Dix-neuf jours à Natick
Entre le 5 et le 23 août 2019 environ, selon les aveux qu'eBay a ensuite consentis au procureur fédéral du district du Massachusetts, Jim Baugh, ancien directeur principal de la sûreté de l'entreprise, et six autres membres de l'équipe de sécurité d'eBay ont pris pour cible un couple de Natick, dans le Massachusetts. David et Ina Steiner publiaient EcommerceBytes, une lettre d'information consacrée aux sujets qui intéressent les vendeurs d'eBay. La campagne a comporté des envois anonymes d'insectes vivants, une couronne mortuaire et un masque de cochon ensanglanté.
Le ministère de la Justice a consigné l'origine sans détour. Des dirigeants d'eBay étaient irrités par le ton et le contenu de la lettre, ainsi que par les commentaires publiés sous ses articles, et la campagne de harcèlement est née des échanges entre eux. Dix-neuf jours de comportement ont produit près de sept années de conséquences judiciaires.
La voie pénale a atteint son plafond en 2023
En janvier 2023, eBay a conclu une convention de suspension des poursuites. Six infractions graves lui étaient reprochées: deux chefs de harcèlement par déplacement entre États, deux de harcèlement au moyen de services de communication électronique, un de subornation de témoin et un d'entrave à la justice. L'entreprise a accepté de verser 3 millions de dollars.
Ce chiffre n'a pas été négocié. Le ministère de la Justice a précisé qu'il s'agissait de l'amende maximale prévue par la loi pour ces six infractions. Quelle qu'ait été l'appréciation d'un procureur, trois millions représentaient tout ce que le code pénal pouvait atteindre. eBay s'est aussi engagée à retenir pendant trois ans un contrôleur indépendant de la conformité et à renforcer largement son programme de conformité.
Un dirigeant qui aurait lu ce règlement en 2023 aurait pu le classer comme clos, chiffré et surmontable. Le montant était public, le contrôleur nommé, l'entreprise poursuivait son activité. L'exposition qui comptait vraiment n'avait pas encore commencé.
L'aveu a survécu à la procédure qui l'avait produit
Pour obtenir cette convention, eBay a reconnu un exposé détaillé de l'ensemble des faits pertinents relatifs à sa conduite. C'est le prix habituel de ce type d'accord, et il est généralement considéré comme le coût d'une clôture rapide du dossier.
Les Steiner avaient introduit en 2021 une action civile devant le tribunal fédéral de Boston, invoquant une entente destinée à les intimider, les menacer de mort, les torturer, les terroriser, les harceler et les réduire au silence afin d'étouffer leur couverture d'eBay. Leur procédure a suivi son cours alors que figurait au dossier public une société défenderesse ayant déjà concédé les faits en détail.
Le 27 juillet 2026, leur cabinet, Scalli Murphy Law, a annoncé un règlement et déposé devant la même juridiction l'acte de désistement. Le volet pénal avait mis environ trois ans et demi à se dénouer. Le volet civil en a demandé trois et demi de plus.
Qui a réellement signé les chèques
Le règlement s'élève à 55,7 millions de dollars. Les Steiner perçoivent 48,7 millions à titre d'indemnisation: 46,15 millions d'eBay, 2 millions de l'ancien directeur général Devin Wenig, 500 000 dollars de Wendy Jones, ancienne vice-présidente principale des opérations, et 50 000 dollars de Steve Wymer, ancien directeur de la communication. Sept millions supplémentaires vont à des engagements caritatifs, 6 millions d'eBay et 1 million de Wenig au profit d'une organisation de défense de la liberté d'expression, au nom d'Ina Steiner.
Deux proportions méritent d'être notées. La société a payé 52,15 millions, soit 93,6 pour cent. Les trois personnes nommément désignées ont versé ensemble 3,55 millions, soit 6,4 pour cent, sur leurs propres deniers. Et le total représente 18,6 fois la sanction maximale que le code pénal autorisait trois ans plus tôt. Aucun des trois n'a été poursuivi pénalement, et une transaction ne constitue pas une déclaration de responsabilité à leur encontre.
Les clauses non financières sont celles qu'un conseil devrait étudier. Il n'existe aucune clause de confidentialité, de sorte que les Steiner pourront évoquer publiquement l'affaire aussi longtemps qu'ils le souhaitent. eBay s'est en outre engagée à publier une déclaration ferme sur la conduite de Wenig, Wymer et Jones et sur la culture d'entreprise de cette période. L'argent est fini. Cette déclaration ne l'est pas.
L'Europe dispose désormais du même canal
Les dirigeants européens modélisent volontiers l'exposition réglementaire et s'arrêtent là. Dans le RGPD, l'affichage est un pourcentage du chiffre d'affaires mondial; dans NIS2 et DORA, une sanction de supervision; et chacun de ces montants comporte un plafond qu'un directeur financier peut inscrire dans un tableur.
L'article 82 du RGPD n'a pas cette forme. Il ouvre à toute personne ayant subi un dommage matériel ou moral du fait d'une violation un droit à réparation, et la Cour de justice a refusé d'exiger un seuil minimal de préjudice pour que la demande soit recevable. Depuis le 25 juin 2023, le régime des actions représentatives issu de la directive 2020/1828 permet en outre aux entités qualifiées d'engager des actions collectives en réparation dans les États membres, et la protection des données entre dans son champ. En France, le mécanisme prolonge l'action de groupe déjà ouverte en matière de données personnelles.
La consigne est étroite et mérite d'être appliquée dès ce trimestre. Lorsque votre direction juridique propose de transiger avec une autorité en concédant un exposé des faits, demandez qui d'autre pourra lire cet exposé, et pendant combien de temps, puis chiffrez l'action privée qui suivra plutôt que l'amende qui clôt le dossier. Demandez ensuite par écrit à votre assureur quelle est la position non couverte d'un mandataire social le lendemain du jour où la société a reconnu les faits.
L'affaire eBay est extrême par les comportements et banale par sa structure. La sanction publique plafonnée est arrivée la première et ressemblait à une fin. L'action privée sans plafond est arrivée ensuite, a coûté dix-huit fois plus, a atteint les comptes personnels de trois personnes et n'a acheté aucun silence.
À lire ensuite: Bloquer le robot a publié vos conversations | Le dossier médical change de loi en se déplaçant
