Avertissement liminaire: les #CONSEILS/#FAQ ci-après énoncés sont fondés sur les enseignements de la jurisprudence s'y rapportant et n'ont qu'une portée générique/pédagogique; ils ne constituent pas une consultation juridique individualisée et ne sauraient se substituer à l'avis d'un avocat saisi de votre situation particulière.
PARTIE 1 | CONSEILS AUX PERSONNES CONCERNÉES
1 — Agissez sans délai dès la découverte de la violation : ne laissez pas les délais s’écouler
Le temps est votre ennemi en matière de protection des données. La plupart des systèmes juridiques nationaux prévoient des délais au-delà desquels vous ne pouvez plus valablement déposer une réclamation auprès de l’autorité de protection des données. En Autriche — pays de l’affaire C-414/24 —, ce délai est d’un an à compter de la connaissance des faits. En France, des délais similaires s’appliquent. Si vous laissez passer ces délais en pensant attendre l’issue d’une action judiciaire déjà engagée, vous risquez de vous retrouver sans aucune voie de recours administrative.
L’Avocat général dans l’affaire C-414/24 a expressément signalé ce risque comme l’un des arguments déterminants contre le rejet pur et simple de la réclamation administrative : une personne qui attendrait la fin de son procès pour saisir la CNIL pourrait se voir opposer la tardiveté de sa réclamation si le délai national a entre-temps expiré. La règle d’or est donc simple : déposez votre réclamation à la CNIL dès que vous constatez la violation, sans attendre.
2 — Constituez immédiatement un dossier de preuves avant de faire toute démarche
Avant d’envoyer votre première demande d’effacement à l’entreprise, faites des captures d’écran datées de toutes les pages où vos données apparaissent. Sauvegardez ces captures en plusieurs endroits (ordinateur, messagerie, cloud). Ces preuves sont précieuses pour deux raisons : d’une part, l’entreprise peut effacer ou modifier le contenu après votre demande, ce qui rendrait plus difficile la démonstration de la violation ; d’autre part, ces preuves constituent la base documentaire de votre réclamation à la CNIL et de votre éventuelle action en justice.
Dans l’affaire C-414/24, la médecin avait pu documenter précisément les données publiées sur la plateforme et les demandes d’effacement successivement rejetées en 2017 et 2018. Cette documentation lui a permis d’alimenter l’ensemble de la procédure — administrative et judiciaire — sur plusieurs années. Votre dossier doit comporter : les captures d’écran des données publiées, la copie de votre demande d’effacement avec son accusé de réception ou envoi recommandé, et la copie de la réponse de l’entreprise (ou la preuve de l’absence de réponse).
3 — Adressez votre demande d’effacement par écrit et exigez une réponse motivée
Une demande d’effacement verbale ou informelle est difficile à prouver. Adressez toujours votre demande par écrit — courrier recommandé avec accusé de réception, ou e-mail avec demande de confirmation de lecture — en mentionnant expressément que vous fondez votre demande sur l’article 17 du RGPD. Indiquez clairement quelles données vous demandez à supprimer et pourquoi vous estimez que leur traitement est illicite ou non justifié.
Exigez dans votre courrier une réponse motivée : si l’entreprise refuse, elle doit vous expliquer sur quelle base légale elle se fonde pour maintenir le traitement. Ce motif de refus est crucial : s’il est insuffisant ou inexact, il constitue en lui-même un argument pour votre réclamation à la CNIL et votre éventuelle action en justice. Un refus non motivé ou mal motivé affaiblit considérablement la position de l’entreprise face à la CNIL.
4 — Ne choisissez pas entre la CNIL et le tribunal : utilisez les deux voies simultanément
L’enseignement le plus pratique de l’arrêt C-414/24 est que vous n’avez pas à choisir entre déposer une réclamation à la CNIL et saisir les tribunaux. Ces deux voies sont complémentaires et peuvent être utilisées simultanément. Elles poursuivent des objectifs différents : la CNIL fait cesser la violation et sanctionne l’entreprise dans un intérêt collectif ; le tribunal vous accorde une réparation personnelle (effacement ordonné sous astreinte, dommages et intérêts).
En pratique, combiner les deux voies maximise vos chances d’obtenir un résultat concret rapidement. La CNIL peut agir plus vite qu’un tribunal sur certains aspects — notamment pour ordonner la cessation immédiate d’un traitement — tandis que le tribunal est la seule voie pour obtenir une indemnisation financière à titre personnel. Consultez un avocat pour décider du timing et de la forme les plus appropriés pour chaque démarche, afin que vos positions soient cohérentes dans les deux procédures.
5 — Si la CNIL suspend l’examen de votre réclamation, maintenez le contact et relancez après le jugement
L’arrêt C-414/24 a validé la pratique de la suspension par l’autorité de protection des données de l’instruction d’une réclamation dans l’attente d’une décision juridictionnelle définitive, afin d’éviter des décisions contradictoires. Si vous vous trouvez dans cette situation — la CNIL vous informe qu’elle suspend l’examen de votre réclamation parce qu’un procès est en cours — ne vous découragez pas et ne pensez pas que votre dossier est abandonné.
Conservez soigneusement la notification de suspension. Dès que votre procès est définitivement terminé — par un jugement passé en force de chose jugée, un arrêt d’appel ou une décision de cassation —, informez immédiatement la CNIL par écrit en lui transmettant une copie de la décision définitive et en lui demandant la reprise de l’instruction de votre réclamation. Si la CNIL tarde à reprendre l’examen, relancez-la régulièrement. Un silence prolongé après la clôture définitive du procès peut lui-même être contesté.
6 — N’attendez pas la fin de votre procès pour déposer votre réclamation à la CNIL si vous ne l’avez pas encore fait
Ce est le corollaire direct de l’enseignement central de l’affaire C-414/24 tel qu’exposé dans les conclusions de l’Avocat général. Imaginons que vous ayez engagé une action civile contre une entreprise pour violation de vos données personnelles, mais que vous n’ayez pas encore saisi la CNIL. Vous pensez peut-être qu’il est plus simple d’attendre l’issue du procès avant de multiplier les démarches. C’est une erreur potentiellement grave.
Si votre procès est rejeté pour un motif de procédure sans décision au fond — par exemple parce qu’il a été introduit avant l’entrée en vigueur du RGPD, ou pour un vice de forme —, et que le délai national pour saisir la CNIL a entre-temps expiré, vous vous retrouvez sans aucune protection. C’est exactement la situation que la Cour a qualifiée d’incompatible avec le principe d’effectivité du droit de l’Union. Déposez votre réclamation à la CNIL sans attendre, même si un procès est déjà en cours.
7 — Identifiez précisément quelles données vous demandez à faire effacer et pourquoi
Une demande d’effacement trop vague — « effacez toutes mes données » — est plus facile à rejeter pour l’entreprise et plus difficile à instruire pour la CNIL. Soyez précis : identifiez les données concernées (nom, photo, évaluation publiée, coordonnées, etc.), indiquez où elles apparaissent (URL de la page, rubrique du site), et expliquez en quoi leur traitement est illicite ou non justifié (absence de consentement, intérêt légitime de l’entreprise ne l’emportant pas sur vos droits, etc.).
Dans l’affaire C-414/24, la médecin avait ciblé des données précises publiées sur une plateforme identifiée, ce qui lui permettait d’articuler clairement ses demandes tant devant la société D, que devant la CNIL, que devant le tribunal civil. Plus votre demande est précise et documentée, plus elle est difficile à rejeter sans motif sérieux, et plus la CNIL et le tribunal peuvent y donner suite efficacement.
8 — Connaissez les pouvoirs concrets de la CNIL pour évaluer ce qu’elle peut faire pour vous
Beaucoup de personnes déposent une réclamation à la CNIL sans savoir exactement ce que cette autorité peut faire concrètement. Voici les principaux pouvoirs de la CNIL : elle peut mettre en demeure l’entreprise de cesser le traitement illicite ; elle peut lui ordonner d’effacer vos données sous astreinte (pénalité par jour de retard) ; elle peut prononcer une amende administrative pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel de l’entreprise ; elle peut rendre publique sa décision, ce qui constitue en soi une pression considérable sur l’entreprise.
En revanche, la CNIL ne peut pas vous indemniser personnellement : les amendes qu’elle prononce vont à l’État. Pour obtenir une réparation financière à titre personnel, vous devez saisir les tribunaux. C’est pourquoi les deux voies sont complémentaires : la CNIL pour faire cesser la violation et sanctionner, le tribunal pour vous indemniser. Cette complémentarité est au cœur de l’architecture du RGPD telle que confirmée par l’arrêt C-414/24.
9 — Si vos données sont publiées par une plateforme de notation ou d’évaluation, vous avez des droits spécifiques
Les plateformes qui permettent à des tiers de publier des évaluations, des avis ou des commentaires sur des professionnels — médecins, avocats, artisans, restaurateurs, etc. — opèrent dans une zone de tension entre la liberté d’expression et le droit à la protection des données personnelles. Votre droit à l’effacement peut se heurter à l’invocation par la plateforme de la liberté d’expression ou de l’intérêt public d’information.
Mais cette tension ne signifie pas que vous êtes sans recours. L’affaire C-414/24 mettait précisément en scène cette situation, et le droit de la médecin à demander l’effacement de ses données n’a jamais été remis en cause — c’est la procédure de contestation qui était au cœur du débat. Vous avez le droit de demander l’effacement, d’exiger une réponse motivée, et de contester tout refus. Si la plateforme invoque la liberté d’expression, c’est à elle de démontrer que cet intérêt l’emporte sur vos droits dans votre situation particulière — ce n’est pas à vous de prouver l’inverse.
10 — Faites-vous accompagner par un avocat spécialisé dès le premier refus d’effacement
La protection des données personnelles est un domaine juridique technique, en évolution constante sous l’effet de la jurisprudence européenne. L’affaire C-414/24 l’illustre parfaitement : une demande d’effacement refusée en 2017 a conduit à un arrêt de la Cour de justice de l’Union européenne en 2026. La procédure a mobilisé des règles complexes d’articulation entre voies de recours, de délais de forclusion nationaux, et de principes européens d’effectivité.
Dès le premier refus d’effacement qui vous paraît injustifié, consultez un avocat spécialisé en protection des données. Il pourra évaluer la solidité juridique de votre demande, vous conseiller sur la stratégie la plus efficace — réclamation CNIL seule, action judiciaire seule, ou les deux combinées —, préparer vos courriers et constituer votre dossier de manière à maximiser vos chances de succès, et vous éviter les erreurs procédurales qui peuvent compromettre votre position. Un accompagnement précoce est presque toujours moins coûteux qu’un contentieux mal engagé.
PARTIE 2 | CONSEILS AUX RESPONSABLES DE TRAITEMENT
1 — Ne rejetez jamais une demande d’effacement sans motif précis et documenté
Lorsqu’une personne vous demande de supprimer ses données personnelles, vous avez l’obligation légale de répondre dans un délai d’un mois. Ce délai ne peut être prolongé que de deux mois supplémentaires, et uniquement si vous informez la personne de cette prolongation avant l’expiration du premier mois. Un silence, un refus sans motivation, ou une réponse vague constituent en eux-mêmes une violation du RGPD, exposant votre organisation à une réclamation à la CNIL et à un recours judiciaire.
Dans l’affaire C-414/24, c’est précisément le refus répété de la société D GmbH de faire droit aux demandes d’effacement d’un médecin — refus d’abord en juillet 2017, puis à nouveau en juillet 2018 après l’entrée en vigueur du RGPD — qui a déclenché l’ensemble du contentieux. Prévenir ce type d’escalade est simple : mettez en place une procédure interne de traitement des demandes d’exercice de droits, documentez chaque réponse et son motif, et conservez les preuves de vos échanges. Si vous refusez, expliquez précisément sur quelle base légale vous fondez ce refus.
2 — Anticipez le risque d’une double procédure : réclamation CNIL et procès civil simultanés
L’enseignement central de l’arrêt C-414/24 est que toute personne dont les données sont traitées illicitement peut vous attaquer simultanément sur deux fronts : devant la CNIL (réclamation administrative) et devant les tribunaux civils (action en indemnisation ou en injonction). Vous ne pouvez pas demander à l’autorité de protection des données de suspendre son examen sous prétexte qu’un procès est en cours — et si la CNIL décide de suspendre temporairement, cette suspension prend fin dès le jugement définitif, ce qui relance l’instruction.
Concrètement, cela signifie que vous devez vous préparer à gérer deux dossiers en parallèle, avec des calendriers, des interlocuteurs et des enjeux différents. Votre avocat doit coordonner vos défenses dans les deux procédures pour éviter que vos positions soient contradictoires. Une contradiction entre ce que vous affirmez devant la CNIL et ce que vous plaidez devant le tribunal peut fragiliser sérieusement votre position dans les deux instances.
3 — Ne comptez pas sur la pendance d’un procès pour échapper à un contrôle de la CNIL
Certains responsables de traitement pensent qu’une fois qu’une personne a engagé une action en justice, la CNIL ne peut plus intervenir ou se dessaisit automatiquement. C’est une erreur majeure que l’arrêt C-414/24 dissipe définitivement. La Cour de justice a clairement jugé que les voies de recours des articles 77 et 79 du RGPD sont indépendantes l’une de l’autre : la pendance d’un recours judiciaire ne prive pas la personne concernée de son droit de réclamation à la CNIL, et n’oblige pas la CNIL à se dessaisir.
En pratique : si vous recevez une réclamation à la CNIL alors qu’un procès est déjà en cours avec le même demandeur, ne vous contentez pas d’informer la CNIL du procès en espérant que celle-ci classera le dossier. Coopérez avec l’enquête de la CNIL, fournissez les informations demandées, et traitez les deux procédures avec le même sérieux. Le risque de décisions contradictoires est réel, mais il vous appartient de le gérer — pas d’en tirer argument pour bloquer l’une des deux procédures.
4 — Mettez en place un registre de traitement des demandes d’exercice de droits
L’une des meilleures protections contre le contentieux est la traçabilité. Chaque demande d’exercice de droits que vous recevez — effacement, accès, rectification, opposition — doit être enregistrée avec sa date de réception, son contenu, la réponse apportée, la date de cette réponse et le motif retenu. Ce registre vous permet de démontrer, en cas de réclamation à la CNIL ou de procès, que vous avez traité la demande conformément au RGPD.
Dans l’affaire C-414/24, la société D GmbH avait refusé deux demandes d’effacement successives — l’une en 2017, l’autre en 2018 — sans que les motifs de ces refus aient été jugés suffisamment fondés pour écarter le droit à l’effacement. Si vous disposez d’un registre documenté et de réponses motivées, vous êtes en bien meilleure position pour défendre votre position, que ce soit devant la CNIL ou devant un tribunal.
5 — Évaluez soigneusement la base légale de chaque traitement avant de résister à une demande d’effacement
Le droit à l’effacement n’est pas absolu — le RGPD prévoit plusieurs exceptions — mais les motifs pour lesquels vous pouvez résister à une demande d’effacement sont limitatifs. Avant de refuser, posez-vous les questions suivantes : sur quelle base légale ce traitement repose-t-il ? Est-ce le consentement de la personne (qui peut être retiré à tout moment) ? Un intérêt légitime (qui doit être mis en balance avec les droits de la personne) ? Une obligation légale ? Une mission d’intérêt public ?
Une plateforme qui publie des évaluations de professionnels invoque souvent la liberté d’expression ou l’intérêt public d’information. Mais cet argument doit être étayé : la publication de données personnelles à des fins d’évaluation n’est pas automatiquement couverte par la liberté d’expression. Une analyse juridique préalable de la base légale de chaque catégorie de données que vous publiez est indispensable. Sans cette analyse, vous risquez de voir votre refus d’effacement requalifié en traitement illicite.
6 — Préparez une stratégie de réponse coordonnée dès réception de la première mise en demeure
Dans l’affaire C-414/24, le refus initial de la société D en juillet 2017 a déclenché une cascade procédurale qui a duré près de neuf ans avant que la Cour de justice ne tranche la question de droit. Ce type d’enlisement est coûteux en ressources humaines, financières et réputationnelles. Une réponse rapide, adaptée et documentée dès la première demande d’effacement peut souvent éviter l’escalade.
Concrètement : dès réception d’une demande d’effacement, réunissez votre délégué à la protection des données (DPO), votre service juridique et le responsable opérationnel du traitement concerné. Évaluez ensemble si le traitement repose sur une base légale solide, si l’effacement est techniquement possible, et quelle réponse motivée vous pouvez apporter dans le délai d’un mois. Une réponse claire et bien argumentée, même si elle refuse l’effacement, réduit significativement le risque de réclamation à la CNIL et de procès.
7 — Formez vos équipes à la gestion des demandes d’exercice de droits
L’affaire C-414/24 illustre à quel point une mauvaise gestion des demandes d’exercice de droits peut avoir des conséquences considérables. Le refus initial de la société D était peut-être justifié sur le fond — la question n’a jamais été tranchée au fond dans l’affaire, qui portait exclusivement sur la recevabilité des voies de recours — mais sa gestion procédurale a déclenché un contentieux européen de plusieurs années.
Toutes les personnes de votre organisation susceptibles de recevoir ou de traiter une demande d’exercice de droits doivent être formées : savoir reconnaître une demande RGPD, la transmettre immédiatement à la bonne personne (DPO ou responsable juridique), respecter le délai de réponse d’un mois, et ne jamais ignorer ou rejeter une demande sans l’avoir au préalable soumise à une analyse juridique. Un formulaire standardisé de traitement des demandes, avec un circuit de validation, est un investissement minimal pour tout responsable de traitement.
8 — Vérifiez régulièrement la conformité de vos traitements en cours, sans attendre une réclamation
La meilleure défense contre les réclamations et les procès en matière de protection des données est la conformité proactive. Réalisez régulièrement des audits de vos traitements pour vérifier que chaque traitement repose sur une base légale valide, que les données conservées sont pertinentes et non excessives, que les durées de conservation sont respectées, et que les personnes concernées ont été correctement informées.
Dans le contexte de l’affaire C-414/24 — une plateforme publiant des données sur des professionnels —, un audit préalable aurait permis d’identifier les catégories de données pour lesquelles le droit à l’effacement est susceptible d’être invoqué et de préparer des procédures de traitement adaptées. Cet audit doit être documenté et ses conclusions tracées dans votre registre de traitements. En cas de contrôle de la CNIL ou de procès, la preuve d’une démarche de conformité proactive est un élément favorable à votre situation.
9 — Désignez un DPO (délégué à la protection des données) ou assurez-vous d’avoir un référent RGPD identifié
Même si la désignation d’un DPO n’est obligatoire que dans certaines situations (traitement à grande échelle, données sensibles, organisme public), toute organisation qui publie ou traite des données concernant des tiers — même en dehors de ces catégories — a intérêt à désigner un référent interne clairement identifié pour les questions de protection des données. Ce référent est l’interlocuteur des personnes concernées pour leurs demandes d’exercice de droits, et il est votre bouclier en cas de réclamation à la CNIL ou de mise en demeure.
L’affaire C-414/24 montre que même une petite plateforme numérique peut se retrouver au cœur d’un contentieux européen si elle ne dispose pas des procédures internes adéquates. Un DPO — ou à défaut un conseiller externe spécialisé en protection des données — peut vous aider à mettre en place ces procédures, à répondre correctement aux demandes d’exercice de droits, et à préparer votre défense si une réclamation est néanmoins déposée. Son coût est sans commune mesure avec celui d’un contentieux de plusieurs années.
Pas de contribution, soyez le premier