Vos données ont été volées, divulguées ou envoyées au mauvais destinataire : pouvez-vous obtenir une indemnisation ? Dans une fiche publiée le 2 octobre 2026, la CNIL rappelle que la réparation n’est pas automatique. Il faut établir un manquement au RGPD, un préjudice réel et un lien entre les deux. Une perte financière n’est toutefois pas indispensable : la crainte d’une utilisation abusive de vos données peut aussi constituer un préjudice moral.
Une fuite de données ne donne pas automatiquement droit à réparation
Une cyberattaque n’est pas la seule situation concernée. Un courriel contenant des informations confidentielles envoyé au mauvais destinataire, la perte d’un ordinateur ou un accès non autorisé à un fichier peuvent aussi constituer une violation de données personnelles. L’incident peut être accidentel ou malveillant.
Mais un incident de sécurité et un manquement au règlement général sur la protection des données (RGPD) ne se confondent pas. Dans son arrêt du 14 décembre 2023 (C-340/21), la Cour de justice de l’Union européenne rappelle qu’une cyberattaque ne prouve pas, à elle seule, que les mesures de sécurité étaient insuffisantes. Invoquer l’intervention de pirates ne suffit pas non plus à écarter la responsabilité de l’organisme.
Pour obtenir réparation sur le fondement de l’article 82 du RGPD, trois conditions doivent être réunies : une violation du règlement, un dommage matériel ou moral et un lien de causalité entre cette violation et ce dommage. La Cour l’a précisé dans l’arrêt Österreichische Post du 4 mai 2023 (C-300/21). Il ne suffit donc pas d’apprendre que son nom figure dans une base de données compromise : il faut aussi établir les conséquences personnellement subies.
Un préjudice moral peut être indemnisé même sans perte financière
Le préjudice peut prendre des formes différentes : une perte d’argent, une usurpation d’identité, une atteinte à la réputation ou à la confidentialité des informations. Une perte de contrôle sur ses données peut également être prise en compte. L’indemnisation ne se limite donc pas au remboursement d’une somme dérobée.
Dans l’arrêt du 14 décembre 2023, la Cour de justice admet que la crainte d’une future utilisation abusive des données peut, à elle seule, constituer un dommage moral. Il n’est pas nécessaire d’attendre qu’une fraude se produise. Le juge doit néanmoins vérifier que cette crainte est fondée au regard de la situation de la personne et des circonstances de l’incident.
Prenons l’exemple d’un patient dont les données de santé ont été divulguées. Il peut craindre que ces informations soient utilisées contre lui, même sans avoir subi de perte financière. Cette crainte peut constituer un préjudice moral indemnisable, à condition d’être réelle et fondée sur les circonstances de l’incident.
Autre précision importante : aucun seuil minimal de gravité ne peut être exigé pour indemniser un préjudice moral. C’est l’un des apports de l’arrêt Österreichische Post. Cela ne dispense pas de prouver un dommage réel. Une inquiétude générale liée aux risques d’Internet ne suffit pas : il faut expliquer en quoi l’incident vous a personnellement affecté.
Le montant de l’indemnisation dépend du préjudice établi. Il n’existe pas de somme automatiquement due à chaque personne concernée par une fuite. La réparation vise à compenser le dommage subi, et non à punir l’organisme.
La CNIL peut sanctionner, mais l’indemnisation relève du juge
Déposer une plainte auprès de la CNIL et demander des dommages-intérêts répondent à deux objectifs distincts. La CNIL peut contrôler un organisme, lui imposer des mesures correctrices ou prononcer une sanction. Elle ne peut pas vous attribuer une indemnisation. Même lorsqu’elle inflige une amende, celle-ci ne constitue pas une réparation versée aux personnes concernées.
Avant d’envisager une procédure judiciaire, une demande écrite à l’organisme peut permettre de rechercher une indemnisation amiable. Elle doit décrire le préjudice subi et être accompagnée des justificatifs disponibles.
À défaut d’accord amiable, la demande d’indemnisation peut être portée devant le juge compétent. En France, une demande dirigée contre une entreprise ou une personne privée relève en principe du tribunal judiciaire. Lorsque la responsabilité d’une administration est en cause, le litige relève en principe du tribunal administratif. Dans ce dernier cas, une demande d’indemnisation doit généralement être adressée à l’administration avant de saisir le juge.
Il est également possible, sous certaines conditions, de mandater une association ou une organisation à but non lucratif pour qu’elle exerce vos droits en votre nom. Depuis la réforme issue de la loi du 30 avril 2025, un régime unifié de l’action de groupe permet aussi de demander réparation pour plusieurs personnes placées dans une situation similaire. Cette action doit être portée par une entité habilitée, notamment une association agréée. Elle ne rend pas l’indemnisation automatique : les conditions de réparation restent à établir.
Un dossier solide commence par des preuves conservées dès l’incident
Vous devez montrer quel dommage vous avez subi et en quoi il résulte de la violation du RGPD. L’organisme doit montrer qu’il avait mis en place des protections adaptées aux données qu’il détenait et aux risques encourus.
Conservez le message vous informant de la fuite, les échanges avec l’organisme, les captures d’écran et les documents identifiant les données concernées. Rassemblez aussi les justificatifs des dépenses engagées, des opérations contestées et des démarches effectuées. Ces éléments permettent de reconstituer les faits et de documenter leurs conséquences.
Pour un préjudice moral, décrivez précisément les inquiétudes ressenties et leurs répercussions. La nature des informations exposées, leur diffusion et les circonstances de l’incident aident à apprécier la réalité du dommage. Il faut aussi établir le lien entre cet incident et les difficultés invoquées : leur simple proximité dans le temps ne suffit pas.
Pour les entreprises, ces règles soulignent l’importance de documenter les mesures de sécurité et la gestion des incidents. Ces éléments peuvent être déterminants pour répondre à une demande d’indemnisation.
Vous êtes concerné par une fuite de données ? Le cabinet Deshoulières Avocats vous accompagne pour évaluer votre préjudice et examiner vos recours en cas d’atteinte aux données personnelles.
RÉFÉRENCES :
- CNIL, 2 octobre 2026, « Violations de données personnelles : dans quels cas peut-on être indemnisé ? »
- RGPD, articles 77, 79, 80 et 82 : droit à réparation, représentation et recours
- Cour de justice de l’Union européenne, 4 mai 2023, Österreichische Post, C-300/21
- Cour de justice de l’Union européenne, 14 décembre 2023, Natsionalna agentsia za prihodite, C-340/21, notamment points 39, 57, 73 et 85
- Loi n° 2025-391 du 30 avril 2025, article 16 : régime unifié de l’action de groupe
- Loi Informatique et Libertés, article 38 : mandat à une association ou à une organisation
