L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re - 259

Plan d'action 2. Aspects juridiques de la gestion de crise
La juridiction compétente territorialement peut être :
*	 la juridiction du lieu où demeure le défendeur61 ; ou
*	 la juridiction du lieu du fait dommageable ou celle dans le ressort de laquelle le
dommage a été subi62.
En pratique, la victime dispose d'un choix de juridiction : elle peut saisir la juridiction du
lieu où réside la personne qui a diffusé le contenu illicite la représentant, celle du lieu où
a été diffusé le document (par exemple, le lieu où se situait l'adresse IP), ou bien celle du
lieu où la victime a subi le dommage (bien souvent le lieu de résidence de cette dernière).
Pour introduire une action devant le juge civil, il est nécessaire qu'une assignation soit
délivrée à l'auteur présumé des faits ; celle--ci devant être délivrée par un huissier de justice.

À noter
En cas de saisi du juge civil sur le fondement de l'article 9 du Code civil, il est
nécessaire que la personne ayant diffusé le contenu soit connue de la victime.
L'assignation introduisant l'instance devant le tribunal compétent devra être signifiée à l'auteur présumé des faits. Cette action n'est donc pas possible si la victime
ignore l'origine de la diffusion.

B.	 Obligations de déclaration
L'entreprise peut être tenue de remplir des obligations légales, comme en matière de
protection des données à caractère personnel. Dans certains cas63, l'entreprise peut être
tenue de déclarer l'incident à des agences gouvernementales comme l'ARS ou l'ANSSI.
Lorsque des données à caractère personnel ont été impactées par l'escroquerie ou la
tentative d'escroquerie, l'entreprise victime devra documenter en interne la violation de
données à caractère personnel et en fonction du degré de risque au regard de la vie privée
des personnes concernées, elle devra le notifier à la CNIL (par le biais d'un téléservice
accessible64) et éventuellement à la personne concernée si le risque est important65.

61. Art. 42, CPC.
62. Art. 46, CPC.
63. Notamment lorsque l'entreprise est un établissement de santé ou un opérateur (étant entendu un opérateur
d'importance vitale (OIV), un opérateur de services essentiels (OSE) ou un fournisseur de service numérique
(FSN) mettant à disposition des places de marché, des moteurs de recherche en ligne et des services d'informatique en nuage, prestataires de services de confiance, ou opérateurs Télécom.
64. https://notifications.cnil.fr/notifications/index
65. Pour plus de précisions sur les obligations du DPO en cas de violation de données à caractère personnel, voir
notre article dédié disponible sur  : https://www.agilit.law/droit--technologie--et--informations--donnees--personnelles/
ransomware--et--violation--de--donnees--a-caractere--personnel--quel--role--pour--le--dpo/.

259

https://notifications.cnil.fr/notifications/index https://www.agilit.law/droit

L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re

Table des matières de la publication L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re