Données personnelles : quand une violation du RGPD ouvre droit à une indemnisation

• 2026-10-18
• Tech & Innovation
• La rédaction
• Source: Commission nationale de l'informatique et des libertés (CNIL) https://www.cnil.fr/fr/violations-de-donnees-personnelles-cas-indemnite

Une violation de données personnelles ne donne pas automatiquement droit à une indemnisation. Selon une publication de la Commission nationale de l'informatique et des libertés (CNIL), la personne concernée doit démontrer trois éléments cumulatifs : un manquement au RGPD, un préjudice réel et un lien de causalité entre les deux. C'est au juge, et non à la CNIL, d'accorder une réparation.

Key facts

Qu'est-ce qu'une violation de données ?

• La CNIL rappelle que l'article 82 du RGPD ouvre un droit à réparation en cas de dommage matériel ou moral causé par une violation du règlement.
• Trois conditions doivent être réunies : une violation du RGPD, un préjudice réel et personnel, et un lien de causalité entre la violation et le préjudice.
• La CNIL peut prendre des mesures correctrices ou prononcer une sanction, mais ne peut pas accorder de dommages et intérêts.
• En France, le tribunal judiciaire est compétent lorsque le responsable est une entreprise ou une personne privée ; le tribunal administratif l'est lorsque la responsabilité d'une administration ou d'une personne publique est en cause.
• Depuis la réforme issue de la loi du 30 avril 2025, un régime unifié de l'action de groupe permet, sous certaines conditions, d'obtenir la cessation d'un manquement ou la réparation des préjudices subis par plusieurs personnes placées dans une situation similaire.

La CNIL définit la violation de données personnelles comme un incident entraînant la perte, la destruction, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles. Cet incident peut être accidentel ou résulter d'un acte malveillant, comme une cyberattaque. L'autorité cite plusieurs exemples : le vol d'une base de données, l'envoi de données au mauvais destinataire, la perte d'un ordinateur ou d'un support contenant des données, ou encore un accès non autorisé à un compte ou à un fichier.

Les risques pour les personnes concernées sont variés : perte de contrôle sur leurs données, usurpation d'identité, perte financière, atteinte à la réputation ou divulgation d'informations confidentielles. Mais la seule survenance d'une violation ne suffit pas à ouvrir un droit à indemnisation. Quelles conditions pour être indemnisé ?

L'article 82 du RGPD prévoit que toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement a le droit d'obtenir réparation auprès du responsable du traitement ou, dans certains cas, du sous-traitant. Trois conditions doivent être réunies. D'abord, une violation du RGPD : par exemple, une entreprise peut avoir manqué à ses obligations de sécurité en ne mettant pas en place des mesures techniques ou organisationnelles adaptées. Le RGPD impose en effet un niveau de sécurité adapté aux risques. La responsabilité du responsable du traitement repose sur une faute présumée, mais il peut s'exonérer s'il démontre qu'il n'est en aucune façon responsable de l'événement ayant causé le dommage.

Ensuite, un préjudice matériel ou moral doit avoir été subi : usurpation d'identité, atteinte à la réputation, perte de confidentialité, perte de contrôle sur ses données, ou encore peur ou inquiétude liées au risque d'utilisation abusive. La CNIL précise qu'aucun niveau minimal de gravité n'est exigé pour le préjudice moral, mais que celui-ci doit être réel et personnellement subi. La simple constatation d'une violation du RGPD ne suffit donc pas.

Enfin, un lien de causalité doit être démontré entre la violation et le préjudice. Il ne suffit pas que les deux surviennent au même moment : il faut établir que le préjudice résulte de la violation. La CNIL recommande de conserver tous les éléments permettant de prouver la violation et ses conséquences : notification de l'organisme, courriels, captures d'écran, justificatifs de dépenses, démarches effectuées, plaintes ou tout document utile. La CNIL peut-elle indemniser ?

La CNIL peut être saisie d'une plainte si une personne estime que ses données personnelles ne sont pas traitées conformément au RGPD. Elle peut prendre des mesures correctrices pour faire cesser le manquement ou prononcer une sanction. En revanche, elle ne peut pas accorder de dommages et intérêts. Pour obtenir une indemnisation, la personne concernée doit donc exercer son droit à réparation devant le juge. Comment agir en justice ?

En France, lorsque le responsable est une entreprise ou une personne privée, la demande d'indemnisation relève en principe du tribunal judiciaire. Lorsque la responsabilité d'une administration ou d'une personne publique est en cause, le contentieux relève du tribunal administratif. Des règles particulières s'appliquent, notamment une demande indemnitaire préalable et, dans certains cas, le recours à un avocat. La CNIL recommande de vérifier les règles de compétence et de procédure avant d'engager une action.

Les personnes concernées peuvent, dans certaines conditions, mandater une organisation ou une association à but non lucratif pour exercer leurs droits en leur nom. L'article 38 de la loi Informatique et Libertés prévoit cette possibilité pour différentes associations et organisations répondant aux conditions légales, afin d'exercer les droits prévus par le RGPD, notamment le droit à réparation de l'article 82. Qu'en est-il de l'action de groupe ?

Depuis la réforme issue de la loi du 30 avril 2025, un régime unifié de l'action de groupe permet, sous certaines conditions, d'obtenir la cessation d'un manquement ou la réparation des préjudices subis par plusieurs personnes placées dans une situation similaire. Ce dispositif couvre notamment les actions concernant la protection des données personnelles. L'action est exercée par les personnes ou organisations habilitées par la loi, notamment certaines associations agréées et, dans les conditions prévues, certaines organisations syndicales. Pour les personnes concernées, cette procédure peut permettre de regrouper des demandes individuelles autour d'un même manquement.

La CNIL invite les personnes victimes d'une violation de données à conserver les preuves et à vérifier les voies de recours adaptées à leur situation. Elle rappelle que l'indemnisation reste subordonnée à la démonstration, devant le juge, d'un manquement au RGPD, d'un préjudice réel et d'un lien de causalité.

Source: Commission nationale de l'informatique et des libertés (CNIL)