Aux États-Unis, le contentieux fait partie du risque cyber. Sans doute y arriverons-nous

Après une cyberattaque, les entreprises ont appris à regarder leurs systèmes, puis leurs régulateurs. L’affaire du fisc français rappelle qu’elles devront peut-être, de plus en plus, regarder aussi du côté des victimes, estime Axel Legay. La voie du recours collectif ?

Le récent piratage de l’administration fiscale française a naturellement suscité beaucoup de questions sur la sécurité des systèmes publics, la nature des données compromises et les conséquences possibles pour les personnes concernées. Mais un autre élément de cette affaire mérite probablement autant d’attention. Plusieurs centaines de victimes ont décidé de rejoindre une action en recours collectif contre l’État français.

« Au-delà du cas particulier du fisc, cette initiative pose une question encore relativement peu discutée en Europe, interroge Axel Legay, Expert in IA and Cyber Security : les recours collectifs pourraient-ils devenir une nouvelle conséquence financière des grandes cyberattaques ? »

La question n’est pas nouvelle aux États-Unis. En Europe, par contre, nous avons jusqu’à présent davantage associé les conséquences juridiques d’une fuite de données à l’intervention du régulateur et, depuis l’entrée en application du GDPR, au risque d’amendes administratives. Cette vision pourrait progressivement devenir incomplète.

Aux États-Unis, le contentieux fait partie du risque cyber

Le système américain des « class actions » repose sur une logique assez simple : lorsqu’un même événement affecte un grand nombre de personnes, regrouper leurs demandes peut rendre possible une procédure qui aurait peu de sens économiquement à l’échelle individuelle. Une personne estimant avoir subi quelques centaines de dollars de préjudice à la suite d’une fuite de données hésitera probablement à engager seule une procédure complexe. Lorsque plusieurs milliers de personnes se trouvent dans une situation comparable, l’équation change.

C’est pourquoi les grandes violations de données américaines peuvent être suivies de procédures collectives et parfois d’accords transactionnels importants. Il faut toutefois se garder d’une comparaison trop rapide avec l’Europe. Même aux États-Unis, une fuite de données ne signifie pas automatiquement qu’une « class action » aboutira. Les tribunaux examinent notamment la recevabilité de la procédure, la réalité du préjudice, le lien avec l’incident et la possibilité de regrouper les personnes concernées au sein d’une même classe.

La différence tient donc moins à l’existence d’une indemnisation automatique qu’à la place occupée par le contentieux dans l’évaluation globale du risque. « Pour une grande organisation américaine, le coût potentiel d’une violation de données ne se limite pas à la restauration des systèmes, aux pertes d’exploitation et aux éventuelles interventions des autorités, observe Axel Legay. Le risque judiciaire fait lui aussi partie de l’équation. »

L’Europe évolue selon son propre modèle

Le modèle européen est différent. Depuis son origine, le GDPR prévoit un droit à réparation. Son article 82 dispose qu’une personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir réparation. La Cour de justice de l’Union européenne a progressivement précisé la portée de cette disposition.

« Une violation du GDPR ne suffit pas, à elle seule, pour obtenir une indemnisation : il faut également démontrer l’existence d’un dommage et un lien de causalité. La Cour a en revanche considéré qu’il n’existait pas de seuil minimal de gravité pour qu’un dommage moral puisse être indemnisé. »

Cette jurisprudence prend une dimension particulière lorsqu’on l’applique à la cybersécurité. La CJUE a notamment admis que la crainte d’une utilisation abusive future de données personnelles puisse, dans certaines circonstances, constituer un dommage moral. « Cela ne signifie évidemment pas que toute personne dont l’adresse électronique apparaît dans une fuite peut automatiquement réclamer une indemnité. En revanche, poursuit Axel Legay, cela montre que les conséquences juridiques d’une cyberattaque ne sont plus nécessairement limitées aux fraudes ou aux pertes financières effectivement constatées. »

Le recours collectif, possiblement

À cette évolution du GDPR s’ajoute la directive européenne 2020/1828 relative aux actions représentatives, transposée dans les différents États membres. Elle permet à des entités qualifiées de défendre collectivement les intérêts de consommateurs et, dans certaines circonstances, de rechercher des mesures de réparation. Le GDPR figure parmi les textes européens entrant dans le champ de ce dispositif.

« Nous sommes donc loin de la ‘class action’ américaine telle qu’elle est souvent représentée dans l’imaginaire collectif, mais l’Europe dispose désormais de mécanismes permettant de traiter collectivement certains préjudices affectant un nombre important de personnes. »

L’action annoncée à la suite du piratage du fisc français est intéressante précisément pour cette raison. Elle montre que le débat n’est plus seulement théorique : les victimes de cyberattaques commencent elles aussi à envisager une réponse collective.

Et en Belgique ?

La Belgique dispose d’un mécanisme d’action en réparation collective depuis 2014, qui a été adapté en 2024 notamment pour transposer la directive européenne sur les actions représentatives. Des organisations répondant aux conditions prévues par la loi peuvent ainsi représenter collectivement des consommateurs. Le cadre n’est pas identique à celui des États-Unis et comporte plusieurs garde-fous, mais il serait erroné de considérer le recours collectif comme une particularité exclusivement américaine.

Certains incidents survenus ces dernières années permettent d’ailleurs de comprendre ce que pourrait représenter ce risque. Lorsque Vivalia a subi en mai 2022 une cyberattaque majeure, quelque 200 serveurs et 1 500 ordinateurs ont été affectés et l’organisation hospitalière a dû fonctionner en mode dégradé. L’incident de Vivalia est surtout resté dans les mémoires pour son impact opérationnel.

« Mais imaginons qu’une attaque de ce type conduise à la divulgation massive de données médicales et que de nombreuses personnes puissent ensuite établir un dommage résultant d’une violation du GDPR : la question d’une action collective pourrait alors parfaitement se poser ! »

Il ne s’agit évidemment pas de suggérer que Vivalia aurait dû faire l’objet d’une telle procédure, ni même que les conditions juridiques auraient été réunies dans ce cas précis. L’exemple permet simplement de comprendre que la problématique concerne aussi la Belgique. Hôpitaux, administrations, banques, assureurs, opérateurs télécoms ou grandes entreprises détiennent parfois les données de centaines de milliers de personnes. Une seule attaque peut donc créer simultanément un très grand nombre de personnes concernées.

Un multiplicateur potentiel du risque financier

« C’est probablement sur ce point que les recours collectifs pourraient modifier la manière dont nous évaluons le risque cyber, suggère Axel Legay. Aujourd’hui, une analyse financière d’un scénario de cyberattaque prend généralement en compte l’interruption des activités, la restauration des systèmes, les coûts d’investigation et de conseil, les notifications, l’impact commercial et réputationnel ainsi que les éventuelles sanctions administratives. Le nombre de personnes concernées intervient déjà dans l’analyse de gravité d’une violation, mais beaucoup moins souvent comme facteur potentiel d’exposition contentieuse. »

Prenons une entreprise qui conserve les données de 500 000 clients. Si une attaque permet d’en exfiltrer une partie importante, quelques procédures individuelles représentent un risque relativement limité par rapport au coût global de l’incident. La situation devient différente si plusieurs milliers de personnes peuvent regrouper leurs demandes et démontrer un préjudice. Des montants relativement modestes au niveau individuel peuvent alors représenter collectivement une exposition significative.

Changement d’échelle

Il faut rester prudent avec cette idée de multiplication. Le droit européen n’autorise pas à prendre le nombre d’enregistrements compromis et à le multiplier mécaniquement par une indemnité forfaitaire. Le préjudice doit être établi et l’article 82 du GDPR poursuit une fonction compensatoire, pas punitive.

« Il n’en reste pas moins que l’agrégation des demandes change potentiellement l’échelle économique du contentieux. Pour les entreprises qui détiennent plusieurs millions de données personnelles, ce paramètre mérite désormais d’être intégré dans les scénarios de risque… »

Cette évolution pose également la question des cyberassurances. Les organisations connaissent généralement assez bien les garanties relatives aux frais de réponse à incident, aux experts, à l’interruption d’activité ou à l’assistance juridique. Elles devraient aussi regarder plus attentivement les conditions dans lesquelles leur couverture intervient face aux demandes d’indemnisation des personnes concernées et, surtout, face à une éventuelle procédure de recours collectif.

Une question qui dépasse largement les juristes

Le sujet pourrait sembler relever principalement du DPO et du service juridique. Pour Axel Legay, ce serait une erreur. « Si les recours collectifs prennent davantage d’importance en Europe, ils modifieront directement la manière dont les directions générales, les conseils d’administration et les RSSI doivent apprécier certains investissements en cybersécurité… »

Le raisonnement économique est assez évident. Une mesure de protection coûteuse peut sembler difficile à justifier lorsqu’on la compare uniquement à la probabilité d’une interruption de service. Elle peut apparaître beaucoup plus raisonnable lorsqu’un scénario crédible inclut également la compromission de données concernant plusieurs centaines de milliers de personnes et le risque contentieux qui pourrait en découler.

L’affaire du fisc français est donc intéressante au-delà de ses aspects techniques ou politiques. Elle illustre peut-être une évolution plus profonde de la maturité du risque cyber en Europe. « Nous avons d’abord considéré les cyberattaques comme un problème informatique. Nous avons ensuite compris qu’elles constituaient un risque opérationnel majeur. Le GDPR nous a obligé à y ajouter le risque réglementaire. Il faudra peut-être, désormais, intégrer beaucoup plus systématiquement le risque judiciaire… »

Regarder, aussi, du côté des victimes

L’Europe ne deviendra probablement pas une copie des États-Unis en matière de « class actions ». Son cadre juridique, ses traditions judiciaires et les mécanismes de représentation collective sont différents.

« Cette différence ne doit pas masquer l’évolution en cours, insiste Axel Legay. Une base contenant un million de clients n’est pas seulement un actif informationnel composé d’un million d’enregistrements. Derrière ces données se trouvent un million de personnes disposant de droits et, dans certaines circonstances, de la possibilité de les exercer collectivement ! »

Après une cyberattaque, les entreprises ont appris à regarder leurs systèmes, puis leurs régulateurs. L’affaire du fisc français rappelle qu’elles devront peut-être, de plus en plus, regarder aussi du côté des victimes.