Données personnelles

Fuite de données, RGPD, droit d'accès, plainte à la CNIL.

Articles officiels
243
Questions expliquées
16

La question du moment

Fuite de données : puis-je demander un dédommagement à l’entreprise ?

Oui, mais la fuite ne suffit pas : il faut prouver un préjudice, matériel ou moral, causé par la violation (art. 82 RGPD). La CNIL ne verse aucune indemnité : la réparation se demande à l’organisme, puis au juge, seul ou dans une action de groupe.

Lire la réponse complète

01Chiffres officiels de la CNIL

17 802 fuites de données notifiées en 2025

Notifications de violations de données reçues par la CNIL, par année
  1. 20181 170
  2. 20192 284
  3. 20202 821
  4. 20215 038
  5. 20224 088
  6. 20234 669
  7. 20245 630
  8. 202517 802

Selon la CNIL, des incidents survenus chez des sous-traitants communs à de nombreux organismes comptent à eux seuls pour 11 635 notifications : ils expliquent l’essentiel du pic.

80 %
des notifications citent un acte externe malveillant (piratage, rançongiciel, hameçonnage)
1 303
violations touchaient chacune plus de 5 000 personnes
10 %
des notifications indiquent que les personnes concernées avaient déjà été prévenues

Source : Notifications à la CNIL de violations de données personnelles · Licence Ouverte 2.0 (Etalab)Les notifications sont anonymes : la CNIL ne publie pas le nom des organismes concernés.

02Passer à l’action

Trouver le DPO d’une entreprise

Nom ou SIREN : la fiche de l’entreprise indique si elle a déclaré un délégué à la protection des données à la CNIL, et comment le joindre. C’est à lui qu’on écrit pour savoir quelles données ont fuité ou pour exercer ses droits.

0390 sanctions · 59 mises en demeure publiques

Les dernières sanctions de la CNIL

Toutes les délibérations de la CNIL

04Modèles de lettres

Passer à l’action

05Questions fréquentes

Les réponses essentielles

  1. 01Fuite de données : puis-je demander un dédommagement à l’entreprise ?Oui, mais la fuite ne suffit pas : il faut prouver un préjudice, matériel ou moral, causé par la violation (art. 82 RGPD). La CNIL ne verse aucune indemnité : la réparation se demande à l’organisme, puis au juge, seul ou dans une action de groupe.
  2. 02Mes données personnelles ont fuité : que faire concrètement ?Si vos données ont fuité, le responsable du traitement doit vous prévenir dans certains cas, vous pouvez demander des informations, et vous pouvez saisir la CNIL ou le juge. Un conseil : contactez la CNIL rapidement.
  3. 03Une entreprise victime d’une fuite de données doit-elle me prévenir ?Oui, si la fuite présente un risque élevé pour vous, l'entreprise doit vous prévenir dans les meilleurs délais (art. 34, RGPD). Il existe cependant des exceptions.
  4. 04Fuite de données : porter plainte à la CNIL ou au pénal ?Vous pouvez faire les deux : une réclamation à la CNIL, qui peut sanctionner l'organisme mais n'indemnise pas, et une plainte pénale en cas de piratage ou de défaut de sécurité. Les deux démarches ne s'excluent pas.
  5. 05Après une fuite, quelqu’un utilise mon identité : quels recours ?Si quelqu'un utilise votre identité après une fuite de données, vous pouvez porter plainte pour usurpation d'identité (art. 226-4-1) et, si de l'argent ou un service a été obtenu par tromperie, pour escroquerie (art. 313-1). Vous pouvez aussi demander réparation au responsable du fichier piraté (art. 82 RGPD).
  6. 06Action de groupe après une fuite de données : qui peut l’engager et comment s’y joindre ?Une association agréée, un syndicat représentatif (la protection des données personnelles est expressément visée) ou une entité qualifiée européenne peut engager l'action (art. 16, loi 2025-391). Vous la rejoignez après le jugement sur la responsabilité, en adressant une demande de réparation dans le délai fixé par le juge.
  7. 07Quelles sanctions risque une entreprise qui a laissé fuiter des données ?Une entreprise qui laisse fuiter des données risque une sanction de la CNIL (amende jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial) et, en cas de manquement grave à la sécurité, une sanction pénale pouvant aller jusqu'à 5 ans de prison et 300 000 euros d'amende.
  8. 08Fuite de données dans un service public ou un hôpital : mêmes droits ?Oui : un hôpital, une mairie ou un organisme public doit, comme une entreprise, sécuriser vos données, vous prévenir en cas de risque élevé et réparer le préjudice causé. Seul l'État échappe aux amendes de la CNIL ; les hôpitaux et collectivités peuvent être sanctionnés.
  9. 09Dans quel délai une entreprise doit-elle répondre à une demande RGPD ?En principe, une entreprise doit répondre à une demande RGPD dans un délai d'un mois. Ce délai peut être prolongé de deux mois si la demande est complexe (art. 12).
  10. 10Puis-je exiger qu’une entreprise supprime mes données ?Oui, vous pouvez demander l'effacement de vos données personnelles (droit à l'oubli). L'entreprise doit répondre dans un délai d'un mois, sauf exceptions prévues par la loi.
  11. 11Comment arrêter de recevoir de la prospection commerciale ?Vous pouvez vous opposer à tout moment à la prospection commerciale, par exemple en cliquant sur le lien de désabonnement ou en écrivant à l'entreprise. Elle doit alors arrêter de vous contacter à cette fin.
  12. 12Comment savoir quelles données une entreprise détient sur moi ?Vous pouvez demander directement à l'entreprise l'accès à vos données personnelles : elle doit vous répondre sous 1 mois, gratuitement (art. 15, art. 12).
  13. 13Un site peut-il m’imposer des cookies ?Non, en principe un site ne peut pas vous imposer des cookies non essentiels. Il doit vous informer clairement et obtenir votre accord avant de les déposer, sauf exceptions limitées.
  14. 14L’entreprise ne répond pas à ma demande RGPD : que faire ?Si l'entreprise ne répond pas à votre demande dans le délai prévu, vous pouvez saisir la CNIL ou le tribunal. L'absence de réponse est elle-même une violation de vos droits.
  15. 15Mon employeur peut-il me filmer au travail ?Oui, mais seulement si cette surveillance est justifiée, proportionnée, et que vous avez été informé au préalable. L'employeur doit aussi consulter le CSE s'il existe.
  16. 16Un salarié peut-il demander à son employeur toutes les données qu’il détient sur lui ?Oui. Le salarié peut demander à son employeur l'accès à toutes les données personnelles le concernant, au titre du droit d'accès prévu par le RGPD.

06Votre cas

Votre question ne figure pas ici ?

Décrivez votre situation, la réponse cite les articles utilisés.

Information générale, pas un conseil juridique.