========================================================================
Modèle indicatif, ne constitue pas un conseil juridique. Adaptez-le à votre situation et supprimez les passages qui ne vous concernent pas. Pour un litige important, faites-vous conseiller (avocat, point-justice, association de consommateurs). Source et mode d'emploi : https://chiffrons.fr/outils/kit-fuite-de-donnees/
========================================================================

MISE EN DEMEURE ET DEMANDE D'INDEMNISATION — ORGANISME PRIVÉ

[Prénom Nom]
[Adresse postale]
[Adresse électronique]
[Numéro de client ou d'adhérent]

[Nom de l'organisme]
[Service juridique / Délégué à la protection des données]
[Adresse du siège social]

[Ville], le [date]
Lettre recommandée avec avis de réception

Objet : mise en demeure — réparation du préjudice causé par la violation de données personnelles [annoncée / révélée] le [date]

Madame, Monsieur,

Je suis [client / adhérent] de [nom de l'organisme] sous le numéro [numéro]. Le [date], [vous m'avez informé(e) / j'ai appris par (source)] que des données personnelles me concernant avaient été [consultées / extraites / divulguées] à la suite d'une violation de données affectant vos systèmes, à savoir : [liste des données concernées : identité, adresse, téléphone, IBAN, données de santé…].

En votre qualité de responsable du traitement, vous êtes tenu de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (article 5, paragraphe 1, point f), et article 32 du règlement (UE) 2016/679, dit RGPD). La survenance de cette violation [et les éléments rendus publics : identifiants usurpés, intrusion chez un prestataire…] montrent que ces mesures n'ont pas suffi.

L'article 82 du RGPD dispose que toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement a le droit d'obtenir du responsable du traitement la réparation du préjudice subi. Le responsable du traitement n'est exonéré que s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable (article 82, paragraphe 3). La Cour de justice de l'Union européenne a jugé que le responsable ne peut s'exonérer au seul motif que le dommage résulte de l'action d'un tiers, qu'il lui incombe de prouver le caractère approprié des mesures de sécurité mises en œuvre, et que la crainte d'un usage abusif des données peut, à elle seule, constituer un dommage moral (CJUE, 14 décembre 2023, Natsionalna agentsia za prihodite, C-340/21).

J'ai subi le préjudice suivant :

  – préjudice moral : [inquiétude liée à l'exposition de mes données ; messages ou appels frauduleux reçus les (dates) ; temps consacré aux démarches de protection (changement de mots de passe, surveillance des comptes, courriers)] ;
  – préjudice matériel : [sommes prélevées et non remboursées, frais d'opposition ou de renouvellement de carte, frais d'envoi en recommandé (montants et justificatifs joints)].
En conséquence, je vous mets en demeure de me verser, dans un délai de [quinze] jours à compter de la réception de la présente, la somme de [montant] euros en réparation de ce préjudice[, et de me communiquer les informations prévues à l'article 34, paragraphe 2, du RGPD].

À défaut de réponse satisfaisante dans ce délai, je me réserve la possibilité de saisir la juridiction compétente, après la tentative de règlement amiable prévue, le cas échéant, par l'article 750-1 du Code de procédure civile, ainsi que d'introduire une réclamation auprès de la CNIL.

Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations distinguées.

[Signature]
[Prénom Nom]
Pièces jointes : [message d'information de l'organisme, justificatifs des frais, captures des messages frauduleux]

Conseils d'utilisation (à supprimer avant envoi)
------------------------------------------------
  – Il n'existe pas de barème : chiffrez un montant que vous pouvez justifier. L'indemnisation n'est jamais automatique, le dommage doit être prouvé.
  – Si vous demandez 5 000 euros ou moins, une tentative de règlement amiable (conciliateur de justice, gratuit ; médiation ; procédure participative) est en principe obligatoire avant de saisir le tribunal judiciaire.
  – Devant le tribunal judiciaire, l'avocat n'est pas obligatoire pour une demande de 10 000 euros ou moins.
  – Délai pour agir : en principe cinq ans à compter du jour où vous avez connu les faits (article 2224 du Code civil).