Selon nos confrères de FrenchBreaches, la délibération détaillée de la CNIL ayant conduit à la condamnation de Ledger pour sa fuite de données de 2020 ne sera pas communiquée aux victimes. La justice a confirmé ce refus, invoquant le secret des affaires, malgré les demandes des plaignants.

Ce qu'il faut retenir

  • En 2020, Ledger a subi deux fuites de données majeures, exposant plus d’un million d’adresses e-mail et 270 000 fichiers de données personnelles.
  • En octobre 2024, la CNIL a infligé une amende de 750 000 euros à Ledger pour des manquements au RGPD.
  • Les victimes réclamaient l’accès à la délibération complète de la CNIL, mais la justice a refusé, jugeant le document couvert par le secret des affaires.
  • Le contentieux judiciaire, ouvert depuis 2021, est toujours en cours devant le tribunal judiciaire de Paris.
  • Une décision sur le fond est attendue au plus tôt en 2027.

Un litige de plus de cinq ans

L’affaire remonte à 2020, lorsque Ledger, spécialiste français des portefeuilles de cryptomonnaies, a subi deux cyberattaques. L’une d’elles a impliqué Shopify, un sous-traitant de l’entreprise. Ces incidents ont permis l’exposition de données sensibles de ses clients : 1,05 million d’adresses e-mail et 270 000 fichiers contenant des informations personnelles, dont des noms, adresses postales et numéros de téléphone. Dès 2021, plusieurs victimes ont engagé des actions en justice pour obtenir réparation, évoquant des préjudices financiers et moraux.

Ces fuites ont également ouvert la voie à des campagnes d’hameçonnage ciblées, certaines victimes rapportant des pertes financières. Face à l’ampleur du scandale, la CNIL a mené une enquête et sanctionné Ledger en octobre 2024 d’une amende de 750 000 euros. L’autorité a pointé des défaillances dans les mesures de sécurité mises en place par l’entreprise, jugées insuffisantes au regard du RGPD.

Un document stratégique devenu inaccessible

Si le montant de l’amende a été rendu public, la délibération détaillée de la CNIL, qui précise les manquements reprochés à Ledger, est restée confidentielle. Les plaignants la considéraient comme une pièce clé pour étayer leurs arguments dans le cadre de leur procédure civile. En réponse à leurs demandes, le juge de la mise en état avait sollicité deux versions du document : une intégrale et une expurgée, accompagnée d’explications sur les éléments protégés.

Cependant, la justice a tranché le 19 mai 2026 en refusant la communication de la délibération. Les magistrats ont estimé que son contenu révélait des informations stratégiques sur les dispositifs de sécurité de Ledger, compromettant ainsi le secret des affaires. Selon les ordonnances, ces données pourraient exposer des choix technologiques et organisationnels offrant un avantage concurrentiel à l’entreprise.

Les victimes maintiennent leur combat malgré l’échec de leur demande

Pour les avocats des victimes, cette décision ne remet pas en cause la solidité de leur dossier. Maître Romain Chilly, du cabinet Orwl_, souligne que l’accès à la délibération aurait eu un intérêt pratique limité. Il précise : « Même si la transmission avait été ordonnée, Ledger aurait probablement engagé des recours, retardant encore davantage la procédure. »

Maître Guillaume de Fréminville partage cette analyse, estimant que le juge, ayant consulté le document, pourra en tenir compte pour sa décision finale. Les victimes obtiennent donc une victoire symbolique : la reconnaissance qu’un magistrat judiciaire peut exiger la communication d’une décision non publique de la CNIL, au cas par cas.

Une procédure toujours en suspens

Le contentieux principal reste en cours devant le tribunal judiciaire de Paris. Initialement prévue pour mars 2025, la décision sur le fond a été reportée à plusieurs reprises. Les parties ont été invitées à déposer de nouvelles conclusions récapitulatives durant l’été 2026, avec une audience supplémentaire programmée à la rentrée. Plusieurs avocats impliqués dans le dossier estiment désormais qu’une décision pourrait intervenir en 2027.

Pour les milliers de clients concernés, l’attente d’une indemnisation s’étire depuis plus de cinq ans. Leurs avocats rappellent que la procédure judiciaire, bien que complexe, poursuit son cours. Les victimes conservent leurs arguments, tandis que Ledger, de son côté, n’a pas communiqué de réaction officielle à cette décision.

Et maintenant ?

La prochaine étape consistera en l’audience supplémentaire prévue à la rentrée 2026, suivie de l’examen des conclusions déposées cet été. Si une décision est effectivement rendue en 2027, elle pourrait préciser les responsabilités de Ledger et les modalités d’indemnisation des victimes. Reste à voir si la délibération de la CNIL, bien que non communiquée, aura influencé le raisonnement du juge. Le dossier, emblématique des enjeux liés à la protection des données, pourrait également servir de référence pour d’autres affaires similaires.

Les victimes, quant à elles, continuent de miser sur la justice pour obtenir gain de cause. Leur combat illustre les défis persistants liés à la sécurité des données personnelles, malgré les avancées réglementaires comme le RGPD.

La justice a estimé que son contenu révélait des informations stratégiques sur les dispositifs de sécurité de Ledger, compromettant ainsi le secret des affaires. Les magistrats ont considéré que ces données, si elles étaient rendues publiques, pourraient offrir un avantage concurrentiel à des tiers.

Les parties doivent déposer de nouvelles conclusions récapitulatives durant l’été 2026. Une audience supplémentaire est prévue à la rentrée, et une décision sur le fond pourrait être rendue en 2027.