Le 21 octobre 2026, un juge de l’État américain du Nouveau-Mexique a ordonné à Meta de verser 25 milliards de dollars à cet État, selon Le Monde avec l’AFP et l’Associated Press. Un mois plus tôt, en septembre 2026, un jury avait estimé que le groupe avait trompé les utilisateurs sur la confidentialité de leurs données sur Facebook, dans une affaire liée au scandale Cambridge Analytica. Cette société de conseil politique avait exploité les données d’environ 87 millions d’utilisateurs de Facebook dans le monde, collectées par l’intermédiaire d’une application de questionnaire baptisée « thisisyourdigitallife », installée par quelque 270 000 personnes et qui aspirait aussi les données de leurs amis. Facebook avait eu connaissance de cette captation dès décembre 2015 mais ne l’avait révélée publiquement qu’en 2018, après les révélations d’un lanceur d’alerte. Selon les jurés, le manquement concernait l’ensemble des plus de 2,1 millions d’habitants de l’État. L’Associated Press précise qu’il s’agit de la plus lourde sanction financière jamais prononcée contre le géant technologique. Le groupe a déclaré en septembre qu’il contestait le verdict et qu’il continuerait à se défendre, et ni le groupe ni le procureur général de l’État n’avaient commenté la décision du juge dans l’immédiat, toujours selon l’Associated Press. Deux mois plus tôt, en août 2026, le groupe avait accepté de verser 18 milliards de dollars pour solder les poursuites de 48 autres États américains, dont certaines portaient aussi sur l’affaire Cambridge Analytica. Le Nouveau-Mexique avait déjà obtenu près d’un milliard de dollars dans un autre dossier, celui de la protection des mineurs : 375 millions de dollars infligés par un jury en mars 2026, puis 567 millions de dollars ordonnés par un juge en août 2026 avec des changements de produits à financer. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Meta, sur laquelle l’article ne formule aucun constat.
I. La condamnation américaine change-t-elle vos droits en France ?
A. Que reproche la justice américaine à l’exploitation de vos données Facebook ?
Le cœur du dossier américain tient en un mot retenu par le jury : la tromperie. D’après l’Associated Press, les jurés du Nouveau-Mexique ont estimé en septembre 2026 que les utilisateurs avaient été induits en erreur sur la confidentialité de leurs données sur Facebook. Le juge a tiré les conséquences de ce verdict le 21 octobre 2026 en fixant la somme à 25 milliards de dollars au profit de l’État, rapportent Le Monde avec l’AFP et l’Associated Press.
Les faits remontent au scandale Cambridge Analytica. Cette société de conseil politique avait mis la main sur les données d’environ 87 millions d’utilisateurs de Facebook dans le monde pour du ciblage publicitaire à visée politique, notamment pendant l’élection présidentielle américaine de 2016. Le vecteur était une application de test de personnalité, « thisisyourdigitallife », installée par environ 270 000 personnes et qui collectait également les informations de leurs amis. Facebook avait appris dès décembre 2015 que ces données étaient entre les mains de la société de conseil, mais l’affaire n’a éclaté publiquement qu’en 2018, après l’intervention d’un lanceur d’alerte, ce qui avait provoqué un scandale politique majeur.
Dans le procès du Nouveau-Mexique, les jurés ont considéré que le manquement affectait l’ensemble des plus de 2,1 millions d’habitants de l’État. Le groupe a contesté cette lecture : dans une déclaration citée par la presse en septembre, un porte-parole a indiqué que le groupe était en désaccord avec le verdict et continuerait à se défendre contre ce qu’il présente comme une déformation de son bilan. Cette position laisse ouverte la possibilité de voies de recours contre la décision, dont l’issue conditionnerait le paiement effectif des sommes.
Le contexte américain dépasse ce seul dossier. En août 2026, le groupe avait accepté de transiger pour 18 milliards de dollars avec 48 autres États, selon Le Monde, pour solder les poursuites de ces États sur des griefs comparables, dont certains liés à Cambridge Analytica. Dans le dossier distinct de la protection des mineurs, le Nouveau-Mexique avait déjà obtenu en 2026 un jury à 375 millions de dollars en mars, puis une décision de justice à 567 millions de dollars en août assortie d’aménagements de produits à financer. Autrement dit, la justice américaine traite ces litiges par vagues successives, État par État, avec des montants qui battent chaque fois des records.
Ces mécanismes américains font écho, sans s’y confondre, à ceux qu’encadre le droit européen : l’information préalable des personnes, le recueil d’un consentement éclairé avant toute collecte par un tiers, la limitation des finalités et des durées de conservation. Là où le jury américain a sanctionné une tromperie sur la confidentialité, le juge européen et le juge français vérifient, chacun avec ses propres textes, si la personne a été loyalement informée et mise en mesure de s’opposer. Comprendre cette différence de fondements évite bien des déconvenues : invoquer le verdict américain devant une juridiction française ne suffit jamais, il faut démontrer, pièces à l’appui, le manquement au texte européen ou français applicable à votre situation.
Pour un utilisateur français, l’enseignement de cette première partie est simple : les faits décrits outre-Atlantique portent sur les mêmes mécanismes que ceux que le droit européen encadre — collecte via des applications tierces, information des personnes, consentement, durée de conservation — mais ils ont été jugés selon les lois d’un État américain, pour des résidents américains. Tout l’enjeu est donc de savoir ce que ces mécanismes permettent d’obtenir devant les autorités et les juges français.
B. Pourquoi cette condamnation ne met-elle pas d’argent dans votre poche en France ?
Une décision rendue par un juge du Nouveau-Mexique n’a pas d’effet direct en France. Elle ne crée aucun droit à indemnisation au profit des utilisateurs français du réseau social, ne désigne aucun bénéficiaire européen et n’ordonne aucune mesure applicable sur le territoire français. Les 25 milliards de dollars sont dus, si la décision devient définitive, à l’État américain poursuivant, pas aux personnes dont les données ont circulé. Attendre un versement automatique en France serait donc une erreur d’analyse.
La deuxième limite tient au temps. En droit français, les actions personnelles se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer, précise l’article 2224 du code civil. Pour des faits dont la révélation publique remonte à 2018, le décompte de ce délai mérite un examen attentif, dossier par dossier, car le point de départ dépend, selon l’article 2224 du code civil, de la connaissance effective que chaque personne avait de sa situation. Celui qui découvre aujourd’hui, en exportant ses données, qu’une application tierce y avait accès ne se trouve pas nécessairement dans la même position que celui qui avait lu la presse de l’époque. Seul l’examen concret des pièces permet de trancher.
La troisième limite concerne la preuve. Le jugement américain constate des faits pour le Nouveau-Mexique, après un procès américain, avec des pièces américaines. Devant un juge français, il faudra établir ce qui vous est arrivé, à vous : quelles données, collectées quand, par qui, avec quelles conséquences. La décision étrangère peut éclairer la compréhension des mécanismes, mais elle ne remplace ni vos captures d’écran, ni votre export de données, ni vos échanges avec l’exploitant. La collecte de ces éléments doit commencer sans attendre, avant toute démarche, car les paramétrages et les historiques évoluent.
Reste une utilité réelle à cette actualité : elle rappelle que l’exploitation des données personnelles par les grandes plateformes donne lieu à des sanctions massives et à des contentieux sérieux, et elle invite chaque utilisateur à vérifier sa propre situation. C’est là que le droit français et européen prend le relais, avec deux guichets distincts : l’autorité de contrôle, qui sanctionne et fait cesser, et le juge, qui indemnisé.
II. Quels recours en France quand vos données personnelles sont exploitées ?
A. Comment saisir la CNIL et ce qu’elle peut imposer au responsable du traitement ?
La Commission nationale de l’informatique et des libertés reçoit les plaintes des personnes qui estiment que leurs données sont traitées en violation des règles. C’est la première démarche à envisager, car elle n’implique ni assignation ni représentation obligatoire et peut déboucher sur des mesures que le plaignant ne pourrait pas obtenir seul. Le président de la Commission peut d’abord rappeler à l’ordre le responsable du traitement ou le mettre en demeure de se conformer : satisfaire aux demandes d’exercice des droits des personnes, mettre le traitement en conformité, notifier aux personnes une violation de données, rectifier ou effacer des données. La mise en demeure fixe un délai, et le président peut exiger qu’il soit justifié de la mise en conformité dans un délai qu’il détermine, ramené à vingt-quatre heures en cas d’urgence.
Si la mise en demeure reste sans effet, la formation restreinte de la Commission peut prononcer des sanctions graduées, prévues par l’article 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. L’arsenal comprend le rappel à l’ordre, l’injonction de mise en conformité — qui peut être assortie, sauf pour les traitements de l’État, d’une astreinte allant jusqu’à 100 000 euros par jour de retard —, la limitation temporaire ou définitive du traitement, son interdiction, le retrait d’une autorisation, et l’amende administrative. Les plafonds de l’amende suivent le règlement européen : ils sont portés, dans les cas les plus graves, à 20 millions d’euros et 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, avec une appréciation selon les critères du même règlement. C’est sur ce fondement que les sanctions européennes contre les grandes plateformes atteignent des montants spectaculaires.
La Commission dispose aussi d’une arme méconnue vers l’extérieur : lorsqu’elle est saisie d’une réclamation et qu’elle estime les griefs fondés, elle peut demander au Conseil d’État d’ordonner, le cas échéant sous astreinte, la suspension d’un transfert de données hors de l’Union, en assortissant ses conclusions d’une question préjudicielle à la Cour de justice de l’Union européenne sur la validité des décisions européennes qui l’autorisent. Ce pouvoir, inscrit à l’article 39 de la loi du 6 janvier 1978, a pris une importance considérable depuis que les transferts vers les États-Unis sont contestés devant les juges.
Le volet pénal ne doit pas être oublié. L’article 226-16 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait, y compris par négligence, de mettre en œuvre des traitements sans respecter les formalités préalables prévues par la loi, ainsi que le fait de passer outre une mesure de limitation, d’interdiction ou de retrait prononcée par la Commission. Une plainte pénale reste envisageable dans les cas les plus graves, par exemple une collecte déloyale massive ou un maintien délibéré d’un traitement interdit.
Lorsque le responsable se met en conformité dans le délai fixé, le président de la Commission prononce la clôture de la procédure, en application de l’article 20 de la loi du 6 janvier 1978. Dans le cas contraire, le dossier est transmis à la formation restreinte pour sanction. Cette progressivité explique l’intérêt d’agir tôt : chaque étape laisse une trace écrite — mise en demeure, réponse ou absence de réponse, justificatifs produits — qui nourrira ensuite, si besoin, le dossier judiciaire. Une plainte bien documentée devant la Commission vaut souvent mieux qu’une assignation précipitée, car elle permet d’obtenir une position officielle de l’autorité sur le manquement allégué.
Concrètement, avant de saisir la Commission, il est recommandé d’avoir exercé ses droits directement auprès de l’exploitant — demande d’accès, d’effacement, d’opposition — et d’en conserver la preuve : copies des messages, délais de réponse, écrans des paramètres. Le règlement européen reconnaît à toute personne un droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, le cas échéant, d’en obtenir copie, en application de l’article 15 du règlement (UE) 2016/679 sur la protection des données. L’export de ses données depuis les paramètres du compte constitue souvent la pièce maîtresse du dossier : il révèle quelles applications tierces ont eu accès à quoi, et quand.
B. Comment demander au juge français la cessation et la réparation ?
Le juge français peut être saisi sur trois fondements complémentaires. D’abord, l’article 9 du code civil, selon lequel chacun a droit au respect de sa vie privée et les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte, y compris en référé en cas d’urgence. Ensuite, l’article 1240 du code civil, qui oblige l’auteur d’une faute ayant causé un dommage à le réparer. Enfin, l’article 1231-1 du même code, qui condamne le débiteur à des dommages et intérêts en cas d’inexécution de son obligation, sauf force majeure : les conditions d’utilisation acceptées à l’inscription forment un contrat, et une exploitation des données contraire aux engagements affichés peut s’analyser comme une inexécution.
Le Conseil d’État a déjà validé une sanction massive sur des griefs voisins. Le 19 juin 2020, statuant en 10e et 9e chambres réunies, il a rejeté le recours de Google LLC contre la délibération du 21 janvier 2019 par laquelle la formation restreinte de la CNIL lui avait infligé 50 millions d’euros pour des manquements constatés à partir des données des utilisateurs du système d’exploitation Android, à la suite de plaintes des associations None of Your Business et La Quadrature du Net et d’un contrôle en ligne, selon la décision n° 430810, publiée au recueil Lebon. La Haute juridiction a rappelé que le traitement n’est licite qu’avec le consentement de la personne pour des finalités spécifiques, un consentement qui s’entend d’une manifestation de volonté libre, spécifique, éclairée et univoque par déclaration ou acte positif clair : ni l’acceptation globale des conditions générales d’utilisation ni une case cochée par défaut ne valent recueil valable, et il appartient au responsable de démontrer le consentement. Eu égard à la gravité des manquements, à leur caractère continu, aux plafonds du règlement européen et à la situation financière de la société, la sanction de 50 000 000 d’euros n’était pas disproportionnée. La leçon dépasse la publicité : l’exploitant qui recueille des données sans consentement valable s’expose à une sanction confirmée par le juge administratif suprême.
L’action collective obéit désormais à un régime unifié qu’il faut bien connaître, car l’ancien système a été profondément remanié. Le tribunal judiciaire de Paris l’a rappelé le 18 décembre 2024 dans l’affaire qui opposait une association nationale de consommateurs aux deux sociétés d’un grand moteur de recherche (RG 19/08151) : l’action, engagée dès juillet 2019 pour obtenir la mise en conformité des traitements et la réparation des préjudices moraux, a été déclarée irrecevable. Les quatre cas individuels présentés à l’appui n’étaient pas dans des situations similaires, ne décrivaient pas leur dommage et ne faisaient état d’aucun fait assimilable à un manquement : agacement à la réception de demandes d’avis, propositions commerciales sans lien établi avec le compte, géolocalisation dont le mode de désactivation n’était pas précisé. L’association a été condamnée aux dépens et à 5 000 euros au profit de chacune des sociétés en application de l’article 700 du code de procédure civile. La morale procédurale est claire : une action de groupe ne prospère que sur des cas individuels précis, documentés et véritablement comparables.
Depuis le 3 mai 2025, c’est l’article 16 de la loi n° 2025-391 du 30 avril 2025 qui porte le régime unifié, applicable aux actions intentées après sa publication. L’action peut viser la cessation du manquement, la réparation des préjudices ou les deux. Lorsqu’elle tend à la seule cessation, le demandeur n’a ni préjudice ni faute à établir : le juge qui constate le manquement, en application de l’article 16 de la loi n° 2025-391 du 30 avril 2025, enjoint d’y mettre fin dans un délai qu’il fixe, au besoin avec l’aide d’un tiers, et ordonne la publicité de sa décision aux frais du défendeur. Lorsqu’elle tend à la réparation, le demandeur présente des cas individuels, le juge statue sur la responsabilité, définit le groupe par des critères de rattachement et fixe un délai d’adhésion qui, selon l’article 16 de la loi n° 2025-391 du 30 avril 2025, ne peut être inférieur à deux mois ni supérieur à cinq ans à compter de l’achèvement des mesures de publicité.
Qui peut agir ? Les associations agréées, qui justifient de douze mois d’activité effective et publique de défense des intérêts concernés, d’un objet statutaire conforme, de leur indépendance et de la transparence de leur financement, l’agrément pouvant être retiré si ces conditions cessent. L’action en cessation seule est aussi ouverte aux associations sans but lucratif déclarées depuis deux ans au moins et actives depuis vingt-quatre mois. Les organisations syndicales représentatives peuvent agir en matière de protection des données personnelles. Le ministère public peut exercer l’action en cessation comme partie principale et intervenir en partie jointe dans toute action de groupe. Un registre public des actions en cours, tenu par le ministère de la justice, permet de vérifier qu’aucune procédure identique n’est déjà engagée.
Faut-il agir seul ou attendre une action de groupe ? Les deux voies ne s’excluent pas, mais leurs logiques diffèrent. L’action individuelle va plus vite et reste maîtrisée de bout en bout : référé pour faire cesser, demande indemnitaire ciblée sur votre préjudice. L’action de groupe mutualise les coûts et pèse plus lourd face à un acteur mondial, au prix de délais longs et d’une indemnisation calibrée par catégories. Les personnes qui remplissaient déjà les conditions pour agir à la date d’entrée en vigueur du nouveau régime conservent cette faculté pendant deux ans à compter de cette date, ce qui sécurise les démarches engagées sous l’ancien système.
Deux précisions de délais comptent beaucoup. D’une part, l’action de groupe suspend la prescription des actions individuelles en réparation, et le délai recommence à courir, selon le X de l’article 16 de la loi n° 2025-391 du 30 avril 2025, pour une durée qui ne peut être inférieure à six mois une fois le jugement devenu définitif ou l’accord homologué. D’autre part, le jugement sur la responsabilité a autorité de la chose jugée à l’égard des membres dont le préjudice a été réparé, sans priver les autres de leurs voies de droit commun pour le surplus. Les actions de groupe relèvent de tribunaux judiciaires spécialement désignés, en application de l’article L. 211-15 du code de l’organisation judiciaire : à Paris, le tribunal judiciaire comporte une chambre dédiée aux actions de groupe, ce qui en fait une juridiction naturelle pour ces dossiers en Île-de-France. Enfin, lorsqu’une faute a été délibérément commise pour obtenir un gain ou une économie indu, le juge peut, à la demande du ministère public et par décision spécialement motivée, condamner le responsable à une sanction civile dont le produit alimente un fonds de financement des actions de groupe, selon l’article 1254 du code civil entré en vigueur le 3 mai 2025.
Conclusion
La condamnation américaine à 25 milliards de dollars ne verse rien aux utilisateurs français, mais elle éclaire la marche à suivre : exporter sans attendre ses données et figer les preuves de l’exploitation contestée, exercer ses droits directement auprès du responsable du traitement, puis saisir la Commission nationale de l’informatique et des libertés pour faire cesser le manquement et, le cas échéant, provoquer une sanction. Pour la réparation, l’action individuelle sur le fondement de la vie privée, de la faute ou du contrat reste ouverte dans le délai de cinq ans prévu par l’article 2224 du code civil, à compter de la connaissance des faits, et l’action de groupe du nouveau régime unifié permet d’agir à plusieurs par l’intermédiaire d’une association agréée ou d’une organisation syndicale, devant un tribunal spécialement désigné. Dans tous les cas, la qualité du dossier individuel — des faits précis, un dommage décrit, des pièces datées — conditionne le succès, comme l’a rappelé le tribunal judiciaire de Paris en déclarant irrecevable une action collective mal étayée.