Vous l’apprenez par votre banque, par un proche ou par la presse : un organisme qui détient vos données personnelles — boutique en ligne, laboratoire, mutuelle, ancien employeur, application — a été piraté ou a égaré un fichier. Des milliers de noms, d’adresses, de mots de passe ou de coordonnées bancaires circulent. Et vous, directement concerné, vous n’avez reçu aucun message, aucune lettre, aucune explication. Ce silence pose une question simple : l’organisme avait-il le droit de se taire, et que pouvez-vous faire maintenant pour vous protéger, le contraindre à réagir et obtenir réparation ?
La réponse tient en deux temps. D’abord, le droit européen impose à l’organisme deux réflexes : prévenir l’autorité de contrôle et, quand le danger est sérieux, prévenir chaque personne concernée. Ensuite, quand ces réflexes manquent, la victime n’est pas démunie : mise en demeure, plainte devant la CNIL, signalement, plainte pénale et action en réparation devant le juge forment une chaîne de recours graduée. Encore faut-il prouver la violation, le préjudice et le lien entre les deux, car la fuite à elle seule ne suffit pas à ouvrir droit à des dommages et intérêts.
Cet article explique, pas à pas, ce que l’organisme aurait dû faire après la fuite, comment réagir quand on ne vous a rien dit, et comment construire un dossier solide de réparation. Il s’appuie sur le règlement européen sur la protection des données, le code pénal, la jurisprudence récente de la Cour de cassation, du Conseil d’État et des tribunaux, ainsi que sur les guides officiels de la CNIL et du Comité européen de la protection des données.
I. Ce que l’organisme aurait dû faire après la fuite de vos données
Quand des données personnelles sont détruites, perdues, modifiées sans autorisation, divulguées ou consultées par des personnes non autorisées, le droit parle de violation de données personnelles. Le piratage d’une base clients entre dans cette définition, mais aussi l’envoi d’un fichier à un mauvais destinataire, la perte d’une clé USB non chiffrée ou la mise en ligne accidentelle d’un tableau de clients. Dès qu’il prend connaissance d’un tel incident, le responsable du traitement — l’entreprise ou l’administration qui décide de l’usage de vos données — doit enclencher une procédure précise, tournée vers l’autorité de contrôle d’une part et vers vous d’autre part. Ces obligations européennes s’articulent avec la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et avec les sanctions pénales prévues par le code pénal, détaillées ci-après.
A. Prévenir la CNIL dans les meilleurs délais et documenter l’incident
La première obligation pèse à l’égard de la CNIL. En cas de violation de données à caractère personnel, le responsable du traitement doit la notifier à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Le délai de soixante-douze heures court à partir du moment où l’organisme a connaissance de l’incident, pas à partir du piratage lui-même : un prestataire qui découvre l’intrusion le lundi doit donc, en pratique, notifier au plus tard le jeudi, week-ends et jours fériés compris selon l’interprétation constante de l’autorité.
Quand la notification n’a pas lieu dans les soixante-douze heures, elle est accompagnée des motifs du retard. L’organisme doit donc expliquer pourquoi il a tardé : investigation en cours, périmètre de l’attaque encore inconnu, prestataire défaillant. Ces motifs sont examinés par la CNIL et un retard non justifié constitue un manquement autonome, distinct de la faille de sécurité elle-même.
Le contenu de la notification est encadré : nature de la violation, catégories et nombre approximatif de personnes concernées, coordonnées du délégué à la protection des données ou d’un autre point de contact, conséquences probables et mesures prises ou envisagées pour remédier à l’incident et en atténuer les effets. Si toutes les informations ne sont pas disponibles immédiatement, elles peuvent être communiquées de manière échelonnée, sans retard indu. Parallèlement, le responsable du traitement doit documenter chaque violation en interne — faits, effets, mesures prises — afin que la CNIL puisse vérifier le respect de ces obligations lors d’un contrôle.
Le sous-traitant n’est pas tenu à l’écart : celui qui traite des données pour le compte d’un client — hébergeur, prestataire de paie, société de routage d’e-mails — doit notifier au responsable du traitement toute violation dans les meilleurs délais après en avoir pris connaissance. Dans une chaîne de sous-traitance opaque, ce maillon est souvent celui qui coince : le prestataire minimise, tarde à alerter son client, et le délai de soixante-douze heures s’épuise avant même que le responsable du traitement ne sache quoi que ce soit. Pour la victime, il est utile de le savoir, car cela explique certains silences et oriente les responsabilités : le manquement du sous-traitant à son devoir d’alerte engage sa propre responsabilité, sans exonérer le responsable du traitement de ses obligations à l’égard des personnes.
Concrètement, la notification se fait en ligne sur le site de la CNIL, via le téléservice dédié aux violations de données personnelles. Le responsable du traitement doit en outre tenir un registre interne de chaque incident, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier, car cette documentation permet à l’autorité de contrôle de vérifier le respect de ses obligations. Pour la victime, ce registre compte : lors d’un contrôle déclenché par votre plainte, son absence ou son caractère lacunaire révèle une gestion défaillante de la sécurité et renforce le dossier, tant devant la CNIL que devant le juge de la réparation. La CNIL détaille dans son guide les règles à suivre : évaluer le risque, notifier si nécessaire, informer les personnes quand le risque est élevé, tenir un registre interne des incidents. Le Comité européen de la protection des données a publié des lignes directrices 9/2022 sur la notification des violations, qui aident à qualifier le niveau de risque au cas par cas : nature des données (mots de passe en clair, données bancaires, données de santé), facilité d’identification des victimes, circonstances de la fuite.
L’absence de notification, ou une notification tardive et incomplète, expose l’organisme à une sanction de la CNIL. Le règlement prévoit des amendes administratives qui doivent être effectives, proportionnées et dissuasives, et le Conseil d’État contrôle ces sanctions : le 22 juillet 2022, il a jugé un recours contre une délibération de la CNIL du 7 décembre 2020 et décidé que Le montant de la sanction pécuniaire infligée à M. C… est réduit à 2 500 euros, rejetant le surplus des demandes. La sanction est donc maintenue dans son principe, simplement ajustée dans son montant. Le requérant réclamait en outre 3 500 euros au titre des frais de procès sur le fondement de l’article L. 761-1 du code de justice administrative ; cette demande accessoire a été rejetée avec le surplus. Plus récemment, le 21 juillet 2026, la CNIL a sanctionné la société EXTIA d’une amende de 300 000 euros pour divers manquements relatifs au respect des droits des personnes, notamment du droit à l’effacement des données personnelles, décision rendue publique le 9 septembre 2026. Le message est clair : ignorer les personnes concernées coûte cher, même en dehors de toute fuite massive.
B. Vous prévenir personnellement quand le risque est élevé
La seconde obligation vous concerne directement. Lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement doit communiquer la violation à la personne concernée dans les meilleurs délais. Cette communication doit décrire, en des termes clairs et simples, la nature de la violation, indiquer un point de contact, décrire les conséquences probables et les mesures prises ou proposées pour y remédier.
Le risque élevé s’apprécie concrètement : des identifiants et mots de passe en clair exposent à l’usurpation d’identité ; des coordonnées bancaires exposent à des prélèvements frauduleux ; des données de santé ou des informations sur la vie privée exposent à un chantage ou à une discrimination ; la combinaison du nom, de l’adresse et d’une pièce d’identité facilite l’ouverture frauduleuse de comptes. À l’inverse, la perte d’une liste d’adresses e-mail déjà publiques, sans autre donnée, présente un risque moindre. L’organisme doit faire cette analyse honnêtement : qualifier artificiellement le risque de faible pour échapper à l’obligation d’informer constitue un manquement supplémentaire, que la CNIL peut relever lors d’un contrôle ou sur plainte des victimes.
Trois situations dispensent toutefois l’organisme d’informer chaque personne. D’abord, s’il avait chiffré ou protégé les données de telle sorte qu’elles restent incompréhensibles pour un intrus — un chiffrement robuste dont la clé n’a pas été compromise, par exemple. Ensuite, s’il a pris des mesures ultérieures qui garantissent que le risque élevé […] n’est plus susceptible de se matérialiser : révocation immédiate des accès, réinitialisation forcée des mots de passe, blocage des transactions avant toute fraude. Enfin, si l’information individuelle exigerait des efforts disproportionnés ; dans ce cas, une communication publique — communiqué sur le site, message à l’ensemble des clients, encart dans la presse — doit permettre d’informer les personnes de manière tout aussi efficace.
Si l’organisme ne vous a pas informé alors que le risque était élevé, la CNIL peut, après examen, exiger qu’il procède à cette communication. Ce pouvoir est précieux pour les victimes : une plainte bien documentée peut conduire l’autorité à ordonner à l’organisme de sortir du silence, ce qui, outre l’information elle-même, crée une preuve écrite de la violation utilisable ensuite devant le juge.
Reste une zone grise fréquente : l’organisme affirme que les données volées étaient chiffrées ou inexploitables, sans en apporter la preuve. Ne vous contentez pas d’une affirmation générale dans un communiqué. Demandez par écrit quelles mesures de protection étaient en place, quel chiffrement était utilisé, si la clé a pu être compromise, et quelles mesures ont été prises depuis. Les réponses — ou l’absence de réponse — alimenteront votre dossier. De la même façon, conservez tout : captures du communiqué de l’entreprise, articles de presse annonçant la fuite, relevés bancaires montrant des opérations suspectes, messages d’hameçonnage reçus après l’incident. Ce faisceau d’indices servira à établir le lien entre la fuite et votre préjudice.
II. On ne vous a rien dit : contraindre l’organisme et obtenir réparation
Passé le stade des obligations théoriques, place à l’action. Vous êtes victime d’une fuite dont personne ne vous a informé, ou dont vous avez appris l’existence par hasard. Deux chantiers s’ouvrent : d’abord vous protéger et contraindre l’organisme à réagir, ensuite obtenir réparation de votre préjudice. Ces deux chantiers avancent en parallèle et se renforcent mutuellement : chaque démarche de contrainte produit des pièces qui serviront à la réparation.
A. Se protéger, mettre en demeure, saisir la CNIL et la justice pénale
La première urgence est pratique. Changez les mots de passe des comptes concernés et de tous les comptes qui partagent le même mot de passe. Activez la double authentification. Surveillez vos relevés bancaires et faites opposition aux opérations que vous ne reconnaissez pas ; si vos coordonnées bancaires ont fuité, lisez notre analyse dédiée à la fuite de vos coordonnées bancaires (RIB et IBAN) : bloquer les prélèvements frauduleux et obtenir le remboursement. Méfiez-vous des appels, SMS et e-mails qui exploitent la fuite : un escroc qui connaît votre nom, votre banque et votre numéro de contrat est bien plus convaincant. La plateforme officielle Cybermalveillance.gouv.fr propose une fiche réflexe sur la conduite à tenir en cas de violation ou de fuite de données personnelles, avec un parcours d’assistance en ligne.
La deuxième étape est juridique : écrivez à l’organisme. Une lettre recommandée avec accusé de réception, ou un e-mail avec preuve de dépôt, qui demande : confirmation que vos données étaient concernées par l’incident, catégories de données exposées, date de découverte de la fuite, notification faite à la CNIL, mesures prises pour neutraliser le risque, et mise en demeure de vous répondre sous un mois. Cette lettre remplit trois fonctions : elle exerce vos droits d’accès et d’information, elle met l’organisme face à ses obligations, et son éventuel silence constituera une pièce de plus. Si l’organisme ne répond pas ou répond de façon évasive, ce silence documenté pèsera dans la suite.
La troisième étape consiste à saisir la CNIL. Le règlement donne à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle estime que le traitement de ses données constitue une violation du règlement. La plainte se dépose en ligne sur le site de la CNIL : décrivez l’organisme, l’incident tel que vous le connaissez, l’absence d’information individuelle, les démarches déjà effectuées et les pièces jointes. La CNIL instruit, peut contrôler l’organisme, le mettre en demeure de se conformer et prononcer des sanctions. Elle n’indemnise pas les victimes, mais sa décision — mise en demeure publique, sanction — établit officiellement les manquements et renforce considérablement une action en réparation.
Si la CNIL classe votre réclamation ou la clôt sans mesure, vous n’êtes pas au bout du chemin : toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne. Le Conseil d’État a ainsi examiné le recours d’un particulier contre la clôture par la CNIL de sa réclamation visant une société qui refusait de supprimer ses données ; par une décision du 14 février 2024, il a jugé que La requête de M. C… est rejetée. Ce rejet montre que le juge administratif contrôle réellement ces clôtures, même s’il ne donne pas toujours raison au plaignant : pour maximiser vos chances, la réclamation initiale doit être précise, datée et accompagnée de preuves, faute de quoi la clôture sera difficile à contester.
La quatrième étape, trop souvent négligée, est pénale. Le code pénal sanctionne les traitements de données non conformes : le fait de procéder à un traitement sans mettre en œuvre les mesures de sécurité prescrites, notamment celles de l’article 32 du règlement européen, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. Le fait de mettre en œuvre un traitement sans respecter les formalités préalables prévues par la loi encourt les mêmes peines. En pratique, déposez plainte — pour accès frauduleux à un système de traitement automatisé de données, extraction ou détention frauduleuse de données, voire escroquerie ou usurpation d’identité si une fraude a suivi — auprès du commissariat, de la gendarmerie ou directement du procureur de la République par lettre recommandée, et signalez l’attaque sur la plateforme THESEE ou via le 3018 si des contenus vous visent. La plainte pénale ouvre la voie à une enquête, à l’identification des auteurs et, pour vous, à une constitution de partie civile.
B. Faire réparer son préjudice : trois conditions strictes et un juge à convaincre
Le droit à réparation est posé sans détour par le règlement : Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le responsable du traitement et, dans certaines hypothèses, le sous-traitant répondent du dommage, sauf à prouver que le fait dommageable ne leur est nullement imputable. Quand plusieurs acteurs participent au même traitement, chacun peut être tenu pour le tout, afin de garantir une réparation effective à la victime.
Mais attention : la Cour de cassation a fermement encadré ce droit. Dans un arrêt du 24 juin 2026 rendu dans un litige opposant un salarié à une banque, la chambre sociale rappelle la lecture de la Cour de justice de l’Union européenne : la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation. Autrement dit, prouver que l’organisme a violé le règlement ne suffit pas ; il faut démontrer un dommage réel, matériel ou moral, et un lien de causalité entre la violation et ce dommage. La cour d’appel qui avait accordé 5 000 euros de dommages et intérêts au salarié au seul motif que le non-respect du règlement lui aurait nécessairement causé un préjudice a vu sa décision censurée : un préjudice ne se présume pas, il se prouve. Le pourvoi invoquait d’ailleurs la violation de l’article 1382, devenu 1240 du code civil, aux termes duquel Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. La Cour de cassation répond sur le fondement de l’article 82 du règlement, qui gouverne la réparation des violations de données personnelles.
En contrepartie, la Cour de justice interdit aux juges nationaux d’exiger un préjudice d’une gravité minimale : le droit européen s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral […] à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité. Une angoisse durable, des démarches répétées, une perte de temps considérable ou une exposition avérée à la fraude peuvent donc suffire, à condition d’être établies par des pièces : attestations, relevés, correspondances, constats. La crainte d’une utilisation frauduleuse de vos données, documentée par des tentatives d’hameçonnage ciblées reçues après la fuite, constitue un préjudice moral réparable dès lors qu’elle est prouvée et rattachée à l’incident.
Un jugement du tribunal judiciaire de Paris du 13 février 2025 illustre cette exigence probatoire : un demandeur qui reprochait à une société de crédit de lui avoir refusé l’accès à ses données et réclamait 5 000 euros pour préjudice moral et financier a été débouté de l’ensemble de ses demandes, faute d’avoir établi ses griefs. La leçon vaut pour les fuites non notifiées : constituez dès le départ un dossier chiffré et daté — preuve de la fuite (communiqué de l’entreprise, article de presse, courrier de la CNIL), preuve de l’absence d’information individuelle (mise en demeure restée sans réponse, relevé de vos messages), preuve du préjudice (relevés bancaires, frais engagés, temps passé, attestations de proches, certificats médicaux en cas d’anxiété avérée) et preuve du lien (chronologie montrant que les fraudes ont commencé après la fuite et utilisent précisément les données exposées).
Contre qui agir ? En priorité contre le responsable du traitement, c’est-à-dire l’organisme qui détenait vos données et aurait dû vous informer. Le sous-traitant — hébergeur, prestataire informatique — peut aussi être visé s’il a manqué à ses propres obligations ou agi hors des instructions reçues. L’action se porte devant le tribunal judiciaire du lieu où vous résidez ou du siège de l’organisme, selon les règles ordinaires de compétence, et l’assistance d’un avocat permet de structurer la demande : injonction de communiquer les informations dues, injonction de sécuriser ou d’effacer, dommages et intérêts pour le préjudice matériel (sommes détournées, frais bancaires, frais de sécurisation) et moral (angoisse, temps perdu, atteinte à la vie privée). Quand plusieurs victimes sont concernées par la même fuite, une action coordonnée — mandats groupés ou action de groupe lorsqu’elle est ouverte — renforce la pression et mutualise les coûts d’expertise technique, souvent nécessaire pour démontrer la faille.
Enfin, anticipez les défenses de l’organisme : données chiffrées donc inexploitables, risque neutralisé par des mesures immédiates, information publique valant avertissement, préjudice inexistant ou sans lien avec la fuite. Chacune de ces défenses se combat par des pièces : rapport technique ou constats sur l’absence de chiffrement, relevés montrant des fraudes postérieures à la prétendue neutralisation, preuve que vous n’avez jamais vu la communication publique, chronologie et justificatifs du préjudice. Un organisme qui n’a ni notifié la CNIL dans les délais, ni informé les victimes, ni documenté l’incident aborde ce débat en position fragile : chaque manquement constaté fragilise sa crédibilité devant le juge et devant l’autorité de contrôle.
En résumé, le silence de l’organisme après une fuite n’est jamais une fatalité. La loi lui imposait de prévenir la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, de prendre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque et de vous informer en des termes clairs et simples dès lors que le risque était élevé. S’il ne l’a pas fait, la mise en demeure, la réclamation CNIL, le signalement et la plainte pénale permettent de le contraindre, tandis que l’action en réparation indemnise le dommage prouvé. La clé du succès tient à la méthode : écrire vite, conserver chaque pièce et faire constater chaque silence.