Le Règlement général sur la protection des données (RGPD) ouvre de multiples possibilités pour engager une action en justice en cas d’atteinte aux données personnelles. Recours devant la Cnil, action au pénal, assignation au civil : retrouvez toutes les possibilités d’actions pour faire valoir vos droits.
1. Recours RGPD devant la Commission nationale informatique et libertés (Cnil)
Lorsqu’elle estime que ses droits n’ont pas été respectés, une personne peut effectuer un recours RGPD devant l’autorité de contrôle de :
- l’État membre dans lequel se trouve sa résidence habituelle ;
- son lieu de travail ;
- le lieu où la violation aurait été commise.
La personne concernée peut aussi effectuer ce recours en mandatant un organisme, une organisation ou une association à but non lucratif, dont les objectifs statutaires doivent d’être d’intérêt public, et qui doit être actif dans le domaine de la protection des droits et des libertés des personnes concernées.
2. Engager une action devant les tribunaux contre la décision de la Cnil
La personne concernée peut effectuer un recours juridictionnel RGPD contre l’autorité de contrôle lorsque :
- elle n’est pas satisfaite de la décision juridiquement contraignante rendue par l’autorité de contrôle ;
- elle n’a obtenu, dans un délai de trois mois, aucune réponse ni d’information de l’état d’avancement de son recours de la part de l’autorité de contrôle.
Le recours doit être fait devant le juge de l’État membre où l’autorité de contrôle a son siège.
3. Engager une action au pénal contre le responsable du traitement ou un sous-traitant
La personne concernée peut également effectuer un recours juridictionnel RGPD contre le responsable du traitement ou son sous-traitant si elle estime qu’ils ont violé ses droits. Si la personne concernée a effectivement subi un préjudice dû à une violation des dispositions du RGPD, elle pourra obtenir réparation.
La personne concernée peut effectuer ce recours devant les juridictions :
- de l’État membre dans lequel la personne concernée a sa résidence habituelle, sauf si le responsable du traitement est une autorité publique d’un État membre agissant dans l’exercice de ses prérogatives de puissance publique.
- devant les juridictions de l’État dans lequel le responsable du traitement ou le sous-traitant dispose d’un établissement.
Le responsable du traitement est en principe le premier responsable, mais le sous-traitant peut être solidaire, voire se faire imputer de toute la responsabilité. Chacun devra alors prouver qu’il n’a rien fait d’illégal, et que la violation n’est pas de son fait.
RÉFÉRENCES :
- Réclamation auprès de la Cnil : article 77 du RGPD
- Recours contre une décision de la Cnil : article 78 du RGPD
- Recours contre un responsable de traitement ou un sous-traitant : article 79 du RGPD
