Notification « à peu près » conforme : T-Mobile condamné, la leçon pour le RGPD

En août 2021, T-Mobile envoie un simple SMS pour prévenir 361 030 clients de l'État de Washington qu'une intrusion massive vient d'exposer leurs données personnelles. Cinq ans plus tard, la justice américaine vient de lui donner tort : dans une décision rendue en résumé (summary judgment) en faveur de l'État, un tribunal confirme que cette notification, jugée « à peu près » conforme, ne l'était pas. La leçon dépasse largement les frontières américaines et parle directement aux DPO soumis au RGPD.

Ce qui s'est passé

La fuite d'origine remonte à août 2021 : environ 76 millions d'enregistrements clients de T-Mobile sont compromis, dont près de 47 millions incluent des numéros de sécurité sociale. La loi de l'État de Washington sur la notification des violations de données impose, comme la plupart des lois d'État américaines, un formalisme précis : une lettre postale, un email si la personne a consenti à recevoir des communications électroniques (E-Sign), ou une « notification de substitution » combinant communiqué de presse, publication sur le site de l'entreprise et email. La loi prévoit aussi un contenu obligatoire : nom et coordonnées de l'entreprise, catégories de données concernées, date de l'incident.

T-Mobile a choisi une quatrième voie, non prévue par le texte : l'envoi d'un SMS aux 361 030 résidents de Washington concernés. En janvier 2025, le procureur général de l'État a assigné l'opérateur pour violation de la loi de protection des consommateurs, au motif que cette notification ne respectait pas les exigences de forme et de contenu de la loi sur les violations de données. Le tribunal vient de trancher en faveur de l'État : selon l'analyse du cabinet BakerHostetler relayée par DataBreaches.net, une seule décision ne fait pas jurisprudence générale, mais elle illustre un risque chiffré en centaines de millions, voire en milliards de dollars, pour les grandes entreprises qui prennent des libertés avec le formalisme de la notification.

Pourquoi c'est important pour les DPO RGPD

Le RGPD ne fixe pas de canal obligatoire comme le fait la loi de Washington : l'article 33 impose de notifier l'autorité de contrôle compétente (la CNIL en France) dans les 72 heures après avoir eu connaissance d'une violation, avec un contenu précis — nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées. Quand le risque pour les personnes est élevé, l'article 34 impose en plus une communication directe aux personnes concernées, « dans les meilleurs délais » et en langage clair.

Cette absence de canal imposé ne doit pas être lue comme une liberté totale. Le principe retenu par les autorités européennes est celui de l'efficacité : le moyen choisi doit être raisonnablement susceptible d'atteindre la personne et de lui transmettre une information complète et compréhensible. Un SMS seul, sans preuve de réception ni possibilité de restituer l'intégralité des éléments exigés par l'article 34, poserait potentiellement les mêmes difficultés en Europe qu'aux États-Unis — la forme de la notification devient alors, comme dans l'affaire T-Mobile, un manquement autonome, indépendant de la gravité de la fuite elle-même.

Le cas T-Mobile fait écho à un autre dossier suivi par Leto, celui de Navigate360, où c'est cette fois l'absence totale de notification pendant quatre mois qui a été pointée du doigt. Les deux affaires illustrent la même exigence, à des degrés différents : la rapidité et la forme de la réaction comptent presque autant que l'incident de sécurité lui-même. C'est d'ailleurs pour réduire ces zones grises que l'EDPB travaille à un modèle commun de notification, destiné à harmoniser le contenu attendu par les autorités de contrôle européennes.

Ce que ça change pour les organisations

Pour les responsables de traitement et leurs DPO, cette décision américaine invite à revoir trois réflexes :

Auditer les modèles et canaux de notification existants au regard des exigences précises de l'article 33 et de l'article 34, plutôt que de s'appuyer sur un modèle générique jamais testé en situation réelle. Notre guide sur la réaction à une violation de données détaille les étapes et les pièges à éviter dans les 72 premières heures.

Documenter, au moment de l'incident, le choix du canal et du contenu de la notification : en cas de contentieux ultérieur, c'est cette traçabilité qui permettra de démontrer une démarche de bonne foi et conforme, plutôt qu'une improvisation.

Cartographier les obligations applicables lorsque la fuite touche plusieurs juridictions : une entreprise présente en France et aux États-Unis ne peut pas se contenter d'un modèle unique de notification, chaque texte imposant son propre formalisme de canal et de contenu.

Ce que Leto pense de cette décision

Cette affaire doit servir de piqûre de rappel, y compris pour les organisations qui n'opèrent qu'en France ou dans l'UE. Trop de responsables de traitement traitent encore la notification de violation comme une formalité administrative à expédier vite, plutôt que comme une procédure documentée avec un canal et un contenu validés en amont. Le tribunal de Washington ne sanctionne pas la fuite de données elle-même, mais la manière dont T-Mobile a choisi d'y répondre — c'est précisément le type de manquement, distinct et cumulatif, que la CNIL sait aussi caractériser au titre des articles 33 et 34. Miser sur un SMS ou un canal non éprouvé pour gagner du temps est un pari risqué : mieux vaut un modèle de notification pré-validé, testé, et déclenchable en quelques heures.

Sources : DataBreaches.net, BakerHostetler, Data Counsel