Une fuite de données ne se limite pas à un vol d’identifiants. Le cadre réglementaire européen superpose désormais plusieurs régimes juridiques (RGPD, DSA) qui créent des obligations distinctes pour les responsables de traitement et les plateformes en ligne. Pour les personnes concernées, cette superposition ouvre des leviers d’action souvent sous-exploités.
Articulation RGPD et DSA : deux régimes cumulatifs en cas de fuite sur une plateforme
Quand une violation de données survient sur une grande plateforme, le RGPD impose la notification à la CNIL et, en cas de risque élevé, l’information directe des personnes. Le règlement sur les services numériques (DSA) ajoute des obligations propres aux plateformes en ligne, notamment en matière de transparence et de gestion des risques systémiques.
Ces deux régimes se cumulent, ils ne se substituent pas l’un à l’autre. Une plateforme qui notifie une violation au titre du RGPD reste tenue par ses obligations DSA sur la modération des contenus issus de la fuite, par exemple la diffusion de bases de données volées sur ses propres services.
Nous observons que la plupart des particuliers n’invoquent que le RGPD dans leurs réclamations auprès de la CNIL. Mentionner explicitement le DSA dans une plainte permet de signaler à l’autorité que la plateforme a aussi failli à ses obligations de diligence. Plusieurs ressources documentent cette double exigence, comme les guides pratiques de Mindtrap qui détaillent les recours mobilisables selon le type de plateforme impliquée.
Sanctions CNIL en 2026 : ce que révèlent les montants sur la doctrine de contrôle
La CNIL ne sanctionne pas uniquement la faille technique. Dans son bilan publié le 9 septembre 2026, l’autorité a prononcé une amende de 27 millions d’euros contre un opérateur de téléphonie mobile le 8 janvier 2026. Les manquements retenus incluaient la sécurité des données, mais aussi le défaut d’information des victimes.
Le signal est clair : une entreprise qui subit une fuite et qui tarde à prévenir les personnes concernées s’expose à une sanction autonome pour ce seul retard. Pour un particulier, cela signifie que l’absence de notification constitue en elle-même un grief recevable devant la CNIL.
Données de santé : un niveau de risque juridique supérieur
Le 3 septembre 2026, la CNIL a sanctionné un hôpital privé à hauteur de 500 000 euros pour une violation de données de santé. Les données médicales bénéficient d’un régime de protection renforcé au titre de l’article 9 du RGPD. Leur divulgation peut entraîner des discriminations à l’assurance, à l’emploi ou au crédit, bien au-delà du risque de phishing classique.
Nous recommandons aux personnes dont les données de santé ont fuité de documenter systématiquement tout refus ou changement de conditions contractuelles survenu après la violation. Ces éléments constituent des preuves de préjudice dans le cadre d’une action en réparation.
Droits des victimes de fuites de données : les leviers concrets souvent ignorés
Les articles grand public se concentrent sur le changement de mot de passe et la vigilance face au phishing. Ces mesures sont nécessaires, mais elles ne couvrent qu’une fraction des actions disponibles.
- Droit d’accès renforcé (article 15 RGPD) : demander au responsable de traitement la liste exacte des catégories de données compromises, les destinataires auxquels elles ont été communiquées et la date précise de détection de la violation. Ce droit oblige l’organisme à fournir une réponse documentée sous un mois.
- Plainte CNIL avec double fondement : invoquer simultanément le manquement à la sécurité (article 32 RGPD) et le défaut de notification aux personnes (article 34 RGPD). Mentionner le DSA si la fuite concerne une plateforme en ligne soumise à ce règlement.
- Action en réparation du préjudice : le RGPD ouvre un droit à réparation du dommage matériel ou moral (article 82). Documenter les tentatives d’escroquerie reçues après la fuite, les démarches administratives engagées et le temps consacré à sécuriser ses comptes constitue un dossier exploitable devant le juge civil.
- Surveillance active de l’IBAN : en cas de fuite d’un identifiant bancaire, contacter sa banque pour activer une liste blanche de créanciers autorisés en prélèvement SEPA. Contester tout prélèvement non reconnu dans un délai de 13 mois.
Sécurité des comptes après une fuite : au-delà du mot de passe
Changer un mot de passe compromis ne suffit pas si le même identifiant (adresse courriel) sert de pivot d’authentification sur plusieurs services. La réutilisation d’identifiants reste le premier vecteur d’exploitation après une fuite.
Un gestionnaire de mots de passe génère des identifiants uniques par service, mais la couche de protection déterminante reste l’authentification multifacteur (MFA). Privilégier une application TOTP ou une clé physique FIDO2 plutôt que le SMS, dont l’interception par SIM swapping est documentée.
Surveiller ses données exposées sur le web
Plusieurs services permettent de vérifier si une adresse courriel figure dans une base de données compromise. Ces outils ne remplacent pas la notification obligatoire par le responsable de traitement, mais ils comblent un angle mort : certaines fuites ne sont jamais notifiées aux victimes, soit par négligence, soit parce que l’organisme conteste la qualification de violation.
Configurer des alertes sur ses identifiants principaux permet de réagir avant de recevoir une notification officielle, si celle-ci arrive un jour.
Le cadre juridique européen offre aux victimes de fuites de données des recours plus étendus que les seules mesures d’hygiène numérique. Documenter la chronologie de la violation, invoquer les bons fondements juridiques et exploiter la complémentarité RGPD-DSA transforme une posture défensive en levier d’action réel contre les organismes défaillants.
