26/05/2026
Pour comprendre ce silence, il faut saisir une distinction fondamentale parfois méconnue : La CNIL n’a pas du tout les mêmes obligations envers le plaignant et envers l’organisme visé par la plainte.
C’est là toute la clé du problème.
👉 Une asymétrie d’information inscrite dans le RGPD
Du côté du plaignant, le RGPD est clair : la CNIL doit l’informer de l’avancement de son dossier, en général dans un délai de 3 mois.
⚖️ C’est une obligation, pas une option.
Mais du côté de l’organisme mis en cause, c’est différent.
Aucune obligation légale d’informer l’entreprise qu’une plainte la concerne, ni de lui communiquer un quelconque calendrier.
Cette asymétrie explique en très grande partie l’attente que subissent les organismes visés.
⚠️ Le règlement intérieur de la CNIL va même plus loin.
Il précise que l’information de l’organisme visé n’est pas systématique.
Si la commission estime qu’un contrôle surprise est nécessaire pour constater les faits dans les meilleures conditions, elle peut tout à fait décider de ne prévenir personne.
💡 Le parcours d’une plainte RGPD au sein de la CNIL
Pour mieux appréhender les délais, il est utile de comprendre ce qui se passe concrètement une fois qu’une plainte arrive sur le bureau de la CNIL.
Le parcours est méthodique et se déroule en plusieurs étapes :
• Le tri initial : la commission vérifie si la plainte est recevable, suffisamment documentée, et si elle porte bien sur un traitement de données personnelles relevant de sa compétence.
• L’analyse de fond : les équipes évaluent la gravité des manquements potentiels et croisent éventuellement la plainte avec d’autres signalements portant sur le même organisme.
• Le choix de l’action : rappel à la loi, mise en demeure, ouverture d’une procédure de sanction, ou classement sans suite.
Chacune de ces options implique des délais et des ressources différents, ce qui contribue à allonger les temps de traitement.
L’article du cabinet est à retrouver en intégralité sur notre blog ✍️
