Un droit à réparation automatique et plafonné, sans transformer les données en bien cessible
En 2024, la CNIL a été notifiée de 5 629 violations de données personnelles, en hausse de 20 % par rapport à 2023, avec une recrudescence des violations de très grande ampleur (France Travail, Free, Viamedis/Almerys). [1] Les sanctions prononcées par la CNIL vont intégralement au budget de l'État : aucun mécanisme n'indemnise automatiquement les personnes concernées.
Deux réponses concurrentes existent à ce problème. La première, portée notamment par des think tanks comme GenerationLibre, propose de créer un droit de propriété sur les données personnelles. La seconde, retenue par cette initiative, propose un droit à indemnisation automatique et plafonné pour les victimes de fuites caractérisées, sans toucher au statut juridique de la donnée — sur le modèle du droit d'action californien (CCPA), avec un plafond par personne intégré dès le départ pour éviter les dérives observées dans l'Illinois.
Avant de présenter le modèle retenu, il faut expliquer pourquoi l'option la plus discutée du débat — faire des données personnelles un bien de propriété privée, cessible par contrat — n'a pas été retenue par cette initiative, malgré son influence dans le débat public français.
Ce n'est pas une position neutre, mais la thèse la plus contestée du dossier. Le Contrôleur européen de la protection des données (EDPS), autorité indépendante de l'Union européenne, s'est explicitement opposé à l'idée de traiter les données personnelles comme une simple marchandise (« a mere commodity »), notamment dans son avis de 2017 sur la réforme du droit de la consommation numérique. [2] Ce n'est pas une opinion isolée : la doctrine juridique française, héritière de la loi Informatique et Libertés de 1978, y voit majoritairement un risque de marchandisation contraire à la dignité de la personne — un point que les promoteurs même de la thèse propriétariste reconnaissent dans leurs propres écrits.
Le problème documenté a une réponse plus ciblée. Ce que documentent les chiffres de la CNIL n'est pas l'absence d'un marché des données, mais l'absence d'indemnisation des victimes de fuites. Un droit de propriété cessible répond à une question différente (qui peut vendre quoi) de celle que pose le problème (qui répare le préjudice). Créer un droit à réparation automatique cible directement le problème documenté, sans ouvrir un chantier juridique plus large et plus disputé.
Un modèle comparable existe déjà, avec du recul. Plutôt que d'inventer un nouveau régime de propriété sans équivalent testé à cette échelle, cette initiative s'appuie sur un mécanisme déjà en vigueur depuis 2020 en Californie : un droit d'action privé limité aux fuites dues à un défaut de sécurité, avec des dommages statutaires plafonnés. [3]
Le règlement général sur la protection des données (RGPD) impose une notification des violations sous 72 heures à la CNIL, mais n'organise aucune indemnisation automatique des personnes concernées. Pour obtenir réparation, une victime doit engager une démarche judiciaire individuelle, prouver un préjudice réel et un lien de causalité — un parcours que peu de citoyens engagent en pratique.
La Commission européenne, dans son deuxième rapport d'évaluation du RGPD (2024), dresse pourtant un bilan globalement positif du règlement : plus de 20 000 enquêtes lancées par les autorités nationales, plus de 6 680 amendes pour un total de 4,2 milliards d'euros. [4] Le RGPD n'est donc pas un échec généralisé — mais il n'a pas été conçu pour indemniser directement les victimes de fuites, et les chiffres français de 2024 montrent que la notification et la sanction n'empêchent pas la multiplication des incidents.
Le Consumer Privacy Act donne à tout résident dont les données non chiffrées ont été exposées par un défaut de sécurité caractérisé le droit de réclamer entre 100 et 750 dollars de dommages statutaires par personne et par incident, sans devoir prouver un préjudice réel — ou le montant du préjudice réel si celui-ci est supérieur. [3] La loi prévoit une procédure de mise en demeure préalable (30 jours pour corriger la faille) avant toute action en justice.
Le Biometric Information Privacy Act prévoyait des dommages de 1 000 à 5 000 dollars, mais calculés par violation et non par personne — un employé scanné quotidiennement pouvait ainsi générer des milliers de violations. La Cour suprême de l'Illinois a confirmé cette lecture en 2023 (affaire Cothron), produisant des jugements disproportionnés : 228 millions de dollars réclamés à un seul employeur pour 45 600 scans d'empreintes. Le législateur de l'Illinois a dû amender la loi en 2024 pour plafonner les dommages par personne plutôt que par violation. [5]
Le régime européen repose sur la notification obligatoire et la sanction administrative par les autorités de contrôle, sans droit d'action individuel automatique pour les victimes de fuites. La Commission européenne le juge globalement efficace pour la gouvernance des données, mais il n'a jamais eu vocation à indemniser directement les personnes concernées par un incident donné. [4]
| Modèle | Mécanisme | Verdict |
|---|---|---|
| Californie (CCPA) | Dommages statutaires 100-750 $ par personne | Fonctionne depuis 2020, plafond par personne dès l'origine |
| Illinois (BIPA) | Dommages 1 000-5 000 $ par violation | Dérives forçant une réforme en 2024 — plafond ajouté après coup |
| Union européenne (RGPD) | Sanction administrative, pas d'indemnisation directe | Jugé globalement positif par la Commission, mais n'indemnise pas les victimes |
| Propriété des données (proposition doctrinale) | Droit patrimonial cessible par contrat | Rejeté par l'EDPS ; non testé à grande échelle |
La leçon des deux modèles américains est claire : un droit d'indemnisation individuel fonctionne s'il est plafonné par personne dès l'origine (Californie), et dérape s'il ne l'est pas (Illinois avant 2024). Cette initiative intègre donc le plafonnement par personne dès l'écriture du texte.
Le droit à indemnisation ne s'applique qu'aux violations résultant d'un manquement caractérisé à l'obligation de sécurité prévue par le RGPD (article 32) — pas à toute violation formelle du règlement. Cela cible le problème identifié (des failles de sécurité élémentaires, comme l'absence d'authentification multifacteur) sans ouvrir un contentieux généralisé.
Sur le modèle californien, corrigé de la leçon de l'Illinois : un montant forfaitaire (par exemple 100 à 500 euros) est dû par personne concernée et par violation constatée, plafonné explicitement par personne pour éviter toute multiplication artificielle du montant réclamable.
Mais un plafond par personne ne suffit pas à protéger une petite structure confrontée à une fuite touchant un grand nombre de victimes : à 200 € par personne, une fuite de 50 000 comptes représente déjà 10 millions d'euros, une somme qui peut être fatale à une PME alors qu'elle serait absorbable pour un grand groupe. Cette initiative ajoute donc un second plafond, agrégé, calculé en pourcentage du chiffre d'affaires annuel du responsable de traitement — exactement la méthode que le RGPD applique déjà à ses propres amendes administratives, qui plafonnent à 2 % ou 4 % du chiffre d'affaires mondial plutôt qu'à un montant fixe (article 83§4-5 du RGPD). [6] Une petite structure et une multinationale ne sont ainsi jamais exposées au même risque absolu, sans qu'il soit besoin de définir des catégories rigides d'entreprises. Si le plafond agrégé est atteint avant que toutes les victimes n'aient reçu le montant forfaitaire plein, la somme disponible est répartie à parts égales entre elles : la réparation devient proportionnellement réduite, mais reste due à tous.
Comme en Californie, l'entreprise dispose d'un délai (30 jours) pour corriger la faille avant qu'une action en dommages statutaires puisse être engagée — sauf en cas de préjudice réel déjà constitué (usurpation d'identité, fraude bancaire), qui reste indemnisable sans délai de carence.
Ce droit s'ajoute au régime existant sans le remplacer : la CNIL conserve son pouvoir de sanction administrative, ses obligations de notification, et son rôle de contrôle. Le nouveau droit d'action est un complément, pas une substitution.
Cette réforme relève d'une loi ordinaire, modifiant la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, pour l'articuler avec le RGPD dont elle assure la mise en œuvre en droit français.
Toute personne physique dont les données à caractère personnel non chiffrées ont fait l'objet d'un accès, d'une exfiltration ou d'une divulgation non autorisés, résultant d'un manquement caractérisé du responsable de traitement à son obligation de sécurité au sens de l'article 32 du règlement (UE) 2016/679, dispose d'un droit à réparation dans les conditions fixées par la présente loi.
Article 2La réparation due au titre de l'article 1er est fixée à un montant forfaitaire compris entre 100 et 500 euros par personne concernée, sans que la personne ait à démontrer l'existence d'un préjudice réel, ou au montant du préjudice réel démontré si celui-ci est supérieur. Ce montant est dû une seule fois par personne et par violation constatée, quel que soit le nombre d'accès ou de divulgations individuels constatés au sein de cette même violation.
Article 2 bisLe montant total dû par un même responsable de traitement au titre d'une même violation ne peut excéder 2 % de son chiffre d'affaires annuel mondial total de l'exercice précédent, ou 4 % lorsque la violation résulte d'un manquement mentionné à l'article 83§5 du règlement (UE) 2016/679. Pour les organismes publics ne disposant pas de chiffre d'affaires au sens de cet article, ce plafond est calculé sur la base de leur budget annuel de fonctionnement. Lorsque le montant total dû en application de l'article 2 excède ce plafond, la somme disponible est répartie à parts égales entre l'ensemble des personnes concernées par la violation.
Article 3Préalablement à toute action fondée sur l'article 1er, la personne concernée notifie au responsable de traitement les manquements allégués. Le responsable de traitement dispose d'un délai de trente jours pour y remédier et en justifier. Cette obligation de notification préalable ne s'applique pas lorsque la personne concernée établit l'existence d'un préjudice réel et déjà constitué, notamment une usurpation d'identité ou une fraude financière directement liée à la violation.
Article 4Les dispositions de la présente loi s'appliquent sans préjudice des pouvoirs de contrôle et de sanction de la Commission nationale de l'informatique et des libertés, qui demeurent inchangés.
Article 5Une action de groupe peut être engagée pour le compte de l'ensemble des personnes concernées par une même violation, dans les conditions prévues par le titre V du livre VII du code de la consommation, tel que modifié par la loi n°2025-391 du 30 avril 2025.
Le problème documenté par les chiffres français — des fuites massives et une indemnisation quasi nulle pour les victimes — appelle une réponse ciblée, pas une refonte du statut juridique des données personnelles. Le modèle californien, corrigé de la leçon de l'Illinois, offre un mécanisme testé : un droit à indemnisation automatique et plafonné par personne, qui s'ajoute au cadre RGPD/CNIL sans le remplacer.
Note méthodologique — Cette initiative écarte volontairement la thèse de la propriété des données personnelles, position doctrinale minoritaire et explicitement contestée par le Contrôleur européen de la protection des données. Les chiffres relatifs aux violations de données en France sont ceux publiés directement par la CNIL, vérifiés indépendamment de toute note d'un think tank sur le sujet.