Fuite de mes données par une entreprise : indemnisation : que faire selon le droit géorgien

Que faire

1. Qualification — l'obligation n'a pas été respectée : le responsable du traitement doit prendre des mesures techniques et organisationnelles contre la perte et la divulgation illicite des données (loi sur la protection des données personnelles, art. 27) ; si l'extrait a été délivré par un employé de la banque, le secret bancaire est également violé — nul ne peut donner accès aux informations confidentielles d'un client ni les divulguer (loi sur les activités des banques commerciales, art. 17). Première étape — demande écrite à l'entreprise : la personne concernée a le droit de savoir quelles données la concernant sont traitées et à qui elles ont été transmises (loi sur la protection des données personnelles, art. 13) ; la réponse doit intervenir au plus tard dans un délai de 10 jours ouvrables (prolongation de 10 jours ouvrables au maximum) (art. 13).
2. Vérifier si l'entreprise a respecté son obligation : en cas de risque de préjudice important, l'entreprise doit elle-même informer la personne concernée de l'incident sans délai (loi sur la protection des données personnelles, art. 30). Le silence constitue un argument distinct dans la plainte et dans l'action.
3. Plainte — auprès du Service d'audit de l'État, du tribunal ou de l'autorité supérieure (loi sur la protection des données personnelles, art. 22) ; ne pas tarder — la sanction peut être prononcée au plus tard dans les 4 mois suivant la violation (pour une violation continue, à compter de sa découverte) (art. 65). Sanction : pour une violation de la sécurité des données par une entreprise dont le chiffre d'affaires dépasse 500 000 laris — avertissement ou amende de 4 000 laris (art. 76). Le Service inflige des amendes et prescrit des mesures, mais n'accorde pas d'indemnité à la victime.
4. Indemnisation — uniquement par une action civile contre l'entreprise : celui qui cause un préjudice illicitement, intentionnellement ou par négligence est tenu de le réparer (art. 992 du Code civil, CC) ; l'entreprise répond du préjudice causé par les actes illicites de son employé dans l'exercice de ses fonctions (art. 997 CC). À prendre en compte : le préjudice moral n'est réparable que dans les cas expressément prévus par la loi (art. 413 CC) ; en cas d'atteinte fautive à la vie privée, le préjudice moral est également réparable (art. 18 CC). Délai : prescription de l'action en réparation — 3 ans à compter du moment où l'on a eu connaissance du préjudice ou de la personne tenue à réparation (art. 1008 CC).
5. Fuite intentionnelle par un employé — plainte à la police : la fuite de données par une personne tenue de les protéger en raison de ses fonctions constitue une infraction qualifiée (art. 157 du Code pénal, CP).
6. Où s'adresser : entreprise (délégué à la protection des données) → Service d'audit de l'État → tribunal de district (municipal) ; fuite intentionnelle — police.
7. Preuves : demande à l'entreprise et sa réponse ; notification de l'incident ; captures d'écran et enregistrements d'appels de fraudeurs avec dates ; dépenses et autre préjudice.
8. Pièges : attendre une indemnisation du Service d'audit — seul le tribunal peut accorder une somme d'argent ; chercher dans la loi sur les données personnelles une règle d'indemnisation — elle n'y figure pas, le fondement est le Code civil ; ne pas prouver le lien entre la fuite et l'escroquerie, ni le montant du préjudice.

À vérifier absolument

• demande écrite à l'entreprise — quelles données ont fui et à qui elles ont été transmises, réponse sous 10 jours ouvrables
• obligation de l'entreprise d'assurer la sécurité des données et d'informer les personnes lésées
• plainte auprès du Service d'audit de l'État — amende et injonctions, mais sans indemnisation
• indemnisation, y compris du préjudice moral — action civile contre l'entreprise, qui répond aussi de son employé ; prescription de 3 ans
• fuite intentionnelle par un employé — infraction pénale, plainte à la police