Fuite de données sur votre site : ce que la loi américaine vous impose réellement de faire ensuite
La fuite n'est pas la faute. La réponse, elle, l'est.
Une base de données est aspirée, un chercheur découvre un bucket de stockage mal configuré, l'ordinateur portable d'un salarié contenant un export non chiffré disparaît. Aucun de ces événements, en soi, ne se transforme automatiquement en dossier réglementaire. Ce qui transforme une fuite en dossier, c'est ce que fait l'opérateur dans les jours qui suivent : la rapidité avec laquelle les personnes concernées sont informées, ce qui leur avait été promis avant l'incident, et la capacité de l'entreprise à démontrer qu'elle disposait de mesures de sécurité raisonnables. Régulateurs et avocats des plaignants examinent la réponse, pas seulement l'incident, car c'est dans la réponse que la négligence se confirme ou se dissipe.
Pour un site de petites annonces pour adultes, l'enjeu est plus important que pour la plupart des autres PME, non pas à cause de la nature du site, mais à cause de ce qu'il stocke. Une fiche client type combine nom réel, adresse e-mail, numéro de téléphone, moyen de paiement, et souvent une pièce d'identité scannée collectée pour vérifier l'âge ou l'identité. Chacun de ces éléments, pris isolément, est banal. Réunis et rattachés à un compte sur un site dont la vocation n'a rien de secret, ils forment exactement le type de jeu de données qui transforme une notification de fuite de routine en article de presse, et les régulateurs étatiques d'une simple formalité en partie prenante active.
Le risque réputationnel et le risque juridique ne se confondent pas, et les traiter comme une seule et même chose conduit à de mauvaises décisions dans les deux sens. Une fuite qui ne déclenche aucune obligation légale de notification peut tout de même faire beaucoup de mal à un site si les annonceurs l'apprennent par un post sur un forum plutôt que par l'entreprise elle-même. Inversement, une fuite qui déclenche toutes les obligations de notification prévues par la loi peut ne pas mettre l'entreprise en péril, à condition qu'elle soit gérée comme la loi l'exige. Ne préparer qu'un seul de ces deux risques revient à ignorer la moitié du problème.
L'opérateur qui traite une fuite comme un simple incident technique, une affaire à corriger côté hébergeur ou développeur avant de passer à autre chose, est celui qui se retrouve six mois plus tard à expliquer à un procureur général d'État pourquoi personne n'a envoyé de notification. L'horloge légale n'attend pas la fin de l'analyse des causes profondes, pas plus que l'exposition juridique qu'elle génère.
L'horloge démarre avant même que vous ayez la certitude
Chaque État américain, plus le District de Columbia, dispose de sa propre loi sur la notification des fuites de données, et aucune n'attend la certitude absolue. Le déclencheur n'est pas la preuve que les données ont été utilisées à mauvais escient, ni même la preuve de la liste exacte des enregistrements concernés. Il suffit d'une conviction raisonnable que des données personnelles ont été consultées ou récupérées par une personne non autorisée. Attendre qu'un cabinet d'expertise judiciaire produise une liste complète et défendable des enregistrements touchés avant de prévenir qui que ce soit est la façon la plus courante, pour un opérateur, de transformer une mauvaise semaine en problème juridique, car la plupart des lois étatiques fixent désormais un délai chiffré et non négociable.
Depuis 2025, la tendance est aux délais fixes, plus aux formulations vagues. La loi californienne mise à jour, en vigueur depuis le début de 2026, impose de notifier les personnes concernées sous 30 jours calendaires, puis le procureur général de l'État dans les 15 jours suivants, dès lors que plus de 500 résidents californiens sont concernés. Le Colorado, la Floride et l'État de Washington imposent eux aussi un délai de 30 jours. Un groupe d'autres États, dont l'Ohio, l'Arizona, le Rhode Island et le Wisconsin, accordent 45 jours. Un plus petit nombre va jusqu'à 60. Une vingtaine d'États environ utilisent désormais un nombre de jours précis plutôt que l'ancienne formule plus souple du « délai raisonnable », et ce nombre ne cesse de se réduire au fil des révisions législatives, jamais de s'allonger.
Pour un site dont les annonceurs se répartissent dans plusieurs États, ce qui est le cas de presque tous, l'État de résidence de chaque personne concernée fixe sa propre horloge, et c'est le délai le plus court applicable à votre incident qui détermine votre échéance réelle. Il n'existe pas de loi fédérale générale sur les fuites de données qui prime sur ces règles pour une entreprise ordinaire : les acteurs de la santé et des services financiers relèvent de leurs propres régimes fédéraux, mais un opérateur de petites annonces reste pleinement soumis au système État par État. En pratique, une fuite touchant des résidents de cinq États fait courir cinq échéances simultanément, et c'est la plus proche qui fixe le temps dont vous disposez réellement.
Qui doit être informé, et à partir de quel seuil ce n'est plus une option
La notification individuelle est la base, mais ce n'est pas la seule exigée par la plupart des États. Dès que le nombre de résidents concernés dans un État donné dépasse un certain seuil, généralement 250, 500 ou 1 000 selon les États, la loi impose également d'informer le procureur général de cet État, et la notification doit en général décrire ce qui s'est passé, quelles données étaient concernées et ce que l'entreprise met en œuvre en réponse. Ce n'est pas un formulaire qui disparaît discrètement dans un tiroir. Les bureaux des procureurs généraux publient ces notifications, plusieurs tiennent des bases de données publiques et consultables, et les journalistes qui couvrent l'industrie pour adultes consultent ces bases de manière routinière.
Une poignée d'États exigent en plus d'informer les agences d'évaluation du crédit dès que le nombre de résidents concernés dépasse un certain seuil, afin que les bureaux de crédit puissent placer les comptes sous surveillance renforcée. Cette obligation existe indépendamment de la présence ou non de données financières, car noms, adresses et dates de naissance suffisent à eux seuls à permettre une usurpation d'identité.
Constituer la liste des personnes à notifier est un problème opérationnel à part entière, qu'il vaut mieux régler avant un incident plutôt que pendant. Un opérateur qui n'a jamais cartographié la répartition géographique de sa base d'annonceurs découvre, en pleine gestion de crise, que ses utilisateurs sont dispersés dans une douzaine de juridictions, avec des délais, des seuils et des contenus de notification différents. L'adresse de facturation enregistrée suffit généralement à trier les utilisateurs par État ; l'essentiel est de pouvoir lancer ce tri en une après-midi, et non de le construire à partir de rien pendant que l'horloge de 30 jours de l'État le plus rapide tourne déjà.
Aucune de ces étapes ne peut être sautée au motif que l'opérateur aurait jugé l'exposition mineure. La définition de ce qui constitue une donnée personnelle déclenchant l'obligation de notification relève de la loi, pas de l'appréciation de l'opérateur quant à la gravité réelle de la fuite. Un site qui se persuade qu'une fuite n'est « qu'une histoire d'e-mails » alors que le même jeu de données comprenait aussi des adresses physiques ou des numéros de pièce d'identité se prononce sur une question juridique qui ne lui appartient pas, et que le régulateur tranchera à sa place plus tard, dans des conditions bien moins favorables.
Ce qu'une « sécurité raisonnable » a coûté 1,6 million de dollars à un opérateur
Le précédent le plus clair sur ce qui arrive à une plateforme pour adultes qui subit une fuite et gère mal sa réponse reste Ashley Madison. Après que sa fuite de 2015 a exposé environ 36 millions de profils utilisateurs, la FTC et un groupe de procureurs généraux d'État n'ont pas bâti leur dossier sur le seul fait qu'une fuite ait eu lieu. Des fuites arrivent aussi à des entreprises bien gérées, et les régulateurs le savent. L'affaire reposait sur deux éléments que l'entreprise pouvait maîtriser : disposait-elle de mesures de sécurité raisonnables pour les données sensibles qu'elle collectait, et ce qu'elle avait déclaré aux utilisateurs sur cette sécurité était-il vrai. L'entreprise avait promis à ses utilisateurs que leurs données resteraient confidentielles et proposait une fonctionnalité payante garantissant la suppression complète d'un compte, des affirmations que la FTC a jugées mensongères. La transaction conclue en décembre 2016 s'est élevée à 1,6 million de dollars, assortie d'un programme de sécurité des données imposé et permanent, soumis à des évaluations indépendantes par des tiers.
La leçon pour un site bien plus modeste ne tient pas au montant, qui varie avec la taille de l'entreprise et le nombre d'enregistrements concernés. Elle tient au raisonnement. Le pouvoir de la FTC d'agir au nom de la « sécurité raisonnable » ne se limite pas aux entreprises ayant subi une fuite d'ampleur inhabituelle, ni aux secteurs dotés de leur propre loi de sécurité spécifique. C'est un outil général que la FTC applique dès que les pratiques réelles d'une entreprise ne correspondent pas à ce qu'elle a déclaré à ses utilisateurs, ou restent en deçà du niveau de sécurité qu'un opérateur raisonnable, dans la même situation, aurait dû mettre en place. Un site qui promet l'anonymat, le chiffrement ou une « sécurité de niveau bancaire » dans ses conditions générales ou sa communication, et qui ne peut ensuite démontrer avoir réellement mis en place des protections comparables, inscrit une accusation de pratique trompeuse sur sa propre page d'accueil avant même qu'une fuite ne survienne.
Les régulateurs prennent aussi en compte la catégorie des données en jeu dans leur définition du « raisonnable », pas seulement leur volume. Dans la pratique de la FTC, les données sur le comportement ou l'orientation sexuelle appartiennent à la même catégorie sensible que les données de santé ou financières, et les fiches de compte d'un site de petites annonces relèvent par définition de cette catégorie, que les annonces elles-mêmes soient explicites ou non. Une faille de sécurité qui vaudrait une simple lettre d'avertissement à un site e-commerce généraliste a beaucoup plus de chances de donner lieu à une véritable procédure sur un site bâti autour de ce type d'informations, car le préjudice qu'une fuite peut causer aux personnes concernées y est proportionnellement plus grave.
La solution pratique n'est pas de cesser toute promesse. C'est de ne faire que celles que la plateforme peut réellement tenir, et de traiter chaque affirmation sur la confidentialité ou la sécurité du site comme quelque chose qu'un régulateur pourrait un jour demander à l'opérateur de prouver, pas seulement d'afficher. La même rigueur s'applique à la durée de conservation des pièces d'identité collectées lors de la vérification ; la fuite de scans d'identité vieux de plusieurs années, dont plus personne n'avait besoin, est exactement le genre d'erreur évitable qui fait de ce que devient un scan de pièce d'identité après la vérification une simple question de gestion interne, transformée en titre de la notification de fuite.
Ce qui doit exister avant la fuite, pas après
Un plan de réponse aux incidents n'est pas un document qu'on rédige la semaine où tout part en vrille ; à ce stade, il est déjà le symptôme du problème, pas sa solution. Il doit exister par écrit avant tout incident, en désignant clairement qui décide de notifier, qui rédige la notification, et quel avocat externe recevoir en premier. Attendre la fuite pour trouver un avocat qui maîtrise les délais de notification propres à chaque État, c'est la garantie de perdre une semaine entière du délai de 30 jours à simplement chercher qui appeler.
Des modèles de notification devraient exister à l'état de brouillon pour les États où réside l'essentiel de la base d'annonceurs, construits autour des éléments que chaque loi étatique exige réellement : ce qui s'est passé, quelles catégories de données étaient concernées, ce que l'entreprise fait en réponse, et ce que le destinataire peut faire pour se protéger. Rédiger ce modèle en pleine gestion d'incident, sous la pression d'un délai, c'est la meilleure façon de laisser des erreurs évitables se glisser dans un document qu'un régulateur lira avec la plus grande attention.
Il vaut la peine de vérifier spécifiquement si son assurance cyber couvre la réponse aux fuites de données, plutôt que de supposer que c'est le cas dans une police de responsabilité civile générale, voire dans une police cyber classique ; les coûts de notification, les offres de surveillance du crédit et les investigations judiciaires sont fréquemment exclus ou plafonnés d'une façon qui ne surprend les opérateurs qu'au moment de déposer une réclamation, et une police standard laisse plus de trous dans la raquette que la plupart des opérateurs ne l'imaginent. Le bon moment pour découvrir ce qu'une police couvre réellement, c'est lors du renouvellement du contrat, pas pendant l'incident.
La pire réponse possible à une fuite reste le silence suivi d'un correctif discret. Corriger la vulnérabilité sans en informer personne n'arrête pas l'horloge que la loi a déjà déclenchée, et si la fuite devient publique par un autre canal en premier, la question du régulateur ne portera plus sur la vulnérabilité elle-même. Elle portera sur les raisons pour lesquelles l'entreprise savait et n'a rien dit. L'opérateur qui informe rapidement, précisément et sans exagérer ce qui a réellement été dérobé est celui qui sort d'une mauvaise semaine avec, au pire, une amende, plutôt qu'avec un dossier judiciaire qui traîne cinq ans.
