Pourquoi les amendes RGPD n'indemnisent-elles pas les victimes ?

## Le malentendu fondamental Chaque fois qu'une grande entreprise est condamnée à une amende record par la CNIL ou une autorité européenne de protection des données, les commentaires se ressemblent : « Enfin une sanction à la hauteur du préjudice. » Ce faisant, ils entretiennent un malentendu structurel sur la nature même des amendes administratives. Une amende RGPD est une sanction publique, prononcée par une autorité administrative au nom de l'intérêt général. Elle sanctionne le manquement d'un responsable de traitement à ses obligations légales. Elle va au budget de l'État. Elle ne va pas dans la poche des personnes concernées. > « Confondre amende et indemnisation, c'est confondre un procès-verbal de stationnement et un dédommagement pour accident de la route. » ## Le chemin vers l'indemnisation Pour obtenir réparation, la personne concernée doit emprunter un chemin distinct, plus long, devant les juridictions civiles. Elle doit démontrer : 1. L'existence d'un préjudice réel et certain 2. Le lien de causalité entre ce préjudice et la violation de données 3. La responsabilité du responsable de traitement L'article 82 du RGPD ouvre ce droit à réparation — mais il ne l'automatise pas. ## Ce que la CJUE a précisé Dans son arrêt Österreichische Post (C-300/21) du 4 mai 2023, la Cour de justice de l'Union européenne a précisé que le simple fait d'avoir été victime d'une violation de données ne suffit pas à ouvrir droit à réparation. La personne doit démontrer un préjudice effectif, même si ce préjudice peut être moral et ne pas se traduire en perte financière immédiate.