法国CNIL发布数据泄露损害赔偿说明书：赔偿由法院而非监管机关认定，须同时满足违反GDPR、实际损害与因果关系三项条件，控制者责任按过错推定

在责任认定上，控制者的责任建立在过错推定之上。控制者只有证明其对造成损害的事件在任何方面均无责任，才能推翻这一推定。这一举证结构对企业不利，意味着数据泄露事件一旦发生，企业需要主动说明自身在技术与管理措施上不存在可归责的过错，而非等待监管或原告证明。

关于非物质损害的认定，CNIL说明其无须达到最低严重程度门槛，但必须是真实且个人实际遭受的。仅仅证明存在违规并不足够，相关损害也可以包括对数据被滥用的担忧。这一口径与欧盟法院近年判例方向一致，即“数据可能被滥用的恐惧”在满足真实性要求时可以构成可赔偿的非物质损害。

CNIL同时给出了实务建议：保留一切能够证明违法行为及其后果的材料；注意普通法院与行政法院的分工取决于责任主体；并提示可以通过协会代表个人主张权利（《信息处理与自由法》第38条），以及2025年4月30日法律改革后的集体诉讼机制。对在欧盟经营的企业而言，这份说明书的直接含义是：数据泄露的合规成本不止于行政处罚，民事赔偿的举证责任分配同样需要在事件响应阶段就同步准备证据链。