Fuite de données clients et actions collectives : ce que les clients peuvent réclamer

Page du service : Avocat pour actions collectives et litiges de consommation en Israël.

La fuite d’une base de données clients est un événement dans lequel de nombreuses victimes subissent chacune un préjudice faible et difficile à chiffrer : exactement la situation pour laquelle l’action collective a été créée. Mais la voie ne va pas de soi : la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), ne contient pas de disposition expresse permettant une action collective, et la cause d’action passe donc par une autre porte. Voici la structure juridique, article par article.

Vous êtes victime d’une fuite de données : que pouvez-vous exiger ?

Comment passer la porte : l’article 3 et la deuxième annexe

L’article 3(a) de la loi sur les actions collectives, 5766-2006 (חוק תובענות ייצוגיות, התשס״ו-2006) prévoit qu’une action collective ne peut être introduite que pour une demande énumérée dans la deuxième annexe, ou dans une matière pour laquelle une disposition légale expresse prévoit qu’une action collective peut être introduite. La loi sur la protection de la vie privée ne contient pas une telle disposition. C’est pourquoi une fuite de données clients se poursuit, dans la plupart des cas, au titre du point 1 de la deuxième annexe :

La loi sur la protection du consommateur, 5741-1981 (חוק הגנת הצרכן), définit le « professionnel » comme celui qui vend un bien ou fournit un service à titre professionnel, y compris un fabricant. Une société qui a collecté les coordonnées de clients lors d’une vente ou de la fourniture d’un service est un professionnel, et les informations qui lui ont été remises sont une « affaire entre lui et un client ». C’est pourquoi une fuite provenant d’un site commercial, d’une chaîne de magasins ou d’un prestataire de services relève du point 1, alors qu’une fuite provenant d’un organisme qui n’est pas un professionnel exige un autre fondement.

La cause d’action elle-même : qu’est-ce qui a été violé, exactement ?

L’article 2 de la loi sur la protection de la vie privée énumère les actes qui constituent une atteinte à la vie privée. Dans le contexte d’une fuite, sont particulièrement pertinents le point (9), l’utilisation d’informations sur les affaires privées d’une personne ou leur transmission à autrui, à une fin autre que celle pour laquelle elles ont été communiquées ; le point (7), la violation d’une obligation de confidentialité prévue par la loi ; et le point (8), la violation d’une obligation de confidentialité prévue par un accord exprès ou tacite, comme une politique de confidentialité que la société a elle-même publiée. L’article 4 prévoit que l’atteinte à la vie privée est un délit civil auquel s’appliquent les dispositions de l’ordonnance sur les délits civils [nouvelle version] (פקודת הנזיקין [נוסח חדש]).

À côté se trouve l’article 17, selon lequel le responsable d’une base de données et le détenteur d’une base de données sont chacun responsables de la sécurité des données qu’elle contient. C’est une obligation autonome, et sa violation est le cœur probatoire d’un dossier de fuite : non pas l’intrusion elle-même, mais l’écart entre les mesures prises et celles qui étaient requises.

Les montants : l’article 29A, et la distinction que l’on manque

L’article 29A de la loi sur la protection de la vie privée permet, dans une action civile au titre de l’article 4, une indemnisation sans preuve du préjudice jusqu’à un montant que la loi fixe à 50 000 ₪, et jusqu’au double lorsqu’il est prouvé que l’atteinte a été commise avec l’intention de nuire. Comme dans la loi sur l’interdiction de la diffamation, 5725-1965 (חוק איסור לשון הרע), le montant est ici aussi indexé : selon l’article 29A(d), il est actualisé le 16 de chaque mois selon l’indice des prix à la consommation, l’indice de base étant celui de mai 2007. Le plafond en vigueur selon la mise à jour du 16 octobre 2026 est donc de 72 221,22 ₪, et le double de 144 442,44 ₪. Mais c’est une réparation propre à l’action individuelle : l’article 20(e) de la loi sur les actions collectives interdit d’accorder, dans une action collective, des dommages-intérêts exemplaires ou des dommages-intérêts sans preuve du préjudice. Dans une demande d’autorisation dans un dossier de fuite, il faut établir un préjudice, pécuniaire ou non pécuniaire, et non s’appuyer sur l’article 29A.

Il faut ici faire une distinction sur laquelle on se trompe sans cesse. L’amendement n° 13 de la loi a ajouté l’article 15A, qui permet des dommages-intérêts exemplaires jusqu’à 10 000 ₪, mais seulement pour une liste fermée de violations : le défaut d’enregistrement d’une base de données soumise à enregistrement, le défaut de remise de l’avis prévu à l’article 11 ou 23D, le refus de permettre l’accès au titre des articles 13 et 13A, le défaut de rectification ou d’effacement d’informations et le défaut d’avis du refus de les rectifier, et le défaut d’informer le directeur de l’Autorité de la réception régulière d’informations au titre de l’article 23D(c). La fuite de données en elle-même ne figure pas sur cette liste. Celui qui fonde une demande d’autorisation sur l’article 15A pour un incident de sécurité bâtit sur un fondement qui n’existe pas.

L’obligation de notification : ce qui est vraiment écrit, et quand

L’obligation de signaler un incident de sécurité ne figure pas dans la loi mais dans le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017). L’article 11(d) prévoit qu’en cas d’incident de sécurité grave, le responsable de la base de données en informe le registraire (aujourd’hui, le directeur de l’Autorité de protection de la vie privée) sans délai, et rend compte aussi des mesures qu’il a prises. Le registraire a le pouvoir d’ordonner au responsable de la base de données, après consultation du directeur de la Direction nationale de la cybersécurité, d’informer aussi de l’incident la personne concernée susceptible d’en être lésée.

L’« incident de sécurité grave » est défini à l’article 1 selon le niveau de sécurité applicable à la base de données. Pour une base de données de niveau de sécurité élevé : un incident au cours duquel des informations de la base ont été utilisées sans autorisation ou au-delà de l’autorisation, ou au cours duquel l’intégrité des informations a été atteinte. Pour une base de données de niveau de sécurité moyen : un tel incident portant sur une partie substantielle de la base. Attention : le règlement ne prévoit pas de « 72 heures » ; il exige un avis immédiat. Depuis l’amendement n° 13, le défaut d’un tel avis expose à une sanction pécuniaire au titre de l’article 23Z(h) et du point 21 de la troisième annexe de la loi : 80 000 ₪ pour une base de données de niveau de sécurité moyen et 320 000 ₪ pour une base de données de niveau de sécurité élevé (montants de base, actualisés le 1er janvier de chaque année selon l’article 23FF(b) ; en 2026, ils sont de 81 890 ₪ et 327 560 ₪), et le double pour une base de données de niveau élevé qui contient des informations sur un million de personnes ou plus.

L’amendement n° 13 : ce qui a changé depuis août 2025

L’amendement n° 13 de la loi sur la protection de la vie privée est entré en vigueur le 14 août 2025 et a modifié l’équilibre du contrôle et des sanctions. Les éléments essentiels pour un dossier de fuite : une voie de sanction pécuniaire administrative a été créée. L’article 23Z(a) autorise le directeur de l’Autorité à imposer 150 000 ₪ (montant de base ; en 2026, 153 540 ₪ selon l’article 23FF) pour des violations en matière d’enregistrement et de déclaration, et le double lorsque la base de données contient des informations personnelles sur un million de personnes ou plus. L’obligation de nommer un délégué à la protection de la vie privée a été ajoutée pour certains organismes (articles 17B1 à 17B3). Et les pouvoirs de contrôle et d’enquête administrative ont été élargis.

Pourquoi c’est important pour un demandeur à l’action collective : une procédure administrative menée devant l’Autorité produit des documents et des conclusions sur lesquels il est possible de s’appuyer dans la demande d’autorisation. Et pourquoi c’est important pour le défendeur : ces mêmes documents peuvent être utilisés contre lui. La gestion de l’incident face à l’Autorité et face aux clients est donc une décision juridique, et pas seulement technique. Pour une entreprise qui a reçu une demande d’autorisation : la défense face à une demande d’autorisation d’une action collective.

Qui poursuivre : le responsable, le détenteur et le fournisseur

L’article 17(a) fait peser la responsabilité de la sécurité des données sur deux personnes à la fois : le responsable de la base de données et son détenteur. En pratique, la base de données clients d’une société israélienne se trouve souvent chez un fournisseur externe (un fournisseur de cloud, une société de logiciels ou un centre de services), et la fuite se produit chez lui. Cela ne transfère pas la responsabilité : du point de vue du client, la société à laquelle il a communiqué ses coordonnées reste le responsable de la base de données.

L’article 15 du règlement sur la sécurité des données encadre les relations de sous-traitance et impose de régler par écrit l’étendue de l’utilisation des informations, les systèmes d’accès et le mode de contrôle. Le document de sous-traitance est l’un des premiers documents demandés dans la procédure. Parfois, c’est lui qui détermine si le bon défendeur est la société, le fournisseur, ou les deux en tant que coauteurs d’un délit civil au sens de l’ordonnance sur les délits civils [nouvelle version]. Dans une demande d’autorisation, il vaut mieux établir la chaîne de détention avant le dépôt, plutôt que de la découvrir dans la réponse.

Les critères d’autorisation : là où les dossiers échouent

L’article 8(a) de la loi sur les actions collectives pose quatre conditions cumulatives : l’action soulève des questions de fait ou de droit substantielles communes à tous les membres du groupe, avec une possibilité raisonnable qu’elles soient tranchées en sa faveur ; l’action collective est le moyen efficace et équitable de trancher le litige ; il existe un motif raisonnable de penser que les intérêts des membres du groupe seront représentés et gérés de manière appropriée ; et qu’ils seront représentés et gérés de bonne foi.

Dans les dossiers de fuite, la question commune existe en général : les mesures prises par le défendeur étaient identiques envers tous les clients. La difficulté porte sur le préjudice. Pour le demandeur lui-même, l’article 4(b)(1) assouplit l’exigence : il suffit qu’il montre qu’un préjudice lui a été causé à première vue. Mais au niveau du groupe, il faut montrer pourquoi l’exposition a causé un préjudice indemnisable, et pas seulement un désagrément. Les dossiers construits sur une description précise du type d’informations qui ont fuité (numéros d’identité, moyens de paiement, informations médicales) et sur l’usage qui en a été fait réellement tiennent mieux que les dossiers qui se contentent de l’incident lui-même.

Les réparations : l’article 20, et le fonds

L’article 20 fixe le mode d’octroi de la réparation. Le tribunal peut ordonner un paiement à chaque membre du groupe qui a prouvé son droit ; obliger chaque membre à prouver son droit ; ou accorder une indemnisation financière d’un montant global et fixer son mode de répartition, à condition que le montant puisse être calculé précisément sur la base des preuves. Le reliquat non réparti est versé à un fonds créé au titre de l’article 27A, et le tribunal l’affecte au domaine le plus proche de l’objet de l’action.

L’article 20(c) offre une solution lorsqu’un paiement individuel n’est pas réalisable, par exemple lorsqu’il est impossible d’identifier les victimes à un coût raisonnable : le tribunal peut ordonner une autre réparation en faveur du groupe ou du public. Dans les dossiers de fuite, c’est parfois la réparation réelle : un changement de politique, l’effacement d’informations superflues et le financement d’une protection contre l’usurpation d’identité.

Quant aux délais, l’article 26 prévoit un régime de prescription particulier. Si l’action est autorisée, tous les membres du groupe sont réputés avoir introduit une action à la date du dépôt de la demande d’autorisation. Si la demande est rejetée ou radiée, le délai de prescription de l’action d’un membre du groupe ne prend pas fin avant l’expiration d’un an à compter du jour où la décision est devenue définitive.

Pour l’entreprise qui a subi un incident : les trois premières heures

• Arrêter et documenter : couper le vecteur d’attaque, conserver les journaux (logs) et documenter l’incident de manière ordonnée, comme l’exige l’article 11(a), qui impose de documenter chaque incident de sécurité.
• Qualifier : s’agit-il d’un « incident de sécurité grave » selon le niveau de sécurité applicable à la base de données ? C’est cette qualification qui détermine si l’obligation d’avis immédiat au registraire est née.
• Décider d’informer les clients : le registraire a le pouvoir de l’ordonner, mais l’information spontanée est parfois la bonne décision même avant un ordre, à la fois pour des raisons de confiance et pour réduire le préjudice des clients.
• Vérifier les procédures : la procédure de sécurité selon l’article 4, l’évaluation des risques selon l’article 5 et les arrangements de sous-traitance selon l’article 15. Ce sont les trois documents qui seront examinés en premier.

Questions fréquentes

Peut-on intenter une action collective pour une fuite de données clients ?

Oui, mais pas directement au titre de la loi sur la protection de la vie privée. L’article 3(a) de la loi sur les actions collectives, 5766-2006, ne permet l’introduction que pour une demande énumérée dans la deuxième annexe ou dans une matière prévue par une disposition légale expresse, et la loi sur la protection de la vie privée ne contient pas une telle disposition. C’est pourquoi une fuite d’une base de données clients se poursuit au titre du point 1 de la deuxième annexe : une action contre un professionnel, au sens de la loi sur la protection du consommateur, relative à une affaire entre lui et un client. La cause d’action de fond est l’atteinte à la vie privée au sens de l’article 2 de la loi sur la protection de la vie privée, surtout le point (9) (l’utilisation d’informations sur les affaires privées d’une personne ou leur transmission à autrui à une fin autre que celle pour laquelle elles ont été communiquées), avec la violation de l’obligation de sécurité des données de l’article 17.

Quelle indemnisation peut-on obtenir pour une fuite de données ?

L’article 29A de la loi sur la protection de la vie privée permet, dans une action civile, une indemnisation sans preuve du préjudice jusqu’à un montant que la loi fixe à 50 000 ₪, et jusqu’au double lorsqu’il est prouvé que l’atteinte à la vie privée a été commise avec l’intention de nuire. Selon l’article 29A(d), les montants sont actualisés le 16 de chaque mois selon l’indice des prix à la consommation, l’indice de base étant celui de mai 2007. Le plafond en vigueur selon la mise à jour du 16 octobre 2026 est donc de 72 221,22 ₪, et le double de 144 442,44 ₪. Dans une action collective, une indemnisation sans preuve du préjudice n’est pas accordée (article 20(e) de la loi sur les actions collectives), et il faut donc prouver le préjudice. Le mode d’octroi de la réparation et sa répartition sont fixés selon l’article 20 et, lorsqu’un paiement individuel n’est pas réalisable, le tribunal peut ordonner une réparation en faveur du groupe ou du public.

Dans quel délai faut-il signaler une fuite de données ?

L’obligation de notification figure dans le règlement sur la protection de la vie privée (sécurité des données), 5777-2017, et non dans la loi elle-même. L’article 11(d) prévoit qu’en cas d’incident de sécurité grave, le responsable de la base de données en informe sans délai le registraire (aujourd’hui, le directeur de l’Autorité de protection de la vie privée) et rend compte des mesures qu’il a prises. Il prévoit aussi que le registraire peut lui ordonner, après consultation du directeur de la Direction nationale de la cybersécurité, d’informer aussi de l’incident la personne concernée susceptible d’être lésée. L’« incident de sécurité grave » est défini à l’article 1 selon le niveau de sécurité. Pour une base de données de niveau élevé : toute utilisation des informations sans autorisation ou toute atteinte à leur intégrité. Pour une base de données de niveau moyen : lorsqu’il s’agit d’une partie substantielle de la base. Le règlement ne prévoit pas de délai de 72 heures.

Qu’est-ce qui a changé avec l’amendement n° 13 de la loi sur la protection de la vie privée ?

L’amendement n° 13 est entré en vigueur le 14 août 2025. Il a créé une voie de sanction administrative : l’article 23Z(a) autorise le directeur de l’Autorité de protection de la vie privée à imposer une sanction pécuniaire de 150 000 ₪ (montant de base, actualisé le 1er janvier de chaque année selon l’article 23FF ; en 2026, 153 540 ₪) pour des violations en matière d’enregistrement et de déclaration, et le double lorsque la base de données contient des informations personnelles sur un million de personnes ou plus. L’article 23Z(h) et la troisième annexe prévoient aussi des sanctions pour la violation du règlement sur la sécurité des données, notamment le défaut de notification d’un incident de sécurité grave. L’amendement a ajouté l’obligation de nommer un délégué à la protection de la vie privée dans certains organismes selon les articles 17B1 à 17B3, a élargi les pouvoirs de contrôle et d’enquête administrative, et a ajouté à l’article 15A des dommages-intérêts exemplaires jusqu’à 10 000 ₪ pour une liste fermée de violations, qui ne comprend pas l’incident de sécurité en lui-même.

L’Autorité de protection de la vie privée impose-t-elle vraiment une sanction pour une notification tardive ?

Oui. Selon l’avis de l’Autorité de protection de la vie privée du 21 juillet 2026, tel que vérifié le 17 octobre 2026, une sanction pécuniaire de 256 000 ₪ a été imposée à la caisse maladie Meuhedet pour non-respect de l’obligation de notification immédiate d’un incident de sécurité grave au titre de l’article 11(d) du règlement sur la protection de la vie privée (sécurité des données), 5777-2017 : la première sanction de ce type depuis l’entrée en vigueur de l’amendement n° 13. Selon ce même avis, la caisse avait connaissance de l’incident dès novembre 2025 et ne l’a signalé à l’Autorité que le 27 janvier 2026. L’Autorité a souligné que l’obligation de notification naît dès que l’incident est connu, et qu’attendre la fin des vérifications vide de son contenu l’exigence d’immédiateté.