Violation de données personnelles : conditions de réparation du préjudice

L’article 82 du RGPD subordonne la réparation à trois éléments cumulatifs : une violation du règlement, un dommage matériel ou moral effectivement subi et un lien de causalité entre cette violation et le dommage.

Le dommage moral n’est soumis à aucun seuil minimal de gravité, mais sa réalité doit être prouvée. L’entreprise mise en cause devra donc documenter sa conformité et ses mesures de sécurité, puis examiner la nature du dommage allégué et son lien avec l’incident.

Une violation de données suffit-elle pour être indemnisé ?

Depuis l’arrêt Österreichische Post du 4 mai 2023, la Cour de justice de l’Union européenne exige la réunion des trois conditions : violation du RGPD, dommage et lien de causalité.

Dans un contentieux du travail, la chambre sociale de la Cour de cassation a repris cette règle dans un arrêt publié au Bulletin le 24 juin 2026 : une cour d’appel ne peut pas considérer qu’une violation du RGPD a « nécessairement » causé un préjudice sans rechercher si la personne en établit l’existence et l’étendue. La décision visait une demande de dommages-intérêts fondée sur l’exécution déloyale du contrat de travail ; son principe rejoint l’exigence européenne d’un dommage prouvé.

Trois notions doivent être séparées :

• la violation de données à caractère personnel, définie à l’article 4, point 12, comme une violation de sécurité entraînant notamment destruction, perte, altération, divulgation ou accès non autorisé ;
• la violation d’une autre disposition du RGPD, par exemple du droit d’accès ;
• le dommage indemnisable, qui doit être réellement subi et causé par la violation invoquée.

L’arrêt Brillen Rottler du 19 mars 2026 confirme que l’article 82 peut aussi couvrir un dommage résultant de la violation du droit d’accès prévu à l’article 15. Son champ dépasse donc les seuls incidents de sécurité, même si cette page reste centrée sur les violations de données.

Quelles sont les trois conditions de la réparation ?

Une violation du RGPD

Le demandeur doit identifier la règle méconnue : sécurité insuffisante, accès ou divulgation non autorisé, conservation injustifiée, défaut de réponse à un droit, ou autre manquement pertinent. La qualification exacte compte, car une violation de données ne démontre pas automatiquement que les mesures de sécurité étaient inappropriées.

Dans l’arrêt Natsionalna agentsia za prihodite du 14 décembre 2023, la CJUE a jugé qu’un accès non autorisé par un tiers ne suffit pas, à lui seul, à établir que les mesures techniques et organisationnelles étaient inappropriées. Il appartient toutefois au responsable du traitement de prouver que les mesures mises en œuvre étaient appropriées au regard de l’article 32.

Un dommage matériel ou moral effectivement subi

Le dommage matériel peut notamment correspondre à des pertes financières ou à des frais directement liés à la violation, sous réserve de preuve. Le dommage moral peut prendre la forme d’une perte de contrôle, d’une crainte d’utilisation abusive, d’une atteinte à la réputation ou d’autres conséquences personnelles, à condition qu’il ne soit pas seulement affirmé de manière abstraite.

Il n’est pas nécessaire que le dommage moral atteigne un seuil minimal de gravité. Un dommage faible peut donc être indemnisé, mais son montant peut rester faible si cela suffit à le compenser intégralement.

Un lien de causalité

Le dommage doit résulter de la violation invoquée. La chronologie, la nature des données, les personnes ayant pu y accéder, les usages constatés et les mesures de limitation doivent être documentés.

Dans Brillen Rottler, la CJUE a précisé que le lien causal peut être rompu lorsque la personne a créé artificiellement les conditions du dommage allégué et que son comportement en constitue la cause déterminante.

cette solution a été rendue dans un contexte d’abus de droit et de demandes d’accès. Sa portée doit rester circonscrite aux circonstances comparables.

La crainte d’un usage abusif peut-elle constituer un dommage moral ?

La crainte d’une utilisation abusive future peut constituer un dommage moral lorsqu’elle est réellement éprouvée et justifiée par les circonstances. Son appréciation dépend de la sensibilité des données, de la probabilité d’un accès ou d’un usage, de la durée d’exposition et des mesures prises pour limiter le risque.

À l’inverse, l’arrêt MediaMarktSaturn du 25 janvier 2024 indique que, lorsqu’un document a été remis à un tiers non autorisé mais qu’il est établi que ce tiers n’a pas pris connaissance des données, la seule crainte d’une copie ou d’un usage futur ne suffit pas à caractériser un dommage moral.

L’appréciation repose sur les faits. Le chiffrement, la récupération rapide des documents, l’absence d’accès établi, la diffusion publique, le vol d’identité ou les tentatives de fraude conduisent à des analyses différentes.

Comment le dommage est-il évalué ?

L’article 82 poursuit une fonction compensatoire, non punitive. La réparation doit compenser pleinement et effectivement le dommage subi ; elle n’a pas pour objet de sanctionner la gravité du manquement comme le ferait une amende administrative.

La CJUE a notamment précisé :

• dans Scalable Capital, le 20 juin 2024, qu’une indemnisation faible peut être suffisante lorsque le dommage est faible, si elle le compense intégralement ;
• dans PS, le 20 juin 2024, que la gravité de l’infraction ou de la faute n’est pas un critère punitif de calcul et que la crainte peut être indemnisable si elle constitue un dommage réel ;
• dans Patērētāju tiesību aizsardzības centrs, le 4 octobre 2024, que des excuses peuvent, selon le droit national applicable, constituer une forme de réparation si elles compensent pleinement le dommage ;
• dans Quirin Privatbank, le 4 septembre 2025, que le degré de gravité de la faute du responsable ne doit pas servir à réduire ou majorer une réparation qui reste compensatoire.

le montant de l’indemnisation relève des règles nationales, sous réserve des principes d’équivalence et d’effectivité du droit de l’Union. Ces arrêts ne permettent pas d’établir un barème automatique.

Qui peut être responsable : responsable de traitement ou sous-traitant ?

L’article 82 distingue les responsabilités : le responsable du traitement répond du dommage causé par un traitement contraire au RGPD ; le sous-traitant répond lorsqu’il ne respecte pas les obligations qui lui incombent spécifiquement ou agit en dehors des instructions licites du responsable.

Lorsqu’ils participent au même traitement et sont responsables du dommage, plusieurs intervenants peuvent être tenus de réparer l’intégralité du dommage à l’égard de la personne concernée, sous réserve des recours entre eux prévus par le règlement.

Le responsable ou le sous-traitant peut être exonéré s’il prouve que le fait ayant provoqué le dommage ne lui est nullement imputable.

la répartition entre responsable, sous-traitant, responsables conjoints, prestataires de sécurité et autres intervenants dépend des rôles réellement exercés, des contrats et des faits techniques.

Quelles preuves conserver ?

Pour la personne concernée

• notification de violation et échanges avec le responsable ;
• nature des données concernées et période d’exposition ;
• preuves d’accès, de fraude, de démarchage, d’usurpation ou de dépenses ;
• démarches effectuées pour sécuriser les comptes ou réparer les conséquences ;
• éléments concrets décrivant le dommage moral et sa durée ;
• chronologie reliant l’incident aux conséquences alléguées.

Pour le responsable ou le sous-traitant

• registre et chronologie de l’incident ;
• analyse de risque et qualification de la violation ;
• mesures techniques et organisationnelles en place avant l’incident ;
• journaux, rapports d’investigation et périmètre des accès ;
• décisions de notification à l’autorité et aux personnes, avec leur motivation ;
• mesures de limitation, récupération, chiffrement, révocation et surveillance ;
• contrats, instructions et répartition des rôles ;
• éléments permettant d’analyser le dommage allégué et son lien causal.

La conservation des preuves doit elle-même respecter le RGPD, le secret professionnel, les règles de procédure et les exigences de sécurité.

Quelle stratégie après une demande d’indemnisation ?

La personne concernée doit identifier le manquement invoqué, documenter le dommage et formuler une demande précise. De son côté, l’entreprise traite séparément la gestion réglementaire de la violation, la responsabilité civile fondée sur l’article 82 et l’éventuelle négociation d’un accord amiable.

Selon le dossier, l’analyse peut comprendre :

1. la qualification de la violation et des rôles ;
2. l’examen des mesures de sécurité et de la documentation ;
3. la vérification de la réalité et de l’étendue du dommage ;
4. l’analyse du lien causal et des causes concurrentes ;
5. l’identification des responsables et recours contractuels ;
6. la stratégie de réponse, de preuve, de négociation ou de contentieux.

Comment LexCase peut accompagner le dossier

LexCase intervient auprès des responsables de traitement, sous-traitants, DPO et personnes concernées pour qualifier la violation, organiser la preuve, évaluer les demandes d’indemnisation et traiter les contentieux ou recours entre intervenants.