Le 23 septembre 2026 à 7 heures, Maileva, la plateforme d’envoi de courriers et de documents du groupe La Poste utilisée par de nombreuses entreprises et professionnels, a interrompu préventivement l’ensemble de ses services après la détection de tentatives d’accès non autorisé. Les comptes concernés ont été bloqués, une plainte a été déposée et, à la date de l’alerte publiée le 24 septembre 2026, aucune exfiltration de données personnelles n’était annoncée. Le fait est donc simple et documenté : ce n’est pas une fuite de données qui frappe les entreprises clientes, c’est une panne de leur prestataire d’envois, au moment même où factures, mises en demeure, résiliations et lettres recommandées devaient partir.
La réponse tient en trois constats. D’abord, l’interruption du prestataire ne suspend pas les obligations de l’entreprise émettrice envers ses propres clients, fournisseurs et partenaires : les délais contractuels continuent de courir et c’est à l’émetteur de prouver qu’il a agi à temps. Ensuite, face au prestataire défaillant, l’entreprise cliente dispose d’un chemin balisé — signalement tracé, mise en demeure, exécution de remplacement et demande de réparation — que la jurisprudence récente applique strictement, y compris contre de grands opérateurs. Enfin, chaque acteur de la chaîne doit détenir une preuve précise : l’émetteur la preuve de ses tentatives et de ses envois de substitution, le destinataire professionnel la preuve de ce qu’il a reçu ou non, le prestataire la preuve de ses mesures de continuité.
Deux réserves s’imposent avant d’aller plus loin. Les éléments publics disponibles décrivent un incident de cybersécurité avec tentatives d’accès non autorisé, et non une violation de données avérée ; l’article ne traite donc pas la notification à la CNIL comme acquise pour ce dossier, mais comme une hypothèse à surveiller. Par ailleurs, les montants, délais et qualifications exposés ici découlent des textes et décisions cités, dont chacun est daté et sourcé ; ils ne prédisent l’issue d’aucun litige particulier, car tout dépend du contrat signé avec le prestataire et des pièces conservées.
I. La panne du prestataire d’envois et ses effets immédiats sur l’entreprise émettrice
A. Les délais et la preuve restent à la charge de l’émetteur, même en panne de plateforme
Quand une entreprise confie ses envois à une plateforme, elle confie un moyen, pas sa responsabilité. Si une mise en demeure devait partir le 23 septembre et que la plateforme est arrêtée ce jour-là, le destinataire pourra toujours soutenir qu’il n’a rien reçu dans les temps. C’est à l’émetteur de démontrer qu’il a respecté le délai ou qu’il s’en est approché par un autre moyen. Le principe est posé sans détour par le code civil : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » (article 1353 du code civil). L’entreprise qui invoque la panne de Maileva pour expliquer un retard devra donc prouver deux choses : la réalité de la panne au moment critique et la diligence de ses propres démarches de substitution.
Cette exigence de preuve se durcit encore quand le contrat impose un envoi par lettre recommandée. La cour d’appel de Paris l’a rappelé le 21 février 2025 dans une affaire où une société prétendait avoir satisfait à son obligation d’information : la cour relève qu’elle « ne justifie pas avoir adressé une telle lettre recommandée avant le 30 mai 2023 » (cour d’appel de Paris, pôle 4 chambre 1, 21 février 2025, n° 23/17781). L’enseignement vaut pour toute entreprise émettrice : affirmer que l’on a envoyé ne suffit jamais, et affirmer que l’on a tenté d’envoyer ne suffit que si la tentative est documentée. En pratique, cela signifie conserver les captures de l’indisponibilité du service, les messages d’erreur datés, les accusés de blocage de compte reçus du prestataire, ainsi que les journaux de l’espace client et du portail API.
Le cas Maileva comporte une particularité que les entreprises doivent comprendre vite : la plateforme précise aux destinataires de sa notification que leur compte n’a pas été affecté et qu’aucun envoi depuis leur espace client ou leur portail API n’a été détecté, tout en indiquant par ailleurs qu’elle a bloqué les comptes concernés et arrêté préventivement l’ensemble du service. Autrement dit, chaque entreprise cliente doit vérifier sa propre situation au lieu de supposer qu’elle est épargnée ou, à l’inverse, que la panne générale excuse tout retard de sa part. Celles dont les comptes ont été bloqués détiennent une pièce directe ; celles dont les comptes n’ont pas été affectés mais qui n’ont pas pu émettre pendant l’arrêt général doivent documenter l’indisponibilité collective.
La question du recommandé électronique mérite un point d’arrêt, car beaucoup d’entreprises l’utilisent sans connaître son régime exact. Le code des postes et des communications électroniques dispose : « L’envoi recommandé électronique est équivalent à l’envoi par lettre recommandée, dès lors qu’il satisfait aux exigences de l’article 44 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE. » (article L100 du code des postes et des communications électroniques). Le même article ajoute une condition souvent ignorée : « Dans le cas où le destinataire n’est pas un professionnel, celui-ci doit avoir exprimé à l’expéditeur son consentement à recevoir des envois recommandés électroniques. » Entre professionnels, l’équivalence joue donc pleinement, à condition de recourir à un prestataire qualifié ; mais si l’entreprise bascule en urgence vers un autre canal pendant la panne, elle doit vérifier que ce canal de repli produit une preuve équivalente, faute de quoi la substitution sera contestée. L’écrit électronique, rappelle le code civil, « a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité » (article 1366 du code civil). Concrètement, un simple courriel sans accusé fiable ne remplace pas un recommandé, même en période de panne.
La mise en demeure illustre le même enjeu sous un angle financier. Le code civil prévoit que « Le débiteur est mis en demeure de payer soit par une sommation ou un acte portant interpellation suffisante, soit, si le contrat le prévoit, par la seule exigibilité de l’obligation » (article 1344 du code civil). Quand c’est l’entreprise elle-même qui doit mettre en demeure un client ou un fournisseur — pour faire courir des intérêts, déclencher une clause pénale ou ouvrir une résiliation —, un envoi bloqué par la panne retarde le point de départ de ses droits. La parade consiste à réexpédier sans attendre par un moyen dont la date est certaine : acte de commissaire de justice, recommandé papier déposé au guichet avec récépissé, ou service électronique qualifié de repli. Entre commerçants, la preuve reste libre — « A l’égard des commerçants, les actes de commerce peuvent se prouver par tous moyens à moins qu’il n’en soit autrement disposé par la loi » (article L110-3 du code de commerce) — mais cette liberté ne dispense pas de produire une pièce datée et identifiable : elle impose au contraire de multiplier les traces exploitables.
B. Face au prestataire défaillant, un chemin balisé : signaler, mettre en demeure, remplacer, chiffrer
L’entreprise cliente n’est pas démunie face à son prestataire, à condition d’agir dans l’ordre et par écrit. Le premier réflexe consiste à signaler l’incident au support et à conserver la preuve du signalement : tickets, échanges, SMS de suivi, numéros d’incident. Le jugement rendu le 3 septembre 2026 par le tribunal des activités économiques de Nanterre montre pourquoi cette discipline documentaire est décisive. Dans cette affaire, une société de services informatiques avait été totalement privée de téléphonie et d’internet pendant cinquante-neuf jours, du 19 juin au 14 août 2025, malgré des signalements répétés ; le tribunal relève que la cliente « a procédé aux signalements nécessaires auprès des services techniques » de l’opérateur et que « le rétablissement effectif des services n’est pas intervenu dans un délai raisonnable » (tribunal des activités économiques de Nanterre, 3e chambre, 3 septembre 2026, n° 2026F00452). La société avait souscrit une offre professionnelle assortie d’une « Une garantie de temps de rétablissement de la ligne téléphonique analogique en 24h chrono » et d’une continuité de service en cas de panne, engagements que l’opérateur n’avait pas tenus, la solution de secours proposée s’étant révélée inadaptée. Le tribunal a condamné l’opérateur à verser à sa cliente « la somme de 40 000 euros » de dommages et intérêts, plus 4 000 euros au titre de l’article 700 du code de procédure civile.
Trois leçons se dégagent de cette décision pour les clientes de Maileva. Premièrement, les garanties de continuité et de rétablissement inscrites dans les conditions générales et spécifiques du prestataire sont des obligations dont le juge vérifie l’exécution concrète, pas des formules commerciales. Deuxièmement, l’absence de solution de repli opérationnelle proposée par le prestataire aggrave sa position : une rustine connue pour être inopérante équivaut à pas de secours du tout. Troisièmement, le préjudice indemnisable dépasse la simple panne : désorganisation, retards accumulés auprès des propres clients, perte d’opportunités et dégradation d’image entrent dans l’évaluation dès lors qu’ils sont démontrés pièce par pièce. Pour une entreprise émettrice, cela signifie chiffrer dès maintenant le coût de la panne : envois urgents réexpédiés à prix fort, heures internes de re-traitement, pénalités encourues envers des tiers, échéances manquées.
Le deuxième temps est la mise en demeure du prestataire. Elle n’est pas une formalité de style : elle fait courir les dommages et intérêts pour retard et elle ouvre l’exécution de remplacement. Le code civil autorise en effet le créancier, « Après mise en demeure, » à « dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation » et à en demander le remboursement au débiteur (article 1222 du code civil). Appliqué à Maileva, cela veut dire : mettre le prestataire en demeure de rétablir le service sous un délai bref et précis, puis, sans attendre indéfiniment, faire exécuter les envois urgents par un autre moyen et conserver toutes les factures de substitution pour en réclamer le remboursement. La mise en demeure doit être envoyée par un canal qui fonctionne — pas par la plateforme en panne elle-même — et sa date doit être certaine.
Le troisième temps consiste à ne pas invoquer la force majeure à la légère, ni dans un sens ni dans l’autre. Le prestataire pourrait être tenté d’opposer la cyberattaque comme un événement extérieur ; l’entreprise cliente pourrait être tentée de l’invoquer face à ses propres cocontractants pour excuser ses retards. Dans les deux cas, le test est le même, posé par l’article 1218 du code civil : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » (article 1218 du code civil). Et le texte précise la suite : « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat. » Une interruption de quelques jours est typiquement un empêchement temporaire : elle suspend, elle n’efface pas, et elle n’autorise la résolution que si le retard ôte tout intérêt au contrat. Surtout, une cyberattaque n’est pas automatiquement une force majeure pour un prestataire dont le métier est précisément la sécurité des envois : le caractère prévisible des attaques et l’exigence de mesures appropriées — sauvegardes, redondance, continuité — seront examinés de près. La cour d’appel de Nîmes, le 2 octobre 2025, a ainsi refusé l’exonération à un prestataire qui invoquait une coupure d’électricité comme force majeure alors que des coupures s’étaient déjà produites et qu’un groupe électrogène aurait pu être prévu (cour d’appel de Nîmes, 1re chambre, 2 octobre 2025, n° 24/01979). Transposée au numérique, la logique est identique : un opérateur d’envois qui n’a ni plan de continuité ni bascule opérationnelle aura du mal à soutenir que la panne lui était irrésistible. Symétriquement, l’entreprise émettrice qui n’a tenté aucune substitution — alors qu’un recommandé papier ou un acte de commissaire restait possible — aura du mal à soutenir que son propre retard était inévitable. Le régime général des dommages et intérêts le rappelle : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil). Tout se joue donc sur la justification, c’est-à-dire sur les pièces.
II. L’effet domino : quand la panne de l’un devient le litige des autres
A. Clients, fournisseurs et partenaires : qui doit prouver quoi, et quand décider
La panne Maileva touche au moins deux étages d’acteurs professionnels au-delà de la plateforme elle-même : les entreprises émettrices qui s’en servent comme de leur service courrier externalisé, et les destinataires professionnels — clients facturés, fournisseurs mis en demeure, franchisés notifiés, partenaires dont un contrat devait être résilié ou renouvelé. Chacun détient une partie de la preuve, et c’est l’articulation de ces preuves qui décidera des litiges à venir.
L’entreprise émettrice doit d’abord établir qu’elle n’est pas restée passive. Son dossier minimal comprend : la preuve de l’indisponibilité de la plateforme pendant la fenêtre de ses envois, la preuve de ses signalements au prestataire, la copie de la mise en demeure adressée au prestataire par un canal fonctionnel, la liste des envois bloqués avec leurs échéances contractuelles, les preuves des envois de substitution avec leurs dates certaines, et le chiffrage des surcoûts. C’est ce dossier qui lui permettra, d’une part, de réclamer au prestataire le remboursement des frais de remplacement et la réparation de son préjudice sur le fondement de l’inexécution, et d’autre part, de répondre à un client ou un fournisseur qui lui reprocherait un retard : elle montrera qu’elle a fait exécuter l’obligation par un autre moyen, dans un délai et à un coût raisonnables,, conformément à l’article 1222 précité.
Le destinataire professionnel, lui, doit prouver le retard qu’il subit sans spéculer sur la panne. Un client qui reçoit sa facture avec huit jours de retard ne peut pas exiger des pénalités pour un préjudice qu’il n’a pas subi ; un fournisseur mis en demeure tardivement peut en revanche contester le point de départ des intérêts ou de la clause pénale si la mise en demeure de substitution est elle-même tardive ou mal formée. La bonne décision, pour le destinataire, consiste à accuser réception en datant précisément ce qu’il a reçu et quand, à notifier par écrit à l’émetteur les conséquences concrètes du retard — suspension d’une livraison, décalage d’un chantier, trésorerie affectée — et à chiffrer son propre préjudice au lieu d’invoquer la panne en bloc. Entre commerçants, la liberté de la preuve joue dans les deux sens, mais elle profite à celui qui a daté et conservé, pas à celui qui affirme après coup.
Le troisième acteur, souvent oublié, est le partenaire en bout de chaîne : le franchisé qui attendait la notification d’une opération réseau, le sous-traitant dont l’ordre de service devait être confirmé par recommandé, le bailleur dont le congé devait être délivré avant une date couperet. Pour ces acteurs, la panne crée un risque de forclusion : un congé, une résiliation ou un renouvellement manqué à date peut coûter une année de bail ou un contrat entier. La décision à prendre est binaire et urgente : si l’acte porte un délai couperet, le réémettre immédiatement par le moyen le plus solennel disponible, sans attendre le rétablissement de la plateforme ; si l’acte est conservatoire, le doubler par un canal horodaté et régulariser ensuite. L’argument « la plateforme était en panne » ne ressuscite pas un délai de forclusion manqué, car le juge vérifiera si un autre moyen restait accessible.
Un point de vigilance commun aux trois niveaux concerne les données. Maileva n’ayant annoncé aucune exfiltration à ce stade, il n’y a pas lieu de déclencher une notification de violation ; mais toute entreprise qui apprendrait, dans les jours suivants, que des contenus de courriers ou des fichiers clients ont circulé sans autorisation devrait réévaluer la situation sans délai, avec son conseil, au regard de ses propres obligations de sécurité et d’information. La qualification d’un incident évolue avec les investigations — la communication initiale décrit des « tentatives d’accès non autorisé », le blocage de comptes et un arrêt préventif — et c’est la version consolidée, pas la première alerte, qui fondera les décisions définitives. En attendant, la mesure proportionnée consiste à inventorier les envois sensibles de la période, à restreindre les accès superflus à l’espace client partagé et à tracer toute anomalie constatée.
B. La carte des décisions : que faire dans les sept jours, avec quelles pièces
Pour transformer l’analyse en décisions, chaque entreprise concernée peut suivre la même séquence en sept jours. Premier jour : photographier la situation. Extraire de l’espace client la liste des envois programmés, en cours et en échec sur la période du 23 septembre 2026 et suivants ; enregistrer les messages d’erreur et les notifications du prestataire ; identifier les envois à échéance couperet — congés, résiliations, mises en demeure faisant courir des droits, déclarations à délai légal — et les traiter en priorité absolue. C’est aussi le jour où l’on vérifie si le propre compte a été bloqué ou si seule l’indisponibilité générale a empêché l’envoi, car la pièce à produire diffère.
Deuxième et troisième jours : substituer et notifier. Réexpédier les actes urgents par un canal à date certaine, en commençant par les délais couperets ; adresser au prestataire une mise en demeure de rétablir le service, par un canal fonctionnel, en rappelant ses engagements de continuité et en réservant expressément les droits à remboursement et à réparation ; informer par écrit les destinataires professionnels affectés — clients, fournisseurs, partenaires — du retard encouru, des mesures de substitution prises et des nouvelles dates, sans reconnaître de responsabilité qui n’est pas établie. Cette information écrite et datée est aussi une preuve : elle montre la diligence et elle fige le préjudice allégué par le destinataire à ce qu’il était réellement à cette date.
Quatrième et cinquième jours : chiffrer et mettre en demeure. Additionner les surcoûts de substitution, les heures de re-traitement et les pénalités ou intérêts encourus du fait du retard ; rapprocher chaque poste d’une pièce ; adresser au prestataire la réclamation chiffrée en distinguant le remboursement des frais de remplacement, fondé sur l’exécution par un tiers après mise en demeure, et la réparation du préjudice propre, fondée sur l’inexécution de l’obligation de continuité. Si le contrat avec le prestataire plafonne sa responsabilité ou exclut certains préjudices, faire vérifier ces clauses avant d’accepter un geste commercial qui vaudrait transaction : dans un contrat d’adhésion, une clause non négociée qui crée un déséquilibre significatif est réputée non écrite, mais cette analyse relève du cas par cas et ne se présume pas.
Sixième et septième jours : sécuriser la chaîne pour l’avenir. Renégocier ou compléter le contrat de prestation : engagement de continuité chiffré, temps de rétablissement garanti, solution de repli décrite et testée, pénalités de retard automatiques, audit de sécurité et obligation d’information en cas d’incident. Du côté des contrats avec les propres clients et fournisseurs, vérifier que les clauses de notification acceptent plusieurs canaux — et pas uniquement la plateforme défaillante — et que les délais tiennent compte d’une bascule possible. Les entreprises qui s’appuient sur un accompagnement en droit des affaires à Paris pour auditer ces clauses transforment une panne subie en cartographie durable de leurs dépendances : elles savent désormais quel envoi critique dépend de quel prestataire, avec quel repli et quelle preuve.
Cette carte des décisions n’épuise pas les cas particuliers. Les actes soumis à des formes solennelles — significations, dépôts, déclarations réglementées — obéissent à leurs régimes propres et ne se remplacent pas par un simple courriel. Les envois transfrontaliers ajoutent la question du droit applicable et du prestataire de repli qualifié dans l’État de réception. Les réseaux de franchise et de distribution, où une même notification part vers des dizaines de membres, doivent en outre documenter l’envoi individuel à chacun, car une information générale sur l’intranet du réseau ne vaut pas notification personnelle. Dans tous ces cas, le réflexe reste identique : dater, substituer par un moyen probant, informer par écrit, chiffrer avec pièces.
Conclusion
L’interruption de Maileva depuis le 23 septembre 2026 n’est pas une actualité à contempler, c’est une chaîne de décisions à prendre : l’entreprise émettrice sécurise ses délais par substitution probante, elle met son prestataire en demeure puis chiffre et réclame, et elle informe ses destinataires professionnels par écrit ; chacun de ces derniers date ce qu’il reçoit, notifie ses conséquences concrètes et conserve ses propres pièces. Les textes et les juges convergent sur un point : ni la cyberattaque subie par le prestataire, ni la panne qu’elle provoque, n’effacent les obligations de diligence de part et d’autre, et la force majeure ne se présume ni pour le prestataire ni pour l’émetteur. Ce qui départagera les litiges à venir, ce sont les contrats — leurs garanties de continuité, leurs canaux de notification, leurs plafonds — et les preuves datées que chaque acteur aura su constituer dans les premiers jours.
Besoin d’un avis rapide sur votre dossier
Maître Reda KOHEN, avocat au Barreau de Paris, répond aux entreprises dont les envois, les délais ou les contrats sont affectés par la panne d’un prestataire. Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : https://kohenavocats.fr/formulaire-de-contact/.