Pour porter plainte après la divulgation de vos données personnelles, vous disposez de trois recours cumulables : une plainte auprès de la CNIL pour faire sanctionner l’organisme, une plainte pénale auprès du procureur si la divulgation constitue une infraction, et une action civile pour obtenir des dommages et intérêts. Chacun poursuit un but différent, et rien ne vous empêche de les engager en parallèle.
La divulgation de données personnelles sans votre accord n’est pas un simple désagrément : c’est un fait sanctionné par le Code pénal et par le RGPD. Ce guide vous explique quelle procédure choisir, où déposer votre plainte, quelles preuves réunir et quelles sanctions encourent les responsables.
Cet article a une vocation informative et ne remplace pas l’avis d’un avocat. Pour un litige à enjeu (préjudice financier, réputation, harcèlement), faites-vous accompagner par un professionnel du droit.
Qu’est-ce qu’une divulgation illicite de données personnelles ?
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable : nom, adresse, numéro de téléphone, e-mail, adresse IP, photo, numéro de sécurité sociale, données de santé, situation financière. La définition, posée par l’article 4 du RGPD, est volontairement large.
Il y a divulgation illicite lorsque l’une de ces informations est portée à la connaissance d’un tiers qui n’a pas à la recevoir, sans votre autorisation et sans base légale. Quelques exemples concrets :
- Une entreprise qui transmet votre fichier client à un partenaire sans votre consentement.
- Un ancien employeur qui communique vos coordonnées ou votre situation à un tiers.
- Une personne qui publie votre adresse, votre numéro ou des captures de conversations privées sur les réseaux sociaux.
- Une administration ou un professionnel qui laisse fuiter un document contenant vos données.
La question centrale n’est pas « mes données sont-elles en ligne ? » mais « qui les a diffusées, sans mon accord, et avec quelle responsabilité ? ». C’est cette réponse qui détermine la bonne voie de recours.
Les trois voies de recours (et ce qu’elles apportent)
Beaucoup de victimes croient qu’il faut choisir. En réalité, les trois procédures répondent à des objectifs distincts et se complètent.
| Recours | À qui s’adresser | Ce que vous obtenez | Coût |
|---|---|---|---|
| Plainte CNIL | CNIL (en ligne) | Contrôle et sanction de l’organisme fautif | Gratuit |
| Plainte pénale | Commissariat, gendarmerie ou procureur | Poursuite et condamnation de l’auteur | Gratuit |
| Action civile | Tribunal judiciaire | Dommages et intérêts pour votre préjudice | Frais éventuels d’avocat |
En clair : la CNIL fait rentrer l’organisme dans le rang, la plainte pénale vise à faire condamner l’auteur, et l’action civile est la seule qui vous permet d’être indemnisé. C’est pourquoi, dans les cas sérieux, on combine souvent la plainte pénale et la constitution de partie civile.
Comment porter plainte auprès de la CNIL
La CNIL (Commission nationale de l’informatique et des libertés) est l’autorité de contrôle en France. Elle est compétente quand un organisme (entreprise, association, administration) ne respecte pas ses obligations de protection des données.
- Contactez d’abord l’organisme. La CNIL demande, en principe, que vous ayez exercé vos droits directement auprès du responsable du traitement (demande d’effacement, d’opposition) avant de la saisir. Gardez une copie datée de cette démarche.
- Réunissez vos preuves. Captures d’écran, e-mails, courriers, URL, dates. Une plainte documentée est traitée bien plus efficacement.
- Déposez la plainte en ligne sur le site de la CNIL, via le service de plaintes. La démarche est gratuite et se fait en quelques minutes une fois le dossier prêt.
- Suivez l’instruction. La CNIL peut demander des explications à l’organisme, procéder à un contrôle, prononcer une mise en demeure puis, en cas de manquement grave, une sanction.
Décrivez les faits de façon factuelle et chronologique, sans jugement de valeur. « Le 12 mars, l’organisme X a communiqué mon numéro à Y sans mon accord » pèse plus lourd qu’un paragraphe indigné. Joignez chaque preuve numérotée.
La limite à connaître : la CNIL sanctionne l’organisme mais ne vous indemnise pas. Si vous voulez réparer un préjudice, il faudra aussi passer par la justice.
Comment porter plainte au pénal
Quand la divulgation constitue une infraction (et c’est souvent le cas), vous pouvez déposer une plainte pénale. Elle vise une personne, physique ou morale, et peut déboucher sur une condamnation.
- Déposez plainte au commissariat ou à la gendarmerie. Les services sont tenus d’enregistrer votre plainte, même si les faits se sont produits ailleurs.
- Ou écrivez au procureur de la République du tribunal judiciaire compétent, par lettre recommandée avec accusé de réception, en exposant les faits, en identifiant si possible l’auteur et en joignant vos preuves.
- Si la plainte est classée sans suite, vous pouvez déposer une plainte avec constitution de partie civile auprès du doyen des juges d’instruction, ce qui oblige à l’ouverture d’une enquête (une consignation financière peut être demandée).
- Constituez-vous partie civile pour demander, dans le cadre du procès pénal, la réparation de votre préjudice.
Ne supprimez jamais les preuves, même si le contenu vous met mal à l’aise. Une capture d’écran horodatée, l’URL d’une publication ou l’en-tête complet d’un e-mail sont souvent décisifs. Sauvegardez-les hors de l’appareil concerné.
Quelles sanctions encourent les responsables ?
Le Code pénal réprime spécifiquement les atteintes aux données personnelles et à la vie privée. Le RGPD ajoute un volet administratif géré par la CNIL.
| Fondement | Fait visé | Sanction encourue |
|---|---|---|
| Article 226-22 du Code pénal | Divulgation non autorisée de données personnelles portant atteinte à la vie privée | 5 ans de prison et 300 000 € d’amende |
| Article 226-22 (imprudence) | Même divulgation par imprudence ou négligence | 3 ans de prison et 100 000 € d’amende |
| Article 226-18 du Code pénal | Collecte de données par moyen frauduleux, déloyal ou illicite | 5 ans de prison et 300 000 € d’amende |
| Article 226-1 du Code pénal | Atteinte à l’intimité de la vie privée (captation d’image ou de propos privés) | 1 an de prison et 45 000 € d’amende |
| RGPD (article 83) | Manquement d’un organisme à ses obligations | Jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial |
Pour une personne morale, les amendes pénales sont multipliées, et des peines complémentaires peuvent s’ajouter. Ces montants sont des maximums légaux : le juge module selon la gravité, l’intention et le préjudice.
Retenez la logique : intention lourde et atteinte à la vie privée relèvent de l’article 226-22 (peines les plus élevées) ; une simple négligence reste sanctionnée, mais moins fortement. La CNIL, elle, frappe l’organisme au portefeuille, indépendamment du pénal.
Cas fréquents : que faire concrètement ?
Divulgation par un employeur ou un ancien employeur
Un employeur qui communique vos données (salaire, coordonnées, motif de départ, état de santé) à un tiers sans motif légitime engage sa responsabilité. Réunissez les échanges, saisissez la CNIL et, selon la gravité, portez plainte. Le conseil de prud’hommes peut aussi être compétent si le litige s’inscrit dans la relation de travail.
Publication de vos données sur les réseaux sociaux
Adresse, numéro, photos ou captures publiées sans votre accord relèvent souvent de l’atteinte à la vie privée, voire du harcèlement ou de la diffamation selon le contenu. Signalez d’abord la publication à la plateforme pour obtenir un retrait rapide, conservez les preuves, puis portez plainte. Si l’auteur est anonyme, la plainte permet à l’enquête de l’identifier.
Fuite de données à cause d’une entreprise (data breach)
Quand une entreprise se fait pirater ou expose vos données par erreur, elle a l’obligation, au titre des articles 33 et 34 du RGPD, de notifier la CNIL sous 72 heures et de vous informer en cas de risque élevé. De votre côté :
- Changez immédiatement les mots de passe des comptes concernés, et de tout compte réutilisant le même.
- Surveillez vos e-mails, SMS et relevés bancaires (risque d’hameçonnage ciblé).
- Signalez la fuite à la CNIL si l’entreprise ne réagit pas.
Pour limiter l’impact d’une fuite à l’avenir, deux réflexes valent mieux que toutes les plaintes : des mots de passe uniques stockés dans un gestionnaire de mots de passe, et une réduction volontaire de votre empreinte en ligne, comme détaillé dans notre guide pour supprimer ses données sur internet.
Délais, preuves et bons réflexes
Le temps joue contre vous. Pour les délits, le délai de prescription de l’action publique est de 6 ans à compter des faits, mais les preuves numériques disparaissent bien plus vite. Agissez sans attendre :
- Horodatez tout. Une capture d’écran avec la date et l’URL visibles vaut mieux qu’un simple copier-coller.
- Ne dialoguez pas avec l’auteur de façon à envenimer les choses : gardez des échanges factuels, ils peuvent devenir des preuves.
- Cloisonnez vos comptes. Après une divulgation, partez du principe que d’autres services peuvent être visés, notamment si vous réutilisez des identifiants.
La CNIL et la justice suivent des logiques différentes et des calendriers différents. Engager la CNIL n’interrompt pas le délai de prescription pénale : si vous visez une condamnation, déposez la plainte pénale sans tarder.
En résumé
La divulgation de vos données personnelles ouvre trois portes que vous pouvez pousser en même temps : la CNIL pour sanctionner l’organisme, la plainte pénale pour faire condamner l’auteur, l’action civile pour être indemnisé. Le bon réflexe est toujours le même : réunir des preuves solides et horodatées, contacter l’organisme concerné, puis saisir l’autorité adaptée à votre objectif.
Une fois la situation traitée, l’étape suivante est de reprendre la main sur vos informations. Notre silo sécurité et vie privée rassemble les guides pour réduire votre exposition, à commencer par la marche à suivre pour supprimer vos données personnelles en ligne.