Par Tom Meevis, avocat chez Law & More
Les cyberattaques telles que les rançongiciels, le phishing, les attaques DDoS et les intrusions informatiques affectent rarement uniquement l'organisation visée. Les victimes de cyberattaques comprennent également les clients, les employés, les patients, les fournisseurs et les autres partenaires de la chaîne d'approvisionnement qui peuvent subir des pertes, et leur situation juridique diffère selon les groupes. Toute personne souhaitant établir, après une attaque, les obligations applicables et les recours possibles a donc tout intérêt à déterminer au préalable précisément qui a été touché et quels dommages ont été causés.
Cet article aborde successivement les critères permettant de déterminer qui est considéré comme victime, les cas où une violation de données doit être notifiée, les conditions d'obtention d'une indemnisation, les parties susceptibles d'être tenues responsables, le rôle du droit pénal, les éléments généralement couverts par une police d'assurance cybernétique et les mesures à prendre immédiatement après une attaque.
Qui sont les victimes des cyberattaques ?
On peut distinguer trois groupes lors d'une cyberattaque.
- L'organisation touchée elle-même, qui doit faire face à une interruption de service, à des pertes de chiffre d'affaires, à des coûts de récupération, aux coûts d'une enquête judiciaire et à une atteinte à sa réputation.
- Les personnes physiques dont les données personnelles ont été divulguées, comme les clients, les employés et les patients, peuvent subir des pertes financières, mais aussi des préjudices moraux liés à la perte de contrôle sur leurs données, à l'incertitude ou à la crainte d'usurpation d'identité.
- Les tiers affectés par une relation contractuelle ou de chaîne d'approvisionnement, par exemple parce qu'ils dépendent d'un fournisseur dont les systèmes sont tombés en panne.
Cette classification a une incidence juridique. Le fondement de toute action en justice, et la partie contre laquelle elle peut être intentée, dépendent de la situation de la victime. Une organisation concernée demandera généralement des comptes à son fournisseur informatique en vertu du contrat, tandis qu'une personne concernée peut se fonder directement sur le fondement autonome de responsabilité prévu par le RGPD.
Quand une violation de données doit-elle être signalée ?
Lorsqu'une cyberattaque implique des données à caractère personnel, il convient d'évaluer s'il y a eu violation de données et si une notification est obligatoire. L'article 33 du RGPD exige que toute violation soit notifiée à l'autorité de contrôle sans délai indu et, si possible, dans un délai de soixante-douze heures, sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.
En outre, l'article 34 du RGPD peut imposer à l'organisation d'informer elle-même les personnes concernées. Cette obligation s'applique lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. La communication peut être omise si des mesures techniques appropriées, telles que le chiffrement, étaient en place, si des mesures ultérieures garantissent que le risque élevé ne se concrétisera plus, ou si une communication individuelle exigerait un effort disproportionné ; dans ce dernier cas, une communication publique suffit.
Pour la personne concernée, cette communication est plus qu'une simple formalité. Elle lui permet de prendre des mesures, par exemple en changeant ses mots de passe ou en surveillant les transactions suspectes, et constitue souvent, en pratique, le point de départ de toute demande d'indemnisation.
Une organisation doit donc établir non seulement qu'une attaque a eu lieu, mais aussi quelles données ont été affectées, si des données ont effectivement été exfiltrées et quels risques en découlent. Une enquête forensique indépendante est souvent indispensable à cette fin.
Cela est d'autant plus vrai lorsque l'attaque se produit chez un sous-traitant plutôt qu'au sein même de l'organisation. Dans la procédure sommaire opposant Blauw Research à Nebu (Tribunal de district de Rotterdam, 6 avril 2023, ECLI:NL:RBROT:2023:2931), le juge des référés a estimé que, conformément à l'accord de traitement des données conclu entre les parties, le responsable du traitement était en droit d'obtenir davantage d'informations sur l'attaque, ses conséquences et les mesures prises que celles initialement fournies. Le sous-traitant a également été sommé de faire réaliser une enquête forensique indépendante et de rendre compte périodiquement. Ce jugement démontre qu'un accord de traitement des données bien rédigé constitue, en pratique, l'instrument le plus important pour obtenir des informations en temps utile après un incident, précisément parce que le responsable du traitement a besoin de ces informations pour s'acquitter de ses propres obligations de notification.
À quel moment naît le droit à indemnisation ?
Les personnes concernées peuvent demander réparation au responsable du traitement ou au sous-traitant en vertu de l'article 82 du RGPD. Toutefois, une cyberattaque ne donne pas automatiquement lieu à une réclamation ; elle doit être justifiée.
- que le RGPD a été enfreint ;
- que des dommages ont effectivement été subis; et
- qu'il existe un lien de causalité entre cette infraction et ce dommage.
Le préjudice matériel peut comprendre des pertes financières, des frais de recouvrement ou des pertes dues à une usurpation d'identité. Quant au préjudice moral, la Cour de justice de l'Union européenne a jugé dans l'affaire Österreichische Post (CJUE, 4 mai 2023, C-300/21) qu'il n'existe pas de seuil minimal de gravité, mais qu'une violation du RGPD à elle seule ne suffit pas à justifier l'octroi de dommages-intérêts.
L’arrêt Natsionalna agentsia za prihodite (CJUE, 14 décembre 2023, C-340/21) est particulièrement pertinent en matière de violation de données suite à une cyberattaque. Dans cette affaire, la Cour a jugé que la crainte d’une utilisation abusive future des données personnelles divulguées peut constituer en soi un préjudice moral. La personne concernée doit toutefois justifier concrètement cette crainte et ses conséquences ; le simple fait de constater la fuite de données ne suffit pas. Dans le même arrêt, la Cour a confirmé qu’il incombe au responsable du traitement de prouver que les mesures de sécurité mises en œuvre étaient appropriées et qu’une attaque menée par un tiers ne l’exonère pas de sa responsabilité.
La responsabilité au titre du RGPD s'ajoute aux fondements juridiques de la responsabilité civile délictuelle et contractuelle. Aux termes de l'article 6:162(1) du Code civil néerlandais, la partie qui commet un acte illicite imputable doit réparer le préjudice causé. Le principe de relativité énoncé à l'article 6:163 s'applique : la norme enfreinte doit servir à protéger contre un préjudice du même ordre que celui subi par la partie lésée.
Il est important de noter que l'article 82 du RGPD s'ajoute à ces fondements juridiques. Une personne concernée n'est donc pas tenue de fonder sa réclamation uniquement sur une rupture de contrat ou un délit, mais peut se prévaloir directement du fondement de responsabilité autonome prévu par le RGPD. Pour l'organisation lésée, cette combinaison de fondements signifie que plusieurs parties peuvent intenter des actions simultanément après une cyberattaque.
Qui peut être tenu responsable ?
L'organisation concernée peut être tenue responsable si elle manque à ses obligations contractuelles ou si elle a pris des mesures de sécurité insuffisantes. Un prestataire de services informatiques ou un sous-traitant peut également être tenu responsable. Les obligations de ce prestataire sont définies en premier lieu par le contrat.
Dans le cadre d'une relation de traitement des données, le contrat de traitement joue un rôle central. L'article 28 du RGPD impose au responsable du traitement et au sous-traitant de conclure un tel contrat, qui régit notamment les mesures de sécurité et la gestion des violations de données. Si l'attaque résulte d'une sécurité insuffisante chez le sous-traitant, le responsable du traitement peut engager sa responsabilité, en vertu du contrat, pour le préjudice subi.
Cela ressort clairement de l'affaire relative à la cyberattaque contre la commune de Hof van Twente (Tribunal de district d'Overijssel, 10 mai 2023, ECLI:NL:RBOVE:2023:1731). Les parties avaient convenu d'une surveillance fonctionnelle, et non d'une surveillance de sécurité. Le tribunal a jugé que l'obligation de diligence d'un administrateur informatique ne s'étend pas au point que la surveillance de sécurité soit tacitement intégrée à une mission de surveillance fonctionnelle, et a débouté la commune. Il a également relevé que la commune avait elle-même pris des décisions ayant accru le risque, notamment sa politique de mots de passe et l'ouverture d'un port RDP.
L'affaire O'Cliance (Tribunal de district de Amsterdam(14 novembre 2018, ECLI:NL:RBAMS:2018:10124). Dans cette affaire, le fournisseur avait installé une infrastructure informatique complète et en assurait la gestion. Suite à une attaque par rançongiciel ayant également crypté les sauvegardes, le tribunal a jugé que la fourniture d'une telle offre globale impliquait une obligation de diligence étendue et que des mesures élémentaires avaient été omises. La responsabilité n'a toutefois pas été intégralement accordée : en raison de la faute contributive du client, les deux tiers du préjudice sont restés à la charge du fournisseur.
L'importance que peut revêtir la charge de la preuve en matière de sécurité est illustrée par le cas du compte de messagerie piraté d'un concessionnaire automobile. Dans l'arrêt provisoire du 5 novembre 2024 (Cour d'appel d'Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), le concessionnaire a eu la possibilité de prouver que son compte de messagerie était correctement sécurisé au sens du RGPD, après qu'un pirate informatique l'eut utilisé pour envoyer une fausse instruction de paiement à un acheteur. Dans l'arrêt complémentaire du 22 juillet 2025 (ECLI:NL:GHARL:2025:4556), la cour a constaté que cette preuve n'avait pas été apportée, laissant aux parties la question de la responsabilité contributive de l'acheteur. Les deux arrêts concernent donc la même procédure.
Le point commun est que les accords contractuels, les risques liés au traitement, les mesures effectivement prises, les avertissements échangés et le comportement de la partie lésée sont tous déterminants. Outre la responsabilité civile, l' Autorité néerlandaise de protection des données peut infliger des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ces amendes sont appliquées indépendamment du fait que les personnes concernées aient ou non subi un préjudice.
La voie du droit pénal
Une cyberattaque peut également constituer une infraction pénale, au même titre que l'intrusion informatique, la mise hors service de données ou l'appropriation de données non publiques. L'article 138ab(1) du Code pénal néerlandais érige en infraction le fait d'accéder intentionnellement et illégalement à un système automatisé.
Les victimes peuvent signaler l'infraction à la police, qui dispose d'équipes spécialisées dans la cybercriminalité. Si un suspect est poursuivi, la victime peut se joindre à la procédure pénale en tant que partie lésée et demander réparation. Cette voie évite une procédure civile distincte, mais son issue dépend de la détection, des poursuites et des preuves, qui, face à des auteurs d'infractions opérant à l'échelle internationale, ne donnent souvent aucun résultat. Pour les organisations, le signalement est souvent une nécessité pratique, car les assureurs et les partenaires de la chaîne d'approvisionnement l'exigent.
Que couvre la cyber-assurance?
Une police d'assurance cyber peut couvrir, entre autres :
- Intervention en cas d'incident et enquête médico-légale ;
- restauration des systèmes et des données ;
- pertes liées à l'interruption d'activité et au manque à gagner ;
- communication de crise ;
- responsabilité envers les tiers ;
- frais juridiques; et
- dans certains cas, des amendes, des règlements à l'amiable ou des rançons, dans la mesure où cela est assurable en vertu de la loi applicable.
La couverture exacte dépend du contrat. Soyez attentif aux exclusions, aux conditions de sécurité, aux délais de notification, aux franchises et aux exigences relatives au recours à des experts. L'article 7:957(1) du Code civil néerlandais oblige également l'assuré à prendre des mesures raisonnables pour prévenir ou limiter le sinistre. En cas de manquement à cette obligation de sauvetage, l'assureur peut réduire l'indemnisation.
Il convient donc d'informer au plus vite l'assureur cyber. Faire appel à des experts externes ou payer une rançon sans son accord peut avoir des conséquences sur la couverture.
Que faire immédiatement après une cyberattaque ?
- Consignez soigneusement l'incident et toutes les actions pertinentes.
- Isoler les systèmes affectés sans perdre de preuves.
- Faites appel à un expert médico-légal.
- Évaluer s'il y a eu violation de données à déclarer.
- Évaluer si les personnes concernées doivent être informées.
- Signalez l'infraction à la police.
- Signalez l'incident à votre assureur cyber.
- Conservez les journaux, les sauvegardes, les courriels et autres données pertinentes.
- Cartographiez les dommages et les parties potentiellement responsables.
- Informez soigneusement et en temps opportun les clients, les employés et les partenaires de la chaîne d'approvisionnement.
Une cyberattaque n'est donc pas un simple incident technique. Elle relève également du droit de la protection des données, du droit civil, du droit pénal et du droit des assurances. Une réponse rapide et documentée permet non seulement de limiter les dégâts, mais s'avère également déterminante pour les notifications, la prise en charge par l'assurance et votre capacité à constituer un élément de preuve solide dans toute procédure judiciaire.
En terminant
Les droits et obligations consécutifs à une cyberattaque relèvent de plusieurs domaines du droit, et l'issue d'une affaire dépend fortement des faits spécifiques, du contenu du contrat et de la qualité des preuves. La jurisprudence analysée montre que le fournisseur comme le client sont jugés sur leur propre comportement et que des délais tels que le délai de notification de soixante-douze heures ne laissent que peu de marge de manœuvre.
Law & More Nous accompagnons les organisations et les personnes concernées dans la gestion juridique des incidents de cybersécurité : de l’évaluation des obligations de notification et de l’examen des accords de traitement des données à l’établissement des responsabilités, aux questions d’assurance et au recouvrement des pertes. Êtes-vous confronté à une cyberattaque ou à une violation de données ? Souhaitez-vous que vos contrats soient examinés au préalable par nos experts afin de prendre en compte ces risques ? Droit IT équipe ? N'hésitez pas à contactez Law & More pour une discussion sans engagement de votre situation.
Foire aux questions
Vous trouverez ci-dessous les réponses aux questions qui nous sont le plus souvent posées à ce sujet.
Qui sont les victimes d'une cyberattaque ?
Il existe trois niveaux. Premièrement, l'organisation affectée elle-même, qui supporte l'indisponibilité du système, le manque à gagner, les coûts de remise en service, les frais d'enquête et l'atteinte à sa réputation. Deuxièmement, les personnes concernées, c'est-à-dire les personnes physiques dont les données personnelles ont été exposées, comme les clients, les employés et les patients. Troisièmement, les tiers subissant un préjudice du fait d'une relation contractuelle ou d'une chaîne d'approvisionnement, par exemple parce qu'ils dépendent d'un fournisseur défaillant. Cette classification détermine le fondement juridique d'une action en justice et les parties contre lesquelles elle peut s'opposer.
Dans quel délai dois-je signaler une violation de données ?
L’article 33 du RGPD impose la notification à l’autorité de contrôle sans délai indu et, si possible, dans les soixante-douze heures suivant la découverte de la violation. Cette obligation ne s’applique pas si la violation est peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Cette appréciation nécessite une analyse de la nature de la violation, des catégories de données concernées et des conséquences possibles.
Quand dois-je informer les personnes concernées elles-mêmes ?
Conformément à l'article 34 du RGPD, lorsqu'une violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, la communication peut être omise si des mesures techniques appropriées, telles que le chiffrement, ont été mises en œuvre, si des mesures ultérieures garantissent que le risque élevé ne se concrétisera plus, ou si une communication individuelle exigerait des efforts disproportionnés. Dans ce dernier cas, une communication publique suffit.
Puis-je obtenir des informations d'un fournisseur dont le système a été piraté ?
Oui, lorsqu'un accord de traitement des données le prévoit. Dans la procédure sommaire opposant Blauw Research à Nebu (Tribunal de district de Rotterdam, 6 avril 2023, ECLI:NL:RBROT:2023:2931), le juge des référés a estimé qu'en vertu de l'accord de traitement des données, le responsable du traitement était en droit d'obtenir davantage d'informations sur l'attaque, ses conséquences et les mesures prises que celles qui lui avaient été fournies. Il a donc ordonné au sous-traitant de faire réaliser une enquête forensique indépendante et de rendre compte périodiquement. Ces informations sont nécessaires pour vous permettre de remplir vos obligations de notification.
En tant que personne concernée, ai-je automatiquement droit à une indemnisation après une violation de données ?
Non. L’article 82 du RGPD constitue un fondement autonome, mais vous devez prouver que le RGPD a été enfreint, que vous avez subi un préjudice réel et qu’il existe un lien de causalité entre l’infraction et ce préjudice. La charge de la preuve incombe au demandeur.
La crainte d'usurpation d'identité peut-elle être considérée comme un préjudice non matériel ?
C’est possible. Dans l’arrêt Natsionalna agentsia za prihodite (CJUE, 14 décembre 2023, C-340/21), la Cour de justice a jugé que la crainte d’une utilisation abusive future de données personnelles divulguées peut constituer en soi un préjudice moral. La personne concernée doit toutefois justifier concrètement cette crainte et ses conséquences. L’arrêt Österreichische Post (CJUE, 4 mai 2023, C-300/21) précise qu’il n’existe pas de seuil minimal de gravité, mais qu’une violation du RGPD à elle seule n’est pas suffisante.
Qui doit prouver que les mesures de sécurité étaient appropriées ?
Le responsable du traitement. Dans l'arrêt C-340/21, la Cour de justice a confirmé qu'il incombe au responsable du traitement de démontrer que les mesures de sécurité mises en œuvre étaient appropriées et qu'une attaque par un tiers ne l'exonère pas de sa responsabilité. Aux Pays-Bas, cette situation s'est illustrée dans l'affaire du piratage du compte de messagerie d'un concessionnaire automobile. La Cour d'appel d'Arnhem-Leeuwarden a d'abord donné au concessionnaire la possibilité de fournir cette preuve (ECLI:NL:GHARL:2024:6812), puis a constaté qu'elle n'avait pas été apportée (ECLI:NL:GHARL:2025:4556).
Mon fournisseur informatique est-il responsable s'il n'a pas détecté une attaque ?
Cela dépend des termes de l'accord. Dans l'affaire concernant la cyberattaque contre la commune de Hof van Twente (Tribunal de district d'Overijssel, 10 mai 2023, ECLI:NL:RBOVE:2023:1731), les parties avaient convenu d'une surveillance fonctionnelle, et non d'une surveillance de sécurité. Le tribunal a estimé que l'obligation de diligence d'un administrateur informatique ne s'étend pas au point d'inclure tacitement la surveillance de sécurité dans cette obligation, et a débouté la demande. En revanche, lorsqu'une offre globale plus complète est fournie, l'obligation de diligence peut être beaucoup plus étendue, comme dans l'affaire O'Cliance (Tribunal de district de Amsterdam, 14 novembre 2018, ECLI:NL:RBAMS:2018:10124), où le fournisseur a été tenu responsable des deux tiers de la perte.
Ma propre conduite peut-elle réduire l'indemnisation ?
Oui. La faute contributive joue un rôle récurrent dans ce type d'affaires. Dans l'affaire O'Cliance, un tiers de la perte est resté à la charge du client, et dans le cas du compte de messagerie piraté, les parties ont été tenues de remédier à la faute contributive de l'acheteur. Votre politique de mots de passe, les ports laissés ouverts ou les avertissements ignorés peuvent donc avoir une incidence directe sur le résultat.
Quelles amendes l'autorité de protection des données peut-elle imposer ?
En cas de violation du RGPD, l'autorité de contrôle peut infliger des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ces amendes sont appliquées indépendamment de l'existence ou non d'un préjudice subi par les personnes concernées et constituent donc un risque distinct de la responsabilité civile.
Puis-je porter plainte et réclamer mon préjudice par le biais d'une procédure pénale ?
Oui. L'article 138ab(1) du Code pénal néerlandais érige en infraction le fait d'accéder intentionnellement et illégalement à un système automatisé. Vous pouvez porter plainte auprès de la police et, si un suspect est poursuivi, vous joindre à la procédure pénale en tant que partie lésée afin de demander réparation. L'issue dépend de la détection, des poursuites et des preuves, qui, dans le cas d'auteurs d'infractions opérant à l'échelle internationale, ne donnent souvent aucun résultat.
Que couvre généralement l’assurance cybernétique ?
L'assurance couvre généralement la réponse aux incidents et l'enquête forensique, la restauration des systèmes et des données, les pertes d'exploitation et le manque à gagner, la communication de crise, la responsabilité civile et les frais juridiques, et, dans certains cas, les amendes, les indemnités ou le versement d'une rançon, dans la limite de la couverture prévue par la loi applicable. Soyez attentif aux exclusions, aux conditions de sécurité, aux délais de notification et aux franchises, et examinez attentivement la police d'assurance avant qu'un incident ne survienne.
Puis-je perdre ma couverture en agissant de manière inappropriée après une attaque ?
C'est possible. L'article 7:957(1) du Code civil néerlandais oblige l'assuré à prendre des mesures raisonnables pour prévenir ou limiter le sinistre ; à défaut, l'assureur peut réduire l'indemnisation. Le recours à des experts externes ou le paiement d'une rançon sans l'accord de l'assureur peuvent également avoir une incidence sur la couverture. Informez votre assureur au plus vite.
Quelles sont les mesures à prendre immédiatement après une cyberattaque ?
Consignez l'incident et toutes les actions entreprises, isolez les systèmes affectés sans perte de preuves et faites appel à un expert en cybersécurité. Déterminez ensuite s'il s'agit d'une violation de données à déclarer et si les personnes concernées doivent être informées. Signalez l'infraction, informez votre assureur cyber, conservez les journaux, les sauvegardes et la correspondance, cartographiez les dommages et les parties potentiellement responsables, et informez vos clients, employés et partenaires de la chaîne d'approvisionnement avec soin et en temps opportun.
