Une cyberattaque peut avoir des conséquences bien plus importantes qu’une simple interruption du système informatique. Lorsqu’une entreprise traite des données personnelles, une attaque, une erreur humaine ou une faille de sécurité peut entraîner une violation de données personnelles. Pour une TPE/PME, les conséquences peuvent alors être à la fois techniques, financières, juridiques et réputationnelles.
Une question se pose notamment : si les données de vos clients, salariés ou partenaires sont exposées, votre entreprise peut-elle être tenue de les indemniser ?
La réponse est oui, dans certaines situations, mais une fuite de données ne signifie pas automatiquement que l’entreprise devra verser une indemnisation. Le RGPD prévoit des conditions précises pour qu’une personne puisse obtenir réparation.
Une fuite de données peut-elle engager la responsabilité de votre entreprise ?
Une violation de données personnelles peut prendre différentes formes :
- le vol d’une base de données lors d’une cyberattaque ;
- l’envoi accidentel d’un fichier au mauvais destinataire ;
- la perte ou le vol d’un ordinateur contenant des données personnelles ;
- l’accès non autorisé à un compte ou à un fichier ;
- la divulgation accidentelle de données ;
- ou encore une attaque par rançongiciel entraînant la compromission de données.
Une violation peut donc être provoquée par une attaque informatique, mais également par une erreur ou un incident interne.
Lorsqu’une entreprise traite des données personnelles, elle doit notamment mettre en place des mesures techniques et organisationnelles adaptées aux risques afin d’assurer leur sécurité. Si un manquement au RGPD est à l’origine d’un dommage subi par une personne, la responsabilité de l’entreprise peut alors être engagée.
Le RGPD prévoit un droit à réparation
L’article 82 du RGPD prévoit qu’une personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir réparation auprès du responsable du traitement ou, dans certaines situations, du sous-traitant.
Il est toutefois important de retenir une idée essentielle qu’une violation de données ne donne pas automatiquement droit à une indemnisation.
La Cour de justice de l’Union européenne (CJUE) l’a rappelé dans son arrêt du 11 avril 2024, C-741/21, juris GmbH : la simple violation du RGPD ne suffit pas à ouvrir un droit à réparation. Trois conditions cumulatives doivent être réunies : une violation du RGPD, un dommage subi et un lien de causalité entre les deux.
1. Une violation du RGPD
Il faut d’abord qu’une règle du RGPD ait été violée.
Par exemple, l’entreprise peut ne pas avoir mis en place des mesures de sécurité suffisamment adaptées aux risques auxquels les données étaient exposées.
2. Un préjudice réel
La personne doit ensuite avoir subi un dommage matériel ou moral. Il peut notamment s’agir :
- d’une perte financière ;
- d’une usurpation d’identité ;
- d’une atteinte à la réputation ;
- d’une perte de confidentialité ;
- d’une perte de contrôle sur ses données ;
- ou encore d’une peur ou d’une inquiétude liée au risque d’utilisation abusive des données.
Le simple fait de constater qu’une violation de données a eu lieu ne suffit donc pas à démontrer automatiquement l’existence d’un préjudice. La personne doit pouvoir établir qu’elle a effectivement subi un dommage.
3. Un lien entre la violation et le préjudice
Enfin, il faut pouvoir établir que le préjudice subi résulte de la violation du RGPD. Autrement dit, il ne suffit pas qu’une fuite de données et un préjudice aient eu lieu au même moment. Il faut pouvoir démontrer le lien entre les deux.
Violation du RGPD + préjudice réel + lien de causalité = possibilité d’obtenir réparation.
Une indemnisation qui vise à réparer, pas à punir
L’indemnisation prévue par l’article 82 du RGPD a une fonction compensatoire : elle doit permettre de réparer intégralement le préjudice réellement subi par la personne.
Elle ne constitue donc pas une sanction supplémentaire destinée à punir l’entreprise. Les critères utilisés pour fixer les amendes administratives prévues par l’article 83 du RGPD ne peuvent pas être appliqués directement pour déterminer le montant de l’indemnisation.
Pour une TPE/PME, cette distinction est importante : une éventuelle indemnisation d’une victime et une éventuelle sanction administrative de la CNIL répondent à deux logiques différentes.
Cet article pourrait aussi vous intéresser : Les Différents Types de Phishing et Comment les Détecter – Guide pour TPE et PME
Quels risques financiers pour une TPE/PME ?
Pour une petite entreprise, une violation de données peut générer différents coûts. Il peut notamment s’agir :
- des coûts liés à la gestion et à la sécurisation de l’incident ;
- de l’intervention d’experts informatiques ;
- de la restauration des systèmes et des données ;
- des frais juridiques ;
- des coûts liés à l’interruption de l’activité ;
- des conséquences commerciales et réputationnelles ;
- et, lorsque les conditions sont réunies, de l’indemnisation des personnes ayant subi un préjudice.
Une cyberattaque peut donc dépasser largement le coût de la remise en fonctionnement des ordinateurs. Pour les TPE/PME, les pouvoirs publics soulignent d’ailleurs que les conséquences d’une attaque peuvent toucher à la fois les données, l’activité, les finances et l’image de l’entreprise.
La CNIL peut-elle indemniser les victimes ?
Cette distinction est importante pour les entreprises comme pour les personnes concernées.
Une personne peut saisir la CNIL si elle estime que ses données personnelles ne sont pas traitées conformément au RGPD. La CNIL peut notamment prendre des mesures correctrices ou prononcer une sanction lorsqu’un manquement est constaté.
En revanche, la CNIL ne peut pas accorder de dommages et intérêts à une personne victime.
Lorsqu’une personne souhaite obtenir une indemnisation, elle doit exercer son droit à réparation devant le juge compétent.
Que se passe-t-il si plusieurs clients sont concernés ?
Une même fuite peut concerner plusieurs centaines, voire plusieurs milliers de personnes. Dans certaines situations, les personnes concernées peuvent avoir recours à une action de groupe, selon les conditions prévues par la loi.
Ce mécanisme permet notamment, dans certaines conditions, de regrouper les demandes de plusieurs personnes placées dans une situation similaire et de rechercher la réparation de leurs préjudices. Pour une TPE/PME, cela signifie qu’une même violation de données peut potentiellement donner lieu à plusieurs demandes de réparation.
L’assurance ne remplace pas la cybersécurité
Face à ces risques, certaines entreprises souscrivent une assurance cyber. Son objectif est de couvrir, selon les garanties prévues par le contrat, certaines conséquences financières liées à un incident informatique ou à une cyberattaque.
Cependant, souscrire une assurance cyber ne signifie pas que l’entreprise est automatiquement protégée contre toutes les conséquences d’une attaque. L’assurance constitue une protection financière complémentaire, mais elle ne remplace pas les mesures de prévention.
Une TPE/PME doit notamment continuer à :
- sécuriser les comptes et les accès ;
- utiliser l’authentification multifacteur lorsque cela est possible ;
- effectuer des sauvegardes régulières ;
- maintenir ses logiciels à jour ;
- limiter les habilitations ;
- sensibiliser ses collaborateurs ;
- préparer une procédure de gestion des incidents ;
- et mettre en place des mesures de sécurité adaptées aux risques liés aux données personnelles.
La cybersécurité reste donc la première ligne de défense ; l’assurance peut intervenir en complément lorsque le risque se réalise.
Cet article pourrait aussi vous intéresser : Cybersécurité : chaque salarié a un rôle à jouer
Ce qu’une TPE/PME devrait vérifier dès maintenant
En France, le mois d’octobre est consacré au Cybermois, une campagne dédiée à la sensibilisation aux enjeux de cybersécurité. C’est donc une bonne occasion pour une TPE/PME de faire un premier état des lieux de sa sécurité, d’identifier les points à renforcer et de vérifier si elle est suffisamment préparée en cas de cyberattaque.
Voici quelques points essentiels à vérifier :
- Les données personnelles importantes sont-elles correctement identifiées ?
- Les accès aux données sont-ils suffisamment sécurisés ?
- Les sauvegardes sont-elles régulières et testées ?
- Les collaborateurs savent-ils comment réagir face à une tentative de phishing ou à un incident ?
- Une procédure de gestion des violations de données existe-t-elle ?
- Les coordonnées du DPO ou de la personne chargée de la protection des données sont-elles facilement accessibles ?
- L’entreprise connaît-elle les garanties de son assurance cyber ?
- Les exclusions, plafonds, franchises et conditions de déclaration du contrat ont-ils été vérifiés ?
- Les coordonnées de l’assureur ou de l’assistance cyber sont-elles disponibles en cas d’urgence ?
En conclusion
Une fuite de données peut avoir des conséquences bien au-delà de l’incident informatique. En effet, une personne victime peut, dans certaines conditions, demander réparation à l’entreprise lorsqu’une violation du RGPD lui a causé un préjudice matériel ou moral. Par conséquent, pour une TPE/PME, le risque est à la fois juridique, financier et réputationnel.
Dans ce contexte, l’assurance cyber peut constituer une protection complémentaire en prenant en charge certaines conséquences financières d’un incident, selon les garanties prévues au contrat. Toutefois, elle ne remplace ni les obligations du RGPD ni les mesures de cybersécurité.
Ainsi, prévenir les fuites, savoir réagir rapidement et connaître sa couverture d’assurance constituent trois réflexes essentiels pour une TPE/PME.
à 
