Le 22 septembre 2026, une publication mise en ligne sur un forum cybercriminel affirme s’être attaquée à MesMarches.fr, la plateforme française qui met en relation les exposants professionnels et les organisateurs de marchés, foires, salons et festivals. Le message, signé du pseudonyme « Quantique », annonce 2 535 enregistrements issus d’une interface de programmation du site, avec un échantillon de 1 000 entrées à l’appui, et des champs qui ne sont normalement jamais publics : hashs de mots de passe, identifiants internes, statuts de vérification, dates de dernière connexion. Le lendemain, la veille indépendante FrenchBreaches documente cette revendication dans une page publiée le 23 septembre 2026. Et le même jour, le site MesMarches.fr lui-même n’affiche plus son service : une page sobre annonce « MesMarches ferme ses portes », en précisant que, pour les inscrits, « les données ont été détruites », avec une simple adresse de contact.
Pour les entreprises qui vivaient de cette intermédiation — artisans et commerçants exposants, organisateurs d’événements, prestataires de paiement ou de réservation — la réponse tient en une phrase : une revendication de piratage n’est pas une violation établie, une page de fermeture n’est pas une preuve de destruction des données, et chaque acteur doit dès maintenant figer ses preuves contractuelles, vérifier qui détenait juridiquement ses données et décider par écrit de la suite de ses contrats. Réserves importantes : à ce stade, il s’agit d’une revendication, non d’une violation confirmée par la plateforme ; l’étendue exacte des données concernées, la date et les causes de la fermeture du service, ainsi que la réalité de la destruction annoncée restent à établir pièce par pièce ; aucune décision citée ici ne statue sur le cas MesMarches lui-même, et cet article ne remplace pas l’examen d’un dossier individuel.
I. Une double secousse pour les professionnels : revendication de piratage, puis fermeture
A. Ce que l’on sait, ce que l’on ne sait pas encore, et qui détient quelle preuve
La séquence des faits publics est courte et doit être lue avec prudence. D’un côté, la revendication du 22 septembre 2026 : un fichier baptisé « Exhibitors.jsonl », 2 535 enregistrements annoncés, un échantillon de 1 000 entrées présenté comme preuve de l’accès, une compromission qui aurait transité par une interface de programmation du site. De l’autre, la fermeture du service, constatée sur le site le 23 septembre 2026 : quelques lignes annoncent la fin de MesMarches et affirment la destruction des données des inscrits, sans date, sans détail sur le sort des contrats en cours, sans mention d’une procédure quelconque. Entre les deux, un point aveugle : rien ne permet, en l’état des informations publiques, d’affirmer que la fermeture est la conséquence de la revendication, ni qu’elle lui est étrangère. Les deux événements sont concomitants, ils ne sont pas juridiquement liés par le seul effet du calendrier.
Cette distinction commande toute la suite, car trois catégories d’acteurs détiennent chacune une partie différente du dossier. Les exposants — artisans, commerçants, producteurs qui cherchaient des emplacements — détiennent leurs propres preuves : conditions générales acceptées lors de l’inscription, factures d’abonnement ou de mise en avant, échanges avec des organisateurs, exports de leurs contacts et de leurs réservations s’ils les ont sauvegardés, relevés bancaires des sommes versées. Les organisateurs — associations, collectivités partenaires, sociétés d’événementiel — détiennent les listes d’exposants inscrits à leurs manifestations, les plans de placement, les conventions d’occupation et la correspondance commerciale. La plateforme, elle, détenait les journaux techniques de son interface de programmation, les registres d’accès aux comptes, les versions successives de ses conditions générales et les contrats conclus avec ses propres prestataires, notamment si un prestataire de paiement ou d’hébergement encaissait ou stockait pour son compte. Or c’est précisément l’accès à cette troisième catégorie de preuves qui devient critique quand le service ferme : une page de fermeture ne transfère ni les contrats ni les journaux, et l’affirmation selon laquelle les données auraient été détruites ne vaut ni attestation ni preuve.
Le premier réflexe utile consiste donc à figer ce qui est encore accessible. Chaque exposant et chaque organisateur doit exporter sans délai ses propres données : profil, historique de réservations, messages échangés via la plateforme, factures, conditions générales dans leur version acceptée. Les captures d’écran datées, les exports complets et les accusés de réception ont ici une valeur directe, car le droit français fait peser la preuve sur celui qui réclame. L’article 1353 du Code civil dispose en effet que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » (texte sur Légifrance) Celui qui demandera demain un remboursement, une indemnisation ou la poursuite d’un contrat devra produire ses pièces ; celui qui se prévaudra d’avoir tout détruit ou tout payé devra le démontrer. Dans un dossier où la plateforme a fermé ses portes, les pièces détenues par les professionnels deviennent le dossier lui-même.
B. Les leçons des juges : l’acompte prouvé se récupère, le préjudice affirmé s’évapore
Un jugement très récent du tribunal des activités économiques de Paris illustre cette logique avec une netteté pédagogique, dans une configuration proche : une plateforme d’intermédiation, un prestataire défaillant et des sommes à récupérer. Le 2 septembre 2026, dans l’affaire opposant la société Wecasa à la société Kactus (RG J2025000650, jugement consultable ici), le tribunal juge d’abord que l’utilisation d’un service en ligne crée un contrat : « Dès lors qu’une société utilise un service en ligne, il existe une relation contractuelle entre cette société et le fournisseur de service constitué par des CGV qui ont été acceptées. » (texte intégral de la décision) Puis il qualifie la plateforme d’éditrice de contenus, et non de simple hébergeuse, au vu de son rôle actif — sélection des prestataires, encadrement des annonces, facturation au nom et pour le compte des prestataires — avant de trancher : « En conséquence, le tribunal dira que la société KACTUS intervient en tant qu’éditeur de contenus. » La conséquence est sonnante : remboursement de 41 798,10 euros hors taxes, soit 46 800 euros toutes taxes comprises, avec intérêts au taux légal à compter de l’assignation du 5 novembre 2024, le tribunal condamnant la plateforme « à rembourser la somme de 41 798,10 euros HT (46 800 euros TTC) déduction faite des sommes perçues dans le cadre de la procédure collective de la société OCPO Le Moulin de Vernègues avec intérêts au taux légal à compter de l’assignation du 5 novembre 2024 » (texte intégral de la décision).
Mais le même jugement rejette l’intégralité des demandes indemnitaires complémentaires, et c’est là que la leçon probatoire prend toute sa valeur pour les exposants et organisateurs de MesMarches. Sur 30 000 euros réclamés pour la mobilisation de trois salariées à la recherche d’un lieu de remplacement, le tribunal retient que « la société WECASA ne justifie toutefois ni de l’ampleur des diligences accomplies ni du coût qu’elles auraient engendré. » (texte intégral de la décision) Sur le surcoût de 4 263,30 euros et les 20 000 euros d’immobilisation de trésorerie, il constate l’absence d’éléments établissant que l’option onéreuse était la seule disponible. Sur le préjudice moral et d’image de 15 000 euros, il relève que « WECASA ne produit aucun élément permettant d’établir la réalité de l’atteinte à son image, ni de ses conséquences. » Traduction opérationnelle : les sommes versées et documentées se récupèrent ; les surcoûts, les heures internes et l’atteinte à l’image ne s’indemnisent qu’au prix de justificatifs précis — feuilles de temps, devis comparatifs, constats de perte de clientèle, attestations datées. Les professionnels affectés par la chute de MesMarches doivent donc constituer dès aujourd’hui ce dossier chiffré : emplacements perdus et chiffre d’affaires manqué par manifestation, frais de réinscription sur d’autres plateformes, temps passé à recontacter les exposants ou les organisateurs un par un.
Un second enseignement du même jugement concerne l’articulation avec une procédure collective, hypothèse que la fermeture d’une plateforme rend toujours envisageable. Le tribunal rappelle que « La déclaration de créance prévue aux articles L.622-24 et suivants du Code de commerce a pour seule finalité de permettre au créancier de faire valoir ses droits dans le cadre de la procédure collective ouverte à l’égard du débiteur concerné. » (texte intégral de la décision) et que « les demandes formées à l’encontre de la société KACTUS ne résultent pas de sa qualité de débiteur soumis à la procédure collective, mais reposent sur les obligations propres qui lui incombaient. » (texte intégral de la décision) Autrement dit, déclarer sa créance au passif du partenaire défaillant et agir contre la plateforme sur le fondement de ses obligations propres sont deux voies parallèles, de fondements distincts, qui ne se neutralisent pas — à condition d’en déduire, comme l’a fait le tribunal, les sommes éventuellement déjà perçues dans la procédure collective. Pour un exposant qui aurait versé un acompte pour un emplacement et pour un organisateur qui aurait confié des fonds à la plateforme, la prudence commande de préparer les deux démarches sans attendre : surveiller l’ouverture éventuelle d’une procédure et, en parallèle, mettre en demeure la plateforme sur ses manquements propres.
II. Quelles décisions prendre, acteur par acteur
A. Exposants, organisateurs et prestataires : sécuriser les contrats et organiser la rupture
Le contrat d’intermédiation ne disparaît pas parce que le site affiche une page de fermeture. Tant qu’aucune résiliation régulière n’est intervenue et qu’aucune décision de justice ne l’a constatée, les obligations subsistent et leur inexécution ouvre le menu des sanctions de l’article 1217 du Code civil : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » (texte sur Légifrance) Concrètement, l’exposant qui a payé un abonnement annuel pour un service désormais inaccessible peut suspendre tout paiement à échoir, puis provoquer la résolution et réclamer le remboursement au prorata ainsi que des dommages et intérêts. La résolution, rappelle l’article 1224 du Code civil, « résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » (texte sur Légifrance) La voie la plus sûre reste la mise en demeure écrite, envoyée à l’adresse de contact affichée et à tout autre canal contractuel connu, qui décrit précisément les manquements — inaccessibilité du service, impossibilité d’accéder aux réservations, absence d’information sur les données — et fixe un délai pour y remédier avant résolution. Et si le débiteur invoque la contrainte extérieure, le texte applicable est l’article 1231-1 du Code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (texte sur Légifrance) C’est à la plateforme, le cas échéant, de justifier l’empêchement ; ce n’est pas au client de le supposer.
Du côté des relations entre professionnels que la plateforme mettait en relation, la fermeture peut aussi rompre brutalement des courants d’affaires établis : l’organisateur qui perdait chaque saison les mêmes exposants fidèles, le fournisseur qui équipait chaque année les mêmes stands. L’article L. 442-1 du Code de commerce sanctionne le fait « de rompre brutalement, même partiellement, une relation commerciale établie, en l’absence d’un préavis écrit qui tienne compte notamment de la durée de la relation commerciale, en référence aux usages du commerce ou aux accords interprofessionnels » (texte sur Légifrance), tout en précisant que « Les dispositions du présent II ne font pas obstacle à la faculté de résiliation sans préavis, en cas d’inexécution par l’autre partie de ses obligations ou en cas de force majeure. » (texte sur Légifrance) La cour d’appel de Paris a fixé le cadre d’appréciation dans un arrêt du 4 décembre 2024 (RG 23/04450, arrêt consultable ici) : « La rupture, pour être préjudiciable et ouvrir droit à indemnisation au sens de l’article L. 442-6, I, 5° du code de commerce, doit être brutale, c’est-à-dire effectuée sans préavis écrit. » (texte intégral de la décision) et « Le préavis a pour objet de permettre à la victime de se reconvertir, une période lui étant octroyée pour aménager la poursuite de son activité malgré la perte de son partenaire commercial. » (texte intégral de la décision) Dans cette affaire de déréférencement d’un fournisseur après deux ans et quatre mois de relation, la cour n’a alloué que 2 298,18 euros, preuve que l’indemnisation se mesure à l’aune du préavis manquant et du préjudice démontré, jamais au chiffre d’affaires perdu dans son entier. Pour les professionnels de l’événementiel, la leçon est double : notifier par écrit toute rupture avec un préavis calibré sur l’ancienneté de la relation, et chiffrer la période de reconversion au lieu d’additionner des pertes globales. Lorsqu’une procédure collective s’ouvre contre l’un des maillons, la déclaration de créance dans les délais et le suivi de la procédure relèvent d’un conseil en droit des sociétés pour gérer une procédure collective et sécuriser le recouvrement, en complément de l’action contractuelle contre la plateforme.
Reste la question des fonds qui transitaient par la plateforme : acomptes d’emplacements, commissions, sommes encaissées pour le compte des organisateurs. Le jugement Wecasa montre que le remboursement suit la qualification et la preuve : la plateforme y est condamnée en tant qu’éditrice ayant manqué à ses obligations propres, à hauteur des sommes documentées. Chaque acteur doit donc reconstituer le circuit de son argent : qui a encaissé, sur quel compte, en vertu de quelle clause, avec quelle facture. Si un prestataire de paiement distinct intervenait, ses relevés constituent une preuve indépendante de la plateforme et doivent être réclamés sans délai. Et si des sommes restent bloquées, la mise en demeure doit les individualiser une par une, avec dates, montants et références, car le juge rembourse ce qui est établi, comme les 46 800 euros toutes taxes comprises de l’affaire Wecasa, et rejette ce qui est seulement affirmé.
B. Données compromises puis « détruites » : qui notifie, qui accède, qui se protège
Sur le terrain des données, la première erreur serait de traiter la revendication comme une violation établie, et la seconde de traiter la page de fermeture comme une attestation de destruction. Juridiquement, les obligations de notification naissent d’une violation avérée ou raisonnablement suspectée après analyse, pas d’une rumeur de forum. Le Règlement général sur la protection des données impose au responsable du traitement, « En cas de violation de données à caractère personnel, » d’en notifier « la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. » (texte sur EUR-Lex) Lorsque le risque est élevé pour les personnes, « le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » (texte sur EUR-Lex) Le Règlement lui-même prévoit le cas du dépassement : « Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. » (texte sur EUR-Lex) La Commission nationale de l’informatique et des libertés précise la méthode dans sa page de la CNIL : notification initiale dans les 72 heures si possible après constatation, puis notification complémentaire dès que les investigations avancent.
Qui est responsable de quoi dans la chaîne MesMarches ? La plateforme, qui déterminait finalités et moyens de son service, est le responsable de traitement de référence pour les comptes qu’elle gérait. Mais les exposants et organisateurs qui utilisaient ces données pour leur propre prospection — relances d’exposants, fichiers d’invités, campagnes — sont eux-mêmes responsables des traitements qu’ils opèrent avec les données extraites, et ils le restent après la fermeture du service. Quant aux prestataires techniques — hébergeur, outil de paiement, solution d’envoi d’e-mails — leur statut est celui de sous-traitant, et le Règlement exige que « Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. » (texte sur EUR-Lex) Chacun doit donc écrire à ses propres prestataires pour exiger par écrit : confirmation de la violation ou non sur leur périmètre, mesures prises, délais de conservation appliqués et attestation de suppression le cas échéant. Une affirmation de destruction affichée sur une page web ne remplace ni le registre des traitements ni une attestation contractuelle.
Pour les professionnels inscrits sur la plateforme, le droit d’accès est l’outil immédiat pour vérifier ce qu’il reste de leurs données et contester la destruction alléguée. Le Règlement reconnaît à « La personne concernée » « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes » (texte sur EUR-Lex), notamment finalités, catégories de données, destinataires et durée de conservation. Mais ce droit a des limites que les juges appliquent strictement : le 13 février 2025, le tribunal judiciaire de Paris (RG 21/07085, jugement consultable ici) a débouté un demandeur qui réclamait l’accès à des données collectées lors d’un stage effectué en 2002-2003, en relevant que les mentions du registre unique du personnel ne se conservent que cinq ans — « les mentions portées sur le registre unique du personnel sont conservées pendant cinq ans à compter de la date à laquelle le salarié ou le stagiaire a quitté l’établissement » (texte sur Légifrance) n’est plus une formule abstraite mais, dans cette affaire, la raison pour laquelle la société ne détenait plus rien — et que le demandeur ne démontrait ni l’existence d’un traitement actuel ni un préjudice certain en lien causal avec une violation. Moralité pour les inscrits de MesMarches : exercer le droit d’accès par écrit dès maintenant, avant toute prescription probatoire et avant la dispersion des interlocuteurs, et conserver la preuve de la demande comme celle de la réponse ou de son absence.
Enfin, l’hygiène de sécurité s’impose sans dramatiser. Les hashs de mots de passe revendiqués ne sont pas des mots de passe en clair, mais ils imposent de changer sans délai tout mot de passe réutilisé ailleurs, d’activer la double authentification sur les comptes professionnels et de surveiller les tentatives d’hameçonnage ciblant exposants et organisateurs — faux remboursements, fausses attestations de suppression, fausses relances d’emplacements. Aucune rançon, aucun intermédiaire opaque, aucun « service de suppression » payant : les démarches passent par les canaux contractuels et, en cas d’escroquerie avérée, par un dépôt de plainte avec les pièces techniques conservées. Et si l’analyse interne révèle une violation réelle sur votre propre périmètre, la notification à l’autorité et, le cas échéant, aux personnes concernées doit partir dans les délais du Règlement, avec un dossier d’investigation horodaté. Pour ORDONNER ces démarches dans le bon ordre — preuves, mises en demeure, notifications — et éviter l’acte qui compromettrait le recours, un accompagnement en droit des affaires pour sécuriser vos contrats de plateforme permet de qualifier chaque relation et de choisir la procédure adaptée.
En pratique, la feuille de route tient en trois horizons. Dans les soixante-douze heures : exporter et horodater toutes les preuves accessibles, changer les mots de passe réutilisés, adresser à la plateforme une demande écrite d’accès, de conservation et d’attestation, écrire à ses propres prestataires techniques et suspendre tout paiement à échoir pour un service inaccessible. Dans les trente jours : mettre en demeure sur les manquements précis, provoquer la résolution si l’inexécution est suffisamment grave, déclarer toute créance si une procédure collective s’ouvre, notifier à l’autorité toute violation avérée sur son périmètre et informer les personnes exposées à un risque élevé. Au-delà : chiffrer chaque préjudice avec justificatifs, réorganiser les circuits de réservation et d’encaissement sur des prestataires offrant des garanties contractuelles écrites, et inscrire dans les futurs contrats d’intermédiation des clauses de réversibilité, d’export des données et de séquestre des fonds. La crise MesMarches rappelle une règle simple de la chaîne : celui qui détient les preuves décide, et celui qui décide par écrit recouvre.
Besoin d’un avis rapide sur votre dossier
Maître Reda KOHEN, avocat au Barreau de Paris, répond aux exposants, organisateurs et prestataires confrontés à la défaillance d’une plateforme d’intermédiation. Consultation téléphonique : 80 EUR TTC, au 06 46 60 58 22. Vous pouvez également écrire via la page contact du cabinet.