Dans quels cas peut-on demander une indemnisation ?
Depuis l'arrêt Österreichische Post de la CJUE (mai 2023), le préjudice moral résultant d'une violation de données personnelles suffit à ouvrir droit à indemnisation — sans qu'il soit nécessaire de prouver un dommage financier concret.
Le cadre juridique
L'article 82 du RGPD établit la responsabilité de l'organisme en cas de violation. La CJUE a précisé que la seule « perte de contrôle » sur ses données personnelles peut constituer un préjudice moral indemnisable, à condition qu'il soit réel et certain — et non purement hypothétique.
Les trois conditions à remplir
Pour obtenir une indemnisation, vous devez : (1) démontrer qu'une violation de données a bien eu lieu, (2) établir que vos données étaient traitées par l'organisme responsable (vous y étiez client, abonné, patient, etc.), et (3) justifier d'un préjudice — même moral — résultant de cette violation.
Les montants généralement observés
Les indemnisations varient selon la nature des données exposées et leurs conséquences. Les décisions récentes oscillent entre 500 € et 3 000 € par personne pour des cas standards (données courantes), et peuvent dépasser 5 000 € pour des données particulièrement sensibles (santé, financières) ou des préjudices concrets documentés.
Les situations qui renforcent votre dossier
Votre dossier est renforcé si : les données exposées sont sensibles (santé, bancaires, NIR), l'organisme a manqué à son obligation de notification, vous avez subi des tentatives de fraude en lien avec la fuite, ou vous avez dû engager des démarches coûteuses pour vous protéger.
Conseil pratique : Un dossier bien documenté est votre meilleur atout. La qualité et la complétude des preuves influent directement sur le montant de l'indemnisation obtenue — c'est pourquoi IndemniData calcule un score de qualité pour chaque dossier.
Guides liés