Mes données personnelles ont été volées : que faire ?

Vous avez reçu un courriel vous informant qu'une fuite de données vous concerne. Votre nom, votre adresse, votre date de naissance, parfois votre numéro de sécurité sociale ou votre IBAN sont entre des mains inconnues. On vous conseille de « rester vigilant », et c'est à peu près tout.

Les organismes touchés ne sont plus seulement des entreprises : opérateurs, mutuelles, plateformes, mais aussi des administrations et des organismes sociaux. Vous n'avez rien fait de fautif, vous n'aviez pas le choix de leur confier vos données, et vous vous retrouvez avec le risque.

Vous avez pourtant des droits précis, et notamment un droit à indemnisation que la Cour de justice de l'Union européenne a considérablement élargi. Cet article explique ce qu'il faut faire dans les premiers jours, ce que vous pouvez réclamer, et à qui.

Le vrai risque n'est pas le vol, c'est ce qui vient après

Des données volées ne servent presque jamais telles quelles. Elles sont revendues, recoupées avec d'autres fuites, puis exploitées. Trois usages dominent.

L'hameçonnage ciblé. Un escroc qui connaît votre nom, votre adresse, votre opérateur et le montant de votre dernière facture devient infiniment crédible. C'est le carburant des arnaques au faux conseiller bancaire et des faux SMS bancaires.

L'usurpation d'identité. Avec un état civil complet et un justificatif de domicile, on ouvre des comptes, on souscrit des crédits, on obtient des abonnements. Nous détaillons les démarches dans notre article sur l'usurpation d'identité.

La fraude bancaire. Lorsque des coordonnées bancaires ont fuité, les opérations frauduleuses suivent parfois des mois plus tard.

Ce que cela implique. Le délai entre la fuite et son exploitation se compte souvent en mois, parfois en années. Deux conséquences : ne relâchez pas votre vigilance après quelques semaines, et surtout conservez la preuve que vous étiez concerné par cette fuite. Le jour où une fraude survient, c'est ce document qui établira le lien.

Les six réflexes des premiers jours

1. Conservez le courriel de notification et tout ce qui identifie la fuite : date, organisme, catégories de données concernées. C'est la pièce fondatrice de tout recours ultérieur.

   
   

2. Changez vos mots de passe, en commençant par votre messagerie principale (c'est elle qui permet de réinitialiser tous les autres accès) et activez la double authentification partout où c'est possible.

   
   

3. Ne réutilisez jamais un mot de passe compromis ailleurs. Le recoupement entre fuites successives est précisément la méthode employée.

   
   

4. Surveillez vos comptes bancaires de manière rapprochée, et signalez immédiatement toute opération inconnue. Le délai pour contester est encadré : voyez notre article sur le délai de contestation d'une opération frauduleuse.

   
   

5. Méfiez-vous des appels et messages qui suivent la fuite, y compris de ceux qui prétendent vous aider à la gérer. Une seconde escroquerie greffée sur la première est un grand classique.

   
   

6. Ne payez jamais pour faire « retirer » vos données. Aucun service sérieux ne peut le garantir, et la demande elle-même est un signal d'escroquerie.

   
   

Ce que l'organisme vous devait, et pourquoi c'est votre levier

Le RGPD impose au responsable du traitement deux obligations distinctes en cas de violation de données.

Notifier la CNIL dans un délai maximal de 72 heures après en avoir eu connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes.

Vous informer, vous, personnellement, lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés. Cette information doit préciser la nature de la violation, les catégories de données concernées, les conséquences probables, les mesures prises et le contact du délégué à la protection des données.

Trois dispenses existent : des données protégées par un chiffrement robuste dont la clé n'a pas été compromise, des mesures ultérieures qui écartent le risque élevé, ou un effort disproportionné. Auquel cas une communication publique doit remplacer l'information individuelle.

Pourquoi cela vous intéresse : un retard de notification, une information tardive, incomplète ou noyée dans un message anodin constituent des manquements en eux-mêmes. Ils nourrissent votre dossier indemnitaire et se prouvent facilement, contrairement à la défaillance technique initiale.

Savoir précisément ce qui a fuité

L'information reçue reste souvent vague. Vous disposez d'un droit d'accès qui vous permet d'exiger de l'organisme le détail de ce qui vous concerne, et notamment quelles catégories de données ont été exposées dans cette violation précise. La demande est gratuite et l'organisme doit répondre dans un délai d'un mois.

C'est une démarche à faire tôt, écrite et datée. Elle vous donne la matière du dossier, et son absence de réponse constitue à son tour un manquement.

Le droit à indemnisation : ce que la jurisprudence européenne a changé

C'est le point que presque personne n'explique aux victimes, et c'est celui qui a le plus évolué.

L'article 82 du RGPD ouvre un droit à réparation du dommage matériel ou moral subi du fait d'une violation du règlement. La Cour de justice de l'Union européenne en a précisé les contours par une série d'arrêts qui vous sont très favorables.

Trois conditions, mais aucun seuil de gravité

Dans l'arrêt Österreichische Post du 4 mai 2023 (affaire C-300/21), la Cour pose trois conditions cumulatives : une violation du RGPD, un dommage, et un lien de causalité. La simple violation ne suffit donc pas à ouvrir droit à réparation.

Mais la Cour ajoute, et c'est décisif, qu'aucun seuil minimal de gravité n'est exigé. Le droit national ne peut pas subordonner l'indemnisation à un préjudice qui dépasserait une certaine importance.

La crainte d'un usage abusif est en elle-même un préjudice

C'est l'apport majeur, et il correspond exactement à votre situation. Dans un arrêt du 14 décembre 2023 (affaire C-340/21), la Cour de justice juge que la crainte d'un potentiel usage abusif de ses données par des tiers constitue en elle-même un dommage moral indemnisable, sans qu'il soit nécessaire de démontrer une atteinte concrète supplémentaire.

Autrement dit : vous n'avez pas à attendre d'avoir été victime d'une fraude. L'inquiétude légitime née de la fuite est déjà un préjudice. Un arrêt du 4 octobre 2024 a complété cette approche en reconnaissant que la perte de contrôle sur ses propres données constitue également un dommage moral réparable.

La charge de la preuve pèse sur l'organisme, pas sur vous

Le même arrêt du 14 décembre 2023 pose deux règles qui rééquilibrent le rapport de force.

D'abord, c'est au responsable du traitement de prouver que les mesures de sécurité qu'il avait mises en œuvre étaient appropriées. Ce n'est pas à vous de démontrer sa défaillance technique mais, symétriquement, le juge ne peut pas déduire l'insuffisance des mesures de la seule survenance de l'intrusion.

Ensuite, le fait que l'attaque provienne de cybercriminels extérieurs n'exonère pas automatiquement l'organisme. Il ne peut s'en libérer qu'en démontrant que le dommage ne lui est « nullement imputable », condition volontairement restrictive.

Combien peut-on obtenir ?

Il faut être franc : les montants individuels sont modestes. Les juridictions françaises accordent, selon les circonstances, de quelques centaines à quelques milliers d'euros par personne. L'indemnisation est purement réparatrice (la Cour de justice a expressément écarté toute fonction punitive) et elle doit être individualisée, sans forfait.

Ce qui change l'équation, c'est le nombre. Une fuite touche rarement une personne : elle en touche des milliers ou des millions. C'est ce qui rend la voie collective déterminante.

Agir seul ou à plusieurs

Une action individuelle pour quelques centaines d'euros a un coût et un délai qui découragent, à juste titre. La voie collective change ce calcul.

Le paysage a été refondu par la loi du 30 avril 2025, applicable aux actions introduites à compter du 2 mai 2025. Elle a remplacé les cinq régimes qui coexistaient (consommation, concurrence, santé, discrimination et données personnelles) par un cadre unique, permettant de demander à la fois la cessation du manquement et la réparation de tous les préjudices.

Elle élargit aussi la qualité pour agir. Les associations agréées restent les demandeurs principaux, mais des associations non agréées justifiant de vingt-quatre mois d'activité effective et publique peuvent agir en cessation, les syndicats conservent leur capacité d'agir en matière de données personnelles, et le ministère public peut exercer l'action ou s'y joindre. Des tribunaux judiciaires spécialisés en connaissent.

L'action de groupe n'est pas la seule forme collective possible. Nos articles sur l'action collective sans action de groupe, sur le nombre de personnes nécessaire, sur le choix entre la voie pénale et la voie civile et sur ce que l'on peut concrètement obtenir détaillent ces montages.

La plainte à la CNIL, et ce qu'elle ne fait pas

Vous pouvez saisir la CNIL, gratuitement et en ligne. C'est utile : elle peut contrôler l'organisme, le mettre en demeure et le sanctionner, y compris financièrement.

Mais il faut comprendre sa limite : la CNIL ne vous indemnise pas. Les amendes qu'elle prononce alimentent le Trésor public. Votre réparation personnelle passe nécessairement par le juge, sur le fondement de l'article 82.

Les deux voies sont autonomes et se cumulent : la Cour de justice l'a expressément jugé. Une décision de sanction de la CNIL constitue d'ailleurs un excellent élément de preuve dans une action indemnitaire ultérieure.

La voie pénale

Deux cibles, très différentes.

L'auteur de l'intrusion. L'accès et le maintien frauduleux dans un système de traitement automatisé de données sont des délits, de même que l'extraction et la détention frauduleuses de données. En pratique, ces auteurs sont rarement identifiés, souvent hors de France.

L'organisme lui-même. C'est la piste méconnue. L'article 226-17 du code pénal punit de cinq ans d'emprisonnement et 300 000 euros d'amende le fait de traiter des données personnelles sans mettre en œuvre les mesures de sécurité requises. Le défaut de sécurité n'est donc pas seulement une faute civile ou un manquement administratif : c'est une infraction pénale.

Une plainte sur ce fondement, doublée d'une constitution de partie civile, donne accès au dossier et permet de demander des actes — ce qu'aucune autre voie ne permet. Il n'est pas nécessaire de se déplacer pour déposer plainte, d'autres voies existent, et si votre plainte est classée sans suite, des recours subsistent.

Le cas particulier des administrations

Que la fuite provienne d'un organisme public ne réduit en rien vos droits : le RGPD s'applique aux administrations comme aux entreprises, et l'obligation de sécurité y est la même.

Une différence compte toutefois, et elle est procédurale : lorsque le responsable du traitement est une personne publique, l'action indemnitaire relève en principe du juge administratif et non du juge judiciaire, ce qui suppose une réclamation préalable auprès de l'organisme. Cette question de compétence se vérifie au cas par cas et conditionne toute la suite : une action portée devant la mauvaise juridiction se perd en délais.

Questions fréquentes

Je n'ai subi aucune fraude. Puis-je quand même être indemnisé ?

Oui. Depuis l'arrêt du 14 décembre 2023, la crainte d'un usage abusif de vos données constitue en elle-même un dommage moral réparable. Vous n'avez pas à attendre qu'une fraude survienne.

Suffit-il d'invoquer la fuite pour obtenir réparation ?

Non, et c'est la nuance à retenir. La simple violation du RGPD ne suffit pas : il faut un dommage et un lien de causalité. Mais ce dommage ne doit franchir aucun seuil de gravité, et l'inquiétude documentée en est un.

Comment prouver mon préjudice moral ?

Par la nature des données exposées d'abord : un numéro de sécurité sociale ou un IBAN n'appellent pas la même inquiétude qu'une adresse électronique. Puis par les démarches que vous avez dû accomplir, par les tentatives d'hameçonnage reçues depuis, et le cas échéant par un suivi médical. Conservez tout, y compris les messages frauduleux postérieurs.

Dans quel délai agir ?

L'action en responsabilité se prescrit par cinq ans. Mais la preuve s'évapore vite : les courriels de notification se perdent, les organismes réorganisent leurs services. Agissez tant que le dossier est constituable.

L'organisme me propose une surveillance gratuite pendant un an. Dois-je accepter ?

Vous pouvez l'accepter, elle est utile. Vérifiez seulement que le document que vous signez ne comporte aucune renonciation à recours ni transaction, ce qui n'est pas rare. En cas de doute, faites-le relire avant signature.

Une entreprise dont les données de clients ont fuité : quelles obligations ?

Les mêmes, en tant que responsable du traitement : notification à la CNIL sous 72 heures, information des personnes en cas de risque élevé, et exposition à l'article 226-17. Si la fuite s'accompagne d'une fraude au virement, voyez notre article sur les faux ordres de virement en entreprise.

Qui paie mon avocat ?

Vérifiez votre assurance de protection juridique, souvent incluse dans un contrat habitation. Sur la prise en charge en cas de succès, voyez notre article sur le remboursement des frais d'avocat.

Vos données personnelles ont fuité, à Toulouse ou partout en France

Dans ce contentieux, la difficulté n'est pas le droit (il vous est favorable depuis les arrêts de la Cour de justice) mais la construction du dossier. Ce qui se démontre facilement, ce n'est pas la défaillance technique de l'organisme, c'est ce qui l'entoure : le retard ou l'insuffisance de l'information qui vous a été donnée, l'absence de réponse à votre demande d'accès, la nature exacte des données exposées, et la réalité des sollicitations frauduleuses reçues depuis. Ce sont ces éléments qui font la différence entre une demande rejetée et une indemnisation.

Si la fuite vient d'être annoncée, la priorité est de figer les preuves : conserver la notification, exercer par écrit votre droit d'accès, et documenter tout message suspect reçu ensuite. Si une fraude est déjà survenue, la priorité change : il faut établir le lien entre la fuite et le préjudice subi, et engager en parallèle les recours contre l'auteur de la fraude et contre la banque lorsqu'elle est en cause. Et si vous êtes plusieurs à être concernés par la même fuite, la voie collective mérite d'être examinée avant toute action individuelle : elle mutualise les frais et pèse d'un tout autre poids.

Maître Joris Morer, avocat au barreau de Toulouse, accompagne les personnes dont les données ont été compromises : analyse de la notification reçue et des manquements de l'organisme, exercice du droit d'accès et mise en demeure, plainte auprès de la CNIL, action indemnitaire fondée sur l'article 82 du RGPD devant le juge judiciaire ou administratif selon la nature du responsable, chiffrage et documentation du préjudice moral et matériel, plainte pénale pour défaut de sécurité et constitution de partie civile, coordination des dossiers lorsque plusieurs personnes sont concernées par la même violation, et articulation avec les recours bancaires lorsque la fuite a été suivie d'une fraude. Le cabinet intervient également auprès des entreprises et des organismes confrontés à une violation de données. Il agit devant les juridictions de la Haute-Garonne et, plus largement, partout en France.

Que vous veniez de recevoir une notification de violation, que vous ayez déjà subi une usurpation d'identité ou une fraude bancaire consécutive, ou que vous souhaitiez vous joindre à une démarche collective, un premier échange permet de déterminer ce qui est démontrable dans votre situation et quelle voie engager. Munissez-vous du courriel de notification, de la liste des données concernées si elle vous a été communiquée, et des messages suspects reçus depuis.

Pour joindre le cabinet : Cabinet Morer, 22 rue Sainte-Anne, 31000 Toulouse — 05 61 55 45 08 — urgences 24h/24 : 06 23 36 88 03 — cabinet@morer-avocat.com. Si des opérations inconnues apparaissent sur vos comptes, appelez sans attendre : les délais de contestation bancaire sont courts.

Le cabinet accompagne les victimes du dépôt de plainte jusqu'au recouvrement effectif de l'indemnisation : voyez notre page assistance aux victimes à Toulouse.

Pour aller plus loin, retrouvez l'ensemble de nos articles dans les rubriques Victimes et infractions et Actions collectives.