Une violation du RGPD ne suffit pas à obtenir réparation : il faut encore établir un dommage, son lien avec le manquement et pouvoir reconstituer les faits.
Lorsqu’un traitement est contesté, l’organisation se concentre souvent sur une première question : le RGPD a-t-il été respecté ?
En contentieux, cette vérification ne suffit pas.
Il faut distinguer trois éléments :
- le manquement au RGPD ;
- le dommage matériel ou moral invoqué ;
- le lien de causalité entre les deux.
La Cour ne remet pas en cause l’existence du manquement constaté dans l’affaire. Elle censure en revanche l’indemnisation accordée au salarié au seul motif que la violation lui aurait nécessairement causé un préjudice.
Une violation du RGPD n’ouvre donc pas, à elle seule, droit à réparation.
Cet arrêt avait déjà été analysé sous l’angle du droit à la preuve. Il soulève également une question directement opérationnelle pour les organisations :
Quelles preuves faut-il conserver pour répondre à une demande indemnitaire fondée sur le RGPD ?
Que s’est-il passé dans cette affaire ?
L’affaire concernait un salarié licencié après des faits liés à des campagnes internes de sensibilisation à l’hameçonnage.
Pour identifier l’auteur des actes reprochés, l’employeur avait utilisé des données personnelles issues du dispositif.
La cour d’appel avait considéré que le traitement était contraire au RGPD. Elle avait néanmoins admis les éléments produits dans le débat judiciaire, puis accordé au salarié 5 000 euros de dommages-intérêts en estimant que la violation lui avait nécessairement causé un préjudice.
La Cour de cassation censure ce raisonnement.
Elle rappelle que l’article 82 du RGPD suppose la réunion de trois conditions cumulatives :
| Condition | Question à traiter |
|---|---|
| Violation du RGPD | Quel principe, droit ou devoir n’a pas été respecté ? |
| Dommage matériel ou moral | Quelle conséquence réelle la personne dit-elle avoir subie ? |
| Lien de causalité | Cette conséquence résulte-t-elle effectivement de la violation ? |
Le seul constat d’un traitement illicite ne permet donc pas de présumer automatiquement l’existence d’un dommage.
La cassation est partielle et porte sur l’indemnisation.
Manquement et préjudice : deux démonstrations différentes
Une organisation peut avoir commis un manquement au RGPD sans que la personne concernée établisse un dommage indemnisable.
Cette distinction ne réduit pas la portée du RGPD.
Le manquement peut toujours :
- justifier une plainte auprès de la CNIL ;
- entraîner une mise en conformité ;
- donner lieu à une mesure correctrice ou à une sanction ;
- affecter l’appréciation d’une preuve ;
- engager la responsabilité de l’organisation si un dommage est démontré.
L’absence de préjudice prouvé ne régularise donc pas le traitement.
Elle signifie seulement que les conditions de la responsabilité indemnitaire ne sont pas toutes réunies.
Pour le DPO, deux dossiers doivent être distingués.
Le dossier de conformité
Il doit permettre d’expliquer :
- la finalité du traitement ;
- sa base légale ;
- les données collectées ;
- les personnes autorisées à y accéder ;
- l’information fournie ;
- les durées de conservation ;
- les mesures de sécurité ;
- les éventuelles réutilisations.
Le dossier contentieux
Il doit permettre de reconstituer :
- les faits invoqués ;
- les données effectivement utilisées ;
- la chronologie des opérations ;
- les personnes ayant accédé aux informations ;
- les décisions prises ;
- les conséquences attribuées au traitement ;
- les autres causes possibles du dommage allégué.
Les deux dossiers se recoupent, mais ne répondent pas au même objectif.
Que doit démontrer la personne qui demande réparation ?
La personne concernée doit d’abord identifier un manquement précis.
Elle doit ensuite décrire le dommage qu’elle estime avoir subi.
Ce dommage peut être matériel ou moral. Il ne suffit toutefois pas d’invoquer abstraitement :
- une atteinte à la vie privée ;
- une perte de contrôle ;
- une inquiétude ;
- une atteinte à la réputation ;
- un risque professionnel.
Le demandeur doit expliquer comment ce dommage s’est concrètement manifesté.
Il peut, selon les circonstances, produire :
- des échanges démontrant une conséquence professionnelle ;
- des frais engagés ;
- une perte financière ;
- des attestations ;
- des éléments médicaux ;
- des preuves de diffusion ou d’utilisation des données ;
- une chronologie reliant les faits au traitement contesté.
Il doit enfin établir le lien de causalité.
Le juge doit pouvoir déterminer que le dommage invoqué résulte de la violation et non :
- d’un événement distinct ;
- d’une décision indépendante ;
- d’un conflit antérieur ;
- du comportement d’un tiers ;
- ou d’une autre cause déterminante.
Que doit pouvoir produire l’organisation ?
L’organisation ne doit pas attendre une assignation pour tenter de reconstituer le traitement.
Elle doit pouvoir répondre à trois questions :
- Que s’est-il passé ?
- Pourquoi cela s’est-il passé ?
- Quelles conséquences peuvent réellement être rattachées au traitement ?
1. La chronologie
Il faut pouvoir établir :
- la date de collecte ;
- la date et le motif des accès significatifs ;
- la date d’utilisation des données ;
- leur éventuelle communication ;
- la décision qui a suivi ;
- leur archivage ou leur suppression.
Une chronologie incomplète fragilise l’analyse, notamment lorsque plusieurs décisions ou traitements se succèdent.
2. La finalité et la base légale
L’organisation doit pouvoir expliquer pourquoi les données ont été traitées.
La seule mention d’une base légale dans le registre ne suffit pas si les opérations réellement réalisées dépassent la finalité initialement annoncée.
Il faut donc conserver :
- la fiche de traitement applicable à la date des faits ;
- la version de l’information remise à la personne ;
- l’analyse de la base légale ;
- la justification de la nécessité ;
- les éventuels changements de finalité ;
- les validations internes.
Dans un dispositif de simulation d’hameçonnage, plusieurs finalités peuvent coexister :
- sensibiliser les collaborateurs ;
- mesurer l’efficacité de la campagne ;
- identifier les besoins de formation ;
- détecter un comportement malveillant ;
- engager une procédure disciplinaire.
Ces finalités ne doivent pas être confondues.
Une donnée collectée à des fins de sensibilisation ne peut pas être automatiquement réutilisée à des fins disciplinaires sans analyse préalable.
3. Les accès aux données
Le contentieux porte souvent moins sur la collecte initiale que sur l’utilisation ultérieure.
L’organisation doit pouvoir établir :
- qui a accédé aux données ;
- à quelle date ;
- dans quel rôle ;
- pour quelle raison ;
- avec quelle autorisation ;
- quelles informations ont été consultées ou extraites.
Les journaux techniques doivent être rapprochés des règles d’habilitation et des procédures internes.
Un log prouve qu’un accès a eu lieu. Il ne démontre pas, à lui seul, que cet accès était autorisé et justifié.
4. Le processus de décision
Lorsqu’une donnée contribue à une décision concernant une personne, il faut documenter la place qu’elle a réellement occupée.
La décision reposait-elle :
- exclusivement sur cette donnée ;
- sur plusieurs éléments ;
- sur une enquête complémentaire ;
- sur des déclarations ;
- sur un constat indépendant ?
Cette analyse est essentielle pour apprécier le lien de causalité.
Une sanction disciplinaire, un refus ou une perte financière ne peut pas toujours être imputé au seul traitement contesté lorsque d’autres facteurs ont joué un rôle déterminant.
5. Les conséquences réelles
L’organisation doit examiner les conséquences concrètes sans les minimiser ni les présumer.
Il faut notamment vérifier :
- si les données ont été diffusées ;
- si elles ont été consultées par des personnes non autorisées ;
- si elles ont été utilisées dans une décision ;
- si une rectification était possible ;
- si les données étaient exactes ;
- si l’utilisation a entraîné une conséquence professionnelle ou financière ;
- si des mesures correctrices ont été prises.
Cette analyse peut confirmer l’existence d’un dommage, mais aussi montrer que certaines conséquences invoquées ne résultent pas directement de la violation.
La matrice de preuve à conserver
| Élément à établir | Preuves utiles |
|---|---|
| Existence du traitement | Registre, paramétrage, documentation technique |
| Finalité | Fiche de traitement, politique interne, décision projet |
| Base légale | Analyse juridique datée |
| Information | Version de la notice remise ou affichée |
| Données concernées | Schéma de flux, champs collectés, exports |
| Accès | Habilitations, journaux, tickets, demandes internes |
| Utilisation | Notes d’analyse, comptes rendus, dossier de décision |
| Transmission | Destinataires, courriels, espaces partagés, prestataires |
| Conservation | Règles applicables, dates d’archivage ou de suppression |
| Conséquence | Décision prise, communication, mesure corrective |
| Lien causal | Chronologie et identification des autres facteurs |
| Réponse au litige | Avis du DPO, analyse juridique, pièces produites |
Quel rôle pour le DPO ?
Le DPO ne décide pas de la stratégie contentieuse et ne se substitue pas au service juridique ou à l’avocat.
Il peut toutefois jouer un rôle déterminant dans la reconstitution du traitement.
Son intervention peut porter sur :
- l’identification des traitements concernés ;
- la recherche des versions applicables à la date des faits ;
- la vérification des finalités et des bases légales ;
- l’analyse des destinataires et des accès ;
- la vérification des durées de conservation ;
- l’identification des sous-traitants ;
- la préservation des éléments techniques utiles ;
- la distinction entre manquement, dommage et causalité ;
- la définition des mesures correctrices.
Lorsqu’un litige est identifié ou raisonnablement prévisible, certaines suppressions peuvent devoir être suspendues afin de préserver les pièces nécessaires.
Cette conservation doit rester :
- ciblée ;
- documentée ;
- limitée aux données utiles ;
- maintenue uniquement pendant la durée nécessaire au contentieux.
Il ne s’agit pas de conserver l’ensemble des données sans limite.
Quels réflexes adopter dès la réception d’une réclamation ?
1. Préserver les éléments utiles
Identifier immédiatement les données, journaux, courriels, documents et versions susceptibles d’être nécessaires.
2. Reconstituer les faits
Établir une chronologie commune entre les équipes métier, RH, juridique, informatique, sécurité et protection des données.
3. Séparer les analyses
Distinguer :
- la conformité du traitement ;
- la recevabilité éventuelle d’une preuve ;
- le dommage invoqué ;
- le lien de causalité.
4. Analyser sérieusement les conséquences
L’absence de présomption de préjudice ne signifie pas que le dommage est impossible.
L’organisation doit examiner les conséquences alléguées de manière objective.
5. Corriger le traitement indépendamment du contentieux
Lorsqu’un manquement est identifié, les mesures correctrices ne doivent pas dépendre de l’issue de la demande indemnitaire.
L’organisation peut devoir modifier :
- une information ;
- une habilitation ;
- une durée de conservation ;
- un paramétrage ;
- un contrat ;
- une pratique de réutilisation.
Une preuve issue d’un traitement illicite est-elle toujours rejetée ?
Non, pas automatiquement.
La licéité du traitement et la recevabilité de la preuve constituent deux questions distinctes.
Le juge procède à une appréciation au cas par cas et met en balance le droit à la preuve avec les droits et libertés affectés.
Il examine notamment :
- si la preuve était indispensable ;
- si une autre preuve moins attentatoire pouvait être obtenue ;
- si l’atteinte était proportionnée à l’objectif poursuivi.
La recevabilité de la preuve ne régularise pas pour autant le traitement ayant permis de l’obtenir.
Cet arrêt réduit-il le risque RGPD ?
Non.
Il encadre les conditions d’obtention de dommages-intérêts, mais ne réduit pas :
- les pouvoirs de contrôle des autorités ;
- les obligations de conformité ;
- les droits des personnes ;
- le risque réputationnel ;
- la contestation des décisions prises à partir des données ;
- le risque lié à une preuve obtenue dans des conditions irrégulières.
Une organisation ne doit donc pas retenir qu’une violation sans dommage démontré serait sans conséquence.
Elle doit retenir qu’un contentieux RGPD exige plusieurs démonstrations distinctes.
FAQ
Toute violation du RGPD ouvre-t-elle droit à indemnisation ?
Non.
La personne doit démontrer une violation, un dommage matériel ou moral et un lien de causalité entre les deux.
Un dommage moral peut-il être indemnisé ?
Oui.
Il doit toutefois être réel et suffisamment caractérisé. Il ne peut pas être automatiquement déduit du seul manquement.
L’absence d’indemnisation signifie-t-elle que le traitement était licite ?
Non.
Un traitement peut rester contraire au RGPD même si aucun dommage indemnisable n’est établi.
Que doit conserver une organisation ?
Elle doit pouvoir reconstituer la finalité, la base légale, les données utilisées, les accès, les destinataires, la chronologie, la décision prise et les conséquences du traitement.
Conclusion
L’arrêt du 24 juin 2026 ne se résume pas à l’absence de réparation automatique.
Il impose de distinguer trois démonstrations :
manquement → dommage → lien de causalité
Pour la personne concernée, cette distinction détermine les éléments à produire pour obtenir réparation.
Pour l’organisation, elle impose une traçabilité capable de reconstituer :
traitement → accès → utilisation → décision → conséquence → preuve
Une conformité documentée uniquement au lancement du traitement ne suffit pas toujours.
Lorsque le contentieux intervient plusieurs mois ou plusieurs années plus tard, l’organisation doit pouvoir retrouver les versions applicables, expliquer les opérations réalisées et identifier ce qui a réellement produit la conséquence contestée.
Votre organisation pourrait-elle aujourd’hui reconstituer, pièce par pièce, l’utilisation d’une donnée personnelle et ses conséquences dans un dossier contentieux ?
DPO PARTAGE peut vous accompagner pour structurer la traçabilité des traitements, préparer les dossiers de preuve et sécuriser la gestion des réclamations et contentieux RGPD.
