Le 25 septembre 2026, le site FrenchBreaches, tenu par Sébastien Forte et spécialisé dans le recensement des fuites de données en France, a publié qu’un cybercriminel agissant sous le pseudonyme de weykofa revendique une base issue du site century21.fr : 228 148 lignes concernant, selon ses déclarations, 130 995 personnes. Les échantillons mis en avant contiendraient des noms, des prénoms, des adresses électroniques, des numéros de téléphone et les agences associées, provenant de formulaires remplis par des clients et des prospects auprès de différentes agences du réseau. Autrement dit, l’incident ne frapperait pas une agence isolée : il partirait du fichier central d’un réseau de franchise immobilière et se propagerait à des dizaines d’agences franchisées, à leurs vendeurs et acquéreurs, ainsi qu’aux prestataires qui font tourner la machine informatique du réseau.
La réponse pratique tient en quatre réflexes. D’abord, qualifier les rôles sans se tromper : la tête de réseau qui centralise les formulaires, l’agence franchisée qui collecte et exploite les contacts, le prestataire informatique qui héberge et transfère les données n’ont ni les mêmes obligations ni les mêmes décisions à prendre. Ensuite, figer les preuves immédiatement : exports du fichier, journaux de transmission, constats d’huissier devenus constats de commissaire de justice, échanges avec le franchiseur et le prestataire, car toute la suite se jouera sur la preuve. Puis, décider vite de la notification : le droit européen impose au responsable du traitement de prévenir l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, et d’informer les personnes concernées lorsque le risque est élevé. Enfin, traiter la relation contractuelle : contrat de franchise, contrat de sous-traitance informatique, sort des données en cas de sortie du réseau, recours contre le prestataire défaillant.
Deux réserves avant d’aller plus loin. La fuite est une revendication publiée sur un forum cybercriminel et relayée par un observateur spécialisé : au jour de la rédaction, elle n’est corroborée par aucune communication officielle de l’enseigne, et les volumes avancés par le pirate sont invérifiables. Tout ce qui suit raisonne donc sur l’hypothèse, plausible et documentée par les échantillons décrits, d’une base issue des formulaires du réseau ; si l’enseigne dément ou si l’enquête établit un périmètre différent, les qualifications devront être révisées. Ensuite, les contrats de franchise et les contrats informatiques ont leurs clauses propres : l’analyse part du droit commun et de décisions rendues dans des configurations comparables, dont une qui oppose précisément la tête du réseau Century 21 à l’un de ses anciens franchisés, mais elle ne remplace pas la lecture de vos stipulations. Cet article est la carte des conséquences pour les professionnels de la chaîne — franchiseur, franchisés, prestataires, partenaires — pas l’annonce de la fuite.
I. Un fichier central, trois responsabilités : franchiseur, agences et prestataire
A. Qui détient quelle preuve dans un réseau de franchise immobilière
Le point de départ est le circuit des données, et il est documenté par l’enseigne elle-même. La page de protection des données du site century21.fr, consultée pour ce dossier, indique que les droits peuvent être exercés directement auprès de l’agence qui a collecté les données ou auprès de Century 21 France, que les données sont transmises à des partenaires qui les traitent soit pour leur propre compte, soit uniquement pour le compte et selon les instructions de Century 21 France en qualité de sous-traitants, et elle invite, pour toute question sur la collecte effectuée par une agence franchisée du réseau ou sur le site d’une agence, à contacter cette agence ou à consulter son site. Le schéma est donc tripartite : la tête de réseau centralise et pilote, l’agence franchisée collecte localement, des prestataires traitent sous instruction. Chacun détient une partie des preuves, et aucune décision sérieuse ne peut être prise sans les réunir.
Le droit européen donne les qualifications. Le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données, prévoit un régime de responsables conjoints lorsque deux acteurs déterminent ensemble les finalités et les moyens d’un traitement, avec une répartition écrite de leurs obligations. Lorsque la tête de réseau impose le logiciel, le formulaire et les finalités marketing tandis que l’agence décide de sa prospection locale, cette qualification doit être examinée, et l’accord qui répartit les rôles doit exister par écrit. À défaut, chaque acteur reste exposé à ce que la personne concernée exerce ses droits contre l’un comme contre l’autre. Pour le prestataire informatique, la CNIL recommande de faire figurer au contrat une obligation de sécurité des données traitées ainsi qu’une obligation d’assistance, d’alerte et de conseil, avec une procédure écrite de notification des violations de données personnelles. L’agence et la tête de réseau doivent donc retrouver, dès les premières heures, le contrat qui les lie à l’hébergeur, au développeur du logiciel de transaction et au routeur des campagnes d’envoi : c’est là que se lisent les engagements de sécurité, les délais d’alerte et les modalités de restitution.
La jurisprudence du réseau Century 21 lui-même montre où se nichent les preuves et ce qu’elles coûtent. Dans un arrêt du 17 janvier 2024, la cour d’appel de Paris a jugé le litige opposant la société Century 21 France à la société Cocagne Immobilier, ancienne agence franchisée du réseau dans le Tarn. Le contrat de franchise de 2008, renouvelé en 2013, s’était terminé le 30 septembre 2018 en application d’un protocole d’accord du 28 septembre 2018, et les données de l’agence transitaient par un logiciel dédié nommé Centurynet, géré par une société Naxos présentée comme la société chargée de gérer les données des franchisés. La cour a retenu deux manquements de la tête de réseau. D’abord, le retard de restitution : la désactivation des adresses électroniques et la redirection n’ont été différées que jusqu’au 3 octobre 2018, mais la coupure des accès Centurynet et le transfert des données n’ont été effectifs que le 23 octobre, soit avec vingt-deux jours de retard sur l’échéance contractuelle du 30 septembre 2018 ; le message du directeur administratif et financier du réseau à Naxos, produit pour la première fois en appel, se bornait à confirmer la cessation du partenariat sans formuler d’instruction explicite de restitution, et la cour a jugé le manquement contractuel établi. Le préjudice, calculé sur le manque à gagner de vingt-deux jours à partir de la liasse fiscale de l’agence, a été fixé à 16 180 euros, somme confirmée en appel. Ensuite, l’utilisation postérieure des données : 814 personnes figurant dans les fichiers de l’ancienne agence avaient été ciblées par une campagne nationale d’envois du 21 septembre au 15 octobre 2018, 149 avaient ouvert le message, 27 avaient cliqué et 24 s’étaient désinscrites ; des envois s’étaient poursuivis en 2019 et 2021, démontrant une conservation d’environ trois ans et demi. La cour a écarté l’argument organisationnel de l’enseigne, qui plaidait l’impossibilité d’interrompre une campagne préparée un mois à l’avance, et a condamné Century 21 France à 28 420 euros pour utilisation des données postérieurement à la résiliation du contrat de franchise, en violation du protocole du 28 septembre 2018. Moralité probatoire : les journaux d’envoi, les chiffres d’ouverture et de clics, les dates de coupure d’accès et les messages d’instruction au prestataire ont fait le procès, dans un sens comme dans l’autre. L’agence qui fige ses exports, ses journaux et ses échanges écrits dès la découverte de l’incident se donne les moyens de prouver ; celle qui attend plaide sans pièces.
La répartition de la charge de la preuve ne change pas avec le numérique. Le code civil rappelle : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » C’est l’article 1353 du code civil. L’agence qui réclame au franchiseur ou au prestataire la réparation d’une fuite prouve le manquement et son préjudice ; le franchiseur qui se prétend libéré prouve qu’il a donné les instructions de sécurité et de restitution ; le prestataire qui soutient avoir alerté à temps produit ses journaux et ses notifications. Une illustration récente concerne la déclaration à la CNIL : dans un arrêt du 16 février 2026, la cour d’appel de Bordeaux, saisie d’un litige entre deux sociétés de courtage en assurances après la cession partielle d’un portefeuille, a jugé que le simple fait pour le cédant d’avoir déclaré une violation de données à la CNIL alors qu’il n’était plus propriétaire du fichier client n’était pas de nature à caractériser une violation antérieure à la cession. La cédante indiquait elle-même une date présumée sans certitude, expliquant venir d’apprendre la nouvelle par téléphone par l’intermédiaire de la vente, et aucune pièce n’établissait de démarchage de clients avant la cession. Autrement dit, une déclaration administrative ne vaut ni aveu ni preuve du fait : elle s’analyse avec les pièces qui l’entourent. Pour les agences du réseau, la leçon est directe : en cas de fuite, ce sont les exports datés, les journaux du prestataire, les constats et les écrits échangés qui établiront qui détenait quoi et depuis quand, pas les seules déclarations.
B. Qui notifie, qui informe, et dans quel délai
Une fois le périmètre figé par les preuves, vient la décision la plus urgente : notifier. La CNIL fixe la conduite à tenir : face à une violation, le responsable du traitement documente les faits dans un registre interne et notifie la violation à la CNIL au plus tôt, dans un délai maximal de 72 heures. La notification décrit la nature des faits, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, le point de contact, les conséquences probables et les mesures prises ou envisagées, et elle peut être complétée par étapes. Dans un réseau, la chaîne d’alerte doit donc être écrite à l’avance : le prestataire qui détecte prévient la tête de réseau et les agences sans retard, et le responsable du traitement notifie la CNIL dans le délai. L’erreur classique consiste à se renvoyer la qualification — chacun attendant que l’autre se déclare responsable — pendant que le délai de 72 heures court pour tous.
L’information des personnes concernées obéit à un seuil distinct. La CNIL précise que si la violation entraîne un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement y ajoute la communication de la violation aux personnes concernées, au plus tôt et en des termes clairs. Des coordonnées de vendeurs et d’acquéreurs — noms, téléphones, adresses électroniques, agence d rattachement — exposées sur un forum cybercriminel caractérisent typiquement un risque élevé d’hameçonnage, d’escroquerie au faux conseiller et de démarchage frauduleux, ce qui oriente vers l’information individuelle en des termes clairs et simples. Trois exceptions peuvent dispenser de cette communication : les données rendues incompréhensibles par des mesures comme le chiffrement, les mesures ultérieures qui écartent le risque élevé, ou les efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente est organisée. Ces exceptions se prouvent : chiffrement effectif des champs exposés, révocation et rotation des accès, retrait des échantillons, engagements documentés du prestataire.
Reste la question qui fâche dans un réseau : qui notifie quand le fichier est partagé entre la tête de réseau et les agences. Si la tête de réseau détermine seule les moyens — le logiciel, l’hébergement, les campagnes nationales — elle assume naturellement la notification pour le socle central, en coordination avec les agences pour les fichiers locaux. Si les rôles sont conjoints, l’accord prévu par le règlement doit désigner qui fait quoi, étant précisé que la personne concernée peut exercer ses droits contre chacun des responsables. En pratique, la tête de réseau a intérêt à piloter une notification synchronisée : un modèle commun de description des faits, des chiffres consolidés à partir des journaux du prestataire, un point de contact unique et des modèles de messages aux vendeurs et acquéreurs mis à la disposition des agences. L’agence qui notifierait seule, avec des chiffres divergents de ceux de l’enseigne, créerait une contradiction exploitable par les demandeurs et par l’autorité de contrôle. Et le dirigeant d’agence doit garder à l’esprit que documenter la violation est une obligation propre : le responsable du traitement consigne les faits, les effets et les mesures, car ce registre interne sera la première pièce réclamée en cas de contrôle ou de contentieux.
II. Les décisions des professionnels de la chaîne après la fuite
A. L’agence franchisée : protéger ses clients, son fichier et son contrat
Pour l’agence franchisée, la fuite du fichier central est un choc à trois faces : ses clients vendeurs et acquéreurs sont exposés, son fichier commercial — son actif le plus précieux — circule hors de son contrôle, et son contrat de franchise peut devenir le terrain du litige avec la tête de réseau. La première décision est commerciale avant d’être juridique : prévenir ses contacts actifs, en particulier les vendeurs sous mandat et les acquéreurs en négociation, avec un message sobre qui décrit la nature des données exposées, met en garde contre l’hameçonnage et indique le point de contact. Cette information protège la relation commerciale et établit, pièces à l’appui, que l’agence a agi en professionnel diligent. Elle doit être coordonnée avec la communication de l’enseigne pour éviter les versions divergentes, mais l’agence ne peut pas attendre indéfiniment une consigne qui ne viendrait pas : à défaut de coordination, elle informe elle-même et le trace par écrit.
La deuxième décision concerne le fichier. Le fichier clientèle fait partie intégrante du fonds de commerce de l’agence, comme l’a rappelé le protocole de sortie du réseau dans l’affaire Cocagne, et sa captation par des tiers expose l’agence à un détournement de sa clientèle. Concrètement, l’agence exporte immédiatement l’état de son fichier depuis ses propres accès, fait constater les accès anormaux et les utilisations suspectes — appels ou messages reçus par ses clients de la part d’inconnus se prévalant de leurs projets immobiliers — et conserve les témoignages écrits de ces clients. Si la fuite se prolonge ou si l’enseigne continue d’exploiter des contacts que l’agence estime siens, les constats de commissaire de justice sur les envois reçus, les captures des formulaires et les journaux d’accès feront la preuve, comme les chiffres d’ouverture et de clics l’ont faite dans l’arrêt de 2024. L’agence vérifie aussi ses propres mesures : mots de passe, habilitations de ses négociateurs, postes partagés, prestataires locaux ayant accès au logiciel. Car si l’enquête établit que la faille vient de ses propres accès, la distribution des responsabilités s’inversera.
La troisième décision est contractuelle et touche au contrat de franchise lui-même. Le code de commerce impose au franchiseur, avant la signature, de fournir un document donnant des informations sincères permettant de s’engager en connaissance de cause, avec notamment la durée, les conditions de renouvellement, de résiliation et de cession du contrat ainsi que le champ des exclusivités, et ce document comme le projet de contrat sont communiqués vingt jours minimum avant la signature. C’est l’article L. 330-3 du code de commerce. L’agence déjà en réseau ne signe plus, mais elle peut relire ce que son contrat dit de la sécurité informatique, de la propriété des données, de la restitution en fin de contrat et des sanctions : bien des contrats de franchise détaillent les obligations du franchisé et restent vagues sur celles du franchiseur en matière de système d’information. En cas de manquement grave et répété de la tête de réseau — outil imposé et défaillant, absence d’assistance, surfacturation des services informatiques — la résiliation à l’initiative du franchisé n’est pas une idée en l’air. Dans un arrêt du 26 novembre 2025, la cour d’appel de Paris a déclaré non fautive la résiliation anticipée par un franchisé de deux contrats de franchise conclus en 2013 et reconduits en 2018, résiliation notifiée en avril 2020 pour défaut de prestation de support, absence de visites d’animation et surfacturation d’un logiciel facturé 97,50 euros hors taxes par mois et par magasin au lieu des 65 euros prévus : la cour a en conséquence rejeté les demandes d’indemnités de résiliation formées par le franchiseur, tout en condamnant le franchisé pour les factures impayées et pour la violation de la clause de non-concurrence. La leçon est double : un franchisé peut sortir sans indemnité de résiliation face à un franchiseur défaillant, mais la sortie ne l’affranchit ni des sommes dues ni des clauses de non-concurrence et de non-affiliation, dont la violation se paie au gain manqué du franchiseur. Avant toute résiliation, l’agence met donc en demeure par écrit, chiffre ses griefs et prépare la suite de son exploitation, car une résiliation injustifiée l’exposerait aux indemnités qu’elle voulait éviter.
Enfin, l’agence anticipe le contentieux indemnitaire dans les deux sens. Si elle estime que la fuite vient du socle central, elle évalue son préjudice comme la cour l’a fait en 2024 : manque à gagner chiffré sur la période d’indisponibilité à partir de ses propres documents comptables, puis perte de chance liée à l’utilisation de son fichier, mesurée avec prudence en tenant compte de l’aléa. Le code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » C’est l’article 1231-1 du code civil. Une cyberattaque ne constitue pas automatiquement un cas de force majeure exonératoire pour le franchiseur ou le prestataire : encore faut-il démontrer l’imprévisibilité et l’irrésistibilité, ce qui suppose des mesures de sécurité à la hauteur de l’état de l’art. Symétriquement, si des clients agissent contre l’agence, celle-ci appellera en garantie la tête de réseau et le prestataire, au besoin sur le fondement de la responsabilité solidaire prévue par le règlement européen en cas de pluralité d’acteurs du traitement.
B. Le franchiseur, le prestataire et les partenaires : contenir, réparer, se retourner
Pour la tête de réseau, les décisions se prennent dans un ordre contraint : contenir d’abord, notifier ensuite, réparer enfin, sans jamais perdre la trace écrite d’aucune étape. Contenir, c’est faire couper les accès compromis, révoquer les sessions, imposer la rotation des mots de passe sur l’ensemble du réseau, suspendre les campagnes d’envoi en cours qui brasseraient des données compromises, et demander le retrait des échantillons publiés. Chaque mesure est horodatée et notifiée aux agences par un canal qui laisse une trace, car l’instruction orale dont on ne retrouve pas l’écrit ne prouve rien — la cour de Paris l’a montré en 2024 en écartant le message sibyllin du directeur financier qui se bornait à confirmer la fin du partenariat sans ordonner la restitution. Notifier, c’est la déclaration à la CNIL dans le délai et, si le risque est élevé, l’information des personnes, pilotées au niveau national avec des chiffres consolidés issus des journaux du prestataire. Réparer, c’est proposer aux agences un plan concret : assistance à l’information de leurs clients, fourniture des exports à jour, audit de sécurité du socle, et, le cas échéant, indemnisation négociée des préjudices les mieux établis.
Le franchiseur doit aussi mesurer le risque contentieux né de sa propre exploitation du fichier. L’arrêt de 2024 est un avertissement durable : une campagne marketing nationale, préparée des semaines à l’avance et brassant plusieurs millions de contacts, n’excuse pas l’utilisation des données d’une agence après la fin de ses droits, et la conservation passive — garder les coordonnées sauf désinscription, sans opération de nettoyage documentée — vaut conservation fautive. Après une fuite, toute campagne qui toucherait des contacts exposés sans base légale solide aggraverait le dossier : suspension des ciblages contestés, purge documentée des contacts sans fondement, et vérification du recueil du consentement ou de l’intérêt légitime pour chaque base utilisée. Les équipes marketing, qui raisonnent en taux d’ouverture et en mandats collectés, doivent être alignées avec le délégué à la protection des données, qui raisonne en base légale et en minimisation.
Le prestataire informatique — hébergeur, éditeur du logiciel de transaction, routeur des envois — est le troisième acteur de la chaîne, et souvent le premier mis en cause. Le droit commun de la responsabilité s’applique à chaque acteur de la chaîne. Le code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » C’est l’article 1240 du code civil. Concrètement, l’agence ou la tête de réseau qui indemnise les clients se retourne contre le prestataire dont la faute — correctif non appliqué, journalisation absente, sauvegarde inutilisable — a rendu la fuite possible, sur le fondement du contrat de sous-traitance comme sur celui de la responsabilité délictuelle, et le prestataire qui a alerté à temps et documenté ses mesures fait valoir l’absence de faute de sa part. D’où l’importance, pour le franchiseur, de conserver le contrat de sous-traitance, les audits, les tickets de support et les notifications reçues : c’est ce dossier qui fera le partage des responsabilités.
Les partenaires complètent la carte : apporteurs d’affaires, comparateurs, régies publicitaires, diagnostiqueurs ou courtiers qui reçoivent des contacts du réseau doivent vérifier s’ils ont reçu ou stocké des données compromises, purger leurs propres bases et suspendre les réutilisations. Et les opérations en cours — cession d’agence, entrée ou sortie du réseau, transmission du fichier client — doivent intégrer la fuite dans leur prix et leurs garanties. L’arrêt de Bordeaux de 2026 l’illustre : l’acquéreur d’un portefeuille qui reprochait au cédant d’avoir dissimulé un vol de données antérieur à la cession a été débouté, faute de preuve d’un démarchage antérieur et d’une connaissance du cédant avant la vente, la cour rappelant qu’il incombe à celui qui prétend qu’une information lui était due de prouver que l’autre partie la lui devait. Le code civil l’exige d’ailleurs : celle des parties qui connaît une information déterminante pour le consentement de l’autre doit l’en informer, et le dol peut résulter de la dissimulation intentionnelle d’une telle information. C’est l’article 1112-1 du code civil, éclairé par la définition du dol. Pour une cession d’agence conclue après la fuite, le vendeur informe donc par écrit sur le périmètre compromis et les mesures prises, et l’acquéreur fait auditer le fichier avant de payer, faute de quoi chacun plaidera, comme à Bordeaux, sur des déclarations plutôt que sur des preuves.
En définitive, la fuite revendiquée le 25 septembre 2026 contre le fichier central d’un réseau immobilier ne se résume ni à un incident technique ni à un risque d’amende : elle redistribue les cartes entre la tête de réseau qui centralise, les agences franchisées qui collectent et exploitent, et les prestataires qui hébergent et transfèrent. Ceux qui traverseront sans dommage cette crise auront fait la même chose : figé leurs preuves avant de discuter, notifié dans les délais avec des chiffres consolidés, informé leurs clients sans attendre, relu leurs contrats de franchise et de sous-traitance, et chiffré leurs préjudices à partir de leurs propres documents comptables plutôt que de projections. Les décisions de 2024, 2025 et 2026 citées ici montrent que les juges, eux, tranchent sur pièces : messages d’instruction explicites ou sibyllins, journaux d’envoi et taux d’ouverture, dates de coupure d’accès, déclarations à l’autorité de contrôle étayées ou isolées. Dans une crise qui se propage aux entreprises de la chaîne, la preuve détenue par chacun décide du sort de tous. Pour sécuriser vos contrats de franchise, vos clauses de sous-traitance et vos recours après une fuite de données, lisez notre accompagnement en droit des affaires à Paris.