Votre prestataire vous appelle un vendredi soir : des données de vos clients circulent. Le lundi matin, les appels se multiplient, votre délégué à la protection des données évoque une notification à la CNIL sous 72 heures, et vous découvrez que la conservation de vieux fichiers clients pourrait aggraver la situation. Cette situation n’est plus théorique : selon la communication de la CNIL publiée le 14 janvier 2026, la formation restreinte a prononcé le 13 janvier 2026 deux sanctions, de 27 et de 15 millions d’euros, à l’encontre des sociétés FREE MOBILE et FREE, après une atteinte qui aurait concerné, toujours selon la CNIL, des données personnelles liées à 24 millions de contrats d’abonnés, dont des IBAN pour les personnes clientes des deux sociétés. Les délibérations correspondantes, délibération SAN-2026-001 du 8 janvier 2026 et délibération SAN-2026-002 du 8 janvier 2026, sont publiées sur Légifrance. À la date de rédaction, aucune source officielle ne constate au-delà de ce que ces décisions retiennent, aucune responsabilité autre que celle retenue par la CNIL n’est établie, les contrats signés entre les parties priment sur toute analyse générale, et seul le juge décide en dernier ressort. Ce qui suit s’appuie sur ces sources officielles et sur les textes applicables, pour donner aux dirigeants et aux équipes opérationnelles une méthode concrète : notifier dans les délais, sécuriser la preuve, informer les personnes concernées et organiser le recours contre le prestataire défaillant, y compris à Paris et en Île-de-France.
I. Fuite de données clients : notifier la CNIL en 72 heures et sécuriser la preuve de votre réaction
A. Comment notifier la violation à la CNIL en 72 heures et documenter chaque étape
Dès que votre entreprise a connaissance d’une violation de données personnelles, le premier réflexe consiste à qualifier l’événement et à enclencher le compte à rebours. Le règlement européen impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les droits et libertés des personnes. Quand la notification ne peut pas intervenir dans ce délai, elle doit indiquer les motifs du retard, et les informations peuvent être fournies en plusieurs phases au fur et à mesure de l’enquête interne. Concrètement, le dirigeant doit donc horodater la découverte : premier signalement du prestataire, alerte de l’équipe sécurité, message d’un client, constat d’un comportement anormal sur le système d’information. Cette date fait courir le délai, et la CNIL peut demander des comptes sur ce point.
La notification s’effectue en ligne sur le téléservice de la CNIL dédié aux notifications de violations. Le formulaire attend des informations précises : nature de la violation, catégories et nombre approximatif de personnes concernées, catégories et volume approximatif de données touchées, nom et coordonnées du délégué à la protection des données, description des conséquences probables et mesures prises ou envisagées. Une notification vague ou minimisée expose l’entreprise à un grief supplémentaire, celui d’une coopération insuffisante. Mieux vaut une première notification dans les délais, même incomplète, complétée ensuite par des notifications additionnelles documentées, plutôt qu’un dossier parfait adressé hors délai. Chaque envoi doit être conservé avec son accusé de réception, ainsi que les échanges avec le prestataire d’hébergement ou de maintenance.
En parallèle, l’entreprise doit constituer un dossier interne de violation : registres des traitements à jour, journal des événements de sécurité, captures horodatées, constats d’huissier ou constats techniques, courriers au sous-traitant, décisions du comité de direction. Ce dossier sert deux objectifs : démontrer à la CNIL une réaction diligente et préparer l’action récursoire contre le prestataire dont la faille serait à l’origine de l’incident. Sur le terrain probatoire, la règle civile de base reste que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Celui qui invoque une défaillance du prestataire doit donc prouver l’inexécution, et celui qui se prétend à jour de ses obligations de sécurité doit justifier les mesures déployées. Les attestations vagues du type système sécurisé ne suffisent pas ; les journaux de supervision, les rapports de tests d’intrusion, les politiques de mots de passe et les procédures d’authentification datés font la différence.
Le délégué à la protection des données, lorsqu’il existe, doit être associé dès la première heure : qualification du risque, aide à la rédaction de la notification, articulation avec le registre des violations prévu par les textes, qui impose de documenter les faits, les effets et les mesures correctrices. Pour les entreprises franciliennes, la proximité du siège de la CNIL, situé à Paris, ne change pas la procédure, qui reste dématérialisée, mais elle facilite les échanges en cas de contrôle sur place : le contrôle peut déboucher sur une mise en demeure publique ou sur une procédure de sanction devant la formation restreinte, avec des injonctions assorties de délais, comme celles de trois et six mois prononcées dans l’affaire commentée. Anticiper ces suites dès la notification, c’est déjà préparer la défense.
B. Pourquoi la sécurité de votre système et la durée de conservation de vos fichiers décident de la sanction
Le deuxième front, souvent négligé dans l’urgence, concerne les mesures de sécurité elles-mêmes et la durée pendant laquelle l’entreprise conserve les données. Selon la CNIL, au jour de la violation, les deux sociétés sanctionnées en janvier 2026 n’avaient pas déployé des mesures de sécurité à la hauteur des données traitées, des mesures élémentaires faisant défaut qui auraient pu freiner l’attaque. La formation restreinte a notamment relevé une procédure d’authentification insuffisamment robuste pour l’accès au réseau privé virtuel et des dispositifs de détection des comportements anormaux jugés inefficaces. Compte tenu du nombre et de la nature des données traitées, elle a estimé que les mesures déployées pour assurer la confidentialité n’étaient pas adaptées, tout en rappelant qu’aucune mesure ne supprime tout risque mais que des mesures adaptées en réduisent la probabilité et en limitent la gravité. Les sociétés avaient engagé des renforcements en cours de procédure, et la CNIL leur a enjoint d’achever ces nouvelles mesures dans un délai de trois mois. L’enseignement pour toute entreprise est direct : l’audit de sécurité ne se décrète pas après l’incident, il se documente avant, avec des preuves datées.
Concrètement, une PME ou une ETI qui traite des fichiers clients volumineux devrait pouvoir produire, le jour d’un contrôle : la politique d’authentification forte pour les accès distants et les comptes à privilèges, avec double facteur et revue périodique des droits ; la journalisation des accès et des alertes, avec conservation des journaux et exploitation réelle des anomalies ; le cloisonnement des environnements et le chiffrement des données sensibles, y compris les sauvegardes ; le plan de correctifs de sécurité et les tests d’intrusion ; la procédure de gestion des incidents, avec rôles, escalade et modèles de notification. Chacune de ces pièces devrait porter une date, un auteur et une version. Un classeur de captures d’écran non datées pèse peu face à un contrôleur qui demande qui a validé quoi et quand. Les dirigeants parisiens qui externalisent l’infogérance doivent exiger contractuellement ces livrables et les réclamer chaque trimestre, car c’est sur ces documents que se joue la qualification de mesures adaptées ou inadaptées.
Le troisième point de vigilance porte sur la durée de conservation. Dans l’affaire commentée, la CNIL a constaté que l’une des sociétés conservait sans justification, pendant une durée jugée excessive, plusieurs millions de données d’abonnés, faute de tri entre les données nécessaires aux obligations comptables et celles qui auraient dû être supprimées. La formation restreinte a rappelé l’obligation de trier les données des anciens clients après une certaine période et d’assurer leur suppression à l’échéance, puis a enjoint de finaliser le tri et la purge dans un délai de six mois à compter de la notification de la délibération, tout en prenant acte d’un tri engagé en cours de procédure autour d’une conservation de dix ans pour les seules données nécessaires aux obligations comptables. La leçon dépasse le cas d’espèce : chaque base d’anciens clients, chaque export marketing, chaque sauvegarde conservée par habitude constitue un volume exposé en cas d’attaque et un grief potentiel en cas de contrôle. La politique de conservation doit distinguer les données actives, les données archivées avec accès restreint et les données à supprimer, avec des purges programmées et tracées.
Cette discipline de conservation rejoint l’exigence de minimisation : ne collecter que les données nécessaires, anonymiser les jeux de test, purger les pièces d’identité expirées, chiffrer les IBAN et limiter leur accès aux seuls opérateurs habilités. Le caractère jugé hautement personnel de certaines données compromises, notamment les coordonnées bancaires, a pesé dans l’appréciation de la CNIL, qui a tenu compte du nombre de personnes concernées et des risques engendrés par la fuite de ces références. Une entreprise qui traite des IBAN, des pièces d’identité ou des données de santé de clients doit calibrer ses mesures à ce niveau de sensibilité, sous peine de voir le volume et la nature des données aggraver la sanction. Le registre des traitements, tenu à jour avec bases légales, durées et mesures de sécurité par finalité, reste la pièce maîtresse qui relie toutes ces exigences et que le contrôleur demande en premier.
II. Informer vos clients et organiser le recours : communication, contrats et action contre le prestataire
A. Quand et comment informer les personnes concernées sans aggraver votre exposition
Lorsque la violation présente un risque élevé pour les droits et libertés des personnes, l’entreprise doit également communiquer auprès de chacune d’elles, dans un langage clair, sur la nature de la violation, ses conséquences probables et les mesures prises ou à prendre pour s’en prémunir. Cette communication individuelle s’ajoute à la notification à la CNIL et obéit à ses propres règles de contenu. Dans l’affaire de janvier 2026, les sociétés avaient informé les abonnés à deux niveaux, par un courriel puis par un numéro vert et un dispositif interne auprès du délégué à la protection des données, mais la formation restreinte a estimé que le courriel ne contenait pas l’ensemble des informations exigées par l’article 34, paragraphe 2, du RGPD, ces omissions ne permettant pas aux destinataires de comprendre directement les conséquences de la violation ni les mesures de protection à mettre en place. Un numéro vert ne compense donc pas un premier message incomplet : le courriel initial doit décrire les faits en termes compréhensibles, les types de données concernées, les risques concrets tels que l’usurpation d’identité ou les tentatives de fraude sur IBAN, et les gestes utiles comme la surveillance des relevés, la vigilance face aux appels frauduleux et le dépôt de plainte en cas d’utilisation détournée.
La communication doit aussi distinguer les destinataires. Les particuliers attendent un message direct, sans jargon, avec un interlocuteur identifié et des délais de réponse. Les clients professionnels, eux, ont besoin d’éléments exploitables pour leur propre conformité : nature et volumétrie des données les concernant, mesures de confinement, attestations utiles pour leur propre notification en chaîne. Quand l’entreprise intervient comme sous-traitant de ses clients donneurs d’ordres, elle doit alerter chaque responsable du traitement sans retard après avoir eu connaissance de la violation, afin que chacun puisse remplir ses propres obligations. Le contrat de sous-traitance devrait prévoir ce circuit d’alerte avec des délais en heures, des modèles de messages et des contacts de permanence, faute de quoi la crise se gère dans l’improvisation. Les entreprises qui ont déjà formalisé leurs obligations contractuelles RGPD avec leurs prestataires, de la mise en demeure à l’audit et à la réparation, abordent cette phase avec un plan, les autres la subissent.
Sur le fond, la communication individuelle n’exclut pas la communication publique. Quand les sollicitations médiatiques commencent, un communiqué sobre, aligné sur la notification CNIL et sur les courriers aux clients, évite les contradictions qui nourrissent les plaintes. La CNIL avait reçu plus de 2 500 plaintes de personnes concernées avant de contrôler, ce qui montre qu’une information initiale jugée insuffisante peut alimenter le contentieux plutôt que l’éteindre. L’entreprise avisée dit ce qu’elle sait, indique ce qu’elle cherche encore, donne un calendrier de mise à jour et désigne un point d’entrée unique. Elle dit aussi ce qui joue en sa faveur quand les faits le permettent : information rapide des clients, mise en place d’un numéro dédié, mesures de confinement, coopération avec l’autorité, absence de données sensibles supplémentaires au-delà du périmètre constaté. Ces éléments, documentés, pèsent dans l’appréciation ultérieure, car la formation restreinte tient compte des mesures prises en cours de procédure, comme elle l’a fait en relevant les renforcements engagés par les sociétés avant de les enjoindre de les achever.
Enfin, l’entreprise doit gérer les demandes individuelles qui affluent : droits d’accès, d’effacement, d’opposition, demandes d’attestation pour les assureurs ou les banques. Chaque demande reçoit une réponse tracée dans les délais légaux, avec une cohérence stricte entre ce qui est dit au client, ce qui a été notifié à la CNIL et ce qui figure au dossier interne. Toute divergence devient une pièce du contrôle. Les équipes commerciales et le service client reçoivent une fiche de conduite : ne pas minimiser, ne pas promettre l’absence de risque, orienter vers le canal dédié, consigner les signalements de fraude secondaire. Cette discipline transforme une crise subie en démonstration de diligence, ce qui compte autant devant la CNIL que devant les clients qui décideront de rester ou de partir, et devant le juge si des demandes indemnitaires sont formées.
B. Faire payer le prestataire défaillant et contester la sanction : mode d’emploi à Paris et en Île-de-France
Quand la faille provient du prestataire informatique, de l’hébergeur ou du mainteneur, l’entreprise cliente dispose d’un arsenal contractuel qu’il faut activer vite et dans l’ordre. La règle civile applicable prévoit que « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » La cour d’appel de Rennes l’a rappelé en ces termes dans un litige entre deux sociétés sur une inexécution alléguée : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation (…) – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » Et la même cour a cité le texte qui fonde les dommages et intérêts contractuels : « le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Ce texte est celui de « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » En pratique francilienne, la séquence commence par une mise en demeure détaillée au prestataire, avec description des manquements, référence aux clauses de sécurité et de disponibilité, et délai de remédiation. Le même arrêt montre l’exigence de preuve qui attend ensuite le demandeur : expertises non contradictoires, hypothèses non corroborées et attestations sans rapport avec le litige ne suffisent pas à établir la responsabilité. L’entreprise cliente doit donc faire constater les désordres de façon contradictoire, préserver les journaux, mandater un expert indépendant et chiffrer chaque poste de préjudice : coûts de confinement, notification, assistance aux clients, perte d’exploitation, atteinte à la réputation.
Après mise en demeure restée vaine, le client peut faire exécuter l’obligation par un tiers ou demander au juge les avances nécessaires, puisque « Après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation ou, sur autorisation préalable du juge, détruire ce qui a été fait en violation de celle-ci. Il peut demander au débiteur le remboursement des sommes engagées à cette fin. Il peut aussi demander en justice que le débiteur avance les sommes nécessaires à cette exécution ou à cette destruction. » Pour une entreprise dont l’activité est bloquée, le référé devant le tribunal judiciaire de Paris permet de solliciter rapidement une provision, une expertise ou des mesures conservatoires, pendant que le fond se prépare. Les sociétés confrontées à un prestataire informatique défaillant, avec données compromises et activité bloquée, suivent déjà cette grammaire de la résiliation pour inexécution grave et de la réparation, et la crise RGPD s’y intègre naturellement : suspension des paiements contestés, résiliation, appel en garantie et quantification. L’action indemnitaire personnelle se prescrit par cinq ans, car « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » Le point de départ se situe en général au jour où l’entreprise a connu la violation et ses effets, d’où l’importance de l’horodatage initial.
Parallèlement, les clients de l’entreprise exposée peuvent agir contre elle sur le terrain délictuel. Le principe est posé par « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le tribunal judiciaire de Paris l’a appliqué le 9 octobre 2025 dans une affaire de données personnelles diffusées sans fondement légitime : « Selon l’article 1240 du code civil, tout fait de l’homme qui cause à autrui un dommage oblige celui par la faute duquel il est arrivé à le réparer. » puis « Il en découle que la responsabilité d’une personne pour faute ne peut être engagée que si la preuve est rapportée de l’existence d’une faute commise par cette personne, d’un préjudice et d’un lien de causalité entre l’un et l’autre. » Le tribunal a retenu que la publication non consentie constituait une faute et a fixé la réparation du préjudice moral par ce dispositif : « Condamne la société LEXBASE à payer à Monsieur [L] [K] [E] la somme de 5.000 euros à titre de dommage et intérêts en réparation de son préjudice moral ; » Chaque demandeur doit donc établir la faute, le préjudice et le lien causal, et les juges évaluent concrètement l’anxiété, les démarches et les conséquences subies. Pour l’entreprise mise en cause, la parade consiste à démontrer des mesures adaptées, une réaction rapide et une information complète, et à appeler en garantie le prestataire à l’origine de la faille.
À Paris et en Île-de-France, ce contentieux se concentre naturellement devant les juridictions parisiennes : tribunal judiciaire de Paris pour les actions indemnitaires et les référés, cour d’appel de Paris pour l’appel, avec des délais d’audiencement à intégrer dans la stratégie. Côté régulateur, la sanction de la CNIL peut faire l’objet d’un recours devant le juge administratif, sachant que « La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée. » Le recours ne suspend pas, en principe, l’exécution des injonctions de mise en conformité, d’où l’intérêt de les exécuter dans les délais de trois et six mois fixés par la CNIL tout en les contestant si elles paraissent infondées. Le dossier parisien type comprend donc : notification horodatée et compléments, registre des violations, politique de sécurité datée, preuves de purge, courriers clients, mise en demeure au prestataire, constat contradictoire, chiffrage expertisé et assignation préparée. Les pièces à préparer se listent simplement : qui a su quoi et quand, quelles mesures existaient avant, qu’avez-vous fait en 72 heures, qu’avez-vous dit aux clients, que réclamez-vous au prestataire et sur quelles preuves.
Conclusion
Une fuite de données clients met l’entreprise face à trois horloges qui tournent ensemble : 72 heures pour notifier la CNIL, quelques jours pour informer utilement les personnes concernées, quelques semaines pour verrouiller la preuve contre le prestataire et répondre au contrôle. Les sanctions de 27 et 15 millions d’euros prononcées en janvier 2026 montrent que l’autorité apprécie ensemble la sécurité déployée avant l’incident, la qualité de l’information donnée après, et la durée de conservation des fichiers : authentification et détection insuffisantes, courriel d’information incomplet malgré un numéro vert, et millions de données conservées sans justification ont chacun nourri un manquement distinct. L’entreprise qui documente ses mesures avant, notifie vite et complètement, écrit aux clients dans un langage qui permet de comprendre les risques et d’agir, purge ses bases et met en demeure son prestataire avec des preuves contradictoires se place du bon côté de chacune de ces appréciations. À la date de rédaction, et sur la seule base des sources officielles citées, aucun autre fait, aucune autre intrusion et aucun autre dommage que ceux retenus par la CNIL ne sont constatés, aucune responsabilité autre que celles que ces décisions et les jugements cités retiennent n’est établie, les contrats signés entre chaque entreprise, ses clients et ses prestataires priment sur toute analyse générale, et seul le juge, saisi dans les délais, tranchera les responsabilités et les réparations dans chaque cas particulier.