Violation de données personnelles : vos droits en tant que victime

Oui, si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés. L'article 34 du RGPD impose à l'entreprise de vous informer dans les meilleurs délais. En cas de non-respect, la CNIL peut enjoindre l'entreprise d'agir et la sanctionner. Exemples de données à risque élevé : coordonnées bancaires, données de santé, numéro de sécurité sociale, mots de passe en clair.

Rendez-vous sur le portail de plainte en ligne de la CNIL (cnil.fr/plainte). Renseignez l'organisme concerné, décrivez la violation et joignez vos preuves (email de notification reçu, articles de presse sur le piratage, screenshot de vos données exposées). La CNIL dispose de 3 mois pour accuser réception et ouvrir une éventuelle enquête. Les plaintes peuvent aussi être déposées par courrier postal à la CNIL, 3 Place de Fontenoy, 75007 Paris.

Oui, sur la base de l'article 82 du RGPD et de l'article 1240 du Code civil. Vous devez prouver un préjudice réel : usurpation d'identité subie, phishing ciblé utilisant vos données, spam frauduleux, atteinte à la vie privée, stress et préjudice moral documenté. Des décisions françaises ont accordé entre 500 € et 3 000 € par victime selon la gravité du préjudice démontré.

Non, un préjudice financier n'est pas exigé. La jurisprudence européenne (CJUE, 4 mai 2023, C-300/21) précise que la seule violation du RGPD ne suffit pas, mais qu'un préjudice réel — même moral — doit être démontré. L'anxiété liée à la crainte d'une usurpation d'identité, l'inquiétude pour sa vie privée, ou le temps passé à prendre des mesures de protection peuvent constituer un préjudice moral indemnisable.

Oui. Les données de santé, génétiques et biométriques sont des catégories spéciales visées à l'article 9 du RGPD : leur traitement est en principe interdit sauf exceptions strictes. En cas de violation les concernant, l'information des personnes est systématiquement obligatoire et les amendes CNIL sont aggravées. Pour les données bancaires, la directive DSP2 impose des obligations de sécurité spécifiques aux établissements financiers, incluant l'authentification forte.

Oui, via deux mécanismes distincts. L'action de groupe introduite par la loi n°2016-1547 du 18 novembre 2016 (dite « Justice du XXIe siècle ») permet à des associations agréées comme l'UFC-Que Choisir d'agir en justice au nom d'un groupe de victimes pour obtenir réparation. La CNIL peut aussi, indépendamment de toute action de groupe, prononcer elle-même des sanctions administratives (Art. 83 RGPD) contre le responsable de traitement. L'exemple le plus marquant récent est l'affaire Free : après le piratage d'octobre 2024 (données de plus de 19 millions d'abonnés exposées, dont des IBAN) et une plainte de l'UFC-Que Choisir rassemblant plus de 2 500 personnes, la CNIL a prononcé le 13 janvier 2026 une sanction record de 42 millions d'euros (27 M€ contre Free Mobile, 15 M€ contre Free). Cette sanction, versée au Trésor public, est distincte de l'indemnisation individuelle des victimes, qui reste à obtenir séparément sur le fondement de l'Art. 82 RGPD.