Votre numéro de téléphone figure dans une fuite de données, aucune fraude n’a encore eu lieu sur vos comptes, et vous vous demandez si vous pouvez obtenir réparation pour la seule angoisse de voir vos données circuler. La réponse du droit européen est oui : la crainte d’un usage abusif de ses données personnelles peut, à elle seule, constituer un dommage moral indemnisable. C’est ce qu’a jugé la Cour de justice de l’Union européenne à deux reprises, en décembre 2023 puis en juin 2024, dans des affaires nées de cyberattaques contre des organismes qui détenaient les données de centaines de milliers de personnes.
L’actualité replace cette question au premier plan. Selon Le Canard enchaîné du 7 octobre 2026, relayé par Le Temps et Tech&Co, les données volées en 2024 à une marque française de textile, dont le numéro de téléphone du Premier ministre, circuleraient sur le dark web. L’entreprise visée avait elle-même informé ses clients dès le 17 avril 2024 du vol de leurs données personnelles, survenu le 15 avril 2024, et près d’un million et demi de clients seraient concernés. Vingt-cinq des trente-six membres du gouvernement actuel verraient ainsi leurs informations exposées, pour des causes diverses selon l’hebdomadaire : piratage d’un opticien, cyberattaque contre un réparateur d’électroménager, ou vol massif chez un site marchand.
Plusieurs réserves s’imposent avant d’aller plus loin. À la date de rédaction, aucune décision de justice ni aucune décision d’une autorité n’a établi une responsabilité dans cette affaire, et seul le juge pourrait la constater. Les développements qui suivent sont de portée générale : ils décrivent les droits de toute personne dont les données ont fuité et les vérifications utiles dans toute situation comparable. Les contrats signés avec l’entreprise concernée priment sur toute analyse générale. L’entreprise elle-même a informé ses clients et les faits rapportés ici le sont d’après sa communication et la presse citée ; ce que ces sources ne disent pas est écrit au conditionnel.
Concrètement, cet article répond à trois questions : pourquoi la simple crainte suffit à fonder une demande d’indemnisation, ce que l’entreprise doit prouver pour s’exonérer, et comment constituer un dossier qui tient devant un juge, avec les montants que l’on peut raisonnablement attendre.
I. La fuite sans fraude subie ouvre quand même droit à réparation
A. La crainte d’un usage abusif de vos données vaut dommage moral indemnisable
Le point de départ est l’article 82, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016, le règlement général sur la protection des données : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le texte ne définit pas le dommage moral et ne fixe aucun seuil. Deux arrêts de la Cour de justice ont précisé ce que cela signifie pour les victimes d’une fuite.
Le 14 décembre 2023, dans l’affaire C-340/21 qui opposait un particulier à l’administration fiscale bulgare après la divulgation de ses données par des pirates, la Cour a jugé que la crainte, ressentie après une violation, d’un usage abusif potentiel de ses données personnelles par des tiers peut constituer à elle seule un dommage moral. Autrement dit, il n’est pas nécessaire d’avoir subi un débit frauduleux, une usurpation d’identité ou un démarchage agressif : l’angoisse elle-même, née du fait que des inconnus détiennent votre numéro, votre adresse ou votre adresse électronique, peut constituer le préjudice.
Le 20 juin 2024, dans l’affaire C-590/22, la Cour est allée plus loin encore sur un point décisif : la crainte d’avoir vu ses données divulguées à des tiers du fait d’une violation, même sans preuve d’une divulgation effective, suffit à fonder un droit à réparation dès lors que cette crainte et ses conséquences négatives sont dûment prouvées. Même quand la victime ne peut pas prouver que ses données ont effectivement circulé, sa crainte peut suffire, à condition de la prouver par des éléments concrets : insomnies, démarches de protection engagées, changement de numéro, temps passé à surveiller ses comptes.
Le même arrêt écarte une objection fréquente des entreprises : une violation du règlement ne suffit pas à elle seule à ouvrir droit à réparation : la personne concernée doit aussi établir l’existence d’un préjudice causé par cette violation, sans que ce préjudice doive atteindre un quelconque degré de gravité. Il faut donc un préjudice réel, mais aucun seuil de gravité n’est exigé. Une anxiété légère mais établie peut suffire, là où le droit français de la responsabilité civile exigeait traditionnellement un préjudice certain, ce qui fermait la porte aux demandes fondées sur un simple risque futur.
En droit interne, le fondement reste l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », complété par l’article 1241 du même code : « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence. » Une sécurité informatique insuffisante pourrait ainsi être regardée comme une négligence, et seul le juge apprécierait cette qualification au vu des mesures réellement mises en place.
B. L’entreprise ne s’exonère pas en accusant les pirates et doit prouver sa sécurité
Face à une demande d’indemnisation, une entreprise piratée répond souvent qu’elle est elle-même victime des hackers et que la faute leur est exclusivement imputable. L’arrêt du 14 décembre 2023 écarte cette défense automatique : le responsable du traitement ne peut être exonéré de son obligation de réparer au seul motif que le dommage résulte d’une divulgation ou d’un accès non autorisés par des tiers : il doit alors prouver que le fait à l’origine du dommage ne lui est nullement imputable. Le fait des pirates ne suffit donc pas à exonérer l’entreprise ; elle doit démontrer positivement que l’incident ne lui est nullement imputable.
La charge de la preuve pèse ainsi sur le responsable du traitement pour ce qui concerne ses propres mesures : dans une action en réparation fondée sur l’article 82, c’est au responsable du traitement de prouver que les mesures de sécurité mises en œuvre au titre de l’article 32 étaient appropriées. C’est un renversement par rapport au principe français selon lequel « Celui qui réclame l’exécution d’une obligation doit la prouver », posé par l’article 1353 du code civil. La victime prouve son préjudice et la violation, mais c’est à l’entreprise de prouver qu’elle avait pris des mesures de sécurité appropriées.
Le caractère approprié de ces mesures s’apprécie concrètement : la Cour précise que les juridictions nationales doivent l’évaluer de manière concrète, en tenant compte des risques liés au traitement et en vérifiant si la nature, la teneur et la mise en œuvre de ces mesures sont adaptées à ces risques. Un site marchand qui conserve les numéros de téléphone et adresses de plus d’un million de clients s’expose à un risque élevé et devrait pouvoir justifier de mesures à la hauteur : chiffrement, cloisonnement des accès, journalisation, tests d’intrusion, mises à jour. À l’inverse, la Cour admet qu’une divulgation non autorisée ne suffit pas à elle seule à établir que les mesures techniques et organisationnelles du responsable du traitement n’étaient pas appropriées. Une entreprise correctement protégée qui subit malgré tout une attaque sophistiquée pourrait donc échapper à toute condamnation, et une expertise judiciaire ne serait pas systématiquement nécessaire pour l’établir.
Parallèlement au procès civil, l’entreprise s’expose à des sanctions administratives et pénales qui renforcent la position des victimes sans s’y substituer. Le règlement impose au responsable du traitement de notifier la violation à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », en vertu de l’article 33 du règlement (UE) 2016/679, et d’avertir les personnes concernées « dans les meilleurs délais » lorsque la violation est « susceptible d’engendrer un risque élevé pour les droits et libertés », en vertu de l’article 34 du même règlement. Sur le plan pénal, l’accès frauduleux à un système de traitement automatisé de données est puni par l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Et l’article 226-18 du même code punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ». Ces peines visent les auteurs de l’intrusion, pas l’entreprise piratée, mais la plainte de la victime déclenche l’enquête qui établira les faits.
II. Prouver sa crainte et obtenir l’indemnisation en pratique
A. Constituer dès maintenant un dossier qui tient devant le juge
Puisque la crainte doit être « dûment prouvée », avec « ses conséquences négatives », la victime avisée constitue son dossier dès qu’elle apprend la fuite, même si aucune fraude n’est survenue. Le premier réflexe est de conserver la preuve de son exposition : le message d’information reçu de l’entreprise, la capture de l’avis publié sur son site, et tout élément montrant que ses données figuraient dans la base compromise, comme un compte client actif à la date de l’incident. Si un service de vérification sérieux ou un courrier ultérieur confirme la circulation des données, ces pièces rejoignent le dossier.
Le deuxième réflexe est de tracer les conséquences concrètes de la crainte. Un journal daté des appels et messages suspects reçus après la fuite, avec captures d’écran, numéros et heures, établit le lien temporel entre la violation et les désagréments. Les démarches de protection engagées en sont la meilleure preuve : inscription sur la liste d’opposition au démarchage, signalement des messages frauduleux au 33700, dépôt de plainte en ligne sur la plateforme THESEE pour les escroqueries sur internet, plainte auprès de la Commission nationale de l’informatique et des libertés par sa téléprocédure, demande de changement de numéro auprès de son opérateur, activation de la double authentification sur ses comptes sensibles. Chacune de ces démarches a un coût en temps et parfois en argent, et chacune démontre que la crainte n’est pas théorique mais vécue.
Le troisième réflexe concerne le démarchage téléphonique, conséquence la plus fréquente de la circulation d’un numéro. Depuis l’entrée en vigueur du nouveau régime, l’article L. 223-1 du code de la consommation dispose qu’« Il est interdit de démarcher par téléphone, directement ou par l’intermédiaire d’un tiers agissant pour son compte, un consommateur qui n’a pas exprimé préalablement son consentement à faire l’objet de prospections commerciales par ce moyen. » Tout appel commercial reçu sans consentement préalable après la fuite peut donc être relevé, daté et signalé, d’autant qu’il corrobore l’utilisation effective des données volées. À Paris comme ailleurs en Île-de-France, ces signalements alimentent les contrôles de la direction départementale de la protection des populations et de la direction générale de la concurrence, de la consommation et de la répression des fraudes, qui prononcent des amendes contre les démarcheurs illicites.
Le quatrième réflexe est médical lorsque l’anxiété est réelle : consulter son médecin traitant, faire constater les troubles du sommeil ou l’anxiété liés à la crainte d’une usurpation d’identité, et conserver les ordonnances. Un certificat médical circonstancié, qui décrit des troubles apparus après la notification de la fuite, transforme une crainte alléguée en préjudice documenté. Les attestations de proches, rédigées conformément aux exigences de forme du code de procédure civile, complètent utilement ce faisceau : elles décrivent le changement de comportement observé, les précautions inhabituelles prises, le temps consacré à la surveillance des comptes.
La plainte adressée à la Commission nationale de l’informatique et des libertés mérite un mot à part, car beaucoup de victimes ignorent son utilité concrète. Déposée en ligne, elle déclenche un examen par les services de la Commission, qui peuvent demander des explications à l’entreprise, prononcer une mise en demeure publique ou ouvrir une procédure de sanction. Même si la Commission n’accorde pas elle-même d’indemnisation, sa réponse écrite, et a fortiori une mise en demeure ou une sanction rendue publique, constitue une pièce de poids dans le dossier civil : elle établit, par une autorité indépendante, la réalité du manquement. Il est donc recommandé de déposer cette plainte tôt, en joignant les mêmes pièces que celles du dossier d’indemnisation, et de conserver soigneusement l’accusé de réception puis chaque courrier de suivi.
B. Agir seul face à l’entreprise et chiffrer une demande réaliste
La voie collective existe en théorie mais montre ses limites en pratique, comme l’illustre un jugement récent du tribunal judiciaire de Paris. Le 18 décembre 2024, la formation des actions de groupe a déclaré irrecevable l’action de l’UFC-Que Choisir contre deux sociétés du groupe Google en matière de données personnelles (RG 19/08151). Le tribunal a rappelé que l’article 37 de la loi du 6 janvier 1978 dispose que lorsque plusieurs personnes placées dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature au règlement européen ou à la loi française, commis par un responsable de traitement ou un sous-traitant, une action de groupe peut être portée devant la juridiction civile ou administrative compétente au vu des cas individuels présentés par le demandeur, et que la recevabilité est subordonnée à la présentation d’au moins deux cas individuels homogènes et représentatifs, exposés par l’association de façon détaillée et documentée. L’association, qui ne présentait selon le tribunal aucun cas individuel homogène selon le tribunal, a été condamnée aux dépens et à verser 5 000 euros à chacune des deux sociétés au titre des frais de justice. La leçon pour les victimes d’une fuite est claire : l’action individuelle, avec un dossier personnel solide, reste la voie la plus sûre, et toute action collective suppose des cas individuels rigoureusement documentés.
En pratique, la démarche commence par une mise en demeure adressée au responsable du traitement, par lettre recommandée avec accusé de réception : rappel de la fuite, description du préjudice moral subi avec les pièces du dossier, demande d’indemnisation chiffrée, et délai de réponse. Cette mise en demeure interrompt la prescription et ouvre la voie à la conciliation. À défaut d’accord, la victime saisit le tribunal judiciaire de son domicile, en déclaration au greffe ou par assignation selon le montant demandé, et peut se constituer partie civile si une enquête pénale est en cours contre les auteurs de l’intrusion, sur le fondement de l’article 323-1 du code pénal ou de l’article 226-18 du même code.
Sur les montants, l’honnêteté commande de ne promettre aucun barème : il n’existe pas de grille officielle d’indemnisation du préjudice moral lié à une fuite de données, et chaque juge apprécie souverainement. Deux bornes encadrent toutefois les demandes. D’un côté, aucun seuil minimal de gravité n’est exigé, de sorte qu’une demande de quelques centaines à quelques milliers d’euros pour une anxiété établie n’est pas vouée à l’échec par principe. De l’autre, la Cour de justice a jugé qu’il n’y a lieu ni d’appliquer par analogie les critères de fixation des amendes administratives de l’article 83, ni de donner à ce droit à réparation une fonction dissuasive. L’indemnisation répare le préjudice réellement subi, elle ne punit pas l’entreprise : les amendes de plusieurs millions prononcées par la Commission nationale de l’informatique et des libertés ne préjugent en rien des sommes allouées aux victimes. Une demande chiffrée avec précision, poste par poste (frais engagés, temps passé, trouble moral documenté), emporte plus facilement la conviction qu’un chiffre global lancé sans justification.
Pour les lecteurs parisiens et franciliens, quelques repères pratiques complètent ce tableau. La plainte peut être déposée dans n’importe quel commissariat ou brigade de gendarmerie d’Île-de-France, ou en ligne avec rendez-vous pour la signer ; la plateforme THESEE permet de signaler les escroqueries subies sur internet sans déplacement. Lorsque l’entreprise responsable est établie à Paris, comme c’est le cas de la marque parisienne dont les données circulent selon la presse, le tribunal judiciaire de Paris est naturellement compétent pour l’action en réparation, ce qui évite aux victimes franciliennes tout déplacement. Les pièces à préparer suivent la liste décrite plus haut : preuve du compte client, message de notification de la fuite, relevé des appels suspects, récépissés des signalements et de la plainte auprès de la Commission nationale de l’informatique et des libertés, certificat médical le cas échéant. Le point d’attention propre au ressort parisien tient aux délais : le pôle spécialisé du tribunal judiciaire de Paris traite un contentieux dense, et une mise en demeure solide augmente les chances d’un règlement amiable avant toute assignation.
Il faut enfin distinguer la crainte indemnisable de la fraude avérée, qui appelle des démarches supplémentaires. Si un crédit a été souscrit à votre nom, si votre compte bancaire a été débité ou si votre ligne a fait l’objet d’un transfert frauduleux vers un autre opérateur, les recours spécifiques s’ajoutent : opposition bancaire immédiate, contestation des opérations, demande de défichage, gel des usages frauduleux. La crainte et la fraude peuvent alors être invoquées ensemble, la seconde renforçant la crédibilité de la première, mais chacune doit être prouvée pour elle-même.
Conclusion
La fuite de données sans fraude subie n’est pas une affaire classée d’avance : depuis les arrêts de la Cour de justice du 14 décembre 2023 et du 20 juin 2024, la crainte d’un usage abusif de ses données, dûment prouvée avec ses conséquences concrètes, peut constituer à elle seule un dommage moral indemnisable, sans seuil de gravité. L’entreprise piratée ne s’exonère pas en désignant les pirates : c’est à elle de démontrer que ses mesures de sécurité étaient appropriées et que l’incident ne lui est nullement imputable. Pour la victime, tout se joue dans le dossier constitué dès la notification de la fuite : preuves de l’exposition, traces des désagréments, démarches de protection, documents médicaux éventuels, puis mise en demeure chiffrée poste par poste. L’action individuelle reste la voie la plus sûre, l’action collective exigeant des cas individuels homogènes et documentés que les associations peinent à réunir, comme le montre l’irrecevabilité prononcée par le tribunal judiciaire de Paris en décembre 2024.
À la date de rédaction, aucune responsabilité n’est établie dans l’affaire qui a fait remonter la recherche « numéro de téléphone » cette semaine, et seul le juge pourrait la constater, au vu des contrats conclus et des mesures de sécurité réellement mises en œuvre. Les lecteurs concernés gagneraient à vérifier dès maintenant si leur numéro figure parmi les données exposées, à activer les protections décrites et à conserver chaque pièce : c’est ce dossier, constitué à froid avant tout litige, qui fera la différence le jour où il faudra convaincre.