Une fuite de données personnelles n’est pas un simple incident informatique. Elle peut exposer une personne à une usurpation d’identité, à des campagnes de hameçonnage ciblé, à des fraudes, à du démarchage malveillant, à l’atteinte à sa vie privée, à des braquages ou à un sentiment durable d’insécurité.

Le Règlement général sur la protection des données, dit RGPD, reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d’une violation de ce règlement un droit à réparation.

Les contentieux liés aux fuites de données se situent à la rencontre du droit de la protection des données, du contentieux indemnitaire, du droit administratif ou civil et, selon les situations, du droit pénal du numérique.

Me Jérémy Roche consacre une part spécifique de sa pratique à ces questions.

Le cabinet de Me Roche accompagne les personnes concernées dans des démarches indemnitaires individuelles coordonnées contre les entités publiques ou privées susceptibles d’être responsables d’une fuite, d’un accès non autorisé ou d’une divulgation illicite de données personnelles. Lorsqu’une action de groupe est exercée par une entité habilitée, le cabinet peut intervenir à ses côtés et assister les personnes concernées.

Me Roche exerce spécifiquement en droit du numérique, protection des données personnelles et contentieux indemnitaires liés aux défaillances de sécurité.

Le cabinet suit avec rigueur l’évolution de la jurisprudence française et européenne, mais aussi l’actualité des fuites de données, de leurs modes opératoires ainsi que des risques concrets qu’elles font peser sur les personnes concernées.

Cette veille est essentielle puisqu’une action en indemnisation ne consiste pas seulement à constater qu’une fuite a eu lieu : elle suppose d’en comprendre le périmètre, d’identifier les données compromises, d’analyser les obligations qui pesaient sur l’organisme concerné et de démontrer les conséquences réellement subies par chaque victime.

Vous avez reçu une notification de fuite de données, constaté que vos informations circulent, ou subi les conséquences d’un incident de sécurité ? Vous pouvez être fondé à demander réparation.

Pourquoi agir collectivement ?

Lorsqu’un même incident affecte un grand nombre de personnes, les victimes rencontrent souvent les mêmes difficultés : absence d’explications complètes, informations techniques difficiles d’accès, banalisation du risque, difficulté à accéder aux éléments de preuve ou contestation de la réalité du préjudice.

Une démarche coordonnée permet notamment de :
- centraliser et d’analyser les informations relatives à l’incident,
- mutualiser les moyens utiles à l’action et les frais de justice,
- identifier les manquements communs au RGPD,
- conserver les preuves utiles,
- harmoniser les demandes tout en tenant compte des préjudices individuels,
- réduire les démarches inutiles pour chaque victime,
- donner aux personnes concernées les moyens de faire valoir effectivement leurs droits.

La jurisprudence spécifiquement consacrée à l’indemnisation des victimes de fuites massives de données sur le fondement de l’article 82 du RGPD demeure encore peu structurée, notamment au vu des plusieurs centaines de fuites relevées chaque année.

Le texte est pourtant limpide : une personne qui établit une violation, un préjudice matériel ou moral et un lien de causalité peut obtenir réparation.

Les actions actuellement menées par le cabinet participent ainsi à un changement de paradigme.

Ces démarches visent à renforcer l’effectivité du droit à indemnisation prévu par le RGPD, encore peu mobilisé en pratique, et à contribuer à la construction d’une jurisprudence plus structurée en matière de préjudices résultant des fuites de données.

Sur le droit à indemnisation :

Aux termes de l’article 82 (1) du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. ».

Aux termes du considérant 146 du RGPD : « Le responsable du traitement ou le sous-traitant devrait réparer tout dommage qu'une personne peut subir du fait d'un traitement effectué en violation du présent règlement. [...] La notion de dommage devrait être interprétée au sens large, à la lumière de la jurisprudence de la Cour de justice, d'une manière qui tienne pleinement compte des objectifs du présent règlement. [...] Les personnes concernées devraient recevoir une réparation complète et effective pour le dommage subi. ».

L’action peut être dirigée contre le responsable du traitement : entreprise, banque, assureur, administration, organisme social, établissement de santé, plateforme numérique, employeur ou toute autre organisation qui détermine les finalités et les moyens du traitement.

Elle peut également, dans les conditions prévues à l’article 82 (2) du RGPD, être dirigée contre un sous-traitant, notamment lorsqu’il n’a pas respecté les obligations qui lui incombent directement ou lorsqu’il a agi hors des instructions licites du responsable du traitement.

Lorsque plusieurs responsables du traitement ou sous-traitants participent au même traitement et sont responsables d’un dommage dans les conditions prévues aux articles 82 (2) et (3) du RGPD, la personne concernée peut, dans les conditions de l’article 82 (4), demander la réparation intégrale de son dommage à l’un quelconque de ces responsables ou sous‑traitants, chacun étant tenu de la totalité du dommage envers elle, sans que la victime puisse recevoir plusieurs fois l’intégralité de son préjudice.

L’indemnisation prévue par l’article 82 du RGPD a une fonction compensatoire : elle doit réparer le préjudice réellement subi, sans revêtir une fonction punitive. Le juge s’est appuyé à la fois sur l’article 82 et sur le considérant 146 du RGPD pour son interprétation (Voir en ce sens : CJUE, 25 janvier 2024, MediaMarktSaturn, aff. C‑687/21).

La CNIL peut contrôler, prononcer des mises en demeure, prendre des mesures correctrices et infliger des sanctions administratives. Une sanction de la CNIL peut constituer un élément utile pour établir la violation du RGPD, mais elle ne vaut pas, par elle-même, indemnisation des personnes concernées : la réparation financière relève d’une démarche indemnitaire distincte devant le juge compétent.

En l’absence de règlement amiable, l’indemnisation suppose l’exercice d’une demande indemnitaire, le cas échéant devant le juge compétent.

Sur les conditions nécessaires pour obtenir une indemnisation :

Une demande fondée sur l’article 82 du RGPD suppose la réunion de trois conditions cumulatives : une violation du RGPD, un préjudice matériel ou moral, ainsi qu’un lien de causalité entre cette violation et le préjudice invoqué.

La seule constatation d’une violation du RGPD ne suffit pas, à elle seule, à ouvrir droit à des dommages-intérêts. (Voir en ce sens : CJUE, 4 mai 2023, Österreichische Post, aff. C‑300/21).

La Cour de cassation a récemment repris ce principe : la simple violation du RGPD n’ouvre pas, à elle seule, droit à réparation. Le demandeur doit établir que ce manquement lui a causé un dommage matériel ou moral. La chambre sociale de la Cour de cassation a ainsi cassé un arrêt de Cour d’appel qui avait retenu et présumé le préjudice du seul constat d’un manquement au RGPD (Voir en ce sens : Cass. soc., 24 juin 2026, n° 24‑22.792).

En revanche, aucun seuil minimal de gravité ne peut être exigé pour le préjudice moral : un dommage modeste, mais réel, personnel et démontré, peut être indemnisé. (Voir en ce sens : CJUE, 4 mai 2023, Österreichische Post, aff. C‑300/21, précité).

La perte de contrôle sur ses données personnelles ou l’incertitude née d’une violation du RGPD peuvent constituer un dommage moral, à la condition que la personne concernée démontre les avoir effectivement subies et que son propre comportement n’ait pas constitué la cause déterminante du dommage. (Voir en ce sens : CJUE, 19 mars 2026, Brillen Rottler, aff. C‑526/24).

Le droit à réparation n’est donc ni automatique, ni réservé aux seules victimes ayant subi une fraude financière ou d’autres conséquences postérieures à une fuite de données.

Il suppose de caractériser concrètement l’atteinte subie et le lien entre celle-ci et la violation de données.

Sur les manquements qui sont recherchés :

Une cyberattaque ou une fuite de données ne démontre pas mécaniquement que les mesures de sécurité mises en œuvre par l’organisme étaient insuffisantes.

Le juge doit apprécier concrètement les mesures prises en tenant compte de la nature, de la portée, du contexte et des finalités du traitement, des risques inhérents à celui-ci, de leur probabilité et de leur gravité, ainsi que de l’état des connaissances et des coûts de mise en œuvre. (Voir en ce sens : CJUE, 14 décembre 2023, Natsionalna agentsia za prihodite, aff. C‑340/21).

Une violation de données peut néanmoins révéler plusieurs manquements au RGPD susceptibles d’engager la responsabilité du responsable du traitement ou, selon les circonstances, de son sous-traitant.

Sur l’obligation de sécurité:

L’article 5 (1) f), du RGPD impose que les données soient traitées de manière à garantir une sécurité appropriée, notamment contre les accès non autorisés, la perte, la destruction ou l’altération accidentelle ou illicite. Les articles 24 et 32 du RGPD imposent au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées au niveau de risque. Ces mesures peuvent notamment comprendre : 

- Le contrôle et la traçabilité des accès,
- Une authentification robuste,
- Le cloisonnement des systèmes,
- Le chiffrement ou la pseudonymisation lorsque cela est approprié,
- La journalisation, la supervision et la détection des incidents via des SIEM et IDS,
- Des sauvegardes sécurisées,
- Des procédures de gestion de crise,
- L’évaluation des prestataires et sous-traitants,
- La formation des personnels,
- Des audits et tests réguliers de sécurité.

La personne concernée doit établir le dommage et son lien avec la violation alléguée.

Lorsqu’une violation résulte d’un accès non autorisé ou d’une cyberattaque, il appartient au responsable du traitement de démontrer que les mesures de sécurité mises en œuvre étaient appropriées au risque. (Voir en ce sens : CJUE, 14 décembre 2023, Natsionalna agentsia za prihodite, aff. C‑340/21).

L’intervention d’un pirate tiers n’exonère donc pas automatiquement l’organisme responsable : il peut rester tenu d’indemniser les victimes si les mesures de sécurité, d’organisation ou de surveillance n’étaient pas adaptées.

Aux termes de l’article 82 (3) du RGPD, le responsable du traitement ou le sous-traitant ne peut s’exonérer qu’en prouvant que le fait ayant provoqué le dommage ne lui est nullement imputable.

Sur l’obligation de notifier l’incident :

L’article 33 du RGPD impose au responsable du traitement de notifier à la CNIL, dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où il en a pris connaissance, toute violation susceptible d’engendrer un risque pour les droits et libertés des personnes physiques.

L’article 34 du RGPD impose une information directe des personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.

Cette information doit être communiquée dans les meilleurs délais, dans un langage clair et simple. Elle doit décrire la nature de l’incident, indiquer les coordonnées du délégué à la protection des données ou d’un autre point de contact compétent, présenter les conséquences probables de la fuite, indiquer les mesures prises ou proposées et préciser les recommandations permettant de limiter les conséquences négatives de l’incident.

L’information individuelle peut ne pas être requise dans les hypothèses strictement prévues à l’article 34, paragraphe 3, du RGPD, notamment lorsque les données étaient protégées par des mesures les rendant incompréhensibles pour une personne non autorisée, lorsque le risque élevé a disparu ou lorsqu’une information individuelle exigerait des efforts disproportionnés.

Hormis dans le cas de ces exceptions, une information tardive, imprécise ou incomplète peut constituer un manquement distinct, particulièrement lorsqu’elle a privé les personnes concernées de la possibilité de sécuriser rapidement leurs comptes, de surveiller les tentatives de fraude ou de prendre les précautions utiles.

Sur les préjudices indemnisables :

Le RGPD protège les données personnelles parce qu’elles touchent directement à l’identité, à la vie privée, au patrimoine et parfois à la sécurité physique des personnes.

Une fuite peut donc causer un préjudice matériel, un préjudice moral, ou les deux.

S’agissant du préjudice moral :

Un préjudice moral peut résulter, selon les circonstances, de :

- La perte de contrôle sur ses données personnelles,
- L’atteinte à la confidentialité de sa situation personnelle, familiale, professionnelle, patrimoniale, fiscale ou médicale,
- L’inquiétude née de la divulgation ou de la circulation des données,
- La crainte d’une usurpation d’identité, d’un hameçonnage ciblé, d’une escroquerie ou d’une exploitation frauduleuse,
- Stress lié aux démarches de sécurisation et à la surveillance de ses comptes,
- Sentiment d’exposition ou d’insécurité,
- L’atteinte à la réputation ou à la considération, selon la nature des données concernées.

La transmission non autorisée de données à caractère personnel à un tiers peut faire naître des sentiments négatifs tels que la crainte, le mécontentement, une inquiétude, contrariété, perte de confiance ou sentiment d’insécurité qui sont constitutifs d’un préjudice moral indemnisable, à condition qu’ils soient effectivement éprouvés par la personne concernée. Voir en ce sens : CJUE, 4 septembre 2025, Quirin Privatbank, aff. C‑655/23).

La crainte fondée d’un usage abusif futur de ses données peut, à elle seule, constituer un dommage moral réparable, même en l’absence d’usage frauduleux déjà constaté. La personne concernée doit toutefois démontrer qu’elle a effectivement éprouvé cette crainte et qu’elle est fondée au regard des circonstances de l’espèce. (Voir en ce sens : CJUE, 14 décembre 2023, Natsionalna agentsia za prihodite, aff. C‑340/21, précité).

Dans cette affaire, une contribuable invoquait la peur que les données personnelles dérobées lors d’une cyberattaque dirigée contre l’administration fiscale soient utilisées contre elle dans l’avenir. La Cour a considéré qu’une telle crainte pouvait constituer un préjudice moral indemnisable dès lors qu’elle était fondée et établie.

Cette crainte peut prendre la forme d’un état de stress durable, de la peur d’une fraude, d’un ciblage, d’une atteinte à la réputation ou, dans les cas les plus sensibles, d’une inquiétude pour sa sécurité ou celle de ses proches.

Un risque purement abstrait, hypothétique ou non démontré ne suffit toutefois pas à obtenir réparation. (Voir en ce sens : CJUE, 25 janvier 2024, MediaMarktSaturn, aff. C‑687/21, précité).

S’agissant du préjudice matériel :

Une fuite peut également causer un préjudice matériel, notamment en cas de :

- Sommes dérobées à la suite d’une fraude ou d’une usurpation d’identité,
- Opérations bancaires frauduleuses,
- Frais de remplacement, de sécurisation ou de surveillance,
- Dépenses engagées pour faire opposition, restaurer une identité numérique ou protéger ses comptes,
- Perte d’activité ou préjudice professionnel,
- Frais exceptionnels rendus nécessaires par un risque individualisé et documenté.

Ces préjudices doivent absolument être justifiés par des pièces : relevés bancaires, échanges frauduleux, factures, récépissés de plainte, attestations, captures d’écran, courriers de l’organisme concerné ou tout document permettant d’établir la réalité du dommage et son lien avec la violation, etc.

Sur le montant de l’indemnisation :

Il n’existe pas de barème automatique ni de montant uniforme applicable à toutes les fuites de données.

L’indemnisation dépend nécessairement de la situation propre à chaque victime.

L’indemnité doit réparer le préjudice matériel ou moral effectivement subi par chaque personne concernée.

La nature des données divulguées, l’ampleur et la durée de l’exposition, l’existence d’un accès effectif par des tiers, les tentatives de fraude, les démarches de sécurisation imposées à la victime, les frais justifiés et les conséquences personnelles ou professionnelles peuvent constituer des éléments utiles pour caractériser le préjudice et son étendue.

La gravité du manquement reproché ou l’attitude de l’organisme ne peuvent pas, à elles seules, conduire à une indemnité punitive. Elles ne sont pertinentes que dans la mesure où elles ont eu une incidence sur le dommage subi ou sur son aggravation.

Par exemple, une fuite concernant uniquement une adresse électronique n’emporte pas les mêmes risques qu’une fuite associant identité, coordonnées, documents d’identité, données fiscales, bancaires, de santé, patrimoniales ou informations permettant de localiser une personne.

La stratégie indemnitaire doit donc être individualisée, même lorsqu’elle est menée de manière coordonnée.

Sur les juridictions compétentes en la matière :

La juridiction compétente dépend de l’auteur du traitement et du contexte de la violation.

Lorsqu’une entreprise, une banque, une plateforme, un assureur ou un organisme privé est en cause, l’action indemnitaire relève en principe de la juridiction judiciaire.

Lorsqu’une administration, un établissement public ou une personne publique est en cause dans l’exercice de prérogatives de puissance publique, le litige indemnitaire relève en principe de la juridiction administrative.

Lorsqu’une personne publique est en cause, la compétence dépend notamment de la nature du litige et de l’activité à l’origine du traitement. Une analyse au cas par cas est nécessaire, en particulier lorsqu’est en cause un service public industriel et commercial ou lorsqu’une voie de droit spéciale est applicable.

Une demande indemnitaire préalable doit alors être adressée à l’administration avant la saisine du tribunal administratif. Devant le tribunal administratif, le ministère d’avocat est en principe requis pour une demande indemnitaire, sous réserve des exceptions prévues par les textes.

Sur les délais pour agir pour être indemnisé :

Les délais varient selon la nature de l’action, la qualité du responsable de traitement ou du sous-traitant responsable de la fuite, et les circonstances du dossier.

En matière civile, le délai de droit commun est en principe de cinq ans à compter du jour où la personne a connu, ou aurait dû connaître, les faits lui permettant d’agir, conformément à l’article 2224 du Code civil.

En matière de responsabilité administrative, la prescription quadriennale s’applique en principe aux créances sur les personnes publiques conformément à la loi du 31 décembre 1968. Le délai court à compter du premier jour de l’année suivant celle au cours de laquelle les droits ont été acquis, sous réserve des causes d’interruption ou de suspension applicables.

L’appréciation du point de départ peut être déterminante, notamment lorsqu’une fuite est révélée plusieurs mois après l’intrusion, lorsqu’une personne n’est informée qu’ultérieurement de son exposition ou lorsque les conséquences se manifestent progressivement.

Que faire si vous êtes concerné ? :

- Conservez toute notification de fuite, courriel, SMS, courrier ou message reçu de l’organisme concerné,
- Conservez les éléments permettant d’identifier les données exposées et les conséquences de l’incident : captures d’écran, tentatives de fraude, courriels de phishing, relevés bancaires, plaintes, échanges avec l’organisme et frais engagés,
- Renforcez immédiatement la sécurité de vos comptes : mots de passe uniques, authentification à deux facteurs, surveillance de vos comptes et vigilance accrue à l’égard des messages sollicitant des données ou un paiement,
- Ne communiquez jamais de codes, mots de passe ou données bancaires en réponse à un message reçu après une fuite, même si celui-ci semble provenir d’un organisme connu,
- Transmettez votre dossier au cabinet afin qu’il soit examiné au regard de l’action concernée et de votre situation personnelle.

Il n’est pas nécessaire d’avoir déjà subi une fraude pour qu’un préjudice moral soit examiné. Il est en revanche indispensable de caractériser concrètement l’atteinte subie et son lien avec la violation de données.

Ne laissez pas votre situation sans réponse.

Si vous avez été concerné par une fuite de données, le cabinet de Me Jérémy Roche examine votre dossier, vous informe de l’action adaptée et vous accompagne dans la défense de vos droits.

La protection de la vie privée sur internet n’est pas une option. C’est un droit fondamental qu’il appartient à tous de faire respecter.

Me Jérémy ROCHE
Avocat au barreau de Béziers
https://jeremyroche-avocat.fr/

Crédits photo : Unsplash - Lilartsy