L’article en bref
- Une indemnisation est possible après une fuite de données (article 82 du RGPD), mais elle n'est jamais automatique.
- Trois conditions cumulatives : une violation du RGPD, un dommage prouvé, un lien de causalité (CJUE, 4 mai 2023, C-300/21).
- Le préjudice peut être matériel ou moral : la crainte fondée d'un usage abusif de ses données peut suffire (CJUE, 14 décembre 2023, C-340/21).
- La perte de contrôle sur ses données et les sentiments négatifs qu'elle cause sont indemnisables, sans seuil de gravité (CJUE, 4 septembre 2025, C-655/23).
- L'action vise le responsable du traitement ou le sous-traitant ; la CNIL, elle, n'indemnise jamais.
- Aucune décision préalable de la CNIL n'est nécessaire ; tout repose sur les preuves que vous aurez conservées.
Oui, une indemnisation est possible, mais elle n'est jamais automatique. L'article 82 du RGPD ouvre un droit à réparation à trois conditions cumulatives : une violation du règlement, un dommage matériel ou moral, et un lien de causalité entre les deux. La fuite seule ne suffit pas. En revanche, la crainte fondée d'un usage abusif de vos données peut constituer, à elle seule, un préjudice moral réparable. Tout repose sur la démonstration, donc sur vos preuves.
Faits et sources vérifiés le 21 août 2026.
Ce que dit l'article 82 du RGPD
L'article 82 pose le principe : toute personne ayant subi un dommage matériel ou moral du fait d'une violation du RGPD a le droit d'obtenir réparation du responsable du traitement ou du sous-traitant. Le texte couvre donc les deux familles de préjudice, sans hiérarchie. Il prévoit aussi une porte de sortie pour l'entreprise : elle s'exonère si elle prouve que le fait dommageable ne lui est « nullement imputable ».
Ce fondement est le socle de tout contentieux indemnitaire après une fuite de données. Il ne dit pas, en revanche, ce qu'il faut prouver ni avec quelle exigence. C'est la Cour de justice de l'Union européenne qui a précisé ces règles dans une série d'arrêts, du premier grand arrêt de 2023 au plus récent de septembre 2025.
La fuite seule ne suffit pas : les trois conditions
Dans son arrêt Österreichische Post du 4 mai 2023 (C-300/21), la CJUE a écarté l'idée d'une indemnisation automatique. La simple violation du RGPD ne donne pas, à elle seule, droit à réparation. Trois conditions cumulatives doivent être réunies :
- une violation du règlement : par exemple des mesures de sécurité insuffisantes ayant permis la fuite ;
- un dommage, matériel ou moral, que vous devez établir ;
- un lien de causalité entre la violation et ce dommage.
Le même arrêt apporte une contrepartie favorable aux victimes : il n'existe aucun seuil de gravité. Un préjudice moral même modeste doit être réparé dès lors qu'il est établi. Le débat ne porte donc pas sur l'importance du dommage, mais sur son existence et sa preuve.
Le préjudice moral : la crainte peut suffire
C'est l'apport majeur de la jurisprudence récente, et le plus utile aux personnes concernées par une fuite. Dans l'arrêt du 14 décembre 2023 (C-340/21), rendu après le piratage de l'agence fiscale bulgare, la CJUE a jugé que la crainte d'un usage abusif de ses données à la suite d'une cyberattaque peut constituer, à elle seule, un dommage moral réparable. Vous n'avez pas à attendre que vos données soient effectivement exploitées : l'inquiétude fondée que cela advienne est en soi un préjudice.
L'arrêt du 4 septembre 2025 (C-655/23, Quirin Privatbank) confirme et prolonge cette ligne : la perte de contrôle sur ses données et les sentiments négatifs qu'elle engendre, peur ou contrariété, sont des dommages moraux indemnisables, sans seuil de gravité. La condition demeure : démontrer la réalité de ce ressenti et son rattachement à la violation. Une affirmation générale ne suffit pas ; des éléments concrets, datés et personnels font la différence.
Le préjudice matériel
Le dommage matériel recouvre les pertes chiffrables : prélèvements ou virements frauduleux non remboursés, frais engagés pour faire face à l'incident, coûts de démarches, pertes liées à une usurpation d'identité. Deux réflexes s'imposent. D'abord, solliciter votre banque pour les opérations non autorisées : l'article L. 133-18 du Code monétaire et financier impose leur remboursement, et seule la part non couverte reste un préjudice indemnisable. Ensuite, tout chiffrer et tout justifier : factures, relevés, échanges écrits. Le temps passé à gérer les conséquences de la fuite peut également être valorisé, s'il est documenté.
Prouver le lien de causalité
Le lien de causalité est souvent le point dur du dossier. Il s'agit de rattacher votre dommage à cette violation : montrer que la fraude ou la crainte invoquée découle de la fuite en cause. La chronologie est votre meilleure alliée : notification de la violation, puis apparition des faits (tentatives de phishing citant vos vraies données, opérations suspectes, démarches). La correspondance entre les données fuitées et celles exploitées par les fraudeurs pèse aussi : un faux conseiller qui connaît votre IBAN après une fuite incluant les IBAN, par exemple.
Sur le terrain de la sécurité, l'arrêt C-340/21 a précisé un point d'équilibre : le fait qu'une intrusion ait réussi ne prouve pas, à lui seul, que les mesures de sécurité étaient inappropriées ; mais c'est au responsable du traitement de démontrer que ses mesures étaient appropriées. La charge de la preuve sur ce point pèse donc sur l'entreprise, pas sur vous.
Contre qui agir ?
L'action s'exerce contre le responsable du traitement, c'est-à-dire l'organisme qui détenait vos données pour ses propres finalités, ou contre son sous-traitant, par exemple le prestataire informatique effectivement piraté. L'article 82 vise les deux. L'entreprise ne s'exonère qu'en prouvant que le fait dommageable ne lui est nullement imputable, ce qui est une exigence forte. Identifier le bon défendeur, ou les bons défendeurs, est l'une des premières analyses à mener, notamment quand la fuite est survenue chez un prestataire.
La CNIL n'indemnise pas, et vous n'avez pas besoin d'elle pour agir
Deux idées reçues à écarter. La première : « la CNIL m'indemnisera ». Non. La CNIL contrôle et sanctionne les organismes ; les amendes qu'elle prononce, comme les 42 M€ infligés à Free et Free Mobile ou les 5 M€ infligés à France Travail en janvier 2026, vont au Trésor public, pas aux victimes. La seconde : « il faut attendre une décision de la CNIL pour agir ». Non plus. L'action indemnitaire est autonome : elle peut être engagée sans réclamation préalable et sans sanction prononcée. Une sanction existante peut néanmoins nourrir votre dossier, en établissant les manquements de l'entreprise. Pour choisir la bonne combinaison de démarches, consultez notre guide plainte, CNIL ou police : quelle démarche après une fuite ?
Les documents à conserver
Le dossier se construit dès la réception de la notification de violation. Conservez : la notification elle-même, vos captures d'écran horodatées, les messages frauduleux reçus, vos relevés bancaires, vos échanges avec l'entreprise et avec votre banque, vos demandes de droits (article 15 du RGPD) et leurs réponses, le récépissé de plainte le cas échéant, et les justificatifs de frais et de temps passé. Nous avons consacré un guide complet à cette étape décisive : quelles preuves conserver pour demander réparation après une fuite de données ?
Agir seul ou à plusieurs : l'action de groupe
Le droit français connaît par ailleurs l'action de groupe en matière de protection des données personnelles : certaines associations peuvent agir pour le compte de personnes placées dans une situation similaire à la suite d'un même manquement. Cette voie collective obéit à des conditions strictes et son calendrier est plus long qu'une action individuelle. Elle peut constituer une option lorsque la fuite touche un très grand nombre de personnes ; l'action individuelle reste ouverte dans tous les cas.
Ce qu'il faut retenir
| Question | Réponse | Fondement |
|---|---|---|
| La fuite suffit-elle à être indemnisé ? | Non : dommage et lien de causalité à démontrer | CJUE, 4 mai 2023, C-300/21 |
| La crainte d'un usage abusif est-elle un préjudice ? | Oui, si elle est fondée et démontrée | CJUE, 14 décembre 2023, C-340/21 |
| La perte de contrôle sur ses données compte-t-elle ? | Oui, comme les sentiments négatifs qu'elle cause, sans seuil de gravité | CJUE, 4 septembre 2025, C-655/23 |
| Contre qui agir ? | Responsable du traitement et/ou sous-traitant | Article 82 du RGPD |
| La CNIL peut-elle m'indemniser ? | Non : elle sanctionne, elle n'indemnise pas | Répartition des rôles CNIL / juge civil |
| Faut-il une décision CNIL préalable ? | Non : l'action indemnitaire est autonome | Article 82 du RGPD |
Évaluer les chances d'une demande d'indemnisation suppose d'analyser la violation, les preuves disponibles et le préjudice démontrable. Notre équipe accompagne les personnes concernées à chaque étape, de la constitution du dossier à l'action : consultez notre page d'avocat en violation de données personnelles et notre pratique d'avocat en contentieux cyber. Aucune issue ne peut être assurée d'avance : chaque situation est particulière.
Questions fréquentes sur l'indemnisation après une fuite de données
Une fuite de données donne-t-elle automatiquement droit à une indemnisation ?
Non. La CJUE l'a jugé le 4 mai 2023 (C-300/21) : la violation seule ne suffit pas. Il faut démontrer un dommage, matériel ou moral, et un lien de causalité entre la violation et ce dommage. En revanche, aucun seuil de gravité n'est exigé.
Puis-je être indemnisé sans avoir subi de fraude ?
C'est possible. La crainte fondée d'un usage abusif de vos données peut constituer, à elle seule, un dommage moral réparable (CJUE, 14 décembre 2023, C-340/21), de même que la perte de contrôle sur vos données (CJUE, 4 septembre 2025, C-655/23). Ce ressenti doit être démontré par des éléments concrets.
Quel montant puis-je espérer ?
Aucun barème n'existe : la réparation dépend du préjudice effectivement démontré, apprécié au cas par cas par le juge. Méfiez-vous de quiconque vous annonce un montant assuré d'avance. Un dossier de preuves solide reste le principal facteur d'une évaluation favorable.
Contre qui diriger la demande ?
Contre le responsable du traitement, l'organisme qui détenait vos données, ou contre son sous-traitant, par exemple le prestataire piraté. L'article 82 du RGPD vise les deux. L'entreprise ne s'exonère qu'en prouvant que le fait ne lui est nullement imputable.
La CNIL peut-elle m'indemniser ?
Non. La CNIL contrôle et sanctionne les organismes ; ses amendes vont au Trésor public. La réparation de votre préjudice relève du juge civil, sur le fondement de l'article 82 du RGPD.
Faut-il attendre une sanction de la CNIL pour agir ?
Non. L'action indemnitaire est autonome : elle ne suppose ni réclamation préalable ni décision de la CNIL. Une sanction existante peut toutefois renforcer votre dossier en établissant les manquements de l'entreprise.
Être piraté prouve-t-il que l'entreprise a fauté ?
Non : une intrusion réussie ne démontre pas, à elle seule, que les mesures de sécurité étaient inappropriées. Mais c'est à l'entreprise de prouver que ses mesures étaient appropriées (CJUE, C-340/21), ce qui allège votre charge probatoire sur ce point.
Quels documents conserver pour ma demande ?
La notification de violation, les captures d'écran horodatées, les messages frauduleux, les relevés bancaires, vos demandes de droits et leurs réponses, le récépissé de plainte, les justificatifs de frais et de temps passé. Constituez ce dossier dès l'annonce de la fuite.
Une action collective est-elle possible ?
Oui, le droit français connaît l'action de groupe en matière de données personnelles, portée par certaines associations pour des personnes placées dans une situation similaire. Elle obéit à des conditions strictes et n'empêche pas une action individuelle.
Sources officielles
- Article 82 du règlement (UE) 2016/679 (RGPD), droit à réparation – EUR-Lex
- CJUE, 4 mai 2023, C-300/21, Österreichische Post – EUR-Lex
- CJUE, 14 décembre 2023, C-340/21, Natsionalna agentsia za prihodite – EUR-Lex
- CJUE, 4 septembre 2025, C-655/23, Quirin Privatbank – curia.europa.eu
- Article L. 133-18 du Code monétaire et financier (remboursement des opérations non autorisées) – Légifrance
- CNIL, sanctions Free et Free Mobile rendues publiques le 13 janvier 2026 – cnil.fr ; sanction France Travail du 22 janvier 2026 – cnil.fr
Pour situer la fuite qui vous concerne parmi les incidents récents, consultez notre dossier des entreprises piratées en France en 2026.
Cet article présente l'état du droit à titre d'information générale, tel que vérifié le 21 août 2026. Il ne constitue pas une consultation juridique et ne comporte aucune promesse de résultat. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
