Gouvernance
La perte de contrôle sur ses données a désormais un prix
Par Laurent Delattre, publié le 13 octobre 2026
Pendant que la France avait la tête à la plage, juges et régulateurs européens, eux, n’ont pas pris de vacances. En quelques semaines, une poignée de décisions a fait passer la protection des données du rayon paperasse à celui des risques sonnants et trébuchants. Reste à savoir combien d’entreprises s’en sont aperçues…
Par Calixte Descamps, experte Privacy chez Adequacy
Août est censé être un mois creux pour la conformité. Celui de 2026 restera comme l’un des plus denses depuis l’entrée en application du RGPD. En quelques semaines, la Cour de justice de l’Union européenne a élargi la notion de dommage réparable, la CNIL a fixé ses règles sur l’entraînement des modèles d’intelligence artificielle à partir de données de santé et sanctionné un éditeur de logiciels qui avait réutilisé les bases de ses clients, le Comité européen de la protection des données a tranché sur le modèle « pay or consent », et les obligations de l’AI Act relatives aux systèmes à haut risque sont entrées en application. Quatre actualités distinctes qui pointent dans la même direction. La conformité cesse d’être un exercice documentaire pour devenir une ligne de risque que les directions générales vont devoir provisionner.
L’anxiété devient un préjudice réparable
L’arrêt du 14 août est le plus lourd de conséquences. Saisie d’une question préjudicielle après une fuite de données consécutive à une cyberattaque, la Cour devait dire si des personnes qui ne démontrent aucun usage frauduleux de leurs données peuvent malgré tout être indemnisées. Sa réponse est affirmative. L’anxiété, la crainte d’une utilisation malveillante future et le simple sentiment d’avoir perdu la maîtrise de ses données personnelles constituent en eux-mêmes un préjudice moral réparable au titre de l’article 82, sans qu’aucun seuil minimal de gravité ne puisse être opposé. La Cour rappelle en outre que si la personne concernée doit établir la réalité de son préjudice, c’est au responsable de traitement de démontrer qu’il n’est pour rien dans le fait générateur, donc de prouver que les mesures de sécurité déployées avant l’incident étaient à l’état de l’art.
L’effet pratique est considérable. Il retire aux actions collectives leur principal obstacle, la preuve d’un préjudice financier individualisé. Un fichier compromis de cent mille personnes ne relève plus seulement de la gestion de crise et de la notification à l’autorité, il devient une exposition contentieuse dont l’ordre de grandeur peut dépasser celui de la sanction administrative. Rares sont les plans de gestion des violations de données qui intègrent aujourd’hui cette variable dans leur quantification d’impact. Rares aussi sont les polices d’assurance cyber calibrées pour l’absorber.
L’IA élargit le cercle des plaignants potentiels
Cette évolution arrive au moment précis où l’intelligence artificielle multiplie les réutilisations de données et, avec elles, le nombre de personnes susceptibles d’invoquer une perte de contrôle. La délibération de la CNIL du 27 août sur l’entraînement des modèles à partir de données de santé le dit sans détour. Retirer les noms et prénoms d’un dossier patient ne l’anonymise pas, surtout face aux capacités d’inférence des modèles actuels. Les données réutilisées restent pseudonymisées, donc pleinement soumises au règlement, et leur exploitation suppose une information individuelle des patients, une possibilité de s’y opposer sans rupture de prise en charge, une analyse d’impact dédiée pour l’accès aux entrepôts de données et des engagements contractuels de non-réidentification.
Le silence des contrats SaaS coûte cher
La sanction de deux millions et demi d’euros prononcée le 20 août contre un éditeur de logiciels de gestion complète le tableau. L’entreprise avait entraîné son modèle interne sur les bases de ses propres clients, qui contenaient des données de santé et de bien-être, sans base légale valable ni information conforme. Le message vaut pour les éditeurs, mais il vaut tout autant pour leurs clients, qui demeurent responsables de traitement. Beaucoup de contrats signés avant 2023 sont muets sur l’entraînement des algorithmes. Ce silence n’est plus neutre.
Dans le même mouvement, le Comité européen de la protection des données a encadré les modèles alternatifs de tarification des plateformes. Le principe est admis, à condition que le tarif proposé pour refuser le ciblage publicitaire ne soit pas dissuasif et que le parcours utilisateur ne comporte aucun de ces artifices d’interface qui rendent le refus plus pénible que l’acceptation. Là encore, ce qui est visé n’est pas la case cochée mais la réalité du choix laissé à la personne.
La documentation AI Act servira de preuve
Reste l’AI Act, dont les obligations relatives aux systèmes à haut risque de l’annexe III s’appliquent désormais directement. Système de gestion des risques sur tout le cycle de vie, évaluation d’impact sur les droits fondamentaux préalable au déploiement dans le secteur public, audit de la qualité des jeux de données d’entraînement, documentation technique et traçabilité stricte. On peut y voir une nouvelle couche de formalisme, ce serait une erreur de lecture. Prises ensemble avec la jurisprudence du 14 août, ces exigences forment le matériau probatoire que l’on sera bien content d’avoir constitué le jour où il faudra démontrer, devant un juge et non plus devant un régulateur, que l’on avait fait ce qu’il fallait.
Prouver plutôt que déclarer
C’est là que se joue la rentrée des organisations. Auditer les projets d’intelligence artificielle qui touchent à des données sensibles, reprendre les clauses des contrats de sous-traitance pour vérifier qu’aucun prestataire ne s’arroge le droit de réutiliser des données pour ses propres modèles, réévaluer le coût d’une violation à l’aune du préjudice moral et confronter ce chiffre aux garanties souscrites. Rien de spectaculaire, mais rien de facultatif non plus. Pendant des années, la question posée aux entreprises était de savoir si elles étaient conformes. Elle est désormais de savoir si elles sauront le prouver.
À LIRE AUSSI :
À LIRE AUSSI :
