Un fichier clients exposé sur internet, une messagerie professionnelle pillée, un prestataire qui avoue une intrusion : la fuite de données personnelles place le dirigeant face à trois urgences qui se jouent en même temps. Prévenir la CNIL dans le temps imparti, informer les personnes concernées sans aggraver la panique, et contenir une facture qui peut mêler amende administrative, poursuites pénales et demandes d’indemnisation. Cet article décrit la marche à suivre, les montants réellement prononcés par les juges et les réflexes qui protègent l’entreprise, ses salariés et ses clients.
Premier repère : une violation de données ne se résume jamais au seul incident technique. Le défaut de sécurité d’un site de location immobilière a valu à une société une amende de 400 000 euros assortie d’une publication de la sanction pendant deux ans, alors même que l’affaire venait d’un simple signalement. À l’inverse, une violation du règlement européen, même établie, n’ouvre pas automatiquement droit à indemnisation pour chaque personne concernée : la Cour de cassation exige la preuve d’un dommage concret. Entre ces deux pôles, le dirigeant doit agir vite, documenter chaque étape et répartir les responsabilités, notamment avec son sous-traitant informatique.
I. Fuite de données personnelles dans l’entreprise : notifier la CNIL et prévenir les personnes concernées
A. Notifier la violation à la CNIL dans les meilleurs délais : le réflexe des 72 heures après la constatation
Dès qu’une violation de données à caractère personnel est constatée, le responsable du traitement doit la notifier à la CNIL. La CNIL demande une notification initiale dans un délai de 72 heures si possible à la suite de la constatation de la violation, et précise qu’en cas de dépassement de ce délai de 72 heures, l’entreprise devra expliquer les motifs du retard lors de sa notification. Le point de départ de ce délai n’est donc pas la date de l’intrusion, souvent inconnue au départ, mais le moment où l’entreprise constate la violation : journal d’alerte, message du prestataire, signalement d’un client ou découverte par les équipes. Chaque heure compte ensuite pour qualifier les faits, identifier les catégories de données touchées et estimer le nombre de personnes concernées, car la notification initiale peut être complétée par la suite sur le téléservice de la notification des violations de données personnelles.
Ce premier réflexe conditionne directement le montant d’une éventuelle sanction. Le Conseil d’État a en effet jugé que, pour fixer une amende, l’autorité de contrôle doit prendre en compte « la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi », selon les critères de l’article 83 du règlement européen, dans une décision rendue le 15 avril 2025 à propos d’une amende de 20 000 euros (Conseil d’État, 10ème chambre, 15 avril 2025, n° 492943). Parmi ces critères figure expressément « la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ». Autrement dit, notifier vite et complètement, coopérer avec la CNIL et réparer le défaut de sécurité sont des circonstances que le juge contrôle point par point. L’entreprise qui tarde, qui minimise ou qui laisse le défaut ouvert s’expose à voir chacun de ces manquements retenu contre elle.
L’exemple de la société SERGIC l’illustre concrètement. À la suite d’un signalement faisant état d’un défaut de sécurité permettant à des tiers non autorisés d’accéder aux données personnelles de candidats à la location ayant téléchargé des documents sur son site, la CNIL a diligenté un contrôle en ligne puis un contrôle sur place, avant que sa formation restreinte inflige « une amende de 400 000 euros » et décide « de rendre cette sanction publique pendant une durée de deux ans à compter de sa publication avant anonymisation ». Le Conseil d’État a rejeté le recours de la société le 4 novembre 2020 (Conseil d’État, 10ème et 9ème chambres réunies, 4 novembre 2020, n° 433311). La leçon opérationnelle est claire : un défaut de sécurité visible depuis l’extérieur, même sans preuve d’exploitation massive des données, suffit à déclencher un contrôle et une sanction publique qui abîme durablement la réputation commerciale.
Le même arrêt apporte une précision que beaucoup de dirigeants ignorent : « Il résulte clairement de ces dispositions que le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL. » L’entreprise ne peut donc pas compter sur un avertissement préalable ni sur un délai de grâce pour se mettre en conformité. La mise en demeure reste possible quand le manquement est régularisable, mais la CNIL peut saisir directement sa formation restreinte et prononcer une amende. Dans le dossier SERGIC, la société avait pourtant été informée du défaut dès le jour du contrôle en ligne ; le défaut persistant lors du contrôle sur place quelques jours plus tard a pesé lourd. D’où la méthode : dès la constatation, isoler le système compromis, conserver les journaux de connexion pour l’enquête, corriger le défaut sans détruire les preuves, puis notifier.
Côté pénal, l’omission des mesures de sécurité expose déjà l’entreprise et ses dirigeants. L’article 226-17 du code pénal dispose : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-17 du code pénal). Les articles visés du règlement européen portent sur la protection dès la conception, la sécurité du traitement et le registre des activités : un traitement lancé sans analyse de risques, sans chiffrement des données sensibles et sans traçabilité documentée entre dans le champ de ce texte. L’article 226-16 du code pénal punit en outre « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi », des mêmes peines de cinq ans d’emprisonnement et 300 000 euros d’amende (article 226-16 du code pénal). La négligence suffit donc : l’absence de formalités ou de mesures, même sans intention de nuire, caractérise le délit.
B. Informer les clients et les salariés concernés : quand la loi l’exige et comment s’y prendre
La notification à la CNIL ne dispense pas d’informer les personnes dont les données ont fuité, et c’est même la seconde obligation à examiner immédiatement. La CNIL l’énonce simplement : en cas de risque élevé, les personnes concernées doivent également être notifiées. Le risque élevé s’apprécie concrètement : données bancaires, pièces d’identité, mots de passe en clair, données de santé ou données permettant une usurpation d’identité appellent une information individuelle rapide, par courriel ou courrier, expliquant la nature de la fuite, les mesures prises et les précautions recommandées. Quand le risque est faible, une information sur le site de l’entreprise ou dans l’espace client peut suffire, mais cette analyse doit être écrite et conservée : en cas de contrôle, la CNIL vérifiera pourquoi l’entreprise a choisi d’informer ou non, et comment.
Les salariés figurent parmi les premières personnes concernées, à double titre. D’une part, leurs propres données (bulletins de paie, coordonnées, relevés d’identité bancaire pour le versement du salaire) transitent par les systèmes de l’entreprise et peuvent fuiter comme les autres. D’autre part, c’est souvent par la messagerie d’un salarié que l’attaquant entre : hameçonnage, pièce jointe piégée, identifiants volés. Le code du travail protège le salarié surveillé dans ce contexte : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4 du code du travail). Concrètement, les outils de journalisation et de filtrage déployés après la fuite doivent avoir été portés à la connaissance des salariés et, pour les dispositifs les plus intrusifs, soumis à la consultation des représentants du personnel. À défaut, les preuves ainsi collectées contre un salarié indélicat risquent d’être écartées du débat prud’homal.
La jurisprudence récente sur les preuves issues d’un traitement irrégulier mérite l’attention des employeurs. Dans un litige opposant un salarié à la société Natixis, la cour d’appel avait jugé que les preuves fournies par l’employeur, issues d’un traitement de données contraire au règlement européen, étaient certes illicites mais recevables, dès lors que leur obtention et leur production étaient indispensables et proportionnées à l’objectif poursuivi. La chambre sociale, le 24 juin 2026, n’a pas remis en cause cette recevabilité et s’est concentrée sur l’indemnisation (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). La prudence reste donc de mise : une preuve recevable n’efface pas la violation, et l’employeur qui utilise des données collectées irrégulièrement s’expose à des dommages et intérêts s’il ne démontre pas un dommage réparé selon les règles rappelées par cet arrêt, détaillées dans la seconde partie.
Pour les clients, l’information doit rester factuelle et sobre : décrire ce qui est établi, indiquer ce qui reste en cours de vérification au conditionnel, et ne jamais promettre qu’aucune donnée ne sera exploitée quand l’enquête est en cours. Les modèles publiés par la CNIL pour la notification aux personnes fournissent un cadre utile. L’entreprise y joint les mesures de protection proposées : réinitialisation des mots de passe, surveillance des comptes, dépôt de plainte en ligne pour les victimes d’usurpation, et coordonnées du délégué à la protection des données pour exercer les droits d’accès, de rectification et d’effacement. Cette information individuelle, horodatée et archivée, devient ensuite la meilleure défense contre les demandes d’indemnisation : elle prouve que l’entreprise a agi en responsable diligent dès la constatation. Un article du cabinet consacré à une cyberattaque massive contre un organisme de formation détaille d’ailleurs le parcours des victimes entre plainte et indemnisation (données personnelles piratées : que faire après la cyberattaque).
II. Fuite de données personnelles en entreprise : sanctions pénales, amende CNIL et indemnisation des victimes
A. Sanctions pénales et amende CNIL : ce que risquent l’entreprise, son dirigeant et l’auteur de l’intrusion
L’auteur de l’intrusion, qu’il soit extérieur ou salarié, encourt d’abord les peines prévues pour les atteintes aux systèmes de traitement automatisé de données. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » (article 323-1 du code pénal). La peine monte à cinq ans d’emprisonnement et 150 000 euros d’amende quand l’intrusion a entraîné la suppression ou la modification de données, ou une altération du fonctionnement du système. L’article 323-3 du code pénal vise l’exploitation des données : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende » (article 323-3 du code pénal). Voler un fichier clients, le copier sur une clé ou le revendre cumule donc les qualifications, et chaque fait peut être poursuivi séparément.
Deux arrêts récents de la chambre criminelle montrent que les juges appliquent ces textes sans hésiter, y compris entre collègues de travail. Le 16 janvier 2018, la Cour de cassation a rejeté le pourvoi d’un médecin contractuel condamné pour avoir installé un enregistreur de frappe sur les ordinateurs de deux praticiens hospitaliers, retenant que « se rend coupable de l’infraction prévue à l’article 323-1 du code pénal la personne qui, sachant qu’elle n’y est pas autorisée, accède, à l’insu des victimes, à un système de traitement automatisé de données » (Cour de cassation, chambre criminelle, 16 janvier 2018, n° 16-87.168). Le condamné a écopé de quatre mois d’emprisonnement avec sursis, avec confiscation des scellés et indemnisation des parties civiles. Le message vaut pour l’entreprise : un salarié qui fouille dans les dossiers de ses collègues ou installe un logiciel espion commet un délit, et l’employeur qui laisse faire sans contrôle des accès engage sa propre responsabilité sur le terrain de la sécurité.
Le 2 septembre 2025, la chambre criminelle a franchi un pas supplémentaire avec l’affaire d’un administrateur réseau qui lisait la messagerie de son dirigeant. La Cour a approuvé sa condamnation à trois mois d’emprisonnement avec sursis, jugeant que « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cour de cassation, chambre criminelle, 2 septembre 2025, n° 24-83.605). Un droit d’accès technique général ne vaut donc pas autorisation de lire le contenu : seuls les actes strictement nécessaires à la mission, comme la maintenance ou la sécurité, sont couverts. Pour l’entreprise victime d’une fuite interne, cet arrêt fonde le dépôt de plainte contre l’ancien salarié ou le prestataire indélicat, et justifie les restrictions d’accès par profil inscrites dans la politique de sécurité.
Du côté administratif, l’échelle des sanctions CNIL doit être lue sans illusion. La formation restreinte peut prononcer « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », et « dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement » européen, « ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires », comme le rappelle le Conseil d’État dans l’affaire SERGIC (Conseil d’État, 4 novembre 2020, n° 433311). Les 400 000 euros infligés à SERGIC et les 20 000 euros infligés à l’association Reconquête pour des manquements ayant concerné des millions de personnes (Conseil d’État, 15 avril 2025, n° 492943) montrent l’éventail réel : la sanction est proportionnée à la gravité, à la durée, au nombre de personnes touchées et à la coopération de l’organisme. La publication de la sanction pendant deux ans, ordonnée contre SERGIC, double souvent la peine sur le plan commercial : clients et partenaires lisent la délibération.
B. Victimes, préjudice et sous-traitant : obtenir réparation et répartir les responsabilités
Chaque personne dont les données ont fuité peut demander réparation, mais elle doit prouver un dommage réel. La chambre sociale l’a rappelé le 24 juin 2026 au visa de l’article 82, paragraphe 1, du règlement européen, « aux termes » duquel « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). Citant la Cour de justice de l’Union européenne, elle précise que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » et que le juge national ne peut pas non plus exiger un préjudice d’une gravité minimale : c’est au demandeur d’établir un dommage matériel ou moral concret, sans seuil, mais avec des preuves. Dans cette affaire, la cour d’appel avait accordé 5 000 euros au salarié au motif que la violation lui avait nécessairement causé un préjudice ; la cassation a censuré ce raisonnement automatique : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ».
Pour les clients victimes d’une fuite, la démonstration passe par des éléments tangibles : opérations bancaires frauduleuses après l’exposition des coordonnées, démarches d’usurpation d’identité, temps passé à faire opposition et à déposer plainte, anxiété documentée par des démarches médicales ou des attestations. Le droit commun de la responsabilité complète le dispositif européen : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). La faute de l’entreprise peut résulter de l’absence de chiffrement, de mots de passe faibles conservés en clair, d’un défaut de correctif connu ou d’accès excessivement larges. À l’inverse, l’entreprise qui démontre des mesures de sécurité à l’état de l’art, une réaction immédiate et une information loyale des victimes réduit fortement le risque de condamnation, même si la fuite est avérée.
Le préjudice moral, lui, est indemnisable sans ticket d’entrée financier : la chambre criminelle a admis qu’une simple perte de confiance constituait un préjudice réparable, jugeant qu’elle « était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal » dans l’affaire de l’administrateur réseau, où la victime a obtenu 10 000 euros (Cour de cassation, chambre criminelle, 2 septembre 2025, n° 24-83.605). Surtout, la réparation poursuit une fonction strictement compensatoire : la Cour de justice, citée par la chambre sociale, juge que « le droit à réparation prévu à cette disposition, notamment en cas de dommage moral, remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive ». Les tribunaux français n’accordent donc pas de dommages punitifs : ils chiffrent le préjudice réellement subi, ni plus ni moins, en appliquant les règles internes de l’étendue de la réparation.
Reste la question que tout dirigeant pose après une fuite venue de son prestataire : qui paie, l’hébergeur, l’éditeur du logiciel ou l’entreprise cliente ? Le règlement européen désigne un responsable du traitement et, le cas échéant, un sous-traitant lié par un contrat écrit qui encadre les consignes, la sécurité et l’assistance. Quand le sous-traitant manque à ses obligations contractuelles de sécurité, le droit commun des contrats s’applique : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil). L’entreprise cliente agit donc contre son prestataire sur le terrain contractuel pour récupérer l’amende, les indemnisations versées aux victimes et le coût de la crise, tandis que les victimes agissent indifféremment contre le responsable ou le sous-traitant sur le fondement de l’article 82 du règlement. D’où l’importance du contrat de sous-traitance : clauses de sécurité mesurables, audits, notification immédiate des incidents au client, assurance et plafond de responsabilité négocié avant la crise, jamais après.
Conclusion
Une fuite de données personnelles dans l’entreprise se gère comme une crise à trois fronts menés ensemble : notifier la CNIL dès la constatation, dans le délai de 72 heures si possible, informer les personnes exposées à un risque élevé, et préparer la défense sur les sanctions et les indemnisations. Les décisions rendues ces dernières années fixent le cadre : sanction administrative possible sans mise en demeure préalable, amendes proportionnées à la gravité et au nombre de victimes, peines de prison encourues par l’auteur de l’intrusion même salarié de la maison, et indemnisation des victimes subordonnée à la preuve d’un dommage concret, sans seuil de gravité mais sans automaticité. Le dirigeant qui documente ses mesures de sécurité avant l’incident, qui notifie vite, qui informe loyalement et qui actionne la responsabilité contractuelle de son prestataire transforme une violation subie en dossier défendable. À l’inverse, le silence, la minimisation et le défaut de sécurité persistant sont, dans chaque décision citée, les circonstances qui ont fait basculer le montant des sanctions.