Depuis quelques mois, les fuites de données se multiplient : piratage d'impots.gouv.fr, vol de fichiers dans l'Éducation nationale, bases clients d'entreprises exposées... À chaque fois, des milliers de personnes se retrouvent avec leurs informations personnelles dans la nature. La question revient souvent : puis-je être indemnisé ?
La réponse est oui, mais ce n'est pas automatique.
Qu'est-ce qu'une violation de données ?
Avant de parler d'indemnisation, posons les bases. Une violation de données, c'est un incident qui entraîne la perte, la destruction, la modification ou la divulgation non autorisée de vos informations personnelles. Ça peut être un piratage massif, mais aussi une simple erreur humaine.
Quelques exemples concrets :
- Une base de données est volée lors d'une cyberattaque
- Un fichier Excel contenant des données clients est envoyé par erreur à la mauvaise personne
- Un ordinateur ou une clé USB contenant des informations sensibles est perdu
- Quelqu'un accède sans autorisation à un compte ou à un dossier confidentiel
Ces incidents peuvent vous exposer à différents risques : usurpation d'identité, arnaque ciblée, perte financière, atteinte à votre réputation, ou encore divulgation d'informations que vous vouliez garder confidentielles. Cet été, plusieurs centaines de victimes du piratage d'impots.gouv.fr se sont regroupées pour faire reconnaître leurs préjudices, du simple stress à l'arnaque concrète.
Les trois conditions pour être indemnisé
Le RGPD, le règlement européen qui encadre la protection des données depuis 2018, prévoit un droit à réparation. Mais il ne suffit pas qu'une fuite ait eu lieu. Vous devez réunir trois éléments précis.
1. Une violation du RGPD par l'organisme responsable
Il faut démontrer que l'organisme qui détenait vos données a manqué à ses obligations légales. Par exemple, il n'a pas mis en place les mesures de sécurité adaptées pour protéger vos informations. Le RGPD impose aux entreprises et administrations de sécuriser les données qu'elles collectent. En septembre dernier, la CNIL a d'ailleurs condamné l'Hôpital privé de la Loire à 500 000 € d'amende après le vol de 500 000 dossiers médicaux, preuve que ces manquements peuvent être lourdement sanctionnés.
Attention : l'organisme peut se défendre en prouvant qu'il n'est en aucune façon responsable de l'incident. Mais c'est à lui de le démontrer, pas à vous.
2. Un préjudice réel et personnel
La violation du RGPD doit vous avoir causé un préjudice. Ça peut être matériel ou moral :
- Une perte d'argent directe
- Une usurpation d'identité
- Une atteinte à votre réputation
- Une perte de confidentialité sur des informations sensibles
- Le sentiment d'avoir perdu le contrôle sur vos données
- L'inquiétude ou la peur que vos données soient utilisées contre vous
Point important : le préjudice moral n'a pas besoin d'atteindre un seuil minimal de gravité. En revanche, il doit être réel et vous concerner personnellement. La simple constatation qu'une fuite a eu lieu ne suffit pas.
3. Un lien direct entre la violation et votre préjudice
Dernière condition : vous devez établir que votre préjudice découle bien de cette violation précise. Si vous recevez une tentative d'arnaque par email trois mois après une fuite de données, il faut pouvoir montrer que les escrocs ont utilisé les informations volées lors de cette fuite.
Ce qui n'est pas toujours évident à prouver, je vous l'accorde.
Ce que vous devez savoir sur la procédure
- La CNIL ne peut pas vous indemniser. Elle peut sanctionner l'organisme responsable, lui imposer des mesures correctrices, mais elle n'accorde pas de dommages et intérêts. Pour obtenir une indemnisation, vous devez saisir un juge
- Le tribunal compétent dépend de qui a causé la violation. Si c'est une entreprise privée, vous devez saisir le tribunal judiciaire. Si c'est une administration publique, c'est le tribunal administratif qui est compétent, avec des règles de procédure spécifiques
- Vous pouvez mandater une association. Certaines organisations à but non lucratif peuvent agir en votre nom pour exercer vos droits, y compris demander réparation
- L'action de groupe est possible. Depuis 2025, un régime unifié permet à plusieurs personnes dans une situation similaire d'obtenir collectivement réparation. C'est par exemple ce type d'action qui a été lancé après le piratage d'impots.gouv.fr
