Décryptages · Série : Les Grandes Questions
Ce que la CNIL peut faire pour vous, et ce qu'elle ne peut pas
La Commission nationale de l'informatique et des libertés est souvent présentée comme le gendarme des données personnelles. Mais ses pouvoirs ont des limites précises que les victimes de violations de données doivent connaître avant d'engager une démarche.
Par Camille Dupont (Journaliste d'investigation) —
6 min de lecture
## Les pouvoirs réels de la CNIL
La CNIL dispose de quatre catégories de pouvoirs : l'instruction (elle peut mener des enquêtes, demander des documents, auditionner des responsables), la mise en demeure (elle peut exiger la mise en conformité dans un délai fixé), la sanction (elle peut prononcer des amendes allant jusqu'à 4 % du chiffre d'affaires mondial ou 20 millions d'euros), et la publicité (elle peut rendre ses décisions publiques, ce qui a un effet dissuasif significatif).
## Ce que la CNIL ne peut pas faire
**Elle ne peut pas vous indemniser.** La CNIL est une autorité administrative, pas une juridiction civile. Elle ne peut pas ordonner à une entreprise de vous verser des dommages et intérêts.
**Elle ne peut pas agir à votre place.** Elle peut instruire une plainte que vous déposez, mais elle dispose d'un pouvoir discrétionnaire pour choisir les affaires qu'elle instruit prioritairement. Une plainte déposée n'est pas une garantie d'action.
**Elle ne peut pas vous tenir informé en temps réel.** L'instruction d'une plainte est soumise au secret de l'enquête. Vous ne serez pas informé des avancées au fil du temps.
## Comment articuler CNIL et action en justice ?
Les deux démarches sont complémentaires et non exclusives. Déposer une plainte à la CNIL ne vous empêche pas d'engager une action civile. La décision de la CNIL, si elle reconnaît un manquement de l'entreprise, peut constituer un élément de preuve utile dans la procédure judiciaire.