas poursuivre de lui-même : votre dépôt est la condition d’ouverture de l’action.
Comment déposer plainte (d’après service-public.gouv.fr) :
- Au commissariat ou à la gendarmerie de votre choix : ils doivent enregistrer la plainte, même si les faits ont eu lieu ailleurs. Gardez le récépissé.
- Par courrier au procureur de la République du tribunal judiciaire du lieu de l’infraction ou du domicile de l’auteur : vos coordonnées, le récit détaillé, l’auteur ou les témoins connus, le préjudice estimé et les preuves.
- En ligne seulement dans certains cas : atteinte aux biens d’auteur inconnu (service de plainte en ligne), arnaque sur internet comme l’hameçonnage ou le faux site (THESEE). La plainte en ligne n’est pas possible si vous connaissez l’auteur.
- Contre « X » si vous ne connaissez pas l’auteur : décrire les faits suffit, inutile de nommer l’infraction.
Si la plainte est classée sans suite, ou si rien ne bouge pendant 3 mois après le dépôt, vous pouvez déposer une plainte avec constitution de partie civile devant le juge d’instruction, preuve de la première plainte à l’appui. Le juge fixe une consignation selon vos ressources, non exigée si vous avez l’aide juridictionnelle.
3. Action civile : obtenir réparation
C’est la seule voie qui indemnise. L’article 82 du RGPD ouvre un droit à réparation du dommage matériel comme du dommage moral. Vous pouvez la porter devant le tribunal judiciaire, ou vous constituer partie civile dans le procès pénal. C’est le moment où un avocat est le plus utile : pour chiffrer le préjudice et choisir le fondement.
Cas fréquents
- Employeur ou ancien employeur : salaire, coordonnées, motif de départ ou état de santé transmis à un tiers sans motif légitime. Réunissez les échanges, exercez vos droits auprès de l’employeur, puis saisissez la CNIL. Si le litige s’inscrit dans la relation de travail, le conseil de prud’hommes peut aussi être compétent.
- Publication sur un réseau social : demandez d’abord le retrait à la plateforme, gardez des captures horodatées (avec la date et l’URL visibles), puis portez plainte. Si l’auteur est anonyme, la plainte permet à l’enquête de l’identifier.
- Résultats de recherche : un lien vers la page peut être retiré des moteurs par une demande de déréférencement, sans que la page disparaisse de sa source ; la marche à suivre est décrite dans la page Just Delete Me.
Preuves et délais
- Délai : 6 ans pour un délit (1 an pour une contravention, 20 ans pour un crime), en principe à compter du jour de l’infraction (service-public.gouv.fr). La saisine de la CNIL ne le suspend pas : si vous visez une condamnation, ne l’attendez pas.
- Ne supprimez rien, même si le contenu vous met mal à l’aise : une capture horodatée, l’URL d’une publication ou l’en-tête complet d’un e-mail sont souvent décisifs. Sauvegardez-les hors de l’appareil concerné.
- Restez factuel dans vos échanges avec l’auteur : ils peuvent devenir des preuves.
- Cloisonnez vos comptes : après une divulgation, d’autres services peuvent être visés, surtout si vous réutilisez des identifiants. Un gestionnaire de mots de passe aide (celui de Chrome est décrit dans la page gestionnaire de mot de passe Google), et un bloqueur de pub choisi selon votre navigateur réduit le suivi, sans effacer ce qui a déjà été collecté.
Une fois la situation traitée, la rubrique sécurité et vie privée rassemble les pages pour réduire votre exposition.