Fuite de données crypto : selon la justice allemande, la réparation RGPD commence vers 100 euros

Lorsqu’un prestataire crypto signale une fuite de données, vous disposez, en tant que client en Allemagne, de deux droits applicables immédiatement : en vertu de l’article 15 du RGPD, vous pouvez savoir quelles données sont conservées à votre sujet, et l’article 82 du RGPD vous permet de demander réparation. La Cour fédérale de justice allemande (BGH) a jugé que la simple perte de contrôle sur ses propres données suffisait, et a expressément validé pour ce cas une indemnisation de l’ordre de 100 euros. Davantage est possible si vous pouvez prouver un préjudice concret.

La question est très concrète en ce moment. Fin octobre, deux services du secteur crypto ont confirmé des fuites de données, et dans les deux cas il s’agit d’informations plus sensibles pour les investisseurs crypto qu’une adresse électronique dans une boutique en ligne. Ce guide explique quand une fuite de données ouvre droit à réparation, comment faire valoir ce droit et pourquoi la première chose à faire après une fuite concerne vos cryptos, l’avocat ne venant qu’ensuite.

Fuites de données chez Wagyu et Chainalysis : les données crypto dérobées fin octobre

Le premier cas concerne le service d’échange Wagyu. Un service de swap échange une cryptomonnaie contre une autre sans que vous ayez à ouvrir un compte avec vérification d’identité : vous envoyez par exemple du Bitcoin à une adresse de dépôt et recevez du Monero (XMR) à l’adresse de votre choix. Selon l’analyse de la société de sécurité Hudson Rock, relayée le 29 octobre par le portail spécialisé Forklog, le jeu de données comprend 38 628 enregistrements d’ordres et 10 139 adresses IP uniques pour la période du 18 juillet au 26 octobre 2026. Dans 4 580 ordres Monero marqués comme exécutés figurent ensemble la transaction de dépôt, l’adresse de réception et l’adresse IP. L’équipe du service a confirmé la fuite et indiqué que les fonds des clients n’étaient pas touchés. Les détails figurent dans notre article sur la fuite de données chez Wagyu.

Le second cas se situe un niveau plus haut. Dans un avis de sécurité publié le 30 octobre, la société d’analyse blockchain Chainalysis a fait savoir qu’un attaquant avait accédé aux identifiants, noms complets, adresses électroniques et intitulés de poste des personnes qui utilisent le logiciel chez les clients de l’entreprise. Selon celle-ci, le contenu des enquêtes, les mots de passe et les clés de session ne sont pas concernés. Les particuliers ne figurent en règle générale pas dans ce jeu de données. Le risque pour vous est indirect : de vrais noms issus de services de conformité sont une matière première pour des courriels d’hameçonnage crédibles, comme nous l’avons décrit dans notre article sur l’incident Chainalysis.

Les deux cas illustrent le schéma dont traite ce guide : un prestataire perd des données, et ce sont d’abord les clients qui en supportent les conséquences.

Pourquoi une fuite de données pèse plus lourd pour un investisseur crypto que pour une boutique en ligne

Un jeu de données issu d’une boutique en ligne révèle ce que vous avez acheté. Un jeu de données du secteur crypto révèle souvent ce que vous possédez. Quiconque connaît votre adresse de portefeuille peut vérifier sur la blockchain publique quels montants s’y trouvent et quand ils ont bougé. Ajoutez un nom, une adresse postale ou une adresse IP, et une adresse anonyme devient une personne au patrimoine connu.

Il en découle trois risques qu’il convient de distinguer :

• Hameçonnage : faux courriels, SMS ou appels qui s’appuient sur de vrais détails issus de la fuite et cherchent à vous faire saisir votre phrase de récupération ou effectuer un « virement de sécurité ».
• Désanonymisation : le lien entre adresse et identité subsiste durablement. Avec le Monero en particulier, cryptomonnaie de confidentialité conçue pour la discrétion, une fuite chez l’intermédiaire neutralise la protection offerte par la blockchain.
• Menace physique : les extorsions à domicile, appelées « wrench attacks » en anglais, supposent que l’auteur sache qui détient combien. Pour la France, nous avons fait état le 10 octobre de plus de 90 enlèvements de ce type en sept mois.

Juridiquement, cette gravité compte, car elle contribue à déterminer le montant de la réparation. Concrètement, elle signifie qu’après une fuite, vous protégez d’abord votre patrimoine, et ne vous occupez qu’ensuite de l’argent dû par le prestataire.

Article 82 du RGPD : quand une fuite de données ouvre droit à réparation

Le fondement se trouve à l’article 82, paragraphe 1, du règlement général sur la protection des données. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du responsable du traitement. Le responsable est l’entreprise qui détermine les finalités et les moyens du traitement, soit, dans le cas d’une plateforme d’échange crypto, la plateforme elle-même.

Trois éléments doivent être réunis pour qu’une demande aboutisse :

1. Une violation du RGPD. En cas de fuite de données, il s’agit généralement de l’obligation prévue à l’article 32 de protéger les données personnelles par des mesures techniques et organisationnelles appropriées.
2. Un dommage. La violation seule ne suffit pas. La Cour de justice de l’Union européenne l’a précisé en mai 2023 dans l’affaire C-300/21, tout en écartant un seuil de gravité : même un dommage minime compte.
3. Un lien de causalité. Le dommage doit résulter précisément de cette violation.

La charge de la preuve est importante pour vous. Le fait que des inconnus aient dérobé des données ne prouve pas à lui seul que le prestataire a manqué à ses obligations de protection. C’est ce qu’a jugé la CJUE en décembre 2023 dans l’affaire C-340/21. Selon ce même arrêt, il appartient toutefois au prestataire de démontrer que ses mesures de sécurité étaient appropriées. Il n’est exonéré que s’il prouve, conformément à l’article 82, paragraphe 3, du RGPD, que le fait générateur du dommage ne lui est nullement imputable.

Arrêt du BGH VI ZR 10/24 : la perte de contrôle suffit, l’ordre de grandeur est de 100 euros

La décision allemande la plus importante date du 18 novembre 2024. L’affaire VI ZR 10/24 portait sur le scraping de Facebook de 2021, lors duquel les données d’environ 533 millions d’utilisateurs avaient été diffusées publiquement. La cour d’appel de Cologne avait rejeté la demande, estimant que la simple perte de contrôle ne constituait pas un dommage. La Cour fédérale de justice a vu les choses autrement, comme l’indique son communiqué de presse n° 218/2024.

La perte de contrôle signifie que vos données sont tombées entre d’autres mains et que vous ne pouvez plus décider de qui les utilise. Selon le BGH, cette simple perte, même brève, peut déjà constituer un dommage moral. Une utilisation abusive concrète n’est pas nécessaire, et vous n’avez pas non plus à prouver d’autres conséquences tangibles. Sur le montant, la chambre a déclaré que, dans les circonstances de l’espèce, rien ne s’opposait juridiquement à fixer la réparation de la simple perte de contrôle à un ordre de grandeur de 100 euros.

Deux enseignements à retenir. Premièrement, le droit à réparation est réel, mais modeste pour la seule perte de contrôle. Deuxièmement, vous devez démontrer que ce sont bien vos données qui sont concernées. Sans preuve que vous êtes touché, pas de droit à réparation, et c’est précisément pour cela que vous avez besoin du droit d’accès décrit à la section suivante. Le BGH a en outre admis que les personnes concernées peuvent faire constater que le prestataire répond aussi des dommages futurs. C’est précieux pour des données crypto, car une attaque d’hameçonnage peut survenir des mois après la fuite.

Dommage moral et dommage matériel : quand plus de 100 euros sont possibles

La distinction entre les deux types de dommage est décisive pour le montant. Un dommage matériel est une perte patrimoniale mesurable, par exemple des cryptos volées, le coût d’une nouvelle pièce d’identité ou des frais d’avocat. Un dommage moral touche au bien-être et à la vie quotidienne, comme l’angoisse, l’agacement ou l’effort de trier sans cesse des messages suspects.

On peut dépasser les 100 euros si l’on démontre davantage que la simple perte de contrôle. Dans l’affaire C-340/21, la CJUE a reconnu que la crainte fondée d’un abus futur peut déjà constituer un dommage moral. Pour les investisseurs crypto, cette crainte est plus plausible que pour bien d’autres fuites lorsque nom, adresse et avoirs sont exposés ensemble. Un risque purement hypothétique ne suffit toutefois pas. Les tribunaux exigent que vous décriviez concrètement les conséquences pour vous.

Une liste tenue dès le premier jour est donc utile :

• chaque courriel, SMS ou appel d’hameçonnage avec date, expéditeur et contenu, idéalement sous forme de capture d’écran ;
• les frais engagés, avec justificatif, par exemple pour un nouveau portefeuille matériel, une nouvelle pièce d’identité ou un conseil ;
• le temps consacré au changement de mots de passe, au transfert des cryptos et à la correspondance ;
• en cas de perte effective, l’identifiant de transaction et la plainte déposée.

Si des cryptos sont effectivement volées après une fuite, il s’agit d’un dommage matériel égal à leur valeur. Il vous faut alors aussi démontrer que le vol résulte de la fuite et non, par exemple, d’une erreur de votre part dans la conservation. Comment reconnaître les faux messages après une fuite, c’est ce que montre notre guide sur l’hameçonnage après une fuite de données.

Droit d’accès au titre de l’article 15 du RGPD : les données que le prestataire doit communiquer

Avant de réclamer quoi que ce soit, vérifiez ce qui est conservé à votre sujet. Le droit d’accès prévu à l’article 15 du RGPD vous permet d’obtenir la confirmation que le prestataire traite ou non des données vous concernant et, le cas échéant, une copie de ces données. Cela comprend les finalités du traitement, les destinataires, la durée de conservation prévue et l’origine des données lorsqu’elles ne proviennent pas de vous. La première copie est gratuite.

En vertu de l’article 12, paragraphe 3, du RGPD, le prestataire doit répondre dans les meilleurs délais et au plus tard dans un délai d’un mois. Pour des demandes complexes, il peut prolonger ce délai de deux mois, mais doit vous en informer, motifs à l’appui, dans le premier mois.

Pour les clients d’une plateforme d’échange crypto, il est utile de cibler la demande. Ne demandez pas seulement « toutes les données », mais explicitement les points suivants :

• lesquelles de vos données sont touchées par l’incident signalé ;
• si des adresses de portefeuille, des données de transaction ou des soldes en font partie ;
• si des copies de pièces d’identité, des selfies issus de la vérification d’identité ou des justificatifs de domicile sont concernés ;
• à quels prestataires les données ont été transmises, par exemple pour la vérification d’identité ou l’expédition.

Envoyez la demande par un moyen qui prouve sa réception, par exemple par courriel à l’adresse indiquée dans la politique de confidentialité, avec copie au délégué à la protection des données. Notez la date. La réponse constitue aussi votre principale pièce justificative si vous demandez ensuite réparation.

Articles 33 et 34 du RGPD : les obligations de notification du prestataire après une fuite

Après une fuite, le RGPD impose au prestataire deux notifications distinctes. En vertu de l’article 33, il doit en règle générale signaler la violation à l’autorité de contrôle compétente dans les 72 heures. En vertu de l’article 34, il doit vous en informer dans les meilleurs délais, en tant que personne concernée, lorsque la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés.

Cette communication doit décrire en des termes clairs et simples ce qui s’est passé, les conséquences probables et les mesures prises par le prestataire. Elle doit aussi indiquer un interlocuteur, par exemple le délégué à la protection des données. Un courriel qui ne parle que d’un « incident de sécurité » sans préciser les catégories de données ne satisfait guère à ces exigences.

Pour vous, cette communication a deux faces. D’un côté, elle prouve que vos données sont concernées. De l’autre, c’est l’outil préféré des escrocs : après presque chaque grande fuite apparaissent de fausses notifications menant à une « vérification de compte » sur un site cloné. Vérifiez donc toute notification par un moyen que vous connaissez vous-même, à savoir l’adresse de la plateforme enregistrée dans votre navigateur, jamais par un lien contenu dans le courriel.

Principe du lieu de marché : le RGPD s’applique-t-il aussi aux prestataires crypto hors de l’UE ?

De nombreux services crypto sont établis hors de l’Union européenne. Le RGPD s’applique pourtant souvent, en vertu du principe du lieu de marché inscrit à l’article 3, paragraphe 2. Selon ce principe, le règlement s’applique aussi aux entreprises sans établissement dans l’UE lorsqu’elles proposent des biens ou des services à des personnes dans l’UE ou suivent leur comportement dans l’UE. Un service doté d’une interface en allemand, de moyens de paiement en euros ou d’une publicité ciblée en Allemagne y propose manifestement ses prestations.

La difficulté réside dans l’exécution. Un prestataire installé sur une île des Caraïbes ne paie pas du seul fait qu’un tribunal allemand l’a condamné. Les entreprises de pays tiers doivent certes désigner un représentant dans l’UE en vertu de l’article 27 du RGPD, mais beaucoup de petits services ne le font pas. Avec un service de swap sans compte et sans adresse sociale connue, un droit sur le papier marque souvent la fin du chemin.

C’est là un avantage tangible des prestataires établis ou agréés dans l’UE. Un prestataire agréé au titre du règlement MiCA dispose d’une adresse permettant de l’assigner dans l’UE et d’une autorité de contrôle compétente vers laquelle vous pouvez vous tourner. Notre comparatif des plateformes crypto réglementées donne un aperçu des prestataires disposant d’un agrément européen. Le droit vous aide aussi en matière d’adresses IP : depuis 2016, la CJUE considère les adresses IP dynamiques comme des données personnelles, qui relèvent donc de la protection du RGPD.

Réclamation auprès de l’autorité de protection des données et prescription de l’action en réparation

Outre l’action civile, l’article 77 du RGPD vous donne le droit d’introduire une réclamation auprès d’une autorité de contrôle. En Allemagne, ce sont les autorités de protection des données des Länder qui sont compétentes pour les entreprises privées, et vous pouvez vous adresser à celle de votre propre Land. La réclamation est gratuite. Elle ne vous rapporte pas d’argent, mais peut déclencher une amende et des injonctions contre le prestataire, et fournit parfois des informations utiles pour une demande ultérieure.

Pour l’action en réparation elle-même, c’est en Allemagne le délai de prescription de droit commun de trois ans prévu à l’article 195 du Code civil allemand qui s’applique. Selon l’article 199, ce délai court à partir de la fin de l’année au cours de laquelle le droit est né et où vous en avez eu connaissance. Pour une fuite dont vous avez appris l’existence en octobre 2026, le délai court donc jusqu’à la fin de 2029. Rien ne presse, mais vous devriez sécuriser les preuves immédiatement, tant qu’elles sont fraîches.

L’opportunité d’une action en justice dépend du cas d’espèce. Pour un litige de quelques centaines d’euros, les frais dépassent vite le gain si vous perdez. Une assurance de protection juridique couvrant la protection des données réduit ce risque. En outre, depuis octobre 2023, les associations de consommateurs peuvent faire valoir collectivement, par une action en réparation de groupe, les droits de nombreuses personnes concernées. En cas de grande fuite, il vaut la peine de vérifier si la Verbraucherzentrale mène une telle procédure.

Hameçonnage après la fuite : la conservation protège mieux vos cryptos que toute indemnisation

Au regard de l’enjeu, 100 euros de réparation, c’est peu. Celui qui saisit sa phrase de récupération sur un faux site après une fuite peut perdre l’intégralité de ses avoirs, et aucun tribunal ne les remplacera. C’est pourquoi la mise en sécurité passe avant la réclamation.

La règle la plus importante est la suivante : aucun prestataire sérieux ne demande jamais votre phrase de récupération. Cette phrase, ou seed phrase, est la suite de 12 ou 24 mots le plus souvent, à partir de laquelle toutes les clés de votre portefeuille peuvent être restaurées. Qui la connaît possède vos cryptos. Tout message qui la demande est une escroquerie, aussi authentiques que paraissent l’expéditeur et la présentation.

Si vos cryptos se trouvent chez le prestataire qui a signalé la fuite, ce n’est pas une raison de paniquer. Une fuite de données ne signifie pas en soi que les avoirs sont en danger. C’est toutefois une bonne occasion de vérifier si des montants importants doivent vraiment rester sur une plateforme. Avec un portefeuille matériel, les clés privées restent sur un appareil non connecté à internet. Notre comparatif des portefeuilles matériels indique quels appareils conviennent.

Si l’attaquant connaît votre adresse de portefeuille, migrer vers une nouvelle adresse aide. L’ancienne adresse reste liée à votre nom dans le jeu de données, la nouvelle non. Avec le Bitcoin, une telle migration coûte une seule commission de transaction. Veillez à ne pas relier à nouveau la nouvelle adresse à votre identité par le même service. À quoi ressemble un hameçonnage ciblé après une fuite, nous l’avons montré avec l’exemple des données Revolut dans notre article sur la fuite de données chez Revolut, où l’on apprend aussi comment la banque a pris en charge le coût de nouvelles pièces d’identité.

Réparation après une fuite de données : sécuriser d’abord vos cryptos, réclamer ensuite dans les trois ans

1. Demander l’accès et sécuriser les preuves. Adressez au prestataire une demande au titre de l’article 15 du RGPD avec les questions ciblées ci-dessus, notez la date et conservez chaque message suspect. Avec un prestataire agréé dans l’UE, vous savez à qui écrire et quelle autorité est compétente : notre comparatif des plateformes crypto réglementées indique qui dispose d’un agrément.
2. Revoir la conservation. Des avoirs importants n’ont pas vocation à rester durablement sur une plateforme. Transférez-les vers votre propre portefeuille matériel et une nouvelle adresse. Notre comparatif des portefeuilles matériels compare appareils, prix et fonctions de sécurité.
3. Recréer votre portefeuille du quotidien. Pour les petits montants que vous déplacez souvent, créez un nouveau portefeuille logiciel avec une nouvelle phrase de récupération au lieu de continuer à utiliser l’ancienne adresse. Notre comparatif des portefeuilles logiciels indique quelle application convient. Vous demanderez ensuite réparation sans précipitation : le délai court trois ans à compter de la fin de l’année.

(Au 2 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)