La responsabilité juridique des entreprises en cas de violation de cybersécurité en Turquie

Une cyberattaque n'est jamais une simple crise technique : elle est une source de responsabilité juridique à plusieurs niveaux. Les entreprises négligent souvent les conséquences qui vont au-delà de la notification à l'Autorité de protection des données : demandes d'indemnisation des clients, poursuites pénales contre l'attaquant, amendes administratives et responsabilité du conseil d'administration. Ce guide dépasse l'obligation de notification sous 72 heures prévue par la loi turque sur la protection des données personnelles (KVKK) — que nous traitons dans un guide distinct — pour exposer les véritables risques juridiques qu'une violation de cybersécurité fait peser sur les entreprises, à la lumière du Code des obligations turc (TBK) et du Code pénal turc (TCK).

La notification n'est qu'un point de départ

La notification de la violation exigée par l'article 12 de la KVKK n'est pas la seule conséquence d'un incident. Avoir effectué la notification ne libère pas l'entreprise de l'indemnisation due aux clients, des poursuites pénales contre l'auteur ni d'une amende administrative. Ces conséquences suivent des voies juridiques indépendantes : la notification est un devoir de droit administratif ; l'indemnisation est une obligation de droit privé ; et l'enquête pénale est menée d'office par le procureur. Aussi la stratégie post-violation doit-elle être bien plus large que le simple remplissage d'un formulaire de notification.

Responsabilité indemnitaire envers les clients et les personnes concernées

Les clients dont les données ont été exposées peuvent réclamer une indemnisation à l'entreprise pour les préjudices matériels et moraux subis. Une telle demande repose sur deux fondements juridiques possibles.

Responsabilité contractuelle : lorsqu'une relation de service existe entre l'entreprise et le client et que le contrat contient un engagement exprès ou tacite en matière de sécurité des données, l'article 112 du TBK s'applique. Selon cette disposition, si une obligation n'est pas correctement exécutée, le débiteur doit réparer le préjudice du créancier, à moins de prouver qu'aucune faute ne peut lui être imputée. Le point décisif est le renversement de la charge de la preuve : le client n'a pas à prouver la faute de l'entreprise ; c'est à l'entreprise de démontrer qu'elle a pris les mesures de sécurité nécessaires et qu'elle était exempte de faute.

Responsabilité délictuelle : en l'absence de relation contractuelle, l'article 49 du TBK dispose que quiconque cause un dommage à autrui par un acte fautif et illicite doit réparer ce dommage. Une infrastructure de sécurité insuffisante, des systèmes non mis à jour ou des contrôles d'accès négligés peuvent établir la faute de l'entreprise. En outre, la « responsabilité de l'employeur » prévue à l'article 66 du TBK peut être engagée : l'employeur peut être tenu responsable du dommage que son salarié cause à des tiers dans l'exercice de son travail, et ne s'en libère qu'en prouvant qu'il a fait preuve de la diligence requise dans le choix et la surveillance du salarié ainsi que dans l'organisation du fonctionnement de l'entreprise.

La dimension pénale : les infractions prévues par le TCK

La dimension pénale d'une violation de cybersécurité vise principalement l'auteur des faits. Trois dispositions clés du TCK (loi n° 5237) se distinguent :

• Article 243 du TCK — Accès à un système informatique : quiconque accède illicitement à tout ou partie d'un système informatique, ou s'y maintient, encourt une peine d'emprisonnement pouvant aller jusqu'à un an ou une amende judiciaire. Si, de ce fait, les données du système sont détruites ou altérées, la peine est portée de six mois à deux ans.
• Article 244 du TCK — Entraver ou perturber un système, détruire ou modifier des données : quiconque entrave ou perturbe le fonctionnement d'un système informatique encourt une peine d'un à cinq ans ; quiconque endommage, détruit, modifie, rend inaccessibles ou transfère ailleurs des données encourt une peine de six mois à trois ans. Si l'acte est commis à l'encontre du système d'une banque, d'un établissement de crédit ou d'un organisme public, la peine est augmentée de moitié.
• Article 136 du TCK — Communication ou obtention illicite de données : quiconque communique, diffuse ou obtient illicitement des données personnelles encourt une peine d'emprisonnement de deux à quatre ans.

Bien que ces infractions visent avant tout l'attaquant, l'entreprise n'est pas totalement à l'abri. Un salarié ou un dirigeant qui, intentionnellement ou par négligence grave, facilite la violation peut être considéré comme participant à la divulgation illicite de données ; le transfert délibéré de données personnelles à des tiers peut faire l'objet d'une enquête au titre de l'article 136 à l'égard des responsables de l'entreprise également.

Amendes administratives et cyberassurance

La sanction administrative constitue une troisième conséquence, distincte de l'indemnisation et de la peine. En vertu de l'article 18 de la KVKK, un responsable du traitement qui manque à ses obligations de sécurité des données peut encourir des amendes administratives se chiffrant en millions, réévaluées chaque année selon le taux légal de réévaluation. Manquer à l'obligation de notification et ne pas prendre de mesures de sécurité des données sont des catégories de violation distinctes, susceptibles d'être sanctionnées séparément.

Face à cet empilement de risques, la cyberassurance est un outil de gestion des risques de plus en plus répandu. Une police bien structurée peut couvrir les frais de réponse à la violation, les investigations forensiques, les demandes d'indemnisation de tiers et, dans certains cas, les frais de défense liés aux amendes administratives. Les polices comportent toutefois d'importantes exclusions ; l'intention, la négligence grave ou le non-respect des normes de sécurité déclarées peuvent être laissés en dehors de la couverture.

Gouvernance d'entreprise : se préparer avant une violation

Le moyen le plus efficace de réduire la responsabilité réside dans les mesures prises avant une violation. Préparer un plan de réponse aux incidents, chiffrer les données, restreindre les privilèges d'accès et réaliser des tests d'intrusion réguliers sont déterminants tant pour la résilience technique que pour la défense juridique. La surveillance de la cybersécurité au niveau du conseil d'administration et la documentation des décisions et des mesures prises sont essentielles pour prouver, le cas échéant, que l'entreprise et ses dirigeants étaient exempts de faute. La trace écrite des mesures adoptées constitue le fondement de la preuve libératoire au titre des articles 112 et 66 du TBK.

Foire aux questions

Notre entreprise a notifié l'Autorité de protection des données ; devons-nous faire autre chose ? Oui. La notification n'est qu'un devoir administratif. Le risque d'indemnisation envers les clients, d'éventuelles poursuites pénales et les amendes administratives ne prennent pas fin avec la notification ; ils exigent une stratégie juridique distincte.

Si l'attaque a été menée par un pirate externe, l'entreprise reste-t-elle responsable ? Elle peut l'être. La responsabilité pénale de l'auteur n'éteint pas la responsabilité indemnitaire de l'entreprise envers ses clients. Si l'entreprise ne peut prouver qu'elle a pris les mesures de sécurité nécessaires et qu'elle était exempte de faute, elle peut demeurer tenue à réparation.

L'entreprise peut-elle être tenue responsable d'une fuite causée par un salarié ? Oui. En vertu de l'article 66 du TBK, l'employeur répond du dommage que son salarié cause à des tiers dans l'exercice de son travail ; il ne peut s'en libérer qu'en prouvant qu'il a fait preuve de la diligence requise dans le choix, la surveillance et l'organisation du travail.

La cyberassurance couvre-t-elle toutes les pertes ? Non. Les polices varient quant à leur portée et à leurs exclusions. L'intention, la négligence grave ou le non-respect des normes de sécurité promises peuvent être exclus de la couverture ; un examen juridique avant la souscription de la police est important.

Comment Mona Hukuk peut vous aider

Les violations de cybersécurité créent une responsabilité à plusieurs niveaux qui commence avec la notification et s'étend à l'indemnisation et au droit pénal. Chez Mona Hukuk, nous assistons les entreprises dans la préparation de plans de réponse aux incidents, l'évaluation du risque juridique après une violation, la défense face aux demandes d'indemnisation des clients, la représentation dans les procédures pénales et l'examen juridique des polices de cyberassurance.

Pour un conseil à Antalya, vous pouvez écrire à contact@monahukuk.com ou appeler le +90 (242) 606 14 32.