Le recours réel, dans l'ordre

1. Le responsable du traitement, par son point de contact

   Sans attendre

   Réponds au courriel d'alerte depuis l'adresse du compte concerné. Demande ce que le texte impose : quelles données sont concernées, quelles sont les conséquences probables, quelles mesures ont été prises, et les coordonnées du délégué à la protection des données. Garde chaque échange : c'est le contenu de ces réponses, ou leur absence, qui nourrira la réclamation.

   Protection des données et vie privée en ligne (Your Europe, Union européenne)

2. L'autorité de protection des données de ton pays

   Si l'alerte reste incomplète, ou en cas de doute sur le dossier

   Le règlement te laisse le choix entre l'État membre de ta résidence habituelle, celui de ton lieu de travail et celui du lieu où la violation aurait été commise. La page officielle de l'Union indique que l'autorité examine la plainte et répond dans un délai de trois mois. C'est aussi elle qui peut exiger de l'entreprise la communication individuelle qu'elle n'a pas envoyée. Le Comité européen de la protection des données publie la liste de toutes les autorités nationales, avec leurs coordonnées.

   Les autorités nationales de protection des données (Comité européen de la protection des données)

3. Le recours juridictionnel, sans passer par l'autorité

   À tout moment

   La page officielle de l'Union précise qu'on peut saisir directement la justice, sans passer préalablement par l'autorité nationale. Pour une créance transfrontalière de faible montant, le règlement européen qui institue la procédure de règlement des petits litiges prévoit noir sur blanc que la représentation par un avocat ou un autre professionnel du droit n'y est pas obligatoire.

   Petits litiges (portail e-Justice, Union européenne)

Les délais de prescription et les règles de procédure devant un tribunal national ne sont pas traités ici : ce site ne présente que le socle européen commun aux vingt-sept.