La rupture est la matière première. Le produit est le pipeline.

WellPoint Texas, Inc. a rapporté une fuite de données le 10 août, qui a révélé les numéros d’identification sociale, les informations relatives à l’assurance maladie et d’autres données personnelles.101 047 personnes au TexasLa méthode d’attaque n’a pas été révélée. La période d’accès non autorisé n’a pas été indiquée. Les acteurs de la menace n’ont pas été identifiés.

QuoiétaitEn environ 24 heures, une série de communiqués de presse presque identiques provenant de cabinets d’avocats spécialisés dans le droit de la protection des consommateurs a été divulguée. Edelson Lechtzin LLP a lancé ses enquêtes. Federman & SherwoodJ’ai enregistré un autre.Barno Law a publié sa page. Tous ces événements se sont produits dans un délai d’une ou deux jours, et tous utilisent essentiellement le même langage pour discuter des « revendications liées à la confidentialité des données » et pour proposer des « évaluations gratuites des cas ».

Le point essentiel est que la violation en elle-même n’est pas le produit final. La violation constitue plutôt l’ingrédient de base. Le produit, c’est donc le processus de gestion des actions collectives. Les premières entreprises à commencer ce processus se précipitent pour obtenir une part prioritaire avant que quelqu’un d’autre ne le fasse.

WellPoint est une marque de soins gérés appartenant à Elevance Health, une compagnie d’assurance santé dont la valeur boursière s’élève à 86 milliards de dollars. Ses actions sont actuellement cotées autour de 399 dollars par action. Ce problème de sécurité ne va en rien affecter les actions de l’entreprise. Il ne changera pas les opinions que tout le monde a sur Elevance Health. La compensation – si elle existe – ne sera qu’un petit détail par rapport à une entreprise de valeur boursière de 86 milliards de dollars. Cela n’est pas grave. Personne ne prétend que ce ne soit pas le cas. L’économie de cette entreprise ne dépend pas du fait que cette compensation soit significative pour l’entreprise défenderesse.

Ils dépendent du fait que le document soit suffisamment important pour les cabinets d’avocats, et suffisamment petit pour l’entreprise, afin que la résolution des différends soit plus facile que de devoir se battre.

C’est le même calcul qui a motivé toutes les actions en justice liées à des fuites de données depuis l’incident d’Equifax en 2017, où l’entreprise a accepté une compensation.700 millionsAucune action en justice pour violation de données n’a jamais abouti à une décision définitive. Aucune. Toutes ces actions se résolvent par des accords, car le processus de découverte des faits représente un véritable calvaire pour la défense. Le risque de dégradation de la réputation est réel, et le montant réel versé aux consommateurs par personne est si faible que le coût total de la résolution de l’affaire est presque toujours inférieur au coût du procès. L’accord conclu avec Equifax, l’un des plus grands de l’histoire, s’est soldé à environ 5 dollars par personne concernée, après avoir pris en compte les 147 millions de personnes touchées, ainsi que le montant réel versé aux consommateurs, par rapport aux frais d’avocats des États et des procureurs généraux.

Pour une violation de 101 000 personnes, le fonds de compensation sera probablement d’un million ou deux millions. Les paiements individuels, en fonction des tendances historiques, seront généralementDe 25 à 100 dollars.En espèces, plus le pack de surveillance des crédits obligatoire que chaque entreprise propose aujourd’hui. Car c’est moins cher que de payer en espèces, et cela rend les accords de règlement plus avantageux. Les cabinets d’avocats prennent une part du fonds avant que les consommateurs ne voient quoi que ce soit. Ils choisissent également les cas les plus intéressants – ceux où les personnes peuvent prouver des dommages financiers réels causés par le vol d’identité – et traitent ces cas séparément, pour obtenir une meilleure rémunération.

La chose étrange concernant la réponse de l’étude de droit, c’est à quel point elle est mécanisée. Edelson Lechtzin LLP, basée en dehors de Philadelphie, publie des informations sur les violations de données tout au long de l’année. Elles ont enquêté sur la violation de données liée à Amgen la semaine dernière, et sur la violation de données liée à ZenPatient en juillet.Violation de DocketWise en avrilEt en octobre de l’année dernière, une entreprise de recrutement pour les travailleurs de la santé appelée Decisely a été contactée. Les communiqués de presse sont rédigés selon des modèles prédéfinis. Le timing est également mécanique : dès que le dossier déposé par le procureur général devient publique, la page du cabinet d’avocats devient accessible.

Ce n’est pas une faute professionnelle. C’est un modèle d’entreprise. Les sociétés de litige collectif dans ce domaine fonctionnent selon un principe de contingence : aucun frais, à moins qu’il y ait une transaction. Ce qui signifie que le coût marginal de l’ouverture d’une enquête est presque nul. Après avoir publié la page, les sociétés collectent les informations pertinentes, vérifient si le dossier est sérieux, puis ils fusionnent en un litige multijurisdictional, négocient une transaction, partagent le montant obtenu avec les associés, et recevent leur salaire. Les sociétés qui réagissent le plus rapidement sont celles qui accumulent le plus d’informations pertinentes. Et une telle quantité d’informations est un atout important dans les négociations de transaction, car cela indique au défendeur que le groupe de personnes concernées est organisé, et que le procureur général sera impliqué dans la procédure.

Les entreprises se comparent également entre elles pour obtenir le même cas. Les sociétés de plaignants multiples se précipitent généralement vers le même problème juridique, puis coordonnent leurs efforts – ou se compètent – pour déterminer qui sera le conseil principal. Le rôle du conseiller principal est très rentable en termes de honoraires, c’est pourquoi cette compétition est importante.

Il existe une machine financière similaire, si l’on regarde le flux de fonds. Elle fonctionne un peu comme une action en justice liée aux valeurs mobilières, mais avec des valeurs de demandes plus faibles, un volume de demandes plus élevé, et un processus de règlement qui est devenu un modèle bien rodé. Dans les affaires de fraude sur les valeurs mobilières, l’assurance du défendeur couvre les dépenses de règlement ; les investisseurs reçoivent une partie de ce qu’ils ont perdu, et les cabinets d’avocats réussissent à gagner un bon revenu. Dans les litiges liés aux violations de données, l’assurance cyber du défendeur couvre les dépenses de règlement ; les consommateurs obtiennent une surveillance des données, et peut-être 40 dollars, et les cabinets d’avocats réussissent à gagner un bon revenu. Les défendeurs sont différents, mais le mécanisme de fonctionnement est presque identique.

La seule différence réelle est que la fraude sur les valeurs mobilières exige la preuve d’une désinformation. En revanche, les actions en justice liées à des fuites de données ne nécessitent pas que quelqu’un mente. Il suffit que le défendeur n’ait pas protégé correctement les données, et que cette fuite ait causé un certain dommage – même si ce dommage est simplement l’inconvénient d’avoir son numéro de sécurité sociale visible au grand jour. Les tribunaux ont accepté que « l’augmentation du risque de fraude future » soit considérée comme un dommage pouvant être indemnisé dans les cas de fuites de données. C’est une sorte de dommage qui peut se produire, et qui peut être coûteux. C’est le manque de prévention de la part du défendeur qui rend cela possible.

Le mécanisme fonctionne donc comme suit : une entreprise soumet une notification de violation à un procureur général d’un État. Cette notification est publique. Les cabinets d’avocats recueillent ces informations et publient des informations relatives aux enquêtes dans quelques heures. Les consommateurs concernés, s’ils le souhaitent, remplissent le formulaire d’évaluation de l’affaire. L’entreprise lance alors une action en justice. L’équipe juridique de la partie défenderesse calcule les coûts liés à l’enquête et le risque pour sa réputation en cas de procès. Ils optent donc pour un accord. Cet accord comprend un fonds en espèces, un programme de surveillance des crédits, et parfois également des engagements visant à améliorer la sécurité. Le cabinet d’avocats reçoit un paiement provenant de ce fonds. Les consommateurs reçoivent le reste. Le cycle se répète ainsi.

Pour Elevance Health, c’est une chose normale. WellPoint a déjà fait face à cette situation par le passé. En 2013, elle a payé…Résolution de 1,7 million de dollars en vertu de la loi HIPAASuite à une violation de données sur un site web, les données de centaines de milliers de personnes concernées ont été révélées. En juin 2025, un attaque par phishing contre une entreprise affiliée à WellPoint Washington a permis de divulguer les données sanitaires et personnelles d’environ 12 000 personnes dans cet État. En juin 2026, une action en justice à l’échelle nationale a été initiée, accusant WellPoint d’avoir retardé son dépistage de la violation pendant huit mois, ce qui a augmenté le risque de fraude. Maintenant, au Texas… Le même schéma, mais dans un autre État.

Ce qui n’est pas clair dans les documents soumis par Texas, c’est comment cette violation s’est produite. Les informations divulguées par les médias ne décrivaient ni la méthode d’attaque, ni le délai, ni les acteurs responsables de cette attaque. Cette absence fait partie du comportement normal : les entreprises communiquent uniquement ce qu’elles doivent communiquer, et non ce qu’elles veulent communiquer. Mais cela signifie également que le public ne sait pas si il s’agit d’une attaque ciblée, d’une faille dans un fournisseur, d’un incident de phishing comme celui survenu à Washington, ou d’autre chose. La classification de cette violation est importante pour comprendre si la situation de sécurité d’Elevance se détériore ou si il s’agit simplement d’une conséquence statistique liée au fait qu’une entreprise gère les données de santé de millions de personnes.

Le modèle le plus simple est le suivant : si une entreprise possède les données de santé et financières de suffisamment de personnes, il ne reste plus qu’à attendre que certaines de ces données soient divulguées. Le coût d’une telle violation – y compris les compensations, la surveillance des crédits, les frais juridiques et l’enquête interne – est un coût connu dans le cadre des activités commerciales. Ce coût est alors pris en compte dans le budget, assuré et résolu. Les personnes dont les données ont été divulguées représentent donc le risque restant. Elles reçoivent une notification, un numéro de téléphone, et peut-être même un chèque par courrier, dans 18 mois.

Ce n’est pas une condamnation morale. C’est simplement des problèmes techniques. La question pour ceux qui suivent les actions d’Elevance est de savoir si la fréquence ou la gravité de ces violations dépassent un seuil où les régulateurs, les assureurs ou les agences de notation commenceront à les évaluer différemment. Avec 101 000 personnes touchées dans le Texas, ce n’est pas vraiment ce seuil. Mais le fait que plusieurs violations se produisent dans plusieurs États en une même année est quelque chose qui finira par être abordé lors d’interrogations, dans les examens d’assurance ou dans les notes explicatives des rapports financiers. Et dans la structure du marché, c’est généralement ces notes explicatives qui comptent plus que l’information principale.