Fuite de données : puis-je demander une indemnisation ?

La plupart des gens s'arrêtent à un court e-mail qui dit « vos données ont peut-être été concernées ». Vous n'êtes pas obligé d'en rester là. Dans l'UE et au Royaume-Uni, le RGPD vous permet de demander à l'entreprise ce qui s'est passé exactement, et elle doit répondre sous un mois. Si la fuite vous a causé un dommage, vous pouvez demander une indemnisation au titre de l'article 82. Cela couvre l'argent perdu et le dommage moral, y compris la crainte que vos données soient utilisées de façon abusive. La fuite seule ne suffit pas : vous devez prouver le dommage.

Ce que l'entreprise vous doit après une fuite

Lorsqu'une fuite est susceptible de vous exposer à un risque élevé, l'entreprise doit vous en informer dans les meilleurs délais, en des termes clairs et simples. La notification doit indiquer les conséquences probables, ce qu'elle a fait face à la violation et qui vous pouvez contacter, par exemple son délégué à la protection des données.

Elle doit aussi notifier la violation à son autorité de protection des données dans les 72 heures après en avoir pris connaissance, sauf si aucun risque n'est probable.

Vous pouvez ensuite aller plus loin. L'article 15 vous permet d'obtenir une copie des données que l'entreprise détient sur vous, la liste des destinataires à qui elle les a communiquées et leur origine. L'entreprise doit répondre sous un mois. Elle peut prolonger ce délai de deux mois pour les demandes complexes, mais elle doit vous en informer dans le premier mois en expliquant pourquoi.

Quand demander une indemnisation

La Cour de justice de l'Union européenne a fixé les critères en 2023. Il faut trois conditions réunies :

• Une violation du RGPD, par exemple une sécurité insuffisante pour protéger vos données.
• Un dommage : de l'argent perdu (dommage matériel) ou un dommage moral.
• Un lien entre les deux : le dommage découle de la fuite.

Il n'existe pas de seuil minimal de gravité pour le dommage moral. Mais la Cour a été claire : une fuite ne donne pas droit à une indemnisation à elle seule. Vous devez montrer ce qu'elle vous a fait.

« Nous avons été piratés » ne clôt pas le dossier

Les entreprises répondent souvent qu'elles ont été victimes d'une attaque criminelle. La Cour s'est penchée précisément sur ce cas en décembre 2023, après le piratage de l'administration fiscale bulgare.

• La crainte compte. La crainte d'une utilisation abusive de vos données peut constituer à elle seule un dommage moral.
• C'est à eux de prouver. L'entreprise doit prouver que ses mesures de sécurité étaient appropriées.
• Un piratage ne prouve rien, ni dans un sens ni dans l'autre. Il ne montre pas à lui seul que leur sécurité était défaillante, et il ne les exonère pas non plus.

Selon l'article 82(3), l'entreprise n'échappe à sa responsabilité que si elle prouve que le fait qui a causé le dommage ne lui est nullement imputable.

Au Royaume-Uni, le UK GDPR contient le même article 82, mais les tribunaux britanniques ne sont pas liés par ces arrêts européens et fixent eux-mêmes les critères.

Auprès de qui porter plainte

Vous pouvez porter plainte auprès de l'autorité de protection des données du pays où vous vivez, où vous travaillez ou où la violation a eu lieu.

Pays	Autorité de protection des données
France	CNIL
Allemagne	L'autorité de protection des données de votre Land (le BfDI au niveau fédéral)
Espagne	AEPD
Italie	Garante per la protezione dei dati personali
Portugal	CNPD
Pays-Bas	Autoriteit Persoonsgegevens
Pologne	UODO
Belgique	APD-GBA
Irlande	Data Protection Commission
Royaume-Uni	Information Commissioner's Office (ICO)

L'autorité peut enquêter et ordonner à l'entreprise d'agir. Elle n'accorde pas d'indemnisation. Celle-ci vient de l'entreprise, ou d'un tribunal.

Comment réclamer, étape par étape

1. Protégez-vous d'abord. Changez les mots de passe exposés, activez la double authentification et prévenez votre banque si vos coordonnées bancaires ou de carte sont concernées.
2. Gardez tout. La notification de la fuite, chaque SMS, appel ou tentative de connexion frauduleuse depuis, et les justificatifs de chaque dépense.
3. Tenez un court journal. La date, ce que vous avez fait, le temps que cela vous a pris et l'effet sur vous. C'est votre preuve du dommage moral.
4. Écrivez au délégué à la protection des données. Demandez ce qui a été touché, quand, ce qu'ils ont fait et s'ils ont notifié la violation. Demandez une copie de vos données.
5. Demandez l'indemnisation dans le même message. Citez l'article 82, décrivez votre dommage et indiquez le montant demandé. Ce montant, c'est vous qui le choisissez : appuyez-vous sur vos justificatifs et une description honnête de l'effet sur vous.
6. Fixez une date. Un mois, comme l'exige l'article 12(3).

Le message à envoyer

Objet : Violation de données personnelles notifiée le 14 octobre 2026 : demande d'informations et d'indemnisation

Je suis client chez vous (numéro client 4471920). Votre e-mail du 14 octobre 2026 indique que mes données personnelles ont été touchées par une violation de vos systèmes.

En application des articles 15 et 34 du RGPD, je vous remercie de m'indiquer précisément quelles données me concernant ont été touchées, quand la violation a eu lieu et quand vous en avez pris connaissance, ce que vous avez fait pour la contenir, et si et quand vous l'avez notifiée à l'autorité de protection des données. Je vous prie également de m'envoyer une copie des données personnelles que vous détenez sur moi.

Depuis la violation, j'ai reçu quatre SMS d'hameçonnage reprenant mon nom et le détail de mes commandes, et j'ai passé environ quatre heures à changer mes mots de passe et à vérifier mes comptes. En application de l'article 82 du RGPD, je demande une indemnisation de €300 pour l'inquiétude et le temps perdu que cela m'a causés.

Merci de me répondre dans un délai d'un mois, soit au plus tard le 14 novembre 2026, comme l'exige l'article 12(3).

Remplacez par vos propres informations. Joignez la notification et vos captures d'écran.

Délais et que faire en cas de refus

• Pas de réponse au bout d'un mois : envoyez une courte relance avec une date limite à 14 jours.
• Un refus ou une offre trop basse : envoyez une réclamation formelle. Citez l'article 82(3) et les arrêts de la Cour de 2023, et demandez leur position définitive par écrit.
• Toujours non : portez plainte auprès de l'autorité de protection des données et, pour l'indemnisation, saisissez la justice. Vous pouvez agir là où l'entreprise est établie ou là où vous vivez. Des procédures simplifiées existent pour les petits montants, et la procédure européenne de règlement des petits litiges couvre une entreprise située dans un autre pays de l'UE.
• Les délais pour agir en justice sont fixés par le droit de chaque pays. Vérifiez les vôtres avant d'attendre trop longtemps.

Si de nombreuses personnes sont touchées, demandez à une association de consommateurs si une action de groupe existe déjà.

En bref

Demandez à l'entreprise ce qui est arrivé à vos données et obtenez-en une copie sous un mois. Si la fuite vous a coûté de l'argent, du temps ou votre tranquillité, demandez une indemnisation au titre de l'article 82, preuves à l'appui. « Nous avons été piratés » n'est pas une défense en soi. En cas de refus, portez plainte auprès de l'autorité de protection des données et portez la demande devant un tribunal.

Questions

Combien peut-on obtenir après une fuite de données ?

Le RGPD ne fixe aucun montant : ce sont les tribunaux de chaque pays qui décident. Vos frais réels comptent en totalité, et pour le dommage moral, le montant dépend de ce que vous pouvez montrer sur l'effet de la fuite sur vous.

L'entreprise dit que personne n'a encore utilisé mes données. Puis-je quand même demander une indemnisation ?

Oui. La Cour de justice de l'Union européenne a jugé que la crainte d'une utilisation abusive de vos données peut constituer à elle seule un dommage moral, mais vous devez quand même montrer que vous l'avez subi.

L'autorité de protection des données va-t-elle m'obtenir une indemnisation ?

Non. L'autorité peut enquêter et ordonner à l'entreprise d'agir, mais l'indemnisation vient de l'entreprise elle-même, ou d'un tribunal si elle refuse.

On m'a proposé une surveillance de crédit gratuite. Dois-je accepter ?

C'est une protection utile, mais ce n'est pas une indemnisation pour le dommage déjà subi. Lisez d'abord l'offre : si elle indique qu'elle règle votre demande, l'accepter met fin à votre réclamation.

Informations générales, pas un conseil juridique. Les règles changent et dépendent de votre lieu de résidence : vérifiez la source officielle avant de vous fier à une date ou à un montant.

Sources

• RGPD, règlement (UE) 2016/679, articles 12, 15, 33, 34, 77 et 82 (EUR-Lex, consulté le octobre 2026)
• Cour de justice de l'Union européenne, affaire C-300/21, arrêt du 4 mai 2023 (consulté le octobre 2026)
• Cour de justice de l'Union européenne, affaire C-340/21, arrêt du 14 décembre 2023 (consulté le octobre 2026)
• Comité européen de la protection des données : autorités nationales de protection des données (consulté le octobre 2026)