L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Une personne peut-elle demander des dommages et intérêts ?
Le droit à réparation du dommage matériel et moral, la preuve d'un préjudice réel, l'exonération possible et l'exposition en cas de fuite massive.
Le droit à réparation du dommage matériel et moral, la preuve d'un préjudice réel, l'exonération possible et l'exposition en cas de fuite massive.
Introduction
Le risque financier ne se limite pas à l’amende administrative. L’action civile des personnes concernées constitue une exposition distincte, croissante depuis les fuites de données de grande ampleur.
Le fondement
Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable ou du sous-traitant réparation du préjudice subi.
Ce droit est autonome : il s’exerce devant le juge, indépendamment de toute procédure devant la CNIL, et une absence de sanction administrative ne fait pas obstacle à l’action.
Les trois conditions
Un manquement au règlement.
Un dommage, matériel ou moral, réellement subi.
Un lien de causalité entre les deux.
La seule constatation d’un manquement ne suffit donc pas : la personne doit établir un préjudice.
Cette exigence écarte les demandes fondées sur la seule irrégularité, sans conséquence démontrée.
Le préjudice matériel
Il correspond aux conséquences économiques : frais engagés pour se prémunir d’une usurpation, pertes financières résultant d’une fraude, coûts de remplacement de moyens de paiement, temps consacré aux démarches.
Sa démonstration est classique et repose sur des justificatifs.
Le préjudice moral
Il est expressément visé par le règlement.
La crainte fondée d’un usage abusif des données à la suite d’une fuite peut constituer un préjudice moral indemnisable.
Cette crainte doit être établie et ne peut se réduire à une inquiétude purement hypothétique : la nature des données divulguées, l’ampleur de la fuite et le contexte sont pris en compte.
Les montants individuels demeurent modestes, mais leur multiplication dans une fuite affectant des centaines de milliers de personnes change l’ordre de grandeur.
L’exonération
Le responsable ou le sous-traitant est exonéré de responsabilité s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable.
Cette formulation est exigeante : elle ne se satisfait pas de la démonstration d’une diligence normale.
En pratique, l’exonération est rarement admise en présence d’une faille de sécurité, l’obligation de sécurité étant appréciée au regard de l’état des connaissances.
La responsabilité du sous-traitant
Le sous-traitant n’est responsable que s’il n’a pas respecté les obligations qui lui incombent spécifiquement, ou s’il a agi en dehors des instructions licites du responsable.
Lorsque plusieurs acteurs sont impliqués dans le même traitement, chacun peut être tenu pour l’intégralité du dommage, afin de garantir une réparation effective, avec recours ultérieur entre eux.
Cette solidarité justifie l’attention portée aux clauses de répartition dans les accords de sous-traitance.
L’action collective
Le droit français permet à des associations agréées d’agir collectivement pour la défense des personnes concernées.
Cette voie modifie l’économie du risque : elle rend rentable la réparation de préjudices individuels modestes en les agrégeant.
Les fuites de données de grande ampleur constituent le terrain naturel de ces actions.
La prévention du risque civil
La réduction du risque passe par les mêmes mesures que la conformité administrative, avec une insistance particulière sur la sécurité.
Elle passe également par la gestion de crise : une notification rapide, une information claire des personnes et des mesures d’accompagnement, notamment un dispositif de surveillance, réduisent le préjudice et donc l’exposition.
La documentation des mesures antérieures constitue le principal élément de défense.
Anticiper le contentieux civil
L’exposition civile survit à la clôture du dossier administratif. Notre expertise en contentieux commercial accompagne ces défenses.
En résumé
- Trois conditions : manquement, dommage réel, lien de causalité.
- La seule irrégularité, sans préjudice démontré, n’ouvre pas droit à réparation.
- Le préjudice moral est indemnisable, s’il est établi et non hypothétique.
- L’exonération suppose que le fait ne soit nullement imputable : elle est rarement admise.
- Les actions collectives rendent rentable la réparation de préjudices individuels modestes.
Questions fréquentes
Un manquement suffit-il à obtenir réparation ?
Non. La personne doit démontrer un dommage réel, matériel ou moral, et un lien de causalité avec le manquement. La seule violation du règlement n'ouvre pas droit automatiquement à réparation.
Le préjudice moral est-il indemnisable ?
Oui. La crainte d'un usage abusif des données peut constituer un préjudice moral indemnisable, à condition d'être établie et non purement hypothétique.
Le responsable peut-il s'exonérer ?
Il est exonéré s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. Cette exonération est d'application stricte.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
