Idée reçue : « Mes données ont été compromises lors d'une cyberattaque, j'ai forcément droit à une indemnisation ! »
Chaque mois, nous déconstruisons une affirmation largement répandue qui, derrière son apparente évidence, cache une réalité juridique différente.
« Mes données ont été compromises lors d'une cyberattaque, j'ai forcément droit à une indemnisation ! »
Avec la multiplication des cyberattaques et des notifications adressées aux personnes concernées, les demandes d'indemnisation se multiplient.
Il est vrai que la CJUE reconnaît désormais que la crainte d'une utilisation abusive de ses données personnelles peut, à elle seule, constituer un préjudice moral indemnisable, sans qu'il soit nécessaire qu'une fraude se soit effectivement produite.
Mais attention : une cyberattaque n'ouvre pas automatiquement droit à réparation !
L'article 82 du RGPD impose la réunion de trois conditions cumulatives :
- Une violation du RGPD, et non la seule survenance d'une violation de données personnelles ;
- Un préjudice réel et démontré, y compris moral, sans exigence de seuil minimal de gravité ;
- Un lien de causalité entre le manquement au RGPD et le préjudice subi.
La distinction est essentielle car une entreprise peut subir une cyberattaque sans avoir nécessairement manqué à ses obligations de sécurité au titre du RGPD. La seule survenance d'une violation de données ne suffit pas à démontrer que les mesures de protection mises en œuvre étaient inappropriées.
Un article rédigé par Amira BOUNEDJOUM du département Propriété Intellectuelle, Numérique, Conformité & Données
