Vous recevez un email d'une entreprise, d'une administration ou d'un organisme de santé : vos données personnelles ont été compromises. Votre nom, votre adresse, votre numéro de téléphone ou des informations plus confidentielles ont peut-être été consultés ou récupérés par des personnes non autorisées.
Vous n'avez perdu aucun argent. Votre identité n'a pas été usurpée. Pourtant, une question demeure : qui détient désormais ces informations et que pourrait-il en faire ?
Cette inquiétude peut avoir une portée juridique. Le droit à réparation après une fuite de données ne se limite pas aux pertes financières : une anxiété fondée, une perte de contrôle sur ses données ou une atteinte à la vie privée peuvent constituer un préjudice moral. Encore faut-il établir les conditions de l'indemnisation.
1. Le RGPD reconnaît le préjudice moral, même sans perte financière
L'article 82 du RGPD prévoit le droit d'obtenir réparation d'un dommage matériel ou moral causé par une violation du règlement. Le préjudice matériel peut correspondre à une perte d'argent ou à des dépenses. Le préjudice moral désigne, lui, des conséquences non financières personnellement subies.
Il peut notamment s'agir d'une inquiétude réelle, d'une perte de tranquillité, d'une perte de confidentialité ou des conséquences d'une perte de maîtrise sur ses informations. Il n'est donc pas nécessaire d'attendre une fraude bancaire pour examiner son droit à réparation.
Dans son arrêt du 4 mai 2023, C-300/21, la Cour de justice de l'Union européenne (CJUE) a confirmé qu'un dommage moral ne doit pas atteindre un seuil minimal de gravité pour être indemnisable. Elle a aussi rappelé que la simple violation du RGPD ne suffit pas.
Une violation du RGPD, un dommage matériel ou moral réellement subi et un lien de causalité entre cette violation et le dommage. Aucune de ces conditions ne remplace les deux autres.
Une violation de données et une violation du RGPD ne se confondent pas automatiquement : une cyberattaque ne prouve pas, à elle seule, que l'organisme a manqué à ses obligations de sécurité. La responsabilité du responsable du traitement repose sur une faute présumée, mais celui-ci peut s'exonérer s'il démontre que l'événement ayant causé le dommage ne lui est nullement imputable.
La question n'est donc pas seulement de savoir si des données ont fuité, mais quelles conséquences cette violation du règlement a entraînées pour vous.
2. L'anxiété après une fuite de données : une crainte que la justice peut reconnaître
Depuis la notification, un appel inconnu, un SMS de livraison ou un email annonçant une connexion inhabituelle ne vous semblent plus anodins. Vous craignez que des personnes utilisent vos informations pour vous tromper, usurper votre identité ou accéder à des services en votre nom.
La fraude n'a pas nécessairement eu lieu. L'inquiétude, elle, peut déjà être présente. Dans son arrêt du 14 décembre 2023, C-340/21, la CJUE a reconnu que la crainte d'une utilisation abusive future des données par des tiers pouvait, à elle seule, constituer un dommage moral.
Une crainte fondée, appréciée selon les circonstances
Cette reconnaissance ne rend pas toute inquiétude automatiquement indemnisable. Le juge doit vérifier que la crainte invoquée est fondée au regard des circonstances particulières de la violation et de la situation de la personne concernée.
La nature des informations exposées est importante. Des pièces d'identité peuvent susciter une crainte d'usurpation ; des données financières, une inquiétude concernant des tentatives d'escroquerie ; des informations médicales, une crainte liée à leur divulgation. Il faut expliquer ce qui vous concerne réellement, sans supposer que tous les risques se sont déjà réalisés.
Comment décrire cette anxiété ?
Un récit personnel daté peut préciser le début, la fréquence et la durée de l'inquiétude, ainsi que ses manifestations : pensées récurrentes, appréhension face à des sollicitations, perte de tranquillité ou vigilance accrue. Des attestations, des démarches de protection ou des documents médicaux peuvent, lorsqu'ils existent, compléter ce récit.
Un certificat médical n'est pas une condition générale imposée par l'article 82. À l'inverse, le seul fait d'affirmer être inquiet ne dispense pas d'étayer son préjudice et son lien avec la violation. Il ne s'agit pas de présenter un risque abstrait, mais d'expliquer un dommage personnel.
3. La perte de contrôle sur ses données personnelles peut-elle être indemnisée ?
Après une extraction de données, vous pouvez ignorer qui détient vos informations, combien de copies circulent et quels usages pourraient en être faits. Des renseignements peuvent être conservés, transmis, revendus ou recoupés avec d'autres bases, sans que vous puissiez suivre leur circulation.
Peut-on récupérer une donnée qui a déjà fuité ?
L'organisme peut corriger une faille, sécuriser son système et prendre des mesures pour limiter les effets de l'incident. Mais la suppression d'une information à la source ne garantit pas la disparition de toutes les copies déjà détenues par des tiers.
Cette impossibilité de reprendre pleinement la maîtrise d'une divulgation peut affecter votre tranquillité. Il faut cependant distinguer la perte de contrôle effectivement subie de la seule possibilité qu'une information ait été exposée.
Ce que rappelle la jurisprudence européenne
Dans l'arrêt Quirin Privatbank du 4 septembre 2025, C-655/23, la CJUE retient que des sentiments négatifs suscités notamment par une perte de contrôle sur les données peuvent constituer un dommage moral. La personne doit démontrer qu'elle éprouve ces sentiments et leurs conséquences négatives en raison de la violation. Une utilisation frauduleuse déjà réalisée n'est pas une condition générale du droit à réparation.
La personne qui demande une indemnisation doit néanmoins établir le dommage qu'elle invoque et son lien avec la violation. L'absence de fraude ne signifie pas l'absence de préjudice ; la seule constatation d'une violation ne démontre pas non plus, à elle seule, ce préjudice.
4. L'atteinte à la vie privée : lorsque des informations confidentielles sont exposées
Une fuite peut concerner bien plus qu'un nom ou une adresse. Des informations sur des consultations médicales, des traitements, la famille ou certaines activités privées peuvent révéler des aspects de votre existence que vous souhaitiez garder confidentiels.
Leur divulgation peut provoquer un sentiment de vulnérabilité, une inquiétude quant au regard d'autrui ou la crainte que des collègues, des proches ou d'autres personnes en prennent connaissance. Les conséquences sont alors liées à la confidentialité perdue, même sans perte d'argent.
Comment caractériser cette atteinte ?
Identifiez les informations concernées, les circonstances de leur exposition et les raisons pour lesquelles leur confidentialité importe dans votre situation. Décrivez ensuite les conséquences personnelles que vous invoquez, en distinguant ce qui est établi de ce que vous redoutez.
Une fuite de données de santé ne conduit pas automatiquement à la même indemnisation pour toutes les personnes. La nature des informations et le contexte sont des éléments d'appréciation, mais l'existence d'un dommage personnel reste à démontrer.
5. Toutes les fuites de données ne créent pas les mêmes préjudices
Les risques et les conséquences morales dépendent des informations compromises, de leur degré d'exposition et de la situation des personnes. Trois exemples hypothétiques permettent de comprendre cette différence.
Un site de commerce
La divulgation de coordonnées peut susciter une inquiétude concernant des sollicitations frauduleuses, une usurpation d'identité ou des recoupements. Il faut préciser les données effectivement concernées et les conséquences subies, sans considérer toute sollicitation ultérieure comme la preuve de leur utilisation.
Un organisme médical
L'exposition d'informations de santé peut entraîner une inquiétude spécifique liée à leur caractère intime. La perte de confidentialité peut être au centre du dommage invoqué, indépendamment de toute tentative de fraude.
Un vendeur d'armes
Si une adresse personnelle est divulguée avec un historique d'achat d'armes, la personne peut craindre un ciblage de son domicile. Il s'agit ici d'un exemple de risque particulier, et non de l'affirmation qu'un cambriolage se produira.
Ces situations illustrent l'importance d'une analyse concrète. La nature des données peut rendre une crainte crédible, mais elle ne dispense pas de démontrer le préjudice moral invoqué.
6. Comment prouver un préjudice moral après une fuite de données ?
Dans son arrêt du 24 juin 2026, n° 24-22.792, la chambre sociale de la Cour de cassation a rappelé les exigences issues de l'article 82 : une violation du RGPD ne suffit pas, à elle seule, à ouvrir droit à réparation. Il appartient au juge d'apprécier le dommage concrètement subi.
Cela ne revient pas à exiger systématiquement une fraude, une perte financière ou une preuve médicale. Le dossier doit permettre de comprendre votre exposition, le préjudice que vous invoquez et la raison pour laquelle vous le rattachez à la violation.
Les pièces utiles à réunir
- Les informations sur la violation : notification, communication officielle de l'organisme, catégories de données concernées et réponses obtenues à vos demandes.
- Les éléments montrant que vous êtes concerné : notification individuelle ou autre document permettant de vous rattacher à l'incident.
- Un récit personnel structuré : dates, durée, fréquence et effets de l'inquiétude, de la perte de contrôle ou de l'atteinte à la vie privée.
- Les éléments complémentaires, s'ils existent : captures de messages suspects, attestations, démarches entreprises ou documents médicaux pertinents.
Conservez les originaux et distinguez les faits des hypothèses. Un SMS suspect reçu après une fuite ne prouve pas automatiquement qu'il en résulte. Ne diffusez pas vous-même des données sensibles pour constituer votre dossier : limitez leur partage à ce qui est nécessaire, par des moyens adaptés.
La notification de violation reçue par email constitue un point de départ utile, mais elle ne démontre pas à elle seule toutes les conditions d'une indemnisation.
Des personnes exposées au même incident peuvent-elles avoir un dossier commun ?
Certains éléments peuvent être communs : la violation, les catégories de données ou les références juridiques. La préparation de dossiers peut donc être organisée. En revanche, l'exposition de chaque demandeur et les conséquences qu'il invoque doivent pouvoir être rattachées à sa situation.
Une démarche collective ne transforme pas la réparation en mécanisme automatique. Les modalités de participation, de représentation et d'indemnisation dépendent de la procédure effectivement engagée.
7. Quel montant peut-on obtenir pour un préjudice moral ?
Il n'existe pas de barème européen forfaitaire applicable à toutes les fuites de données. L'article 82 ne prévoit ni somme automatique pour une perte de contrôle, ni montant garanti pour une crainte d'usurpation d'identité.
La réparation a une fonction compensatoire : elle vise à réparer le préjudice effectivement subi, non à punir l'organisme. Son montant dépend du dommage établi, de ses conséquences et de l'appréciation du juge dans le cadre applicable.
Il faut donc distinguer trois questions : la possibilité juridique d'obtenir réparation, la preuve du dommage et l'évaluation de son montant. Une estimation ne doit jamais être présentée comme une indemnisation acquise.
Les sanctions prononcées contre un organisme ne constituent pas un fonds automatiquement distribué aux victimes. Notre article sur les amendes RGPD et l'indemnisation des victimes explique cette distinction.
8. Comment exercer son droit à réparation ?
Dans sa publication du 2 octobre 2026, la CNIL rappelle les conditions d'une indemnisation après une violation de données personnelles. Elle peut contrôler et sanctionner certains manquements, mais elle ne peut pas accorder de dommages-intérêts.
Lorsqu'une indemnisation est demandée en France, la juridiction compétente dépend notamment de la personne dont la responsabilité est recherchée : en principe, le tribunal judiciaire pour une entreprise ou une personne privée, le tribunal administratif lorsqu'une administration ou une personne publique est en cause. Des règles particulières peuvent s'appliquer, notamment concernant une demande préalable ou le recours à un avocat.
La réclamation auprès de la CNIL et la demande d'indemnisation ont ainsi des objets différents. L'article Ce que la CNIL peut faire pour vous précise ce rôle.
Préparer une démarche adaptée à sa situation
Commencez par conserver la notification, identifier les informations réellement compromises et décrire les conséquences que vous subissez. Vérifiez ensuite les interlocuteurs, les règles de procédure et les délais applicables ; ils peuvent varier selon le dossier. Un avocat ou une structure d'accès au droit peut vous orienter pour une analyse individuelle.
Pour comprendre les différentes formes de préjudice et les trois conditions du droit à réparation, la page Quels sont mes droits ? d'IndemniData fournit un point de départ. L'examen d'une situation ne vaut ni reconnaissance automatique d'un préjudice, ni garantie d'indemnisation.
À retenir : l'absence de fraude ne signifie pas l'absence de préjudice
Une fuite de données peut compromettre votre vie privée, provoquer une inquiétude persistante ou vous faire perdre la maîtrise de vos informations. Le droit européen reconnaît que ces conséquences peuvent constituer un dommage moral, même sans perte financière.
La réparation n'est toutefois pas automatique. Il faut établir une violation du RGPD, un préjudice personnel réel et un lien entre les deux. Comprendre ces conditions permet de documenter son dossier sans minimiser ses conséquences, mais aussi sans confondre un risque, un dommage et une indemnisation acquise.
Vous avez reçu une notification de violation de données ?
Quels sont mes droits ?Cet article présente des informations générales et ne remplace pas l'analyse juridique d'une situation individuelle.
Sources juridiques
- RGPD, article 82 : droit à réparation et responsabilité.
- CJUE, 4 mai 2023, C-300/21 : conditions de réparation et absence de seuil minimal de gravité.
- CJUE, 14 décembre 2023, C-340/21 : crainte d'une utilisation abusive future des données.
- CJUE, 4 septembre 2025, C-655/23, Quirin Privatbank : dommage moral et réparation.
- Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792.
- CNIL, 2 octobre 2026 : dans quels cas peut-on être indemnisé après une violation de données personnelles ?