La Douille, c’est la newsletter de Volkane qui raconte le droit au monde des affaires, un dimanche sur deux. Pour la recevoir, abonnez-vous ici.
Faille de sécurité et données des salariés : quand les anciens salariés demandent une indemnisation
Violation de données : notification CNIL et information des salariés
Vous connaissez ce moment de soulagement intense après avoir passé une épreuve ?
C’est exactement ce que Gontran est en train de ressentir.
Gontran est le DPO d’un éditeur SaaS depuis 6 ans. Et pour la première fois, il vient de gérer une faille de sécurité.
Début septembre, l’équipe technique a repéré des connexions anormales sur le serveur de fichiers internes. Un attaquant avait utilisé les identifiants VPN d’un prestataire et avait pu se promener pendant plusieurs jours dans les dossiers partagés de l’entreprise.
Parmi les dossiers consultés : des photos, des données clients et surtout des informations sensibles sur les salariés : bulletins de paie, copie de pièces d’identité et de cartes Vitale.
Il a donc fallu réunir en urgence une équipe cyber pour trouver l’origine de l’intrusion et couper les accès, prévenir l’assurance cyber, déposer plainte et surtout notifier la CNIL dans le délai légal de 72 heures.
Tout est enfin terminé.
Autant dire que ces derniers jours ont été intenses.
Il ne reste plus que la partie que Gontran redoutait le plus : annoncer aux salariés que leur carte Vitale et leur pièce d’identité se promènent peut-être quelque part sur le dark web.
Pour les salariés en poste, Gontran a préparé un discours pour les rassurer : ce qui s’est passé, ce que l’entreprise a fait pour stopper l’attaque et les quelques réflexes à adopter : surveiller ses comptes bancaires, se méfier des emails et SMS sur les prochains mois. Il passe les voir un par un et leur remet le courrier d’information en main propre.
Tout se passe bien, les salariés sont assez compréhensifs et posent peu de questions.
Pour les anciens salariés, un email est envoyé à leur dernière adresse connue.
Gontran pense pouvoir enfin tourner la page de cet incident.
Demande d’indemnisation RGPD après une fuite de données
Mais il y a quelque chose que Gontran n’avait pas anticipé.
En 2026, plusieurs grosses fuites de données ont fait la une de l’actualité.
Les personnes sont donc beaucoup plus au fait de leurs droits en cas de faille de sécurité.
Dès le lendemain, Gontran reçoit un premier email d’un ancien salarié. Puis un deuxième. Puis un cinquième.
Les anciens salariés sont visiblement toujours en contact puisque les emails sont quasiment identiques :
« Votre email m’informe qu’une intrusion dans vos systèmes a permis d’accéder à des données de salariés. Ayant fait partie de vos effectifs, je souhaite savoir précisément ce qui me concerne.
Cette fuite m’expose à des tentatives de fraude, d’usurpation d’identité ou de phishing. Je ne sais plus qui a accès à mes données, ce qui m’inquiète beaucoup.
Je souhaite donc discuter d’une indemnisation amiable de mon préjudice, sur le fondement de l’article 82 du RGPD. »
Répondre à une demande de droit d’accès, Gontran sait faire mais jamais il n’avait imaginé une demande financière.
Ce qu’il redoute le plus, c’est la suite : si l’entreprise ne leur donne pas satisfaction, les cinq anciens salariés peuvent déposer une plainte auprès de la CNIL. Et une plainte, c’est potentiellement un contrôle.
Après des jours intenses à gérer la crise, la dernière chose dont Gontran a besoin, c’est de voir la CNIL venir éplucher toute la gestion de la faille.
Alors faut-il leur proposer une indemnisation pour acheter la paix ?
Faut-il indemniser les personnes concernées par une faille de sécurité ?
Si vous recevez une demande d’indemnisation à la suite d’une faille de sécurité, voici la grille d’analyse à avoir en tête.
Article 82 du RGPD : faute, préjudice et lien de causalité
Pour obtenir une indemnisation sur le fondement de l’article 82 du RGPD, la personne doit démontrer trois éléments cumulatifs classiques :
- une faute : la violation du RGPD,
- un préjudice,
- un lien de causalité entre les deux.
La faille de sécurité ne suffit donc pas à elle seule pour obtenir un préjudice. C’est à la personne qui demande à être indemnisée de prouver qu’elle a réellement subi un préjudice.
Deux décisions récentes vont dans ce sens :
- La Cour de cassation a jugé que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » (Cass. soc., 24 juin 2026, n° 24-22.792) ;
- La CJUE exige que la personne démontre « qu’elle a effectivement subi un tel dommage, aussi minime fût-il », et que ce dommage constitue un préjudice « distinct de la simple violation » du RGPD (CJUE, 19 mars 2026, aff. C-526/24).
Préjudice moral : la crainte d’un usage abusif des données
Attention toutefois : le préjudice moral peut lui aussi être indemnisé. Dans une affaire de cyberattaque, la CJUE a jugé que « la crainte d’un potentiel usage abusif de ses données à caractère personnel par des tiers qu’une personne concernée éprouve à la suite d’une violation de ce règlement est susceptible, à elle seule, de constituer un “dommage moral” » (CJUE, 14 décembre 2023, aff. C-340/21). Mais là encore, la personne doit démontrer que cette crainte est fondée au regard des circonstances.
Comment répondre à une demande d’indemnisation après une fuite de données
Concrètement, quand vous recevez la demande, posez-vous la question suivante : la personne apporte-t-elle des éléments concrets comme une tentative de fraude, une usurpation d’identité, un phishing ciblé, des démarches qu’elle a dû engager ou se contente-t-elle d’évoquer des risques et une inquiétude générale ?
Dans notre histoire, les cinq anciens salariés évoquent des risques mais n’apportent aucun élément démontrant un préjudice réel. Rien ne justifie donc, à ce stade, de leur verser une indemnisation.
FAQ sur l’indemnisation après une faille de sécurité
Une faille de sécurité donne-t-elle automatiquement droit à une indemnisation RGPD ?
Non. La Cour de cassation a jugé que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » (Cass. soc., 24 juin 2026, n° 24-22.792). C’est à la personne qui demande à être indemnisée de prouver qu’elle a réellement subi un préjudice.
Quelles sont les conditions pour obtenir une indemnisation sur le fondement de l’article 82 du RGPD ?
La personne doit démontrer trois éléments cumulatifs : une faute (la violation du RGPD), un préjudice et un lien de causalité entre les deux. La CJUE exige que ce dommage soit effectivement subi, aussi minime fût-il, et distinct de la simple violation du RGPD (CJUE, 19 mars 2026, aff. C-526/24).
La crainte d’une utilisation frauduleuse de ses données personnelles peut-elle être indemnisée ?
Oui, le préjudice moral peut être indemnisé. La CJUE a jugé que la crainte d’un potentiel usage abusif de ses données par des tiers après une violation du RGPD est susceptible, à elle seule, de constituer un dommage moral (CJUE, 14 décembre 2023, aff. C-340/21). Mais la personne doit démontrer que cette crainte est fondée au regard des circonstances.
Comment répondre à une demande d’indemnisation après une fuite de données ?
Vérifiez si la personne apporte des éléments concrets, comme une tentative de fraude, une usurpation d’identité, un phishing ciblé ou des démarches qu’elle a dû engager, ou si elle se contente d’évoquer des risques et une inquiétude générale. Sans élément démontrant un préjudice réel, rien ne justifie à ce stade de verser une indemnisation.
Toute ressemblance avec des faits et des personnages existants ou ayant existé serait purement fortuite et ne pourrait être que le fruit d’une pure coïncidence.
