N°21 Votation citoyenne · sur le modèle des brochures suisses
Fuites de données : indemniser, pas seulement sanctionner
Un droit à réparation automatique pour les victimes, sur le modèle californien
01 Le contexte
En 2024, la CNIL a été notifiée de 5 629 violations de données personnelles, en hausse de 20 % par rapport à 2023. Les affaires France Travail (36,8 millions de personnes), Free (24 millions de contrats) ou Viamedis/Almerys (33 millions) ont exposé une part considérable de la population française. Les sanctions prononcées par la CNIL vont intégralement au budget de l'État : aucun mécanisme n'indemnise automatiquement les personnes concernées, qui doivent engager une démarche judiciaire individuelle pour obtenir réparation.
02 Le texte proposé
Créer un droit à indemnisation automatique et plafonnée pour toute personne dont les données ont été exposées par une violation caractérisée d'une obligation de sécurité, sur le modèle du droit d'action californien (CCPA) — sans transformer les données personnelles en bien cessible, et en conservant le cadre RGPD/CNIL existant. L'exposition globale d'une entreprise est elle-même plafonnée proportionnellement à son chiffre d'affaires, sur le modèle des amendes RGPD, pour qu'une fuite massive ne soit pas fatale à une PME.
03 Les arguments
Pour
Aujourd'hui, les sanctions vont à l'État et non aux victimes : l'amende Free de 42 millions d'euros représente 1,75 € par contrat, une somme que les abonnés ne toucheront jamais.
Un droit d'indemnisation automatique crée une incitation économique directe à la sécurité, sans attendre une sanction administrative après coup.
Le modèle californien existe depuis 2020 et a produit une jurisprudence stable, sans devoir inventer un nouveau régime juridique.
Contrairement à la propriété des données, ce mécanisme ne touche pas au statut juridique de la donnée elle-même — il répare un préjudice, il ne crée pas un marché.
Le plafond en pourcentage du chiffre d'affaires — et non en montant fixe — reproduit la logique déjà éprouvée des amendes RGPD : une PME et une multinationale ne sont jamais exposées au même risque absolu.
Contre
Le plafond protège les PME, mais en contrepartie : si le nombre de victimes dépasse ce que permet le chiffre d'affaires de la structure responsable, chaque personne touche moins que le montant forfaitaire prévu — la réparation devient partielle, pas seulement pour les grandes entreprises.
Un droit d'action privé peut favoriser une industrie du contentieux plus qu'une réparation réelle pour les victimes, si les plafonds sont mal calibrés.
La Commission européenne juge le RGPD globalement positif : ajouter un dispositif nouveau risque de complexifier un cadre qu'elle recommande surtout de mieux harmoniser, pas de réformer en profondeur.
Le coût du risque contentieux peut peser plus lourdement sur les PME que sur les grandes plateformes, qui ont les moyens juridiques de s'y adapter.
04 Sources
CNIL — Rapport annuel 2024 ; « Violations massives de données en 2024 ».
Commission européenne — Deuxième rapport d'évaluation du RGPD (2024).
California Department of Justice — California Consumer Privacy Act, droit d'action privé (§1798.150).
Illinois General Assembly — Biometric Information Privacy Act et réforme SB 2979 (2024).
Contrôleur européen de la protection des données (EDPS) — Avis sur la « New Deal for Consumers » (2017).
Vote indicatif et anonyme — sert à mesurer l'intérêt, sans aucune valeur légale.
Avez-vous lu le texte ci-dessus, ainsi que les arguments pour et contre ?
Oui0%
Non0%
0 votes
Merci, votre voix a été enregistrée.
Commentaires
Laissez un commentaire sous le pseudo de votre choix, ou restez anonyme. Les commentaires sont modérés a posteriori — les propos injurieux, hors-sujet ou non constructifs peuvent être supprimés sans préavis.
Commentaires
Laissez un commentaire sous le pseudo de votre choix, ou restez anonyme. Les commentaires sont modérés a posteriori — les propos injurieux, hors-sujet ou non constructifs peuvent être supprimés sans préavis.