Une fuite de données, une collecte sans consentement valable ou un défaut de sécurité peuvent toucher des milliers de personnes simultanément. Face à une même violation, l’action de groupe organise un recours collectif et permet de porter les intérêts communs devant la justice.
Le cadre juridique associe le RGPD, la loi Informatique et Libertés et les règles nationales de procédure. Pour comprendre les démarches possibles, il faut distinguer la représentation des personnes concernées, la plainte auprès d’une autorité de contrôle et le droit à réparation.
A retenir :
- Regroupement des personnes touchées par un manquement similaire
- Rôle déterminant des associations habilitées et représentatives
- Réparation possible des préjudices matériels et moraux
- Distinction entre plainte administrative et action judiciaire
Action de groupe et protection des données : les recours disponibles
Parce qu’une violation peut produire plusieurs conséquences, le RGPD prévoit différentes voies d’action, qui ne poursuivent pas toutes le même objectif. Une personne concernée peut saisir l’autorité de contrôle, demander réparation devant un tribunal ou s’inscrire dans une démarche collective.
Plainte à la CNIL et recours devant le juge
Dans ce cadre, la plainte administrative sert à demander l’examen d’un traitement jugé contraire aux règles. En France, la CNIL est l’autorité de contrôle compétente ; elle peut instruire une réclamation et, selon les circonstances, exercer ses pouvoirs de contrôle et de sanction.
Selon le RGPD, une personne peut aussi exercer un recours juridictionnel contre une décision de l’autorité ou agir contre le responsable de traitement et, selon le cas, son sous-traitant. Ces démarches restent distinctes d’une indemnisation : une sanction administrative ne constitue pas automatiquement un dédommagement individuel.
Voies de recours en données :
- Réclamation auprès de la CNIL pour signaler un traitement présumé illicite
- Recours judiciaire contre une décision de l’autorité de contrôle
- Action contre le responsable du traitement ou son sous-traitant
- Demande d’indemnisation fondée sur un dommage matériel ou moral
Voie
Interlocuteur
Objectif principal
Réclamation administrative
Autorité de contrôle, comme la CNIL
Faire examiner un traitement contesté
Recours contre l’autorité
Juridiction compétente
Contester une décision de contrôle
Action en responsabilité
Juridiction compétente
Faire reconnaître un manquement et un dommage
Action de groupe
Juridiction saisie par un demandeur habilité
Traiter des préjudices liés à une cause commune
Selon le RGPD, les plafonds des sanctions administratives dépendent de la gravité et de la catégorie du manquement. Ils ne correspondent ni à une somme due aux victimes ni à une estimation de leur préjudice collectif.
Niveau prévu
Plafond fixe
Plafond calculé pour une entreprise
Première catégorie
Jusqu’à 10 millions d’euros
Jusqu’à 2 % du chiffre d’affaires annuel mondial précédent
Catégorie supérieure
Jusqu’à 20 millions d’euros
Jusqu’à 4 % du chiffre d’affaires annuel mondial précédent
Montant applicable
Le plafond le plus élevé des deux montants est retenu
Finalité
Sanction administrative, distincte d’une réparation civile
Une plainte peut donc alerter le régulateur sans réunir les conditions d’une action collective en indemnisation. Il faut ensuite établir qui peut porter cette action et quels dommages elle couvre.
Représentation des personnes concernées : qui peut agir ?
Une fois la voie collective envisagée, la question centrale devient celle de la représentation et du groupe concerné. Le RGPD permet à des organismes sans but lucratif, sous certaines conditions, d’agir pour les personnes qui leur donnent mandat ou lorsque le droit national l’autorise.
Associations habilitées et mandat des victimes
Pour agir en France, une association doit entrer dans les catégories prévues par les règles applicables, notamment au regard de son objet et de la nature des personnes défendues. Des associations spécialisées dans la vie privée, certaines associations de consommateurs et des organisations syndicales peuvent intervenir dans les limites de leur champ d’action.
Selon le RGPD, l’organisme peut notamment déposer une réclamation, exercer un recours juridictionnel ou demander réparation au nom des personnes concernées, lorsque le droit national le prévoit. Le mandat individuel et les conditions de recevabilité doivent être examinés avant toute démarche : le simple fait d’avoir subi une fuite ne garantit pas l’intégration au groupe.
Critères du groupe concerné :
- Personnes physiques touchées par un traitement de données contesté
- Situation similaire découlant d’un manquement de même nature
- Cause commune reliant les dommages allégués
- Association agissant dans le cadre de son objet statutaire
Manquement commun et responsabilité du responsable de traitement
La recevabilité dépend aussi du lien entre la faute alléguée et les dommages invoqués. Une fuite issue d’une même faille de sécurité peut, par exemple, concerner plusieurs clients ; chacun devra toutefois préciser les conséquences personnelles qu’il a subies.
Le responsable de traitement détermine les finalités et les moyens du traitement, tandis que le sous-traitant agit pour son compte. La responsabilité du responsable de traitement ne se déduit pas mécaniquement d’un incident : les obligations méconnues, le rôle des acteurs et le préjudice doivent être examinés.
Manquements fréquemment examinés :
- Information insuffisante sur l’utilisation des données personnelles
- Absence de base juridique valable pour un traitement
- Défaut de sécurité ayant facilité une divulgation non autorisée
- Non-respect des droits d’accès, d’effacement ou d’opposition
Le groupe doit donc reposer sur une violation identifiable, plutôt que sur une simple inquiétude partagée. Cette exigence conduit à examiner les préjudices et les étapes concrètes de la procédure.
Droit à réparation : dommages et procédure collective
Lorsque le manquement et le groupe sont suffisamment caractérisés, l’action peut viser la cessation de pratiques illicites ou la réparation des dommages. La loi française a étendu le mécanisme à l’indemnisation, tandis que la réforme générale des actions de groupe adoptée en 2025 a fait évoluer le cadre procédural national.
Préjudices matériels et moraux indemnisables
Le RGPD reconnaît un droit à réparation pour les dommages matériels ou moraux causés par une violation. Des frais liés à une fraude rendue possible par une fuite peuvent illustrer un dommage matériel ; l’angoisse ou l’atteinte à la vie privée peuvent relever d’un dommage moral, à démontrer selon le dossier.
Une personne dont l’adresse ou les coordonnées bancaires ont été exposées ne subit pas nécessairement les mêmes conséquences que les autres membres du groupe. La procédure collective facilite le traitement du manquement commun, mais l’évaluation du préjudice individuel reste essentielle pour obtenir une indemnisation.
Éléments utiles pour documenter le dommage :
- Courriels d’information reçus après l’incident de sécurité
- Justificatifs de frais ou de pertes financières réellement subis
- Échanges avec l’organisme responsable et réponses obtenues
- Éléments établissant les conséquences personnelles de la violation
Étapes pratiques avant de rejoindre un recours collectif
La première étape consiste à conserver les notifications, les échanges et toute preuve de dommage, puis à identifier l’association qui porte éventuellement une action. Il faut vérifier son périmètre, les critères d’adhésion et les informations demandées, sans transmettre davantage de données que nécessaire.
Les délais, formalités et effets d’une action dépendent du fondement retenu et des règles procédurales applicables en 2026. Une réclamation à la CNIL peut être menée parallèlement, mais elle ne remplace pas à elle seule une demande judiciaire de réparation.
Source : Règlement (UE) 2016/679 du 27 avril 2016 ; loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; loi n° 2025-391 du 30 avril 2025.
