Alors que les fuites de données se multiplient en France, une enquête du Point révèle un paradoxe : l'État encaisse les amendes infligées aux entreprises négligentes, mais les victimes, elles, ne perçoivent aucune compensation. Les sanctions financières, pourtant lourdes, ne sont pas reversées aux personnes dont les informations personnelles ont été compromises.
Des amendes record, mais pas de réparation pour les victimes
La Commission nationale de l'informatique et des libertés (CNIL) a prononcé en 2023 des amendes d'un montant total de 347 millions d'euros, un record historique. Parmi les plus importantes, celle infligée à Amazon France Logistique (32 millions d'euros) et à Clearview AI (20 millions d'euros). Pourtant, ces sommes sont versées au budget général de l'État, sans fléchage vers les personnes concernées.
« Les amendes ne sont pas destinées à indemniser les victimes, mais à sanctionner les manquements », explique une source proche de la CNIL citée par l'enquête. Cette logique, bien que conforme au droit, laisse un goût amer à ceux qui subissent les conséquences directes des fuites : usurpation d'identité, harcèlement, fraudes bancaires.
Un système jugé inéquitable par les associations
Les associations de défense des consommateurs et des droits numériques dénoncent un système à deux vitesses. « L'État empoche les amendes, mais les victimes doivent se débrouiller seules pour obtenir réparation, souvent via des actions de groupe longues et coûteuses », témoigne un porte-parole de l'UFC-Que Choisir interrogé par le Point.
Selon les données de l'enquête, moins de 5 % des victimes de fuites de données engagent une procédure judiciaire, principalement en raison de la complexité des démarches et de l'absence de garantie de résultat. Les frais d'avocat et les délais de plusieurs années dissuadent la grande majorité des plaignants potentiels.
Des précédents juridiques limités
Quelques décisions de justice ont tenté de corriger ce déséquilibre. En 2022, le tribunal judiciaire de Paris a condamné un opérateur téléphonique à verser 1 500 euros de dommages et intérêts à un client victime d'une fuite de données. Mais ces cas restent exceptionnels.
« La jurisprudence est encore balbutiante, et les montants alloués sont souvent dérisoires par rapport au préjudice réel », estime un avocat spécialisé dans le droit du numérique, cité par l'article. La charge de la preuve incombe presque toujours à la victime, qui doit démontrer le lien direct entre la fuite et le préjudice subi.
Vers un fonds d'indemnisation dédié ?
Face à ce constat, plusieurs voix s'élèvent pour réclamer la création d'un fonds d'indemnisation alimenté par les amendes de la CNIL. Une proposition de loi en ce sens a été déposée à l'Assemblée nationale en 2023, mais elle n'a pas encore été examinée. Le gouvernement, interrogé par le Point, n'a pas souhaité commenter cette piste.
En attendant, les victimes de fuites de données restent largement démunies. L'enquête conclut que le système actuel privilégie la sanction des entreprises au détriment de la réparation des préjudices individuels, un déséquilibre que les défenseurs des droits numériques appellent à corriger d'urgence.
