En quelques heures, la nouvelle a submergé les réseaux sociaux et les rédactions : environ 19 millions de comptes clients de l'opérateur Free avaient vu leurs données personnelles exposées. Noms, adresses, coordonnées bancaires partielles, numéros de contrat : la liste des informations concernées a immédiatement suscité l'inquiétude d'une partie significative de la population française, tant l'opérateur compte parmi les plus importants du pays.
Mais au-delà du choc initial, une question plus intéressante se pose, et elle intéresse autant les sociologues que les juristes : que font réellement les personnes concernées une fois informées qu'elles figurent parmi les victimes ? Changent-elles leurs mots de passe, surveillent-elles leurs comptes bancaires, engagent-elles une démarche pour faire valoir leurs droits ? Ou bien, comme c'est le cas pour la grande majorité des violations de données, l'information se dilue-t-elle dans le flux continu des alertes de sécurité, jusqu'à être oubliée ?
Les retours d'expérience recueillis après des incidents comparables suggèrent un écart persistant entre l'ampleur d'une fuite et la mobilisation effective des personnes concernées. Beaucoup découvrent l'existence de la fuite par un e-mail générique, souvent perçu comme une formalité parmi d'autres communications commerciales, et non comme un signal nécessitant une action concrète. D'autres, davantage sensibilisés, se contentent de changer un mot de passe sans mesurer que les informations dérobées peuvent resservir des années plus tard, notamment à des fins d'hameçonnage ciblé.
Un droit que l'on n'exerce pas a-t-il encore une valeur pratique ?
Le cas Free illustre parfaitement cette tension. L'opérateur a été contraint de notifier ses clients et de coopérer avec les autorités compétentes. Pourtant, la notification en elle-même ne suffit pas à réparer un préjudice, ni à garantir que les personnes concernées comprennent l'étendue de ce qui a été exposé et les conséquences potentielles à moyen terme : usurpation d'identité, tentatives d'hameçonnage personnalisées, revente des données sur des marchés parallèles.
L'écart entre le nombre de personnes techniquement « concernées » et le nombre de personnes qui engagent une démarche reste l'un des angles morts les plus documentés du secteur. Il ne s'agit pas d'un manque d'intérêt pour ses propres droits, mais plutôt d'un manque de visibilité sur la marche à suivre, le temps que cela nécessite, et le bénéfice réel qu'on peut en attendre.
C'est précisément cet écart que les plateformes spécialisées cherchent aujourd'hui à combler. Elles permettent aux personnes concernées de vérifier simplement si leurs données figurent parmi celles exposées, de comprendre concrètement ce que cela implique, et de constituer un dossier structuré si elles souhaitent faire valoir leur préjudice, sans avoir à maîtriser les subtilités juridiques du dossier.
L'Observatoire européen des droits numériques (OEDN) propose une cartographie complète des obligations qui pèsent sur les opérateurs en cas de violation de données personnelles.