法国国家信息与自由委员会《个人数据泄露：在哪些情形下可以获得赔偿？》（2026年10月2日）

【文件信息】 标题：Violations de donnees personnelles : dans quels cas peut-on etre indemnise ? （中译：个人数据泄露：在哪些情形下可以获得赔偿？） 发布机关：法国国家信息与自由委员会（Commission nationale de l’informatique et des libertés, CNIL） 发布日期：2026年10月2日 文件性质：面向数据主体与机构发布的说明性指引（fiche） 官方链接：https://www.cnil.fr/fr/violations-de-donnees-personnelles-cas-indemnite 【一、什么是数据泄露】 个人数据泄露是指导致个人数据丢失、毁损、篡改、未经授权披露或未经授权访问的事件，既可能出于意外，也可能源于恶意行为（如网络攻击）。典型情形包括：数据库被盗；因操作失误把个人数据发送给错误收件人；存有数据的电脑或载体丢失；账户或文件被未经授权访问。 此类事件可能使当事人面临数据失控、身份被冒用、经济损失、名誉受损或机密信息被泄露等风险。但 CNIL 强调：仅仅发生数据泄露本身，并不足以获得赔偿。 【二、获得赔偿的三项条件（GDPR 第82条）】 凡因违反 GDPR 而遭受物质或非物质损害者，有权向控制者、特定情形下向处理者请求赔偿。须同时满足： 1. 存在违反 GDPR 的行为。例如企业未按风险采取适当的技术或组织措施保护个人数据，即违反其安全义务。控制者的责任以“过错推定”为基础：其可举证证明对造成损害的事件在任何方面均无责任而免责——这一举证结构对企业不利，要求企业在事件发生后主动说明自身不存在可归责的过错，而非等待监管机关或原告举证。 2. 存在真实的损害（物质或非物质）。物质损害如直接经济损失；非物质损害包括身份被冒用、名誉受损、丧失保密性、对数据的失控，以及因数据可能被滥用而产生的恐惧或担忧。非物质损害无须达到最低严重程度门槛，但必须是真实的、由本人实际遭受的；仅证明存在违规并不足够。 3. 损害与违规之间存在因果关系。不能仅因当事人遭受损害的同时发生了数据泄露，还须证明损害确由该违规所致。 实务提示（CNIL 原文“En pratique”）：保留一切能够证明违规及其后果的材料，包括机构的泄露告知、电子邮件、截图、费用凭证、已采取的步骤记录、投诉记录，或任何能够证明所受损害的文件。 【三、CNIL 能否给予赔偿：不能】 当事人可向 CNIL 提出投诉，CNIL 可采取纠正措施责令停止违规，或作出行政处罚；但 CNIL 不能判处损害赔偿。欲获得赔偿，须向法院主张赔偿请求权。 【四、如何请求赔偿】 1. 向法院起诉。在法国，责任主体为私营企业或个人时，赔偿请求原则上归“普通法院”（tribunal judiciaire, TJ）管辖；责任主体为行政机关或公法主体时，归“行政法院”（tribunal administratif, TA）管辖，并适用诉前赔偿请求、特定情形下须由律师代理等特别规则。CNIL 建议在起诉前先确认管辖与程序规则。 2. 委托协会或组织代为主张。《信息与自由法》第38条允许在符合法定条件时授权致力于相关领域的非营利协会或组织以本人名义行使权利，包括 GDPR 第82条项下的赔偿请求权。 3. 团体诉讼（action de groupe）。自2025年4月30日法律改革起，法国建立了统一的团体诉讼制度，在符合条件时可请求停止侵害或赔偿多名处境相似者所受损害，该机制适用于个人数据保护争议；由法律授权的机构提起，包括经认可的协会，并在法定条件下包括特定的工会组织。对当事人而言，该程序可将围绕同一违规的个别请求汇集处理；参与方式与赔偿标准仍取决于具体程序与法院裁判。 【五、合规要点提示】 （1）数据泄露的合规成本不止于行政处罚，民事赔偿的举证责任分配同样需要在事件响应阶段同步准备证据链； （2）控制者负“过错推定”责任，事件响应的文档化程度直接决定能否抗辩； （3）非物质损害无最低严重程度门槛、且“对数据被滥用的担忧”可获赔，与欧盟法院近年判例方向一致，这意味着即使未发生实际滥用，仍存在赔偿风险。 【六、版本信息】本页为 HTML 页面，无 PDF 下载，故 pdf_url 填官方页面地址，localurl 留空。