Vous avez reçu un courriel ou un SMS de votre enseigne habituelle qui vous annonce qu’une cyberattaque a exposé vos données personnelles, ou vous avez appris la nouvelle par la presse sans recevoir la moindre notification. Noms, adresse, numéro de téléphone, numéro de carte de fidélité, historique partiel de commandes : ce type de fuite de données personnelles appelle une question simple, celle que des milliers d’internautes tapent chaque mois dans Google, « fuite de données que faire ». La réponse tient en quatre chantiers à mener dans l’ordre : vérifier ce qui a été exposé, exercer vos droits auprès de l’organisme, figer les preuves de votre préjudice, puis choisir vos voies de recours. La plainte adressée à la CNIL, la plainte pénale avec constitution de partie civile et l’action en réparation devant le juge civil ne se confondent pas : chacune a son office, ses conditions et ses délais. Cet article décrit la méthode complète, avec les textes applicables, trois décisions de justice lues intégralement et un repère chiffré de quantum, pour transformer une notification angoissante en dossier de réparation solide.
I. Vérifier votre exposition et verrouiller la preuve avant d’agir
A. La notification reçue, ou non, et vos premières démarches auprès de l’enseigne
Lorsqu’une violation de données personnelles survient, le règlement général sur la protection des données impose au responsable du traitement de la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les soixante-douze heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (article 33, paragraphe 1, du RGPD). Le sous-traitant qui découvre la faille doit, lui, prévenir le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification à la CNIL ne vous est pas adressée : elle concerne l’autorité. Vous, en revanche, devez être informé directement lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique : le responsable du traitement vous communique alors la violation « dans les meilleurs délais », en des termes clairs et simples, avec la nature de la fuite, les coordonnées d’un point de contact, ses conséquences probables et les mesures prises (article 34 du RGPD). Trois exceptions dispensent l’organisme de vous prévenir individuellement, notamment s’il a chiffré les données de sorte qu’elles restent incompréhensibles à toute personne non autorisée, ou si des mesures ultérieures garantissent que le risque élevé n’existe plus.
En pratique, commencez par lire attentivement la notification reçue : quelles catégories de données sont citées, quelle période est concernée, quel contact est indiqué, quelles mesures sont recommandées. Si vous n’avez rien reçu alors que la presse évoque une fuite touchant une enseigne dont vous êtes client, ne concluez ni que vous êtes épargné ni que vous êtes exposé : connectez-vous à votre compte client, vérifiez vos courriels indésirables, et adressez au délégué à la protection des données de l’enseigne une demande écrite d’accès et d’information. Cette démarche préalable n’est pas une politesse, c’est une condition de l’efficacité de la suite : la CNIL elle-même indique qu’avant de demander son intervention, vous devez d’abord exercer vos droits auprès de l’organisme, qui doit vous répondre dans les meilleurs délais, et sous un mois maximum, avec une prolongation possible de deux mois pour les demandes complexes (adresser une plainte à la CNIL). Conservez la preuve de chaque envoi et de chaque réponse : accusés de réception, captures d’écran datées, références de dossiers. Un dossier de réparation se construit dès cette première semaine, pas au moment d’assigner.
Exercez vos droits sans attendre : droit d’accès pour savoir exactement quelles données l’enseigne détient sur vous, droit à l’effacement des données qui n’ont plus à être conservées, droit d’opposition à la prospection commerciale qui suit souvent une fuite. Si l’enseigne ne répond pas dans le mois ou vous oppose une réponse incomplète, contestez par écrit auprès d’elle avant de saisir la CNIL, car la Commission écarte les plaintes imprécises ou incomplètes et rappelle qu’elle ne peut pas exercer vos droits à votre place. Distinguez bien les rôles dès maintenant : la CNIL contrôle et sanctionne les organismes, elle ne vous indemnisera jamais. La page officielle de la Commission est explicite sur ce point : parmi ce que la CNIL ne peut pas faire figure le fait de vous obtenir des dommages et intérêts et de constater les préjudices subis. L’indemnisation relève du juge, pas de l’autorité de contrôle. Si votre situation mêle une fuite de données et d’autres difficultés avec la même enseigne, la méthode générale décrite dans notre guide consacré aux données personnelles piratées après une cyberattaque, avec les réflexes de plainte et d’indemnisation vous aidera à ordonner les démarches entre signalement, exercice des droits et réparation.
Identifier le bon débiteur de vos demandes évite des mois de procédure perdus. L’enseigne dont vous êtes client est en principe le responsable du traitement : c’est elle qui détermine les finalités et les moyens, c’est à elle d’adresser vos demandes d’accès, d’effacement et d’opposition, et c’est contre elle que s’exerce l’action en réparation. Mais la cyberattaque vise souvent en réalité son prestataire, hébergeur, infogérant ou éditeur de logiciel, qui agit comme sous-traitant. Le règlement répartit alors la charge : le responsable du traitement répond du dommage causé par la violation, tandis que le sous-traitant n’est tenu que s’il a méconnu les obligations qui lui incombent spécifiquement ou s’il a agi en dehors des instructions licites du responsable ou contrairement à celles-ci, chacun pouvant s’exonérer en prouvant que le fait dommageable ne lui est nullement imputable (article 82, paragraphes 2 et 3, du RGPD). En pratique, adressez vos demandes aux deux, exigez de l’enseigne le nom de son sous-traitant et la copie du contrat de sous-traitance sur les mesures de sécurité, et visez les deux dans votre plainte : ce sera au juge, au vu du contrat et des journaux techniques versés aux débats, de fixer les parts de responsabilité. Ne laissez pas l’enseigne vous renvoyer vers son prestataire ni le prestataire vers l’enseigne : l’article 82 vous permet d’obtenir réparation de l’un comme de l’autre, à charge pour eux de s’expliquer entre eux.
B. Les preuves à figer dès les premiers jours, poste par poste
Le préjudice né d’une fuite de données se prouve comme tout préjudice : par des pièces datées, précises et rattachées à la violation. Or les traces numériques s’effacent vite et les escrocs adaptent leurs messages. Constituez dès les premiers jours un dossier en quatre pochettes. Première pochette, l’exposition : la notification de l’enseigne, votre demande d’accès et sa réponse, tout document établissant que vos données figuraient dans le fichier compromis, comme un relevé de compte fidélité ou un historique de commandes correspondant aux catégories citées. Deuxième pochette, les sollicitations frauduleuses : captures d’écran des SMS, courriels et appels suspects faisant référence à vos données réelles, avec numéros expéditeurs, dates et heures visibles, sans jamais cliquer sur les liens ni rappeler les numéros. Ces messages qui citent votre vrai nom, votre adresse ou vos achats sont la démonstration la plus parlante du risque élevé créé par la fuite et du lien entre la violation et les tentatives d’escroquerie. Troisième pochette, les pertes et les frais : relevés bancaires en cas d’opérations contestées, factures de remplacement de documents, justificatifs de temps passé et de déplacements, échanges avec votre banque en cas d’opposition. Quatrième pochette, le retentissement personnel : attestations de proches décrivant l’anxiété, les troubles du sommeil ou la crainte durable d’usurpation d’identité, certificats médicaux si un suivi a été nécessaire, journal daté des démarches accomplies.
Ne négligez pas le dépôt de plainte auprès d’un service de police ou de gendarmerie, même si l’auteur de la cyberattaque reste inconnu. La plainte fait constater officiellement votre situation à une date certaine, elle alimente l’enquête sur l’attaque elle-même, et son récépissé deviendra une pièce de votre dossier indemnitaire. Si des messages frauduleux exploitent déjà vos données, signalez-les également sur les plateformes officielles de signalement des contenus illicites et conservez les numéros d’enregistrement. Chaque pièce doit permettre au juge de répondre à trois questions : quelles données ont été exposées, quels faits dommageables ont suivi, et quel montant répare chaque poste. Un tableau chronologique simple, joignant chaque événement à sa preuve, vaut mieux qu’une liasse désordonnée. C’est ce tableau qui servira ensuite à chiffrer la demande, à rédiger la plainte avec constitution de partie civile et à répondre aux questions du juge sur le lien entre la fuite et le dommage.
II. Chiffrer votre préjudice et choisir votre voie de réparation
A. Porter plainte au pénal et se constituer partie civile contre les auteurs et les responsables
La fuite de données qui suit une cyberattaque recouvre en général deux familles d’infractions distinctes, et votre plainte doit les viser avec précision. D’un côté, l’intrusion elle-même : le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende (article 323-1 du code pénal). De l’autre, les manquements aux règles de protection des données : le fait de procéder à un traitement sans mettre en oeuvre les mesures de sécurité prescrites par le RGPD est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-17 du code pénal), et le fait de passer outre les formalités préalables prévues par la loi encourt les mêmes peines, y compris par négligence (article 226-16 du code pénal). Qualifier les faits dans votre plainte n’est pas un exercice de style : c’est ce qui permet au procureur de la République d’orienter l’enquête vers l’auteur de l’intrusion comme vers l’organisme dont les mesures de sécurité étaient insuffisantes.
Votre action civile, c’est-à-dire votre demande de réparation greffée sur le procès pénal, appartient « à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction » (article 2 du code de procédure pénale). Concrètement, déposez d’abord une plainte simple auprès du procureur de la République ou d’un service de police judiciaire, avec vos pièces, puis laissez l’enquête suivre son cours. Si le procureur vous fait savoir qu’il n’engagera pas de poursuites, ou si un délai de trois mois s’est écoulé depuis votre plainte sans réponse sur les poursuites, vous pouvez porter plainte avec constitution de partie civile devant le juge d’instruction, qui ouvrira alors une information judiciaire (article 85 du code de procédure pénale). Cette voie présente un avantage décisif dans les cyberattaques où l’auteur se cache derrière des pseudonymes : l’instruction dispose de moyens d’enquête, réquisitions et expertises, qu’un justiciable isolé n’aura jamais. Elle présente aussi une contrainte à anticiper : le juge d’instruction peut vous demander de consigner une somme destinée à garantir le paiement d’une éventuelle amende civile en cas de plainte abusive, et la procédure dure souvent plusieurs années. Chiffrez donc dès la plainte chaque poste de préjudice avec ses justificatifs, car le juge d’instruction puis le tribunal correctionnel statueront sur vos intérêts civils à partir de ce dossier.
B. Saisir la CNIL puis le juge civil : l’indemnisation du préjudice moral au plus juste
La plainte adressée à la CNIL et l’action en réparation devant le juge civil se complètent sans se remplacer. Toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de ses données constitue une violation du règlement (article 77 du RGPD), et l’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel. Si la CNIL ne traite pas votre réclamation ou ne vous informe pas dans un délai de trois mois, vous pouvez former un recours effectif contre cette carence (article 78 du RGPD). En pratique, déposez votre plainte en ligne après vos démarches préalables auprès de l’enseigne, joignez les preuves de ces démarches, exposez précisément les manquements constatés et conservez le récépissé. Une mise en demeure ou une sanction prononcée ensuite par la CNIL ne vous indemnise pas, mais elle établit publiquement le manquement et pèse lourd dans le procès indemnitaire qui suit. Les deux procédures peuvent donc avancer en parallèle : la réclamation pour faire constater et faire cesser, l’assignation pour faire réparer.
Rédigez votre réclamation à la CNIL comme un mini-dossier : identité et coordonnées, identification précise de l’organisme et de son délégué à la protection des données, chronologie des faits, copie de votre demande de droits et de la réponse reçue ou preuve de l’absence de réponse après un mois, captures des messages frauduleux, et formulation exacte des manquements reprochés. Suivez ensuite le dossier : si la Commission ne traite pas votre réclamation ou ne vous informe pas de son avancement dans un délai de trois mois, le règlement vous ouvre un recours juridictionnel effectif contre cette carence, sans préjudice de votre action indemnitaire devant le juge civil (article 78 du RGPD). Conservez chaque échange avec la Commission comme une pièce de plus : une mise en demeure rendue entre-temps, même si elle ne vous indemnise pas, constate officiellement le manquement et servira d’appui à votre demande de dommages et intérêts.
Le fondement de l’action indemnitaire est l’article 82 du RGPD : Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi (article 82, paragraphe 1, du RGPD). Le responsable du traitement qui a participé au traitement est responsable du dommage causé par la violation, et le sous-traitant n’est tenu que s’il a méconnu ses obligations propres ou agi hors des instructions licites du responsable ; chacun est exonéré s’il prouve que le fait dommageable ne lui est nullement imputable. Trois précisions de la Cour de justice de l’Union européenne, rendues le 4 mai 2023 dans l’arrêt Österreichische Post, gouvernent le chiffrage. D’abord, la Cour juge que la simple violation du règlement ne suffit pas à ouvrir droit à réparation : il faut prouver un dommage réel, pas seulement l’irrégularité. Ensuite, elle interdit aux juges nationaux de subordonner la réparation du préjudice moral à un quelconque seuil de gravité. Enfin, le montant se fixe selon les règles internes de chaque État membre, dans le respect des principes d’équivalence et d’effectivité (arrêt CJUE du 4 mai 2023, C-300/21). Autrement dit : pas d’indemnisation automatique, pas de plancher de gravité, et un chiffrage à la française, poste par poste, pièces à l’appui.
Que vaut concrètement un préjudice moral de fuite de données devant un tribunal français ? Les montants restent mesurés et dépendent des pièces. Dans un jugement lu intégralement pour cet article, le tribunal judiciaire d’Aix-en-Provence a condamné le 5 août 2025 un syndic qui avait diffusé à l’ensemble des copropriétaires des données personnelles de locataires, dont des données de santé, à payer à chacun des deux parents la somme de 1.000 euros à titre de dommages et intérêts en réparation de leur préjudice moral, tout en ordonnant l’effacement des données sous deux mois sous astreinte provisoire de 50 euros par jour de retard pendant trois mois et la notification de cet effacement aux destinataires (tribunal judiciaire d’Aix-en-Provence, 5 août 2025, RG 22/03891). Ce fondement indemnitaire se double du socle civiliste de la vie privée : « Chacun a droit au respect de sa vie privée », et les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, y compris en référé en cas d’urgence (article 9 du code civil). Le contexte diffère d’une cyberattaque contre une enseigne, mais l’enseignement est transposable : le juge indemnise l’atteinte avérée à la vie privée et la perte de confiance documentée, il ordonne l’effacement et il assortit ses injonctions d’astreintes. Pour une fuite de fichier clients, chiffrez en distinguant le préjudice moral lié à l’exposition elle-même, l’angoisse documentée face aux tentatives de phishing ciblées, les frais engagés et les pertes financières directes s’il y en a, en rattachant chaque euro à une pièce du tableau chronologique. Évitez les demandes symboliques d’un euro si vous visez une vraie réparation comme les demandes forfaitaires sans justificatifs : le premier affaiblit la portée de votre action, les secondes exposent à une réduction sévère. Le fondement de droit commun reste disponible en renfort, puisque tout fait de l’homme qui cause à autrui un dommage oblige son auteur à le réparer (article 1240 du code civil), et l’action personnelle en réparation se prescrit par cinq ans « à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (article 2224 du code civil). La découverte tardive d’une fuite ne vous prive donc pas de vos droits, mais n’attendez pas pour agir : les preuves se conservent mieux tôt.
Reste la question de l’action collective. Lorsque plusieurs clients placés dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature au RGPD ou à la loi Informatique et Libertés, une action de groupe peut être exercée devant la juridiction compétente, en vue de faire cesser le manquement, d’obtenir la réparation des préjudices matériels et moraux, ou des deux, avec un fait générateur nécessairement postérieur au 24 mai 2018 (article 37 de la loi du 6 janvier 1978, tel que cité dans les motifs du tribunal judiciaire de Paris). Seules des associations qualifiées peuvent agir : associations de protection de la vie privée déclarées depuis cinq ans au moins, associations de consommateurs agréées au niveau national, ou organisations syndicales selon les cas. Et les conditions sont sévères : le 18 décembre 2024, le tribunal judiciaire de Paris a déclaré irrecevable l’action de groupe de l’UFC-Que Choisir contre Google, retenant en substance que l’association ne présentait pas les cas individuels homogènes, détaillés et documentés exigés pour ce type d’action (tribunal judiciaire de Paris, 18 décembre 2024, RG 19/08151). Avant de rejoindre une action de groupe annoncée dans la presse, vérifiez donc l’association porteuse, les cas individuels présentés et l’état de la procédure ; à défaut, l’action individuelle coordonnée avec d’autres victimes, chacune avec son dossier de preuves, reste souvent la voie la plus sûre pour obtenir une indemnisation à la mesure de votre préjudice propre.
Si vos enfants figurent dans le fichier exposé, par exemple via un compte familial ou une carte de fidélité rattachée au foyer, exercez leurs droits en tant que représentants légaux : demande d’accès, d’effacement et d’opposition pour leur compte, avec copie du livret de famille. Dans le jugement d’Aix-en-Provence déjà cité, l’effacement ordonné visait expressément les données des deux parents et celles de leurs deux enfants mineurs, et la notification de cet effacement devait être diffusée aux destinataires des données. Intégrez les enfants à chaque étape, plainte CNIL comme dépôt de plainte, car leurs données exposées aujourd’hui alimenteront les tentatives d’usurpation de demain.
Fuite de données après une cyberattaque visant votre enseigne habituelle : la méthode tient en une phrase. Vérifiez la notification et exercez vos droits par écrit dans le mois, figez chaque preuve dans un dossier chronologique, déposez plainte pour faire constater et permettre l’enquête, saisissez la CNIL pour faire constater le manquement, puis demandez au juge la réparation chiffrée de votre préjudice, sans attendre une gravité particulière mais sans réclamer sans pièces. Le droit européen vous donne l’action, la jurisprudence européenne vous dispense de prouver une gravité seuil, le juge français vous demandera des preuves et un chiffrage poste par poste : c’est ce dossier, constitué dès les premiers jours, qui fera la différence entre une indemnisation mesurée et une demande rejetée.