L’article en bref
- Après une fuite de données, l'indemnisation n'est jamais automatique : elle repose sur la preuve d'un dommage et d'un lien de causalité (article 82 du RGPD).
- Le dossier se constitue dès la réception de la notification de violation, pas au moment d'agir.
- Pièces clés : notification reçue, captures horodatées, messages et appels frauduleux, relevés bancaires, échanges avec la banque, demandes de droits et réponses, plainte, frais.
- Le temps passé et le retentissement personnel se documentent aussi : ils participent au préjudice.
- Chaque pièce doit être datée et conservée dans son format d'origine.
- Un dossier organisé fait la différence, face à la banque comme devant le juge.
Conservez tout, daté, dès l'annonce de la fuite : la notification de violation reçue, des captures d'écran horodatées, les messages et numéros des appels frauduleux, vos relevés bancaires, vos échanges avec la banque, vos demandes de droits RGPD et leurs réponses, le récépissé de plainte, les justificatifs de frais et une trace du temps passé. Ces pièces établiront le dommage et le lien de causalité exigés par l'article 82 du RGPD : sans elles, pas de réparation possible.
Faits et sources vérifiés le 21 août 2026.
Pourquoi la preuve décide de tout
La Cour de justice de l'Union européenne a fixé la règle : la violation seule ne donne pas droit à réparation. Il faut démontrer un dommage, matériel ou moral, et son lien avec la fuite. Même le préjudice moral, comme la crainte fondée d'un usage abusif de vos données, doit être établi par des éléments concrets. Autrement dit, deux victimes de la même fuite n'obtiendront pas le même résultat : celle qui a documenté sa situation part avec une longueur d'avance. Les conditions de fond sont détaillées dans notre guide sur l'indemnisation après une fuite de données personnelles.
Autre raison d'agir tôt : les preuves disparaissent. Un SMS s'efface, un courriel se perd, un numéro d'appelant s'oublie, une page web change. La collecte doit commencer le jour où vous apprenez la fuite, sans attendre de savoir si vous agirez.
La liste des pièces à conserver
| Pièce | Ce qu'elle prouve | Comment la conserver |
|---|---|---|
| Notification de violation reçue (courriel ou courrier) | La réalité de la fuite, les données concernées, la date de votre connaissance | Original conservé, sans transfert ni suppression ; copie PDF datée |
| Captures d'écran horodatées | Comptes touchés, messages suspects, anomalies constatées | Capture montrant date et heure ; classement chronologique |
| Faux appels, SMS et courriels reçus | L'exploitation de vos données ; le lien avec la fuite quand vos vraies données y figurent | Numéros, dates, heures notés ; messages conservés tels quels, jamais supprimés |
| Relevés et mouvements bancaires | Les opérations non autorisées et leur chronologie | Relevés mensuels complets, opérations litigieuses surlignées |
| Courriers et courriels échangés avec la banque | Le signalement dans les délais, la position de la banque, un éventuel refus de rembourser | Écrit systématique ; accusés de réception ; notes datées des appels |
| Demandes de droits RGPD et réponses (article 15) | Les données que l'entreprise détenait sur vous ; son comportement après la fuite | Demande écrite datée, réponse complète, silence documenté au-delà d'un mois |
| Plainte ou main courante | La matérialité des faits subis et leur date | Récépissé de dépôt conservé ; référence du procès-verbal |
| Justificatifs de frais | Le préjudice matériel chiffrable | Factures et reçus : nouvelle carte, courriers recommandés, déplacements, prestations |
| Relevé du temps passé | La charge réelle imposée par l'incident | Journal daté : démarche, durée, interlocuteur |
| Retentissement personnel | Le préjudice moral : inquiétude, démarches anxiogènes, répercussions concrètes | Éléments factuels datés ; le cas échéant, documents médicaux ou attestations de proches |
Trois règles pour un dossier solide
Dater chaque pièce
Le lien de causalité se démontre d'abord par la chronologie : fuite annoncée, puis messages frauduleux citant vos vraies données, puis opérations suspectes. Une pièce sans date perd l'essentiel de sa force. Vérifiez que chaque capture d'écran affiche la date et l'heure, notez immédiatement les horaires d'appels, conservez les en-têtes des courriels.
Conserver l'original
Ne supprimez jamais le message d'origine après capture : le SMS ou le courriel original conserve des éléments techniques que la capture ne restitue pas. En cas de contestation sérieuse, un constat de commissaire de justice peut par ailleurs figer une preuve numérique de manière incontestable.
Tout passer par écrit
Privilégiez l'écrit avec la banque comme avec l'entreprise à l'origine de la fuite. Un signalement d'opération non autorisée se fait sans tarder, au plus tard dans les 13 mois suivant le débit (article L. 133-24 du Code monétaire et financier) : l'écrit prouve que vous avez respecté ce délai. De même, la demande d'accès de l'article 15 du RGPD et la réponse de l'entreprise, ou son silence, documentent son comportement après la violation.
Et une fois le dossier constitué ?
Un dossier complet ouvre les discussions : demande de remboursement auprès de la banque, mise en cause de l'entreprise responsable de la fuite, demande d'indemnisation fondée sur l'article 82 du RGPD. L'analyse de vos pièces détermine la voie la plus pertinente et les chances de votre demande, sans qu'aucun résultat ne puisse être assuré d'avance. Notre équipe d'avocat en violation de données personnelles examine votre situation et bâtit la stratégie avec vous ; en cas de procédure, notre pratique d'avocat en contentieux cyber prend le relais. Chaque situation est particulière : venez avec vos pièces, même incomplètes, l'essentiel est de commencer tôt.
Questions fréquentes sur les preuves après une fuite de données
Quand faut-il commencer à rassembler les preuves ?
Dès que vous apprenez la fuite, notification en main, sans attendre de savoir si vous agirez. Les preuves numériques disparaissent vite : messages effacés, pages modifiées, numéros oubliés. Un dossier constitué au fil de l'eau vaut mieux qu'une reconstitution tardive.
Faut-il conserver la notification de violation reçue ?
Oui, c'est la pièce fondatrice. Elle prouve la réalité de la fuite, liste les données concernées et date votre connaissance de l'incident. Conservez l'original, courriel ou courrier, et faites-en une copie de sauvegarde.
Comment prouver un préjudice moral ?
Par des éléments concrets et datés : messages frauduleux reçus, démarches imposées, journal du temps passé, répercussions documentées, le cas échéant attestations ou documents médicaux. La crainte fondée d'un usage abusif des données peut constituer un dommage moral, mais elle doit être démontrée, pas simplement affirmée.
Une capture d'écran suffit-elle comme preuve ?
C'est un bon début, à condition d'être horodatée et complétée par l'original du message. Pour une preuve décisive risquant d'être contestée, un constat de commissaire de justice fige le contenu de manière incontestable.
Le temps passé à gérer la fuite compte-t-il ?
Oui, il participe au préjudice s'il est documenté. Tenez un journal daté de chaque démarche : appels à la banque, courriers, dépôt de plainte, avec leur durée. Ce relevé transforme une gêne diffuse en élément chiffrable.
Que faire si la banque refuse de rembourser ?
Conservez son refus écrit : c'est une pièce en soi. Le signalement dans les délais, vos relevés et la chronologie de la fraude permettent de contester ce refus, la charge de la preuve de votre négligence grave pesant sur la banque. Un avocat peut évaluer la suite à donner.
Mes preuves servent-elles aussi pour la plainte pénale ?
Oui. Le même dossier alimente la plainte, la discussion avec la banque et l'action indemnitaire : ces démarches sont indépendantes mais s'appuient sur les mêmes faits. Pour choisir la bonne voie, consultez notre guide plainte, CNIL ou police.
Sources officielles
- Articles 15 et 82 du règlement (UE) 2016/679 (RGPD) – EUR-Lex
- CJUE, 4 mai 2023, C-300/21, Österreichische Post (dommage et lien de causalité à démontrer) – EUR-Lex
- CJUE, 14 décembre 2023, C-340/21 (la crainte d'un usage abusif comme dommage moral) – EUR-Lex
- Article L. 133-24 du Code monétaire et financier (signalement des opérations non autorisées, 13 mois) – Légifrance
- Article L. 133-23 du Code monétaire et financier (charge de la preuve sur la banque) – Légifrance
Voir aussi : fuite de données : plainte, CNIL ou police ? et notre dossier des entreprises piratées en France en 2026.
Cet article présente l'état du droit à titre d'information générale, tel que vérifié le 21 août 2026. Il ne constitue pas une consultation juridique et ne comporte aucune promesse de résultat. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
