Un client vous appelle, affolé : des données de livraison viennent d’être publiées sur un forum. En tant que dirigeant d’une PME, vous pensez immédiatement à l’amende de la CNIL. Ce que beaucoup d’articles de première page n’expliquent pas, c’est qu’une action en responsabilité civile peut suivre, même sans plainte de la CNIL. Depuis 2023, l’arrêt C-340/21 de la Cour de justice de l’Union européenne a modifié l’équilibre : il ne suffit plus d’attendre qu’on vous démontre une faute. La fuite elle-même crée une présomption simple à votre encontre.
La fuite de données ne pardonne pas l’improvisation
Le RGPD, en vigueur depuis 2018, n’exige pas qu’une PME transforme son réseau en bunker. L’article 32 impose des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Traduit pour un dirigeant : vous devez adapter la protection à la sensibilité des données et aux menaces connues, pas tout verrouiller.
Une obligation de moyens, en somme, pas de résultat. Si un pirate exploite une faille inconnue, votre responsabilité n’est pas automatique. Mais si vous avez conservé un mot de passe par défaut sur le portail client, l’histoire change.
Comment un juge évalue-t-il cette obligation ? Il ne regarde pas d’abord si l’attaque a réussi. Il regarde si vous aviez pris des dispositions proportionnées. Un sous-traitant qui stocke des bulletins de paie sans chiffrement, sans journal des accès et sans procédure de révocation des comptes part avec un lourd handicap. À l’inverse, une TPE qui documente ses choix peut défendre la cohérence de son dispositif, même après un incident. La nuance est là : ce n’est pas la taille de l’entreprise qui protège, c’est la trace écrite.
Dans les faits, la plupart des incidents commencent par un détail oublié : un compte administrateur partagé, une mise à jour repoussée, une clé USB perdue. Ces détails racontent une histoire aux yeux d’un juge. Ils montrent si la sécurité était un sujet vivant ou un classeur poussiéreux. Pour une PME, la difficulté n’est pas de tout anticiper, mais de prouver que les arbitrages ont existé. Un audit ponctuel sans suivi ne pèse pas lourd face à une présomption simple.
L’arrêt C-340/21 déplace le fardeau
L’affaire jugée en 2023 par la Cour de justice concernait l’autorité bulgare de recouvrement des créances publiques. Une violation de données personnelles s’était produite, et la question portait sur la charge de la preuve. La Cour a répondu qu’une violation de données ne prouve pas en soi que l’obligation de sécurité a été méconnue, mais elle crée une présomption simple de manquement. En pratique, la personne qui attaque votre entreprise n’a plus besoin de démontrer en détail en quoi vos mesures étaient insuffisantes. C’est à vous de démontrer que vous aviez pris les mesures nécessaires.
Il ne faut pas lire cet arrêt comme un couperet automatique. Une présomption simple peut être renversée. Vous pouvez apporter la preuve contraire : journaux de supervision, comptes rendus de tests, procédures d’alerte internes. Le vrai risque, pour une PME, c’est de ne rien avoir documenté.
La charge de la preuve devient alors un piège silencieux, car on découvre après coup que les mails échangés avec un prestataire ne suffisent pas à établir la réalité d’une mesure technique. Sur ce point, voir aussi notre article sur avocat international.
La grille de preuves que le dirigeant devrait préparer
Avant même de penser à un procès, le réflexe devrait être de rassembler ce qui peut raconter la sécurité du système. Beaucoup de dirigeants conservent des factures de prestataires, mais pas les éléments qui montrent comment le système était protégé au moment de l’incident. Un juge ou une autorité de contrôle regarde rarement la plaquette commerciale, il veut des traces. Ces traces ne s’improvisent pas après une violation, car les dates et les contenus doivent être cohérents.
Ce qu’un juge aimerait trouver dans le dossier
- Une analyse des risques documentée, revue après chaque changement d’organisation.
- Des journaux de mises à jour des logiciels métier et des pare-feu, pas juste des factures.
- La trace d’une formation réelle des salariés face aux hameçonnages, avec le contenu et la date.
- Un plan de remédiation testé, même imparfait.
- Avez-vous conservé les comptes rendus de tests d’intrusion et les corrections qui ont suivi ?
Franchement, la plupart des PME découvrent ces exigences au mauvais moment. Consulter un avocat-cybersecurite.fr avant qu’un incident ne survienne aide à trier les documents qui ont une vraie valeur juridique. Un simple ticket d’incident ouvert puis refermé sans action corrective n’apportera rien devant un juge, au contraire.
La responsabilité civile ne joue pas sur un seul registre
L’engagement de votre entreprise peut être recherché sur des registres que le droit distingue soigneusement. Le premier est contractuel : un client peut invoquer une clause de cybersécurité, un niveau de protection chiffré ou un délai de notification inscrit au contrat.
Le second est extracontractuel : des tiers sans contrat, dont les coordonnées figuraient dans un fichier volé, peuvent réclamer réparation. Dans un registre comme dans l’autre, la présomption simple issue de l’arrêt C-340/21 facilite la position des demandeurs, qu’ils soient clients ou simples visiteurs.
Il faut aussi distinguer les postes de préjudice. Les clients peuvent demander la réparation d’un préjudice matériel si des comptes bancaires ont été vidés, ou d’un préjudice moral si la publication de leurs données a causé une angoisse réelle.
Les juges français restent prudents sur l’évaluation du préjudice moral, mais la simple exposition de données sensibles suffit parfois à ouvrir un droit à indemnisation. La charge de la preuve pèse alors sur vous, et c’est tout l’enjeu de la grille documentaire évoquée plus haut.
Une présomption est un levier, pas une condamnation
Le dirigeant d’une PME ne doit pas céder à la panique : la présomption simple de manquement issue de l’arrêt C-340/21 se combat avec des documents, pas avec des promesses. Rassembler des preuves de sécurité avant l’incident demande du temps, mais c’est ce temps qui vous évitera de subir seul la démonstration d’une faute. Si une fuite survenait demain matin, pourriez-vous produire les traces de vos mesures avant même qu’un avocat ne vous les demande ?