Les victimes de vols, de fuites et de violations de données personnelles sont chaque jour plus nombreuses en France. Bien que l’Etat soit responsable de la protection des données, les condamnations sont rares.
Il est pourtant possible d’agir en justice pour obtenir condamnation et réparation des préjudices causés. C’est l’objet du recours collectif engagé par le cabinet David GUYON Avocat.
Les cyberattaques touchant les services de l’Etat se succèdent. Ces fuites conduisent à diffuser sur le darknet des informations particulièrement sensibles concernant des millions de personnes.
Cette situation révèle une contradiction majeure. Alors que l’État et les organismes publics collectent et traitent un nombre croissant de données personnelles, leur capacité à en garantir effectivement la sécurité est inexistante.
Ainsi les services de l’Etat, ANTS, POLE EMPLOI, la CAF et dernièrement la DGFIP sont régulièrement mise à l’épreuve par le piratage informatique. Chaque divulgation de donnée personnelle est susceptible d’entrainer une usurpation, une arnaque, un cambriolage voire parfois un home jacking.
Avec l’arrivée de la facturation électronique, laquelle conduira à collecter les données fiscales et comptables de millions d’entreprises ce risque est préoccupant. Se retrouveront à un seul endroit, sur les serveurs de l’Etat, des millions de données touchant au secret des affaires, au secret médical et professionnel.
Cette contradiction devient d’autant plus préoccupante que l’accès à de nombreux services publics repose désormais sur des procédures dématérialisées. Ainsi pour accéder à ce services, les administrés sont contraint de transmettre leurs données personnelles.
Comment rejoindre l’action collective des victimes de vols de données personnelles ?
Pour rejoindre notre action collective, faire condamner l’Etat et obtenir réparation, vous devez remplir plusieurs conditions.
Etre victime d’une violation de donnée personnelle
Pour cela il faut d’abord que vous vérifier avoir reçu une notification de violation.
Pour rejoindre l’action collective, vous devez en premier lieu pouvoir établir que vos données personnelles ont été concernées par une violation. Lorsque cette violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, l’organisme responsable du traitement doit vous en informer dans les meilleurs délais, conformément à l’article 34 du RGPD.
La violation doit concerner un service de l’État.
L’action envisagée concerne les personnes dont les données ont été compromises à l’occasion d’une violation affectant un service, une administration ou un organisme de l’État entrant dans le périmètre de l’action.
On pense ici à la DGFIP, l’ANTS, CAF, POLE EMPLOI et bien d’autres.
La notification reçue constitue alors un élément essentiel pour identifier l’organisme concerné, la nature des données compromises et les conséquences possibles de la violation.
Justifier d’un préjudice moral
L’article 82 du RGPD prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD peut obtenir réparation. C’est le fondement principal de l’indemnisation.
Dans ce cadre on parle principalement de la réparation d’un Préjudice moral.
En effet la crainte d’un usage frauduleux des données peut constituer un préjudice moral indemnisable, notamment lorsque les données ont été consultées ou diffusées sans autorisation.
La CJUE juge expressément que la crainte d’un potentiel usage abusif des données personnelles par des tiers, ressentie à la suite d’une violation du RGPD, peut à elle seule constituer un dommage moral indemnisable au sens de l’article 82, § 1, du RGPD.
- CJUE, 14 décembre 2023, Natsionalna agentsia za prihodite, aff. C-340/21
Cependant, d’autres préjudices sont également indemnisables à condition d’être démontrés. On pense ici, aux victimes de home jacking suite à une violation de données personnelles.
Une telle action permettrait donc de récupérer entre 500 € à 5.000€ de préjudice indemnisable selon situation et justifications médicales rapportées.
Contactez notre cabinet d’avocat.
Le cabinet David GUYON Avocat (DGA) s’est perfectionné dans la conduite d’action collective haute gamme.
Ce type de prestation permet de bénéficier d’une réelle prestation juridique à des conditions tarifaires privilégiés tout en conservant ce qui est essentiel. Un contact humain, des réponses à vos questions et de la réactivité.
Ensemble nous vérifions votre éligibilité à l’action collective et évaluons les préjudices susceptibles d’être invoqués.
Nous vous conseillerons sur les pièces nécessaires à réunir et les démarches à accomplir pour rejoindre la procédure.
En cas de vol de donnée l’Etat commet il une faute ?
Oui l’Etat commet une faute chaque fois qu’un vol de données personnelles se produit sur les serveurs des administrations de l’Etat.
L’article 4, paragraphe 12, du RGPD définit la violation de données personnelles comme tout accès non autorisé, perte, altération ou divulgation de données. C’est le texte de qualification de l’incident France Titres.
L’article 4, paragraphe 7, du RGPD permet d’identifier l’administration concernée comme responsable du traitement lorsqu’elle détermine les finalités et les moyens du traitement des données.
L’article 32 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. C’est le texte central pour soutenir une faute de sécurité.
L’article 25 du RGPD impose la protection des données dès la conception et par défaut. Il permet de reprocher à l’administration une architecture numérique insuffisamment sécurisée dès l’origine.
Ainsi l’Etat commet une faute en cas de vols de données personnelles. Il en commet une double s’il « oublie » de notifier la faille de sécurité aux victimes.
En effet, il est considéré comme le responsable du traitement.
Ce dernier a l’obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques pesant sur les données personnelles.
Cette obligation résulte notamment de l’article 32 du RGPD, complété par le principe d’intégrité et de confidentialité prévu à l’article 5, paragraphe 1, f), du RGPD.
Pourquoi engager une action collective en cas de vol de données ?
Si vous deviez retenir six raisons essentielles de rejoindre l’action collective, ce seraient les suivantes.
1. CONDAMNER les manquements de l’État.
Lorsque l’État impose ou généralise la collecte de données personnelles dans le cadre de services publics numériques, il doit en contrepartie garantir un niveau de sécurité adapté aux risques. Une action collective permet de faire constater d’éventuels manquements à ses obligations de protection et d’en tirer les conséquences juridiques.
Cette stratégie est d’autant plus pressante à l’heure où la facturation électronique est généralisée et imposée sous peine de sanctions.
2. RENDRE LA JUSTICE PLUS ACCESSIBLE.
La mutualisation des démarches permet de répartir les coûts, de centraliser les éléments de preuve et de rendre une procédure complexe plus accessible aux victimes qui, isolément, renonceraient souvent à agir.
3. EXERCER UNE PRESSION JURIDIQUE EN FAVEUR D’UNE MEILLEURE CYBERSÉCURITÉ.
Une action collective peut contribuer à imposer un niveau d’exigence plus élevé en matière de sécurité des systèmes d’information, de prévention des violations et de protection effective des données confiées aux services publics.
4. OBTENIR RÉPARATION DES PRÉJUDICES SUBIS.
Lorsqu’une violation de données vous cause un préjudice matériel ou moral, le RGPD reconnaît un droit à réparation dans les conditions prévues par son article 82. Une action collective peut permettre de faire reconnaître ces préjudices et d’en demander l’indemnisation.
5. OBTENIR UNE RÉELLE MINIMISATION DES DONNÉES COLLECTÉES.
Le RGPD impose que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire, conformément au principe de minimisation prévu à l’article 5. Une action peut ainsi contribuer à remettre en cause des pratiques de collecte excessives ou insuffisamment justifiées.
6. METTRE FIN A UN RISQUE STRUCTUREL
Sans réaction, sans condamnation, les failles systémiques de la sécurité informatique perdureront.
L’absence de réaction face à des violations répétées peut favoriser le maintien de pratiques insuffisamment protectrices. Agir permet au contraire de demander des mesures correctrices, de faire reconnaître les responsabilités lorsqu’elles sont établies et d’encourager une meilleure protection des données personnelles à l’avenir.
L’objectif n’est pas seulement d’obtenir une indemnisation. Il s’agit aussi d’obtenir que la collecte croissante de données par les services publics s’accompagne de garanties de sécurité, de proportionnalité et de responsabilité réellement effectives.
Quelle est la stratégie procédurale envisagée par notre action collective ?
Nous saissons le tribunal administratif pour faire condamner l’Etat pour carence fautive dans la protection des données personnelles des usagers.
Il s’agit en réalité de l’unique recours ouvert aux victimes.
L’absence de sanction administrative par la CNIL
En application du IV, 2° de l’article 20 de la loi n° 78-17 du 6 janvier 1978, la CNIL peut assortir une injonction de mise en conformité d’une astreinte.
Ce montant peut atteindre 100 000 euros par jour de retard. Cependant cette faculté est expressément exclue « dans des cas où le traitement est mis en œuvre par l’État ».
Ainsi l’État demeure certes soumis au RGPD, à la loi Informatique et Libertés ainsi qu’au contrôle de la CNIL, mais il échappe ainsi à ce mécanisme particulier de contrainte financière destiné à assurer l’exécution d’une injonction.
Responsable mais pas sanctionnable !
L’absence de responsabilité pénale
Le droit pénal prévoit pourtant une sanction particulièrement sévère en cas de défaut de sécurisation des données personnelles.
L’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre, notamment, les mesures de sécurité prévues par l’article 32 du RGPD.
Toutefois, lorsqu’un traitement est mis en œuvre par l’État, une limite majeure apparaît.
L’article 121-2 du Code pénal dispose expressément que les personnes morales sont pénalement responsables des infractions commises pour leur compte par leurs organes ou représentants, « à l’exclusion de l’État ».
En conclusion l’État ne peut donc pas, en tant que personne morale, voir sa responsabilité pénale engagée sur ce fondement.
L’existence d’une responsabilité administrative
Lorsqu’un traitement mis en œuvre par un service de l’État méconnaît les obligations qui lui incombent, notamment l’obligation de sécurité prévue à l’article 32 du RGPD, sa responsabilité peut être recherchée devant le juge administratif.
Le Conseil d’État a d’ailleurs reconnu que le droit à réparation prévu par l’article 82 du RGPD peut être invoqué lorsque le responsable du traitement est une personne publique relevant de la juridiction administrative (CE, 27 juin 2022, n° 451423).
Cependant, une violation du RGPD ne conduit toutefois pas automatiquement à une indemnisation.
En effet, vous devez pouvoir établir un préjudice matériel ou moral ainsi qu’un lien de causalité avec le manquement invoqué.
Ces exigences sont dégagées par la Cour de justice de l’Union européenne (CJUE, 4 mai 2023, Österreichische Post, C-300/21).
La responsabilité administrative constitue ainsi une voie essentielle pour les victimes. Ces plaintes devant le juge administratif sont indispensables.
Notre action collective vise à permettre de rendre possible cette condamnation et indemnisation.
Que faire après un vol de données personnelles ?
Tout d’abord, vous devez réagir immédiatement, ensuite agir de manière pro active.
Les mesures immédiates
Si vous êtes victime d’un vol, d’une fuite ou d’une violation de données personnelles, identifiez d’abord les informations compromises : identité, adresse, téléphone, mot de passe, coordonnées bancaires ou documents d’identité.
Ainsi vous devez Sécuriser vos comptes.
Modifiez immédiatement les mots de passe concernés, particulièrement lorsqu’un même mot de passe est utilisé sur plusieurs services, et activez l’authentification à deux facteurs lorsqu’elle est disponible. Surtout, la sécurisation de vos emails est indispensable.
Ensuite vous devez Conserver les preuves.
Gardez les courriels, SMS, captures d’écran, notifications de violation et tout document permettant d’établir la nature et la date de l’incident. Ces éléments seront particulièrement déterminants en cas de fraude aux faux conseillers bancaires. Dans cette situation déjà abordée sur notre site, il sera nécessaire de démontrer les manoeuvres dont vous avez été victime.
En outre, surveillez toute utilisation frauduleuse.
Soyez particulièrement vigilant face au phishing, à l’usurpation d’identité, aux connexions inhabituelles et aux opérations bancaires suspectes.
Les mesures pro actives
Afin d’anticiper les futurs risques résultant d’un vol de données nous vous invitons à mettre en oeuvre des mesures pro actives.
Vous pouvez contacter les organismes concernés afin d’anticiper toute usurpation d’identité.
Prévenez rapidement votre banque, votre opérateur ou l’administration concernée lorsqu’une donnée compromise peut permettre une fraude. Cette alerte préventive vous permettra de savoir si d’autres données ont été volées.
Enfin, Signalez et déposez plainte.
En cas d’utilisation frauduleuse de vos données, vous pouvez effectuer un signalement et déposer plainte auprès de la police ou de la gendarmerie. Vous pouvez également saisir la CNIL lorsqu’une violation de la réglementation relative aux données personnelles est en cause.
Le dispositif public Cybermalveillance.gouv.fr permet aux particuliers victimes d’un acte de cybermalveillance d’obtenir des conseils et une assistance adaptés à leur situation.
Comment protéger mes données personnelles ?
Afin de prévenir et non de guérir les conséquences d’une violation de données personnelles, adoptez les réflexes suivants.
UTILISEZ DES MOTS DE PASSE UNIQUES ET ROBUSTES.
Évitez d’utiliser le même mot de passe sur plusieurs services. Privilégiez des mots de passe longs et différents pour chaque compte, idéalement conservés dans un gestionnaire de mots de passe sécurisé.
ACTIVEZ LA DOUBLE AUTHENTIFICATION.
Lorsque cela est possible, activez l’authentification à deux facteurs. Un mot de passe compromis sera ainsi plus difficile à exploiter pour accéder à votre compte.
METTEZ À JOUR VOS APPAREILS.
Installez régulièrement les mises à jour de sécurité de votre ordinateur, de votre téléphone, de votre navigateur et de vos applications afin de corriger les vulnérabilités connues.
MÉFIEZ-VOUS DES MESSAGES FRAUDULEUX.
Ne communiquez jamais vos identifiants ou informations sensibles à la suite d’un courriel, d’un SMS ou d’un appel suspect. Le phishing constitue l’un des moyens utilisés pour récupérer frauduleusement des données personnelles.
LIMITEZ LES DONNÉES QUE VOUS COMMUNIQUEZ.
Avant de transmettre une information ou un document d’identité, vérifiez sa nécessité et son destinataire. Vous pouvez également exercer, lorsque les conditions légales sont réunies, vos droits d’accès, de rectification, d’effacement ou d’opposition prévus par le RGPD.
PROTÉGEZ VOS APPAREILS CONTRE LES LOGICIELS MALVEILLANTS.
Téléchargez vos logiciels depuis des sources fiables, évitez les pièces jointes suspectes et effectuez des sauvegardes régulières de vos données importantes.
RESTEZ VIGILANT APRÈS UNE FUITE DE DONNÉES.
Si un organisme vous informe d’une violation concernant vos données, changez les mots de passe concernés, surveillez vos comptes et conservez la notification de violation. Une donnée compromise ne peut pas toujours être récupérée : la prévention et la réaction rapide restent donc essentielles.
Pourquoi agir en justice à nos côtés ?
Nous devons choisir entre valider une totale impunité de l’Etat ou le poursuivre systématiquement, quelle que soit les chances de succès.
C’est ce choix que nous souhaitons vous partager. Nous devons tenir la ligne du droit. Servir d’exemple pour les générations futures qui n’auront peut être plus aucun choix pour échapper à cette identité numérique imposée.
La politique a fait le choix du contrôle par internet de tous les utilisateurs. Pour cette caste, la violation des données est un moindre mal au pillage de la richesse de ses contribuables.
