Indemnisation après violation de données personnelles

Une violation de données personnelles désigne un incident entraînant la perte, la destruction, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles. Cet incident peut être accidentel ou résulter d’un acte malveillant, comme une cyberattaque.

Les exemples de violations incluent le vol d’une base de données, l’envoi de données au mauvais destinataire, la perte d’un support contenant des données ou un accès non autorisé à un compte ou un fichier. Ces situations exposent les personnes concernées à des risques tels que l’usurpation d’identité, une perte financière ou une atteinte à la réputation.

Le RGPD prévoit que toute personne ayant subi un préjudice matériel ou moral du fait d’une violation du RGPD peut obtenir réparation auprès du responsable du traitement ou, dans certains cas, du sous-traitant. Trois conditions doivent être réunies pour prétendre à une indemnisation.

Conditions d’indemnisation selon le RGPD

• Une violation du RGPD : le responsable du traitement ou le sous-traitant doit avoir manqué à ses obligations de sécurité, notamment en ne mettant pas en place des mesures techniques ou organisationnelles adaptées.
• Un préjudice réel : la violation doit avoir causé un préjudice matériel ou moral, tel qu’une perte financière, une usurpation d’identité ou une atteinte à la réputation. Le préjudice doit être personnellement subi et réel, sans seuil minimal de gravité.
• Un lien de causalité : il faut démontrer que le préjudice résulte directement de la violation des données.

La simple constatation d’une violation ne suffit pas : il est nécessaire de conserver des preuves, comme des notifications, des captures d’écran ou des justificatifs de dépenses.

Voies de recours pour obtenir réparation

La CNIL ne peut pas accorder de dommages et intérêts. Pour obtenir une indemnisation, il est nécessaire de saisir le juge compétent.

• En cas de responsabilité d’une entreprise ou d’une personne privée, la demande relève du tribunal judiciaire.
• Si une administration ou une personne publique est en cause, le contentieux relève du tribunal administratif, avec des règles spécifiques.

Il est possible de se faire représenter par une association ou une organisation à but non lucratif, sous conditions légales, ou d’engager une action de groupe depuis la réforme de 2025.