Un matin, un courriel de votre banque, de votre opérateur, d’une plateforme ou d’un ancien employeur vous annonce que vos données personnelles ont été exposées : noms, adresses, mots de passe, parfois relevés bancaires ou pièces d’identité. Dans les jours qui suivent, les tentatives d’hameçonnage se multiplient, un crédit est souscrit à votre nom, ou votre boîte de réception déborde de messages frauduleux qui semblent pourtant parfaitement vous connaître. La question n’est alors plus théorique : que vaut cette notification, que doit faire l’organisme qui la détenait, et que pouvez-vous exiger pour vous protéger puis obtenir réparation ?
La réponse tient en deux temps. D’abord, comprendre ce qui s’est passé et limiter les dégâts : vérifier que la fuite vous concerne, mesurer ce qu’elle expose, sécuriser vos comptes et conserver chaque preuve. Ensuite, activer les voies de droit : écrire à l’organisme, saisir la CNIL d’une plainte, porter plainte au pénal lorsque les faits l’exigent, puis demander réparation au juge. Chaque étape répond à des conditions précises, posées par le règlement général sur la protection des données, la loi dite Informatique et Libertés, le code pénal et une jurisprudence récente qui a clarifié ce que la victime doit démontrer. Car une idée reçue doit être écartée d’emblée : la simple survenance d’une fuite ne suffit pas, à elle seule, à ouvrir droit à une indemnisation.
I. Comprendre la fuite et limiter les dégâts
A. Vérifier que la fuite vous concerne et mesurer ce qu’elle expose
Une violation de données se caractérise, selon la définition retenue par la CNIL, par la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données (page de la CNIL sur la conduite à tenir après une fuite ou un vol de données). Les fuites recouvrent donc des réalités très différentes : envoi d’un fichier à un mauvais destinataire, piratage d’une base clients, vol d’un ordinateur portable non chiffré, ou extraction massive revendue ensuite sur internet.
Premier réflexe : vérifier la source de l’alerte. Si l’information vient de l’organisme lui-même, lisez la notification jusqu’au bout : elle doit décrire la nature de l’incident, les données concernées et les mesures proposées. Si elle vient de la presse ou d’un proche, rendez-vous sur le site officiel de l’organisme ou contactez son service client par un canal connu, en saisissant vous-même l’adresse dans votre navigateur. La CNIL met en garde contre les sites qui prétendent détenir les fichiers issus de violations et proposent de vérifier si vous êtes concerné : elle déconseille de les utiliser (mêmes conseils de la CNIL). Et surtout, ne cliquez sur aucun lien ni pièce jointe d’un message qui vous annonce la fuite : les attaquants exploitent l’émotion pour collecter davantage d’informations.
Deuxième réflexe : mesurer ce que la fuite expose concrètement. Des identifiants et mots de passe appellent une réaction immédiate sur vos comptes. Des coordonnées bancaires imposent une vigilance sur vos relevés et, au besoin, une alerte à votre banque. Une pièce d’identité ou un numéro de sécurité sociale exposent à l’usurpation d’identité : crédits souscrits à votre nom, comptes ouverts à votre insu, démarches effectuées en votre nom. La nature des données détermine donc à la fois l’urgence et la preuve du préjudice que vous pourrez invoquer plus tard. Conservez dès maintenant la notification reçue, les captures d’écran, les relevés et tout message suspect : ce dossier sera le socle de vos démarches.
Il faut aussi savoir ce que l’organisme aurait dû faire. Lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation à la personne concernée dans les meilleurs délais (article 34, paragraphe 1, du règlement (UE) 2016/679). Cette communication décrit, en des termes clairs et simples, la nature de la violation et contient au moins les informations et mesures prévues par le texte (article 34, paragraphe 2, du même règlement). En parallèle, l’organisme doit notifier l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (article 33, paragraphe 1, du même règlement). L’absence de notification individuelle alors que vos données circulent, ou une information tardive et vague, constituent déjà des indices à consigner : ils éclaireront l’appréciation du manquement.
B. Sécuriser vos comptes et constituer un dossier de preuves
La fuite avérée, la priorité est d’empêcher qu’elle ne se transforme en dommage. Changez d’abord les mots de passe des services exposés, en commençant par les plus sensibles : messagerie principale, banque, impôts, sites marchands. Privilégiez des mots de passe forts et distincts pour chaque service, conservez-les dans un gestionnaire prévu à cet effet et activez l’authentification à plusieurs facteurs partout où elle est proposée (recommandations de la CNIL en cas de mot de passe compromis). La réutilisation du même mot de passe sur plusieurs sites est le premier multiplicateur de dommage : un identifiant volé sur un forum ouvre la messagerie, qui permet de réinitialiser tous les autres accès.
Surveillez ensuite les signaux d’exploitation. L’hameçonnage prospère sur les données volées : un message qui cite votre nom, votre adresse ou un achat récent paraît authentique alors qu’il vise à vous soutirer un code ou un paiement. N’ouvrez pas les pièces jointes, ne cliquez pas sur les liens de connexion et supprimez le message, en privilégiant la saisie manuelle de l’adresse officielle dans votre navigateur (mêmes recommandations de la CNIL). En cas d’opérations bancaires inconnues, prévenez votre banque sans attendre et conservez ses réponses écrites. Si vous soupçonnez une usurpation d’identité, la CNIL conseille de déposer plainte au plus vite auprès d’un commissariat ou d’une gendarmerie, de prévenir vos banques et, lorsque l’usurpation se confirme, de vérifier si des comptes ont été ouverts à votre nom à votre insu, notamment par la consultation du fichier national des comptes bancaires (conduite conseillée par la CNIL face à l’usurpation d’identité). Le dépôt de plainte rapide n’est pas seulement une protection : il date officiellement votre situation et alimente votre dossier.
Ce dossier de preuves mérite une méthode. Rassemblez la notification de l’organisme, vos échanges avec lui, les captures des messages frauduleux reçus après la fuite, les relevés faisant apparaître des opérations contestées, les justificatifs de dépenses engagées pour vous protéger et les récépissés de plaintes. La CNIL recommande exactement cette discipline : conservez tous les éléments permettant de démontrer la violation et ses conséquences, car c’est sur eux que reposera l’examen de votre demande d’indemnisation (page de la CNIL sur les conditions de l’indemnisation). Notez aussi les dates : date de la notification, date de découverte des premiers usages frauduleux, dates de vos démarches. En matière de données, le temps joue contre la victime qui tarde : chaque semaine sans réaction affaiblit le lien entre la fuite et le dommage subi.
Avant toute action contentieuse, écrivez à l’organisme. Demandez-lui quelles données vous concernant ont été affectées, quelles mesures il a prises, s’il a notifié l’autorité de contrôle et ce qu’il vous propose. Cette lettre recommandée remplit trois fonctions : elle peut obtenir une réponse utile, elle démontre votre diligence et, en cas de silence ou de réponse évasive, elle établira que vous avez cherché une solution amiable avant de saisir les autorités. Si vous souhaitez ensuite être aidé pour exercer vos droits, sachez que la CNIL rappelle qu’une organisation ou une association à but non lucratif peut, dans certaines conditions, être mandatée pour agir en votre nom, notamment sur le fondement de l’article 38 de la loi Informatique et Libertés (même page de la CNIL).
II. Faire sanctionner le manquement et obtenir réparation
A. Saisir la CNIL et, lorsque les faits l’exigent, porter plainte au pénal
La plainte devant la CNIL et la plainte pénale ne se confondent ni par leur objet ni par leurs effets : la première vise le respect de la réglementation par l’organisme, la seconde la sanction d’infractions. Les deux peuvent coexister, et chacune renforce l’autre dans votre dossier.
Toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, si elle considère que le traitement de ses données constitue une violation du règlement (article 77, paragraphe 1, du règlement (UE) 2016/679). En France, cette autorité est la CNIL. Joignez à votre plainte le dossier constitué : notification reçue, échanges avec l’organisme, preuves des usages frauduleux. La CNIL peut alors prendre des mesures correctrices pour faire cesser le manquement ou prononcer une sanction, mais elle ne peut pas vous accorder de dommages et intérêts : c’est au juge, et non à la CNIL, d’accorder l’indemnisation (rappel de la CNIL sur le rôle respectif de l’autorité et du juge). Si votre plainte à la CNIL reste sans réponse satisfaisante, des recours existent pour la relancer et la faire examiner, comme l’explique notre analyse des démarches après une plainte à la CNIL restée sans réponse.
Ce qu’il advient de votre plainte dépend du pouvoir d’appréciation de la CNIL, que le juge administratif contrôle. Saisie d’une plainte tendant à la mise en œuvre de ses pouvoirs, la CNIL procède à l’examen des faits et décide des suites à leur donner : elle dispose en principe d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements, du sérieux des indices, de la date des faits, du contexte et de l’ensemble des intérêts généraux dont elle a la charge. C’est ce qu’a jugé le Conseil d’État le 17 juin 2026, en rejetant le recours d’un plaignant qui contestait la clôture de sa plainte après que l’organisme visé eut pris des engagements correctifs (Conseil d’État, 10e chambre, 17 juin 2026, n° 509593). La décision précise aussi les leviers dont la CNIL dispose : avertissement, rappel aux obligations légales, mise en demeure de satisfaire aux demandes de la personne concernée ou de mettre le traitement en conformité, puis saisine de la formation restreinte en vue de mesures correctrices et de sanctions (même décision du Conseil d’État). Retenez-en deux enseignements pratiques : une plainte documentée et ciblée sur des manquements précis a plus de chances d’aboutir à une mesure, et la clôture après correction ne signifie pas que vos droits individuels ont disparu, puisque le juge reste seul compétent pour la réparation.
Le volet pénal mérite un examen attentif lorsque la fuite s’accompagne d’un usage détourné de vos données. Le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites par les articles 24, 25, 30 et 32 du RGPD est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-17 du code pénal). Le détournement de données de leur finalité par la personne qui les détient à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement est puni des mêmes peines (article 226-21 du code pénal). Et le fait de porter à la connaissance d’un tiers non autorisé des données dont la divulgation porterait atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende, la peine étant de trois ans et de 100 000 euros lorsque la divulgation résulte d’une imprudence ou d’une négligence (article 226-22 du code pénal). Dans ces deux derniers cas, la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit (même article 226-22 du code pénal) : sans votre plainte, l’action publique ne peut pas être engagée sur ce fondement.
La qualification pénale dépend toutefois de la nature du traitement en cause. Le 13 janvier 2026, la chambre criminelle de la Cour de cassation a rappelé que l’infraction de détournement de finalité suppose des données contenues dans un traitement automatisé, tandis que la divulgation non autorisée s’applique aux traitements automatisés comme aux traitements manuels, avant de casser un arrêt qui avait refusé d’informer sans rechercher si les données relevaient de l’un ou de l’autre (Cour de cassation, chambre criminelle, 13 janvier 2026, n° 25-80.474). Concrètement, si vos données extraites d’un fichier client informatisé sont revendues ou exploitées, le cadre des articles 226-21 et 226-22 a vocation à s’appliquer ; le juge d’instruction ne peut écarter votre plainte avec constitution de partie civile sans vérifier cette nature. Votre plainte pénale, même si l’auteur reste inconnu, fait plus que déclencher l’enquête : elle fige la chronologie et peut ouvrir la voie à des dommages et intérêts devant le juge répressif.
B. Demander réparation au juge : trois conditions cumulatives à démontrer
Ni la sanction de la CNIL ni une condamnation pénale ne vous indemnisent automatiquement. La réparation obéit à son propre régime : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi (article 82, paragraphe 1, du règlement (UE) 2016/679). Et chaque personne concernée dispose d’un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant si elle considère que ses droits ont été violés du fait d’un traitement effectué en violation du règlement (article 79, paragraphe 1, du même règlement). En France, lorsque le responsable est une entreprise ou une personne privée, la demande relève en principe du tribunal judiciaire, et du tribunal administratif lorsque la responsabilité d’une administration est en cause (présentation de la CNIL sur la juridiction compétente).
Trois conditions doivent être réunies, et la CNIL les résume avec netteté : une violation du RGPD, un préjudice réel et un lien entre les deux (même page de la CNIL). La première condition suppose d’identifier le manquement : défaut de sécurité adaptée au risque, absence de chiffrement, conservation excessive, information tardive ou inexistante. L’obligation de sécurité pèse à la fois sur le responsable du traitement et sur le sous-traitant, qui doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris la pseudonymisation et le chiffrement, la garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes, ainsi que des procédures de test régulier de ces mesures (article 32, paragraphe 1, du règlement (UE) 2016/679). Une base de données accessible sans mot de passe, des sauvegardes inexistantes ou des accès jamais révoqués sont autant de faits à établir par constats, captures ou réponses de l’organisme.
La deuxième condition, le préjudice réel, est celle sur laquelle les demandes échouent le plus souvent. Le préjudice peut être matériel, comme une perte financière ou une usurpation d’identité, ou moral, comme une atteinte à la réputation, une perte de confidentialité, une perte de contrôle sur ses données, ou encore la peur et l’inquiétude liées au risque d’utilisation abusive (énumération de la CNIL). Il n’est pas nécessaire que le préjudice moral atteigne un niveau minimal de gravité, mais il doit être réel et personnellement subi : la simple constatation d’une violation ne suffit pas (même page de la CNIL). La Cour de cassation l’a confirmé avec force le 24 juin 2026 : la simple violation du règlement n’ouvre pas, à elle seule, droit à réparation, et le juge doit apprécier si la victime établit un dommage matériel ou moral causé par cette violation (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). Dans cette affaire, une cour d’appel qui avait alloué 5 000 euros au motif que le non-respect du RGPD avait nécessairement causé un préjudice a vu son arrêt cassé, faute d’avoir vérifié l’existence et l’étendue du dommage (même arrêt). La décision rappelle au passage l’interprétation de la Cour de justice de l’Union européenne : la réparation remplit une fonction compensatoire et non punitive, et le demandeur doit établir non seulement la violation, mais aussi le dommage qu’elle lui a causé (même arrêt, citant la jurisprudence de la Cour de justice). Un tribunal peut donc rejeter une demande chiffrée à sept chiffres lorsque le préjudice n’est pas démontré : le 30 janvier 2025, le tribunal judiciaire de Paris a ainsi débouté un demandeur de l’ensemble de ses demandes, alors qu’il réclamait notamment 1 500 000 euros en réparation d’une violation alléguée des dispositions sur la protection des données (tribunal judiciaire de Paris, 5e chambre, 2e section, 30 janvier 2025, n° RG 20/12149).
Deux précisions issues de la Cour de justice, rappelées par la Cour de cassation dans ce même arrêt, méritent d’être connues avant de chiffrer une demande. D’une part, le droit européen s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral à la condition que le préjudice subi ait atteint un certain degré de gravité : une angoisse réelle, même modérée, peut donc être indemnisée dès lors qu’elle est établie (même arrêt du 24 juin 2026). D’autre part, pour fixer le montant des dommages-intérêts, les juges nationaux appliquent les règles internes de leur État relatives à l’étendue de la réparation, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union (même arrêt). Concrètement, le juge français évalue souverainement le montant au vu des pièces : relevés bancaires, attestations, constats d’huissier devenus constats de commissaire de justice, échanges avec l’organisme et la banque. Un dossier qui ne contient que la notification de fuite, sans aucune pièce sur ses conséquences personnelles, expose la demande au rejet, comme l’illustrent les décisions précitées. À l’inverse, des dépenses documentées, des démarches datées et des attestations circonstanciées permettent au juge de compenser intégralement le préjudice concrètement subi, sans fonction punitive.
La troisième condition, le lien entre la violation et le préjudice, exige de démontrer que le dommage résulte de cette fuite-là. Il ne suffit pas d’avoir subi un préjudice au moment où une violation a eu lieu : il faut établir que le préjudice en est la conséquence (rappel de la CNIL). C’est ici que votre dossier prend toute sa valeur : un crédit souscrit avec la pièce d’identité exposée, des prélèvements apparus après la notification, des messages frauduleux citant des données qui n’existaient que dans la base compromise. À l’inverse, un préjudice antérieur à la fuite, ou explicable par une autre cause, ne soutiendra pas la demande. Plusieurs victimes d’une même fuite peuvent aussi agir ensemble : depuis la réforme issue de la loi du 30 avril 2025, un régime unifié de l’action de groupe permet, sous certaines conditions, d’obtenir la cessation d’un manquement ou la réparation des préjudices subis par plusieurs personnes placées dans une situation similaire, y compris en matière de données personnelles, par les personnes ou organisations habilitées (présentation de la CNIL sur l’action de groupe).
Reste une question que les victimes posent souvent : l’organisme peut-il s’exonérer en invoquant une cyberattaque sophistiquée ? Le règlement prévoit une exonération si le responsable ou le sous-traitant prouve que le fait qui a provoqué le dommage ne lui est nullement imputable (article 82, paragraphe 3, du règlement (UE) 2016/679). La charge de cette preuve pèse sur lui, non sur vous : c’est à l’organisme de démontrer qu’il avait mis en œuvre la sécurité adaptée et que l’incident ne lui est en rien imputable. Vos pièces sur l’absence de chiffrement, la conservation de données périmées ou l’inaction après alerte prendront alors un relief décisif.
Une fuite de données n’est donc ni une fatalité ni un billet automatique d’indemnisation. Vérifiez la source de l’alerte, mesurez ce qu’elle expose, sécurisez vos comptes dans les heures qui suivent et conservez chaque preuve avec leurs dates. Écrivez à l’organisme, saisissez la CNIL d’une plainte précise et documentée, portez plainte au pénal lorsque les faits relèvent des incriminations protégeant vos données, et ne demandez réparation au juge qu’armé des trois éléments qu’il exigera : un manquement identifié, un préjudice réel et personnel, et le lien qui les unit. Menée dans cet ordre, avec un dossier daté et complet, votre action cesse d’être une protestation pour devenir une démonstration.