Vol de données fiscales : ce que change la décision de la CJUE du 14 décembre 2023
La protection des données personnelles est devenue un enjeu majeur pour les administrations qui détiennent des informations particulièrement sensibles sur les contribuables. Un piratage informatique peut ainsi exposer des millions de personnes à un risque de réutilisation frauduleuse de leurs données et provoquer une véritable inquiétude chez les personnes concernées.
Cette problématique fait directement écho au récent piratage visant l’administration fiscale française. La question de la responsabilité de l’État en cas de vol de données se pose alors avec une particulière acuité.
Dans ce contexte, la décision rendue par la Cour de justice de l’Union européenne (CJUE) le 14 décembre 2023, dans l’affaire C-340/21, apporte des précisions importantes sur l’indemnisation des personnes victimes d’une violation de données personnelles.
Une affaire née du piratage de l'administration fiscale bulgare
L’affaire C-340/21 concerne l’Agence nationale des recettes bulgare, l’administration chargée notamment de la collecte des impôts et des cotisations sociales.
En 2019, cette administration a été victime d’une cyberattaque au cours de laquelle des données personnelles de plusieurs millions de contribuables ont été rendues accessibles sans autorisation.
À la suite de cette attaque, certaines personnes concernées ont engagé une action en justice en invoquant notamment la crainte que leurs données puissent être utilisées à des fins frauduleuses.
La question posée à la CJUE était notamment de savoir si cette crainte pouvait constituer, à elle seule, un préjudice moral susceptible d’être indemnisé au titre du règlement général sur la protection des données (RGPD).
La Cour a répondu par l’affirmative sous certaines conditions.
L'angoisse liée au vol de données peut constituer un préjudice
L’un des principaux apports de cette décision concerne la reconnaissance du préjudice moral.
La CJUE considère que la crainte ressentie par une personne à la suite d’une violation de ses données personnelles peut constituer un dommage non matériel indemnisable.
Autrement dit, une victime n’a pas nécessairement besoin de démontrer qu’une fraude a effectivement été commise avec ses données pour pouvoir invoquer un préjudice.
La peur d’une utilisation abusive de ses données personnelles peut elle-même constituer un préjudice, dès lors qu’elle est réellement établie.
Cette précision est particulièrement importante dans le cadre d’une cyberattaque massive. Lorsqu’une administration est piratée, les personnes concernées peuvent être confrontées pendant plusieurs années à une incertitude concernant l’utilisation qui pourrait être faite de leurs informations personnelles.
La CJUE rappelle toutefois qu’une simple inquiétude hypothétique ou une crainte purement abstraite ne suffit pas automatiquement à obtenir une indemnisation. Le préjudice doit être établi dans le cadre de l’appréciation du dossier.
La responsabilité de l’État n’est pas automatique après une cyberattaque
La décision de la CJUE apporte également une précision essentielle : le simple fait qu’une fuite de données ait eu lieu ne signifie pas automatiquement que l’administration responsable doit indemniser toutes les personnes concernées.
La responsabilité du responsable du traitement doit être appréciée au regard des règles prévues par le RGPD.
Une cyberattaque ne permet donc pas, à elle seule, de conclure à une défaillance de l’administration.
L’administration peut notamment chercher à démontrer qu’elle avait mis en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données personnelles dont elle avait la responsabilité.
La CJUE rappelle ainsi que le responsable du traitement ne peut pas se contenter d’affirmer que les mesures de sécurité étaient suffisantes. Leur caractère approprié doit pouvoir être apprécié concrètement au regard des risques liés au traitement des données et des circonstances de l’attaque.
Quelles conséquences pour le récent piratage de la DGFiP ?
Le rapprochement avec le récent hack de l’administration fiscale française est donc particulièrement intéressant.
Comme dans l’affaire bulgare, la question ne consiste pas uniquement à déterminer si des données personnelles ont été exposées. Il faut également examiner les conséquences de cette violation pour les personnes concernées et les mesures de protection mises en place par l’administration.
Le parallèle ne signifie toutefois pas que la décision de la CJUE entraîne automatiquement une condamnation de l’État français.
Chaque situation doit être appréciée individuellement, notamment au regard :
- de la nature et de la quantité des données concernées ;
- des circonstances dans lesquelles le vol de données s’est produit ;
- des mesures de sécurité mises en œuvre avant et après l’attaque ;
- de la réalité du préjudice invoqué par les personnes concernées ;
- de l’existence éventuelle d’une crainte réelle quant à une utilisation frauduleuse des données.
La décision C-340/21 constitue donc surtout un cadre juridique important pour apprécier la responsabilité de l’État en matière de protection des données.
Quels recours pour les personnes victimes d'une fuite de données ?
Lorsqu’une personne estime que ses données personnelles ont été compromises à la suite d’une cyberattaque, elle peut chercher à obtenir des informations sur la nature des données concernées et sur les mesures prises par l’organisme responsable. Selon les circonstances, elle peut également exercer ses droits prévus par le RGPD et, lorsque les conditions sont réunies, engager une action afin de demander réparation du préjudice subi. La décision de la CJUE rappelle ainsi que la protection des données ne se limite pas à prévenir les cyberattaques : elle implique également de garantir aux personnes concernées des recours effectifs lorsqu’une violation leur cause un préjudice.
