Vous recevez un courrier ou un courriel vous informant que vos données ont été « susceptibles d’être consultées ou extraites » lors d’une intrusion. Suivent quelques conseils de vigilance et un lien vers un site de prévention. Aucun mot sur ce que vous pouvez réclamer. Trois semaines plus tard, vous recevez un appel qui reprend votre nom, votre adresse et votre revenu, et vous comprenez à quoi la fuite va servir.
C’est exactement la lettre que la direction générale des Finances publiques a commencé à adresser, à compter du 17 août 2026, aux 678 000 particuliers et professionnels dont les données fiscales ont été consultées ou extraites lors des accès illégitimes de juin et juillet 2026 (communiqué du ministère de l’Économie n° 953 du 14 août 2026). Le scénario n’a rien d’exceptionnel : il se répète chez les opérateurs télécoms, les mutuelles, les plateformes et les administrations.
La question que personne ne vous écrit noir sur blanc est celle-ci : cette fuite ouvre-t-elle droit à une indemnisation, et contre qui ? La réponse est oui, sur un fondement précis, avec un régime de preuve qui vous est bien plus favorable qu’il n’y paraît — mais elle bute sur un obstacle que les articles de vulgarisation escamotent : le montant. Et lorsque l’organisme responsable est une administration, la mécanique procédurale n’a rien à voir avec celle applicable à une entreprise.
L’essentiel : l’article 82 du RGPD ouvre à toute personne un droit à réparation du dommage matériel ou moral causé par une violation du règlement. Trois conditions cumulatives : une violation, un dommage effectivement subi, un lien de causalité. Aucun seuil de gravité n’est exigé, mais la seule violation ne suffit pas. La faute du responsable du traitement est présumée ; c’est à lui de démontrer que ses mesures de sécurité étaient appropriées.
La décision qui commande l’ensemble du contentieux des fuites de données est CJUE, 14 décembre 2023, C-340/21, Natsionalna agentsia za prihodite. Elle concernait la cyberattaque subie par l’administration fiscale bulgare et les actions en réparation engagées par des contribuables dont les données avaient été publiées. Autrement dit : le scénario exact, transposé, d’une fuite massive de données publiques. Elle a été abondamment commentée (Dalloz IP/IT, 2024, p. 6 et p. 103 ; Comm. comm. électr., 2024, comm. 19 ; Europe, 2024, comm. 78).
Ce que vous devez prouver, et ce que le responsable doit prouver à votre place
Le contentieux se joue sur quatre terrains distincts, et la charge de la preuve n’est pas la même sur chacun. C’est cette répartition qui fait la valeur du dossier.
Où se trouve exactement la violation du règlement
La violation invoquée n’est presque jamais le piratage lui-même. Elle réside dans un manquement du responsable du traitement, et trois fondements se cumulent utilement : l’article 32 du RGPD (mesures techniques et organisationnelles appropriées au risque), l’article 5, § 1, f) (principe d’intégrité et de confidentialité), et les articles 33 et 34 (notification de la violation à l’autorité de contrôle sous 72 heures et information des personnes concernées en cas de risque élevé).
Premier piège, et il est décisif : la survenance d’une divulgation ou d’un accès non autorisé ne permet pas de déduire que les mesures de sécurité étaient inappropriées. Le juge doit les examiner concrètement (CJUE, 14 décembre 2023, C-340/21). Une demande qui se contente d’écrire « il y a eu une fuite, donc l’article 32 a été violé » est vouée à l’échec.
C’est pourquoi il faut travailler sur ce que le responsable a lui-même reconnu. Dans le cas de la DGFiP, le communiqué du 14 août 2026 admet que les accès reposaient sur l’usurpation des identifiants d’un agent et d’un tiers habilité, et que les contrôles d’accès réalisés lors de la détection des intrusions n’ont pas permis d’établir qu’elles avaient conduit à des vols de données, « en raison de la sophistication de l’attaque ». Chacune de ces phrases ouvre un axe d’instruction : robustesse de l’authentification, périmètre des habilitations accordées à un tiers, journalisation, et capacité des dispositifs de surveillance à repérer une consultation ou une extraction anormale de masse. L’aveu de l’échec de la détection n’établit pas le manquement, mais il désigne l’endroit où le débat va se tenir.
Le fondement le plus souvent négligé est celui de la notification. L’article 33, § 1 fixe le délai « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » : la question n’est donc pas la date de l’intrusion mais la date à laquelle le responsable a eu connaissance de la violation. Or l’article 4, point 12) définit la violation de données comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel […] ou l’accès non autorisé à de telles données » — l’accès non autorisé suffit, l’extraction n’est pas requise.
Un organisme qui a détecté des accès illégitimes et coupé les comptes concernés plusieurs semaines avant d’avertir qui que ce soit devra donc expliquer pourquoi la détection de ces accès ne constituait pas déjà la connaissance d’une violation. La chronologie de l’affaire DGFiP illustre le débat : accès illégitimes en juin et juillet 2026, comptes coupés dès leur détection, investigations approfondies engagées le 12 août 2026 seulement, saisine de la CNIL « dès l’identification de ces vols de données », information individuelle à compter du 17 août 2026. L’administration situe sa prise de connaissance au terme des investigations d’août ; la personne concernée soutiendra qu’elle se situe à la détection des accès, en juin ou juillet.
La jurisprudence n’a pas tranché cette question avec constance. Dans le doute, invoquez ce grief à titre distinct plutôt que de le fondre dans le manquement de sécurité : les deux ne se prouvent pas de la même manière, et le second ne dépend pas d’une expertise technique.
Le dommage : perte de contrôle, crainte, préjudice matériel
Trois catégories de dommages sont réparables, et la première surprend souvent le lecteur. La perte de contrôle sur vos données constitue en soi un dommage moral indemnisable, quand bien même un usage abusif ne se serait pas concrètement produit (CJUE, 4 octobre 2024, C-200/23, Agentsia po vpisvaniyata, § 145 ; CJUE, 19 mars 2026, C-526/24, Brillen Rottler). La crainte d’un usage abusif futur de vos données par des tiers peut, elle aussi, constituer à elle seule un dommage moral (CJUE, 14 décembre 2023, C-340/21). Le préjudice matériel, enfin, couvre les débits frauduleux, un crédit souscrit à votre nom, les frais de sécurisation et le temps de démarches.
Deux garde-fous, souvent passés sous silence, encadrent ce terrain. La simple allégation d’une crainte engendrée par la perte de contrôle ne donne pas droit à réparation : le juge doit vérifier que cette crainte peut être considérée comme fondée dans les circonstances de l’espèce et au regard de la personne (C-526/24, § 63, renvoyant à CJUE, 20 juin 2024, C-590/22, PS (Adresse erronée)). Et vous devez démontrer que les conséquences invoquées constituent un préjudice distinct de la violation elle-même (CJUE, 14 décembre 2023, C-456/22, Gemeinde Ummendorf).
Aucun seuil de gravité ne peut vous être opposé : la Cour de justice condamne toute règle nationale qui subordonnerait la réparation d’un dommage moral à un certain degré de gravité (CJUE, 4 mai 2023, C-300/21, Österreichische Post, § 51), et aucun seuil de minimis ne peut être fixé. Mais la même décision pose la limite inverse, et il faut la connaître avant d’écrire une réclamation : la personne concernée n’est pas dispensée de démontrer que les conséquences négatives qu’elle invoque constituent bien un dommage moral (§ 50). La simple violation du règlement n’ouvre pas, à elle seule, droit à réparation — et la Cour de cassation s’est expressément alignée sur cette solution (Cass. soc., 24 juin 2026, n° 24-22.792, société Natixis, arrêt n° 571 FS-B).
Traduction pratique : une réclamation qui allègue un « stress » générique ne vaut rien. Une réclamation qui décrit la nature précise des données exposées, ce qu’elles révèlent de vous, les sollicitations reçues depuis, et les démarches que vous avez dû accomplir, vaut infiniment mieux — à préjudice identique.
Le lien de causalité, là où la plupart des demandes s’effondrent
C’est la faiblesse structurelle de ce contentieux. Recevoir un courriel d’hameçonnage après une fuite ne prouve pas que ce courriel résulte de cette fuite : vos coordonnées circulent probablement déjà dans d’autres bases compromises, et un escroc peut recomposer un message crédible à partir de sources publiques.
Ce qui fait la différence, c’est la spécificité de l’information réutilisée. Un message qui mentionne une donnée que seul le fichier compromis contenait — un montant exact, une référence interne, une caractéristique de votre situation non publique — établit un lien que l’organisme aura du mal à contester. Un « bonjour, service des fraudes de votre banque » ne l’établit pas. Lorsque la fuite débouche sur un détournement de fonds, le contentieux bascule d’ailleurs sur un autre terrain, souvent plus rentable : celui de la récupération des fonds détournés et de la responsabilité de la banque.
Second obstacle, plus récent et plus redoutable : le lien de causalité peut être rompu par votre propre comportement, lorsque celui-ci constitue la cause déterminante du préjudice, y compris par une décision qui ne s’imposait pas à vous (CJUE, 19 mars 2026, C-526/24, § 65 et 66). L’organisme qui démontre que vous avez vous-même exposé les données invoquées, ou que la conséquence dommageable résulte d’un choix qui vous appartenait, éteint le droit à réparation sans même discuter la sécurité de son système.
Ce que le responsable devra prouver pour s’exonérer
Voici le renversement qui donne sa valeur au dossier. L’article 82 institue un régime de responsabilité pour faute, mais cette faute est présumée, à moins que le responsable ne prouve que le fait qui a provoqué le dommage ne lui est nullement imputable (CJUE, 21 décembre 2023, C-667/21, Krankenversicherung Nordrhein ; CJUE, 25 janvier 2024, C-687/21, § 52 ; CJUE, 11 avril 2024, C-741/21, juris GmbH).
Trois conséquences concrètes. C’est au responsable du traitement qu’il incombe de prouver que ses mesures de sécurité étaient appropriées (C-340/21) : vous n’avez pas à démontrer la défaillance technique, il doit démontrer sa diligence. Le fait que l’accès non autorisé soit l’œuvre de cybercriminels ne l’exonère pas automatiquement : l’exonération de l’article 82, § 3 exige la preuve que le dommage ne lui est nullement imputable — la défense « nous avons été victimes d’un pirate » est donc juridiquement insuffisante. Enfin, il ne peut pas s’abriter derrière la défaillance d’une personne agissant sous son autorité, par exemple l’agent dont les identifiants ont été compromis (C-741/21).
C’est pourquoi une réclamation bien construite met l’organisme en demeure de justifier, pièce par pièce, l’authentification des accès, la gestion des habilitations, la journalisation et la détection des extractions anormales. Le silence ou l’imprécision de la réponse ne vous est pas opposable : elle lui est opposable.
Combien pouvez-vous obtenir
Il n’existe aucun barème. La réparation prévue à l’article 82 est purement compensatoire : elle doit compenser intégralement le préjudice concrètement subi, sans qu’il soit nécessaire d’allouer des dommages et intérêts punitifs (C-300/21, § 58). Corollaire souvent ignoré des demandeurs comme des défendeurs : la gravité de la faute du responsable est inopérante pour fixer le montant — négligence ou manquement délibéré, seule compte l’étendue de votre préjudice (C-687/21). La punition, c’est l’affaire de l’amende administrative de l’article 83, pas la vôtre.
Sur les fuites de masse, je ne connais pas de série jurisprudentielle française permettant d’annoncer un ordre de grandeur fiable, et je me garderai d’en inventer un. Cette incertitude n’est pas anodine : elle commande la stratégie. En l’absence de préjudice matériel chiffrable, le coût d’une action individuelle est rarement proportionné à l’enjeu, ce qui déplace le débat vers l’action de groupe. En présence d’un préjudice matériel — débit frauduleux, crédit souscrit, perte professionnelle —, l’action individuelle retrouve tout son sens, et c’est ce préjudice qu’il faut documenter en priorité.
Deux précisions utiles avant de chiffrer. Aucune hiérarchie n’existe entre préjudice moral et préjudice matériel, et une indemnisation d’un montant modique peut suffire à réparer intégralement un dommage moral limité (CJUE, 20 juin 2024, C-182/22 et C-189/22, Scalable Capital). Et l’argent n’est pas la seule demande possible : la personne concernée peut aussi obtenir une injonction faisant interdiction au responsable de réitérer le traitement illicite pour l’avenir, sans que l’obtention de cette injonction réduise les dommages et intérêts dus (CJUE, 4 septembre 2025, C-655/23, IP c/ Quirin Privatbank). Face à un organisme qui continue d’exploiter un fichier compromis, cette demande vaut souvent mieux qu’un chèque.
Devant quel juge, et dans quel délai
Lorsque le responsable est une entreprise
L’action se porte devant le tribunal judiciaire, et elle est autonome : aucune réclamation préalable auprès de la CNIL n’est exigée. Le délai de droit commun de cinq ans de l’article 2224 du Code civil s’applique.
Point décisif lorsque l’organisme est établi à l’étranger, ce qui est le cas de la plupart des grandes plateformes : l’action peut être portée non seulement devant les juridictions de l’État membre où le responsable dispose d’un établissement, mais aussi devant celles de l’État membre où vous avez votre résidence habituelle (art. 79, § 2). Une personne résidant en France peut donc agir en France contre une société établie en Irlande ou au Luxembourg, sans clause attributive de juridiction à discuter. Ce choix de forum n’existe pas contre une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique, que le même texte exclut expressément — raison supplémentaire pour laquelle le contentieux contre l’État suit une autre route.
Lorsque le responsable est l’État, une collectivité ou un hôpital
Tout change, et c’est là que les demandes se perdent le plus souvent pour des raisons qui n’ont rien à voir avec le fond.
La juridiction compétente est le tribunal administratif, s’agissant d’un traitement mis en œuvre par une personne publique dans l’exercice de ses missions. Le défendeur est l’État — représenté par le ministre compétent —, et non la direction ou le service qui exploite le fichier, même si celui-ci est le responsable du traitement au sens fonctionnel du règlement. Dans le cas d’une fuite à la DGFiP, on n’assigne donc pas « la DGFiP » : la réclamation se dirige contre l’État, ministre chargé des comptes publics.
Trois verrous procéduraux à ne pas manquer. Une demande indemnitaire préalable est obligatoire : la juridiction ne peut être saisie qu’après qu’une décision est née sur une réclamation chiffrée adressée à l’administration (art. R. 421-1 du Code de justice administrative). La représentation par avocat est obligatoire pour une requête tendant au paiement d’une somme d’argent (art. R. 431-2 du même code). Et la créance indemnitaire contre une personne publique relève en principe de la prescription quadriennale de la loi n° 68-1250 du 31 décembre 1968, soit quatre ans à compter du premier jour de l’année suivant celle au cours de laquelle les droits ont été acquis — beaucoup plus court que les cinq ans du droit commun. Je n’ai pas identifié de décision ayant expressément appliqué cette prescription à une action fondée sur l’article 82 du RGPD ; en l’état, la prudence commande de raisonner sur quatre ans.
Dernier point, et c’est un choix de moyens à faire dès la réclamation préalable : l’article 82 n’est pas nécessairement exclusif. Le juge administratif sait qualifier la méconnaissance du règlement de faute engageant la responsabilité de la personne publique, sur le terrain classique de la responsabilité administrative (CAA Paris, 8e ch., 11 avril 2023, n° 22PA01320 — manquement à l’obligation d’information de l’article 13, § 2 du RGPD qualifié de « faute de nature à engager sa responsabilité », l’indemnisation étant refusée faute de préjudice établi). Cet arrêt est doublement instructif : il ouvre un fondement subsidiaire, et il rappelle que devant le juge administratif comme ailleurs, le filtre n’est pas la faute mais le préjudice.
Vous êtes une entreprise dont les données ont fuité : votre action n’est pas la même
Les fuites de fichiers publics touchent aussi les professionnels — la fuite de la DGFiP concerne 286 000 professionnels environ, avec des données telles que la raison sociale et le SIREN. Or le règlement protège les personnes physiques : la « personne concernée » est une personne physique identifiée ou identifiable (art. 4, point 1). Les données d’une société ne sont pas, comme telles, des données à caractère personnel.
La doctrine relève que le paragraphe 1 de l’article 82 visant « toute personne », il n’est pas exclu qu’une personne morale s’en prévale pour un préjudice résultant d’un traitement illicite (Cahiers du CRIDS, n° 44, 2018, p. 671). La Cour de justice ne s’est prononcée, à ce jour, qu’au profit de personnes concernées. La question n’est donc pas tranchée, et la prudence commande de ne pas construire un dossier d’entreprise sur ce seul fondement.
Trois conséquences pratiques. L’entrepreneur individuel, l’artisan, le professionnel libéral : les données fiscales attachées à leur nom sont des données personnelles, et l’article 82 leur est ouvert comme à tout particulier. La société : le fondement naturel est la responsabilité pour faute de la personne publique devant le juge administratif, ou la responsabilité de droit commun contre un cocontractant privé, avec un préjudice à établir — perte de confidentialité d’informations économiques, coût de sécurisation, détournement subi. Le dirigeant, enfin, peut agir en son nom propre pour ses données personnelles là où la société ne peut pas, ce qui permet parfois de porter un dossier qui serait autrement irrecevable.
Contre qui diriger la demande : le responsable, le sous-traitant, ou les deux
La plupart des fuites se produisent chez un prestataire — hébergeur, éditeur de logiciel, centre d’appels, gestionnaire de paie. L’erreur classique consiste à s’en prendre à lui.
Le règlement place la responsabilité principale sur le responsable du traitement, c’est-à-dire l’organisme qui a décidé du traitement : tout responsable ayant participé au traitement répond du dommage causé par une violation du règlement. Le sous-traitant, lui, n’est tenu que dans deux cas — s’il n’a pas respecté les obligations que le règlement fait spécifiquement peser sur les sous-traitants, ou s’il a agi en dehors des instructions licites du responsable ou contrairement à celles-ci (art. 82, § 2). Dirigez donc la demande contre l’organisme auquel vous avez confié vos données, à charge pour lui de se retourner ensuite contre son prestataire.
Deux règles rendent cette configuration confortable pour la personne concernée. Lorsque plusieurs responsables ou sous-traitants ont participé au même traitement, chacun est tenu du dommage dans sa totalité, précisément afin de garantir une réparation effective (art. 82, § 4) : vous n’avez pas à répartir les fautes entre eux, ni même à savoir chez lequel la défaillance s’est produite. Celui qui a tout payé exerce ensuite son recours contre les autres à proportion de leur part (art. 82, § 5) — c’est son problème, pas le vôtre. En pratique, une réclamation qui s’excuse de ne pas savoir où la faille se situait affaiblit inutilement le dossier : cette ignorance est un droit.
La réclamation CNIL : ce qu’elle apporte, et sa limite quand le responsable est l’État
L’article 77 du RGPD vous permet d’introduire une réclamation auprès de la CNIL, en parallèle de toute action indemnitaire. L’intérêt est probatoire : un constat officiel d’insuffisance des mesures de sécurité allège considérablement la démonstration du manquement, même s’il ne lie pas le juge.
Il faut en revanche savoir ce que vous n’obtiendrez jamais par cette voie. La CNIL n’alloue pas de dommages et intérêts : elle ne répare pas, elle sanctionne. Et lorsque le traitement est mis en œuvre par l’État, l’arsenal se réduit : l’article 20, IV de la loi n° 78-17 du 6 janvier 1978 exclut l’amende administrative « dans les cas où le traitement est mis en œuvre par l’État » (7°) et exclut également l’astreinte pouvant assortir l’injonction de mise en conformité (2°). Restent le rappel à l’ordre, la mise en demeure et l’injonction. Autrement dit, la DGFiP a bien saisi la CNIL de la violation de juin-juillet 2026, mais aucune amende ne peut sortir de cette procédure : une personne concernée qui espère voir « l’État condamné à plusieurs millions » doit être détrompée dès le premier rendez-vous. En revanche, si la CNIL constate l’insuffisance des mesures de sécurité, ce constat devient une pièce pour tous les dossiers indemnitaires.
Le volet pénal : qui peut réellement être poursuivi
Contre les auteurs de l’intrusion, les qualifications sont classiques : accès ou maintien frauduleux dans un système de traitement automatisé de données (art. 323-1 du Code pénal), extraction ou transmission frauduleuse de données contenues dans un tel système (art. 323-3), et usurpation d’identité lorsque vos données sont réutilisées pour troubler votre tranquillité ou porter atteinte à votre considération (art. 226-4-1). Détail qui a son poids lorsque le fichier appartient à une administration : ces deux premières infractions sont aggravées, à sept ans d’emprisonnement et 300 000 euros d’amende, lorsqu’elles visent un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État. L’utilité pratique de la plainte reste cependant limitée : les auteurs sont souvent hors d’atteinte, et une enquête préliminaire n’ouvre aucun accès au dossier.
Contre le responsable du traitement lui-même, une porte existe et elle est presque toujours ignorée. L’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et 300 000 euros d’amende le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites notamment par l’article 32 du RGPD. L’article 226-17-1 punit des mêmes peines le responsable de traitement qui omet de notifier une violation de données à la CNIL ou à la personne concernée, en méconnaissance des articles 33 et 34.
Une réserve dirimante lorsque l’organisme est public : les personnes morales sont pénalement responsables à l’exclusion de l’État (art. 121-2 du Code pénal). La voie pénale reste alors théoriquement ouverte contre une personne physique identifiée, ce qui est très difficile à construire. Face à un responsable privé, en revanche, la simple perspective de ces qualifications change le climat d’une négociation transactionnelle.
Une hypothèse échappe à cette impasse, et c’est celle qu’il faut examiner en premier quand la fuite vient de l’intérieur plutôt que d’un pirate extérieur. Le détournement de la finalité d’un traitement est puni de cinq ans d’emprisonnement et 300 000 euros d’amende (art. 226-21 du Code pénal). Et la divulgation à un tiers qui n’a pas qualité pour les recevoir de données dont la révélation porte atteinte à la considération ou à l’intimité de la vie privée est punie des mêmes peines — trois ans et 100 000 euros lorsqu’elle résulte d’une imprudence ou d’une négligence (art. 226-22).
Deux points décisifs. L’article 226-21 suppose un traitement automatisé, tandis que l’article 226-22 s’applique aussi bien aux traitements automatisés qu’aux traitements manuels, et un refus d’informer sur ce fondement est censuré s’il ne recherche pas laquelle des deux hypothèses est en cause (Cass. crim., 13 janvier 2026, n° 25-80.474, à propos de l’usage abusif d’un fichier de main courante par un fonctionnaire de police). Et la poursuite au titre de l’article 226-22 n’est possible que sur plainte de la victime : sans votre plainte, rien ne se passera.
L’action de groupe, seule voie proportionnée aux fuites de masse
Quand une fuite touche des centaines de milliers de personnes pour un préjudice unitaire modeste, l’action individuelle est économiquement absurde et le responsable le sait. C’est la perspective d’un contentieux civil de masse fondé sur l’article 82, annoncée par la doctrine dès 2022 (JCP, 2022, doctr. 1062), qui donne à ce texte sa portée réelle. Le régime unifié de l’action de groupe issu de l’article 16 de la loi n° 2025-391 du 30 avril 2025 change la donne sur trois points.
D’abord, il vise expressément les manquements commis « par une personne morale de droit public ou par un organisme de droit privé chargé de la gestion d’un service public », et permet d’obtenir la réparation des préjudices « quelle qu’en soit la nature ». L’État n’est donc pas hors champ. Ensuite, l’action est portée devant l’ordre de juridiction compétent pour en connaître : contre une administration, ce sera le juge administratif. Enfin, elle suspend la prescription des actions individuelles en réparation des préjudices résultant des manquements constatés.
Deux limites à connaître avant de fonder tous ses espoirs sur cette voie. La qualité pour agir n’appartient pas aux victimes : l’action est exercée par les associations agréées à cette fin et, en matière de protection des données personnelles, par les organisations syndicales représentatives. Vous ne déclenchez pas une action de groupe, vous y adhérez. Et le demandeur doit présenter des cas individuels au soutien de ses prétentions : le juge statue sur la responsabilité, définit le groupe et les catégories de préjudices, puis les personnes concernées adhèrent pour être indemnisées. Les 678 000 personnes concernées par la fuite de la DGFiP ne produisent donc pas 678 000 indemnisations automatiques — la logique du préjudice individuel démontré reste entière, et c’est aussi ce qui rend l’adhésion à une action de groupe compatible avec la constitution d’un dossier personnel documenté.
Point de calendrier utile pour identifier qui peut agir aujourd’hui : les personnes qui remplissaient les conditions pour exercer une action de groupe à la date d’entrée en vigueur du texte conservent cette faculté pendant deux ans à compter de cette date. Toute clause qui prétendrait vous interdire de participer à une action de groupe est réputée non écrite.
Les réflexes qui décident du dossier
Le premier geste n’est pas la plainte, c’est une demande de droit d’accès sur le fondement de l’article 15 du RGPD. Elle vous permet d’obtenir la liste exacte des données vous concernant qui ont été consultées ou extraites : c’est cette liste, et non la description générale du communiqué de presse, qui déterminera votre préjudice. Sans elle, vous plaidez à l’aveugle. Le refus d’y répondre n’est d’ailleurs pas sans conséquence : la violation du droit d’accès ouvre par elle-même un droit à réparation au titre de l’article 82, même en l’absence de tout traitement en cause (CJUE, 19 mars 2026, C-526/24, dispositif, point 2).
Un avertissement immédiat, en sens inverse, parce que la même décision l’autorise pour la première fois : une demande d’accès, y compris la première, peut être qualifiée d’« excessive » au sens de l’article 12, § 5 si le responsable démontre qu’elle a été introduite non pour prendre connaissance du traitement, mais pour créer artificiellement les conditions d’une indemnisation. Les critères sont élevés et la preuve lui incombe, mais la leçon pratique est nette : la demande d’accès doit être motivée par la connaissance de votre situation, jamais présentée comme la première étape d’une réclamation.
Joignez-y deux questions écrites que presque personne ne pose, et qui préparent le contentieux plutôt que de le commenter : à quelle date l’organisme a-t-il eu connaissance de la violation, et sur quels éléments justifie-t-il le caractère approprié des mesures de sécurité mises en œuvre au titre de l’article 32. Compte tenu de la charge de la preuve, une réponse évasive vaut mieux pour vous qu’une réponse détaillée.
Surveillez le délai. L’organisme doit répondre « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », prorogeable de deux mois compte tenu de la complexité et du nombre de demandes (art. 12, § 3). Passé ce délai, le silence n’est pas un obstacle mais une pièce : il caractérise un manquement au droit d’accès, ouvre la réclamation CNIL, et alourdit le dossier indemnitaire. Envoyez donc la demande en recommandé ou par un canal horodaté, et non par un formulaire de contact dont vous ne conserverez aucune trace.
Conservez ensuite la notification que l’organisme vous a adressée en application de l’article 34 : c’est elle qui établit votre appartenance au périmètre de la fuite, et c’est la pièce que vous ne pourrez pas reconstituer plus tard. Horodatez et archivez chaque sollicitation suspecte reçue ensuite, en conservant les en-têtes techniques des courriels — la valeur probatoire d’une capture d’écran de téléphone est faible.
Les signalements officiels, eux, ne servent pas à vous indemniser mais à horodater et à documenter : Perceval pour une utilisation frauduleuse de carte bancaire, la plateforme THESEE pour les escroqueries en ligne, le service 17Cyber pour un premier diagnostic, et cybermalveillance.gouv.fr pour l’assistance technique. Chaque récépissé devient une pièce du dossier indemnitaire. Prévenez également votre banque et opposez-vous aux prélèvements avant tout débat sur la responsabilité de l’organisme : les délais bancaires sont plus courts que les délais contentieux.
Enfin, un conseil qui va contre l’instinct : ne surjouez pas l’anxiété. Un demandeur qui décrit un effondrement psychologique sans pièce médicale se décrédibilise, et il n’en a pas besoin, puisque la perte de contrôle sur des données révélant votre situation financière et patrimoniale est indemnisable pour elle-même. Décrivez précisément ce que les données exposées permettent à un tiers de savoir de vous et de faire à votre place.
Dans la fuite de la DGFiP, le communiqué du 14 août 2026 énumère le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source, la raison sociale et le SIREN pour les professionnels, et indique que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées : autrement dit votre niveau de revenu, la composition de votre foyer et ce que vous possédez. Un escroc qui dispose de cet ensemble sait à qui parler, de quoi parler et jusqu’où aller. C’est cette description, et non l’adjectif, qui fonde le préjudice moral.
Ce que doit contenir votre réclamation
Une réclamation utile — préalable indemnitaire adressée à une administration, ou mise en demeure adressée à une entreprise — tient en six éléments, et chacun répond à une condition du régime.
L’identification de votre appartenance au périmètre de la fuite, par la notification reçue ou la réponse à votre demande d’accès. La liste précise des données vous concernant qui ont été exposées, avec ce qu’elles révèlent. Les manquements invoqués, articles à l’appui, en distinguant la sécurité de la notification. La description circonstanciée du préjudice, sollicitations reçues à l’appui, sans généralités sur l’anxiété. Le chiffrage, distinguant préjudice matériel justifié et préjudice moral, car une réclamation non chiffrée ne lie pas le contentieux devant le juge administratif. Et la sommation de justifier des mesures de sécurité mises en œuvre et de la date de connaissance de la violation, dont l’absence de réponse jouera contre l’organisme.
Questions fréquentes
Je suis concerné par le piratage des données fiscales : que faire concrètement ?
Conservez la lettre ou le courriel individuel reçu à compter du 17 août 2026, qui identifie les données vous concernant. Adressez une demande d’accès à la DGFiP pour obtenir la liste exacte, archivez toute sollicitation suspecte survenue ensuite, puis chiffrez une demande indemnitaire préalable dirigée contre l’État. Une réclamation CNIL est possible en parallèle, sans effet indemnitaire.
Faut-il attendre la décision de la CNIL avant d’agir en indemnisation ?
Non. L’action en réparation de l’article 82 est autonome de la réclamation de l’article 77 : elle ne suppose aucune saisine préalable de la CNIL et le résultat de la réclamation ne lie pas le juge. Attendre présente toutefois un intérêt tactique quand un contrôle est en cours, à condition de surveiller le délai de prescription, plus court face à une personne publique.
Puis-je être indemnisé si je n’ai perdu aucun argent ?
Oui. Ni le préjudice matériel ni un usage frauduleux effectif de vos données ne sont exigés : la perte de contrôle sur vos données et la crainte d’un usage abusif futur peuvent constituer un dommage moral réparable. Vous devez en revanche démontrer avoir effectivement subi ce dommage, que la crainte invoquée est fondée au regard de votre situation, et qu’il s’agit d’un préjudice distinct de la violation elle-même.
L’organisme peut-il me répondre que le vrai responsable est le pirate ?
Il peut le soutenir, mais cette défense ne suffit pas. Lorsque l’accès non autorisé a été commis par un tiers, le responsable du traitement n’est exonéré que s’il prouve que le dommage ne lui est nullement imputable, et c’est à lui de démontrer que ses mesures de sécurité étaient appropriées. La cyberattaque est un fait à discuter, pas une cause d’exonération automatique.
Plusieurs fuites me concernent : puis-je cumuler les demandes ?
Chaque violation constitue un fait générateur distinct, contre un responsable distinct, avec son propre lien de causalité à établir. Le cumul est donc possible, mais il oblige à rattacher chaque préjudice invoqué à la fuite qui l’a causé — c’est précisément l’argument que chaque organisme opposera en désignant les autres.
Ce que la règle ne dit pas, c’est comment elle s’applique à votre situation concrète. La nature des données exposées, la traçabilité des sollicitations reçues et la qualité du responsable — entreprise, prestataire ou personne publique — changent à la fois le juge, le délai, le défendeur et la valeur du dossier. Les faits comptent ici autant que le droit.
Si vous avez reçu une notification de violation et que vous voulez savoir ce que votre dossier vaut réellement, la première chose à faire est de réunir les pièces énumérées plus haut avant que les délais ne courent. Le cabinet peut examiner votre situation et déterminer la voie proportionnée à l’enjeu : réclamation, action individuelle, ou adhésion à une action de groupe.
Valentin Simonnet est avocat au Barreau de Paris. Il intervient en contentieux des affaires et en droit pénal des affaires.
