Indemnisation après une fuite de données : qui décide, et ce qu’il faut prouver

L’indemnisation après une fuite de données n’a rien d’automatique. Pour l’obtenir, vous devez convaincre un juge de trois choses : l’organisme a violé le RGPD, vous avez subi un dommage réel (matériel ou moral, sans seuil minimal de gravité), et ce dommage découle de cette violation. La CNIL peut sanctionner l’organisme, mais elle ne verse aucun dédommagement aux personnes. Seul le tribunal peut le faire : le tribunal judiciaire face à une entreprise, le tribunal administratif face à une administration.

Ces informations peuvent changer. Ce contenu est à jour au 6 octobre 2026 ; vérifiez les dernières mises à jour sur la fiche de la CNIL sur l’indemnisation et sur Légifrance. Cet article informe, il ne constitue pas un conseil juridique.

Ce que le texte prévoit : l’article 82 du RGPD

Le droit à réparation tient en une phrase du règlement général sur la protection des données. Le premier paragraphe de l’article 82, publié par la CNIL dans le chapitre 8 du RGPD, dispose :

« Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (RGPD, article 82, paragraphe 1)

Trois précisions du même article changent beaucoup de choses en pratique. D’abord, le sous-traitant (l’hébergeur, le prestataire de messagerie, l’éditeur du logiciel métier) peut aussi être poursuivi, mais seulement s’il a manqué à ses propres obligations ou dépassé les instructions reçues. Ensuite, quand plusieurs acteurs participent au même traitement, chacun peut être tenu de réparer la totalité du dommage, à charge pour lui de se retourner contre les autres (paragraphe 4). Enfin, l’organisme n’échappe à sa responsabilité que s’il prouve que le fait à l’origine du dommage « ne lui est nullement imputable » (paragraphe 3).

La CNIL le rappelle dans sa fiche publiée le 2 octobre 2026 : elle peut prendre des mesures correctrices pour faire cesser le manquement ou prononcer une sanction, mais elle ne peut pas accorder de dommages et intérêts : c’est au juge de le faire. Porter plainte auprès d’elle et réclamer une indemnisation pour une fuite de données sont donc deux démarches distinctes, qu’on peut mener en parallèle.

Capture de la fiche « Violations de données personnelles : dans quels cas peut-on être indemnisé ? » (cnil.fr), le 06/10/2026.

Les trois conditions de l’indemnisation, précisées par les juges

Depuis 2023, une série d’arrêts de la juridiction européenne de Luxembourg (CJUE) a fixé la lecture de l’article 82. Les tribunaux français doivent s’y conformer. Voici ce qui a été tranché, condition par condition.

1. Une violation du RGPD : la fuite ne prouve pas la faute, mais la charge de la preuve pèse sur l’organisme

L’affaire de référence concerne l’administration fiscale bulgare. Le 15 juillet 2019, les médias ont révélé une cyberattaque à la suite de laquelle des données de plus de six millions de personnes avaient été publiées en ligne. Dans son arrêt C-340/21 du 14 décembre 2023, la CJUE pose deux règles qui se complètent :

• une intrusion de pirates n’établit pas, par elle-même, que la sécurité exigée par les articles 24 et 32 du RGPD faisait défaut : le juge doit examiner concrètement les risques et ce que l’organisme avait mis en place pour y répondre ;
• en revanche, c’est au responsable du traitement de démontrer que sa protection était appropriée, et il ne peut pas se dégager simplement parce que le dommage vient de pirates : il doit prouver que le fait dommageable ne lui est en rien imputable.

Le communiqué de presse de la Cour ajoute qu’une expertise judiciaire ne peut pas être exigée systématiquement comme seul moyen de preuve. Un mois plus tard, dans l’arrêt C-687/21 du 25 janvier 2024, la CJUE applique la même logique à une erreur humaine : un document remis par un employé à la mauvaise personne ne démontre pas, en soi, que l’organisation de l’entreprise était défaillante.

2. Un dommage réel, sans seuil de gravité

Le premier grand arrêt, C-300/21 du 4 mai 2023, a fermé deux portes à la fois. Le manquement au règlement ne suffit pas à lui seul : il faut un dommage effectivement subi. Mais un État ne peut pas non plus réserver l’indemnisation du préjudice moral aux atteintes d’une certaine gravité.

La Cour de cassation s’est alignée. Le 24 juin 2026, sa chambre sociale (pourvoi n° 24-22.792) a cassé un arrêt de la cour d’appel de Paris qui avait accordé 5 000 euros à un salarié en considérant que la violation du RGPD par son employeur lui causait nécessairement un préjudice. La haute juridiction rappelle que le demandeur doit établir le dommage, et pas seulement le manquement. Cette affaire ne portait pas sur une fuite, mais sur des preuves obtenues par l’employeur au moyen d’un traitement contraire au RGPD ; le raisonnement vaut pour toute demande fondée sur l’article 82, donc aussi pour une indemnisation après une fuite de données.

Capture de l’arrêt Cass. soc., 24 juin 2026, n° 24-22.792, publié au bulletin (legifrance.gouv.fr), le 06/10/2026.

3. La crainte et la perte de contrôle : jusqu’où va le dommage moral

C’est le point le plus utile pour les victimes de fuites massives, où l’on ignore souvent si ses données seront exploitées. La CJUE a jugé, toujours dans l’affaire bulgare, que la crainte d’un usage abusif futur de ses données peut constituer, à elle seule, un dommage moral. La limite figure dans l’arrêt MediaMarktSaturn : quand il est établi que le tiers qui a reçu le document n’a pas pris connaissance des données, la seule crainte d’une diffusion future ne constitue pas un dommage moral.

Dans l’arrêt C-200/23 du 4 octobre 2024, la Cour a ajouté qu’une perte de contrôle sur ses données, même d’une durée limitée, peut suffire à causer un dommage moral, aussi minime soit-il, sans qu’il faille démontrer des conséquences négatives tangibles supplémentaires, à condition que la personne démontre qu’elle a effectivement subi ce dommage. L’affaire portait sur la mise en ligne de données personnelles dans un registre du commerce public. Autrement dit, la peur ou la perte de maîtrise se plaident, mais elles se prouvent : un juge attend des éléments concrets, pas une inquiétude de principe.

4. Le lien de causalité : la condition la plus difficile

C’est là que beaucoup de demandes échouent, et les arrêts européens n’en disent presque rien. Votre adresse électronique et votre numéro de téléphone ont probablement déjà circulé après plusieurs incidents. Si vous recevez un SMS d’hameçonnage, comment prouver qu’il vient de cette fuite-là plutôt que d’une autre ? Notre lecture : plus les données volées sont spécifiques (IBAN, numéro de sécurité sociale, dossier médical, identifiant client propre à un service), plus le lien est facile à établir. Un message frauduleux qui cite votre numéro de contrat chez l’organisme piraté pèse bien plus lourd qu’un courriel générique.

Votre situation, ce que la jurisprudence en dit

Et combien ?

Aucun barème officiel d’indemnisation d’une fuite de données n’existe. La CJUE a jugé que la réparation a une fonction compensatoire et non punitive : elle doit couvrir intégralement le préjudice subi, mais elle ne grossit pas avec la gravité de la faute de l’organisme (arrêts C-300/21 et C-687/21). Le montant relève des règles nationales, donc de l’appréciation du juge français au cas par cas. Méfiez-vous de toute promesse chiffrée faite avant même l’examen de votre dossier.

Qui contrôle la réparation, et comment reprendre la main

Une fuite de données est d’abord une perte de contrôle, et la jurisprudence le reconnaît désormais comme un dommage possible. Mais au moment de demander réparation, le déséquilibre reste net : presque toutes les preuves sont entre les mains de l’organisme.

Qui détient les preuves. Les journaux de connexion, les audits de sécurité, la date réelle de découverte de l’incident, la liste exacte des champs exfiltrés : vous n’avez accès à rien de tout cela. Le RGPD oblige l’organisme à notifier la violation à la CNIL dans les meilleurs délais, si possible sous 72 heures, et à vous prévenir directement quand le risque est élevé (articles 33 et 34). Il peut s’en dispenser, notamment si les données étaient chiffrées de façon à être inintelligibles. C’est pour corriger ce déséquilibre que la CJUE a placé sur le responsable la charge de prouver que sa sécurité était adaptée : vous n’avez pas à démontrer techniquement comment les pirates sont entrés.

Qui décide. Ni la CNIL, ni l’entreprise, ni une plateforme de « réclamation » en ligne : le juge. Une sanction de la CNIL contre l’organisme ne vous indemnise pas, mais ses constats peuvent servir à établir le manquement devant le tribunal. Pour un organisme établi dans un autre État de l’Union, l’article 79 du RGPD permet d’agir devant les juridictions du pays où l’organisme est établi, ou devant celles du pays où vous résidez habituellement, sauf si l’organisme est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique. Cela compte quand le service que vous utilisez est opéré depuis l’étranger.

Qui est responsable dans la chaîne. Vos données ne sont presque jamais chez un seul acteur. Le site marchand confie son fichier client à un hébergeur, son support à un prestataire, ses envois à un routeur de courriels. La fuite de données RH que nous avons analysée dans l’affaire ShinyHunters et le FBI le montre : le maillon qui cède est souvent un prestataire. La règle de responsabilité pour le tout de l’article 82 vous évite d’avoir à démêler qui a failli. Quand l’opérateur relève d’un droit étranger, une autre question se pose, celle de l’accès des autorités de ce pays, que nous détaillons dans notre article sur le CLOUD Act.

Comment reprendre la main avant la prochaine fuite. La meilleure indemnisation reste celle dont on n’a pas besoin. Trois réflexes réduisent l’exposition :

• donner le moins de données possible, en particulier l’IBAN et les pièces d’identité, et demander leur suppression quand vous quittez un service ;
• utiliser une adresse électronique distincte par service, ou des alias : un message frauduleux reçu sur l’alias d’un seul site désigne la source de la fuite, ce qui sert aussi à prouver le lien de causalité ;
• préférer, à fonctionnalités égales, un prestataire soumis au seul droit européen ; notre comparatif de messageries sécurisées européennes donne des critères. Limite honnête : un hébergeur européen peut aussi être piraté, et le RGPD s’applique de la même façon aux services américains qui visent des résidents de l’Union.

Pour aller plus loin sur la notion elle-même, voir notre définition de la souveraineté des données.

Méthode : que faire si vous êtes concerné par une fuite de données

1. Conservez tout. Le courriel ou le courrier de notification, les captures de messages frauduleux reçus ensuite, les relevés bancaires, les échanges avec l’organisme. Datez chaque pièce : toute demande d’indemnisation pour une fuite de données se gagne ou se perd sur ce dossier.
2. Demandez des précisions à l’organisme. Quelles données vous concernant ont été touchées, quand, et quelles mesures ont été prises. La CNIL indique sur sa page d’aide aux personnes concernées que certains sites prétendent détenir les données volées et pouvoir vous dire si vous êtes concerné, et elle déconseille de les utiliser.
3. Protégez-vous tout de suite. Changez les mots de passe exposés, surveillez vos comptes, méfiez-vous des appels de « conseillers ». Nos étapes pour sécuriser votre ordinateur complètent ces réflexes.
4. Documentez le préjudice. Frais engagés, temps passé, opposition bancaire, troubles décrits précisément. C’est la pièce qui manque le plus souvent.
5. Choisissez la voie. Action individuelle devant le tribunal judiciaire (entreprise) ou administratif (administration), ou ralliement à une action de groupe. Le régime unifié créé par l’article 16 de la loi n° 2025-391 du 30 avril 2025 permet de demander la réparation des préjudices de toute nature, y compris contre une personne morale de droit public. L’action en réparation est réservée aux associations agréées à cette fin (activité effective et publique de douze mois, indépendance, transparence sur le financement) ; les associations déclarées depuis deux ans ne peuvent demander que la cessation du manquement.
6. Surveillez le délai. Entre personnes privées, l’action se prescrit en principe par cinq ans à compter du jour où vous avez connu, ou auriez dû connaître, les faits (article 2224 du code civil).

Questions fréquentes sur l’indemnisation d’une fuite de données

Dernière vérification : 06/10/2026