Victime d’une fuite de données, ce qu’il faut prouver pour être dédommagé

Dans une page mise en ligne le 2 octobre 2026, que détaille l’article de Selectra publié le 7 octobre, la CNIL précise ce qu’une personne touchée par une violation de ses données doit établir pour être dédommagée. Le texte lève une idée reçue : l’inquiétude ressentie après une fuite peut être reconnue comme un préjudice, sans seuil de gravité, pourvu qu’elle soit réelle et vécue personnellement.

Trois conditions cumulatives

Le fondement juridique se trouve à l’article 82 du RGPD. Pour obtenir réparation, la victime doit pouvoir faire valoir trois éléments à la fois. D’abord un manquement imputable à l’organisme, par exemple une protection informatique qui ne correspond pas aux risques encourus. Ensuite un dommage effectivement subi. Enfin un rapport de cause à effet entre ce manquement et ce dommage : il faut que le préjudice découle de la fuite, et pas seulement qu’il survienne à la même période.

La charge de la preuve est répartie. La faute de l’organisme est présumée, et il lui revient de prouver qu’il n’a joué aucun rôle dans l’incident. Le lien de causalité, lui, reste à démontrer par la personne qui demande réparation. L’action vise le responsable du traitement et, selon les situations, son prestataire.

Les préjudices qui peuvent être invoqués

D’après la liste reprise par Selectra, le dommage peut être matériel ou moral : une somme perdue, une identité usurpée, une réputation entamée, des informations confidentielles exposées, la perte de maîtrise sur ses propres données ou la crainte de les voir détournées.

Sur ce dernier point, la CNIL indique que la peur d’une utilisation abusive relève du préjudice moral, sans qu’un niveau minimal de gravité soit exigé. Elle pose toutefois une limite : relever qu’une règle a été enfreinte ne suffit pas à prouver un dommage, qui doit être établi et avoir été éprouvé par la personne elle-même.

La CNIL n’avance pas de montant et laisse au juge le soin d’évaluer l’indemnité. Selectra mentionne des contribuables qui ont réclamé une compensation à l’État après le piratage des services fiscaux survenu à l’été 2026.

Les pièces à conserver

Pour étayer une demande, la CNIL recommande de garder une trace de l’incident et de ses suites :

• le message par lequel l’organisme a signalé la fuite ;
• les courriels douteux reçus après l’incident, accompagnés d’une copie d’écran ;
• les justificatifs des frais engagés à cause de la fuite ;
• un relevé daté des démarches effectuées et des plaintes déposées.

Ce dossier ne passe pas avant la protection : selon Selectra, la CNIL rappelle que les gestes de sécurité restent la priorité après une fuite.

CNIL, juge ou association

La CNIL n’a pas le pouvoir d’accorder des dommages et intérêts. Une plainte déposée auprès d’elle peut aboutir à l’arrêt du manquement ou à une sanction contre l’organisme, pas à une indemnisation.

La réparation se demande devant un juge, choisi selon la nature de l’organisme en cause :

• le tribunal judiciaire, en principe, lorsque la fuite vient d’une entreprise ou d’un particulier, par exemple une enseigne, une banque ou un opérateur ;
• le tribunal administratif lorsqu’elle vient d’une administration, d’un ministère, d’une collectivité, d’une région ou d’une mairie, avec une demande préalable à adresser et, dans certains cas, un avocat obligatoire.

Avant d’engager la procédure, la CNIL conseille de vérifier quel tribunal est compétent.

Il est aussi possible de ne pas agir seul. La loi Informatique et Libertés, en son article 38, autorise une victime à mandater une association agréée, ou une association déclarée depuis cinq ans au moins dont l’objet porte sur la vie privée ou la protection des données. Une loi du 30 avril 2025 a par ailleurs unifié le régime de l’action de groupe : elle peut tendre à la fin d’un manquement ou à la réparation des dommages subis par un ensemble de victimes dont les situations se ressemblent, données personnelles comprises. Seules des organisations habilitées, comme des associations agréées ou, sous conditions, des syndicats, peuvent l’engager. La participation et l’indemnisation dépendent ensuite de la procédure et de la décision du juge.

Des fuites qui touchent un public large

Selon le baromètre rapporté par ZDNet, mené par Cybermalveillance avec Ipsos Digital, 45 % des Français avaient été avertis en 2026 d’une fuite touchant leurs données, contre 30 % en 2025. Le groupement d’intérêt public a placé les violations de données au centre du Cybermois d’octobre 2026 et diffuse depuis le 1er octobre, avec la CNIL, un dépliant qui décrit en trois étapes la conduite à tenir, du jour de la fuite jusqu’à trente jours après.

Le Journal du Net, citant Les Échos, rapportait le 29 avril 2025 que la CNIL avait reçu 5 629 notifications de violations en 2024, soit 20 % de plus qu’en 2023. D’après le rapport de la CNIL cité par le même article, les attaques informatiques représentaient 55 % des causes identifiées et les erreurs humaines internes 20 %. La présidente de la CNIL, Marie-Laure Denis, y estimait que 80 % des grandes violations auraient pu être évitées.

L’obligation de signaler une fuite n’est pas nouvelle. Le bilan publié par Global Security Mag en octobre 2018 rappelait qu’un organisme qui ne notifie pas une violation dans les 72 heures s’expose à une amende pouvant atteindre 10 millions d’euros ou 2 % de son chiffre d’affaires.

Indemnité, préjudice moral et recours en bref

• Une fuite ne donne pas droit, à elle seule, à une indemnité : manquement, dommage et lien de causalité doivent être réunis.
• Une inquiétude réelle et personnelle peut être réparée au titre du préjudice moral.
• La faute de l’organisme est présumée, le lien de causalité reste à prouver par la victime.
• Seul un juge, judiciaire ou administratif selon l’organisme, fixe le montant ; la CNIL peut sanctionner, pas indemniser.

Photo : TheDigitalWay / Pixabay