Le 9 septembre 2026, les équipes d’une plateforme française de services juridiques en ligne, utilisée notamment par des entrepreneurs et des petites entreprises pour leurs démarches, détectent qu’un composant interne de leur système d’information a été compromis après l’exploitation d’une faille critique. Selon la communication adressée aux clients concernés, dont un site spécialisé dans les incidents de sécurité s’est procuré une copie et qu’il a rendue publique le 22 septembre 2026, l’attaquant aurait contourné les mécanismes d’authentification d’un outil interne d’analyse de données avant d’extraire des données d’identification : noms, prénoms, adresses électroniques et numéros de téléphone. La même communication indique que les accès frauduleux ont été révoqués, qu’une plainte a été déposée auprès des autorités judiciaires et que la violation a été déclarée à la Commission nationale de l’informatique et des libertés le 14 septembre 2026. La réponse, pour les entreprises clientes, leurs fournisseurs et leurs partenaires, tient en une phrase : chacune doit traiter l’incident comme une violation de données personnelles la concernant potentiellement elle-même, vérifier sa propre position de responsable de traitement, notifier dans les délais qui lui sont propres et conserver dès maintenant les preuves de ce qu’elle a fait, car c’est sur ces pièces, et non sur l’émotion du moment, que se joueront les contentieux de demain. Quatre réserves encadrent tout le raisonnement : à la date de rédaction, aucune intrusion, aucun accident technique ni aucun dommage n’a été constaté par une source officielle, les faits rapportés ici reposent sur la communication de l’entreprise telle que relayée par le site spécialisé ; aucune responsabilité de quiconque n’est établie, et toute qualification juridique avancée dans cet article l’est au conditionnel ; les contrats signés entre la plateforme, ses clients et leurs prestataires priment sur toute analyse générale ; et seul le juge, au vu des pièces de chaque dossier, dira qui devait quoi à qui et combien vaut chaque préjudice.

I. Une compromission qui descend la chaîne, du composant interne jusqu’aux clients des clients

A. Ce que la source établit, et tout ce qu’elle n’établit pas

La chronologie, telle qu’elle résulte de la communication relayée, est précise sur quatre dates. Le 9 septembre 2026, détection par les équipes de la plateforme de la compromission d’un composant interne. Le 14 septembre 2026, déclaration de la violation à la CNIL et dépôt de plainte annoncé. Le 22 septembre 2026, publication par le site spécialisé, qui précise avoir mis à jour son article le même jour à 17 h 25. Entre ces dates, la communication décrit des mesures de remédiation menées avec l’appui d’experts en cybersécurité, la révocation des accès frauduleux et le renforcement des contrôles sur les accès existants. Sur le périmètre des données, la communication est également délimitée : pour les destinataires de la notification, les informations concernées seraient le nom, le prénom, l’adresse électronique et le numéro de téléphone. Elle ne mentionnerait ni mot de passe, ni donnée bancaire, ni document juridique parmi les informations extraites pour les clients concernés. L’entreprise mettrait en garde contre le principal risque identifié, des campagnes de phishing ciblé, et recommanderait la vigilance face aux messages semblant provenir de sociétés ou d’organismes officiels, impôts, caisses sociales ou banques, en rappelant que ses collaborateurs ne demanderaient jamais la transmission de codes d’accès.

Tout le reste est inconnu, et le site spécialisé le dit lui-même. Le nombre total de clients touchés n’est pas précisé dans la notification qu’il a consultée, pas plus que le volume global des données extraites. Les investigations devraient encore préciser le périmètre complet de l’accès et déterminer si d’autres catégories de données ou d’autres utilisateurs ont été concernés. Autrement dit : ce qui est établi, c’est l’existence d’une notification adressée par l’entreprise à une partie de ses clients, une déclaration à la CNIL annoncée au 14 septembre et un dépôt de plainte annoncé ; ce qui ne l’est pas, c’est l’ampleur exacte de l’extraction, la liste exhaustive des personnes concernées, l’identité technique complète du chemin d’intrusion et, surtout, l’existence ou non d’un dommage effectif chez une entreprise cliente ou chez un tiers. Cette distinction commande toute la suite : les faits rapportés par la source s’écrivent à l’indicatif parce que la source les rapporte, et tout ce que la source ne dit pas s’écrit au conditionnel ou ne s’écrit pas. Aucune entreprise nommée dans une revendication non confirmée ne peut être désignée comme compromise, et aucune qualification de faute, de culpabilité ou de manquement ne peut être posée comme un fait avant que le juge ou l’autorité compétente ne se soit prononcé. C’est aussi pour cette raison que le présent article ne nomme personne : la source disponible est une communication d’entreprise relayée par un tiers, ni un acte officiel, ni un communiqué de presse de l’entreprise elle-même, ni une décision publiée, et le nom n’apporterait rien à la carte des décisions que le lecteur doit prendre.

La leçon de preuve commence ici. L’entreprise cliente qui reçoit la notification détient déjà une première pièce : la notification elle-même, avec sa date, son expéditeur vérifiable, son contenu exact et la liste des données qu’elle déclare concernées. Elle doit la conserver dans son état d’origine, avec ses en-têtes techniques, et noter la date et l’heure de réception, car c’est le point de départ de ses propres délais. Elle doit également conserver la trace de tout ce qu’elle savait déjà : les contrats signés avec la plateforme, le registre de ses propres traitements qui mentionne ce prestataire, les échanges antérieurs sur la sécurité, et, à partir de la réception, un journal daté de chaque décision prise. En droit commun de la preuve, rappelons que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Cette règle de l’article 1353 du code civil s’appliquera demain à chaque maillon : à la plateforme qui voudrait démontrer qu’elle a tout fait, comme au client qui voudrait démontrer qu’il a tout subi. Or les pièces décisives se créent aujourd’hui, pendant la crise, pas six mois plus tard devant le juge.

B. Trois maillons, trois positions juridiques différentes

La première question que chaque acteur doit trancher est celle de son rôle au sens du droit des données personnelles, car de ce rôle découlent ses obligations. La doctrine officielle de la CNIL, bâtie sur des incidents réels qui lui sont notifiés, définit ainsi le sous-traitant : la personne ou l’organisme qui traite des données pour le compte d’un autre organisme, le responsable de traitement, dans le cadre d’un service ou d’une prestation, selon la doctrine de la CNIL bâtie sur des incidents réels qui lui sont notifiés Dans le cas présent, la plateforme traite les données de ses clients pour leur fournir un service, ce qui pourrait la placer en position de responsable de traitement à l’égard de leurs données de compte, tandis que l’éditeur de l’outil interne compromis, lui, pourrait être regardé comme son sous-traitant ou son fournisseur technique. Mais la chaîne ne s’arrête pas là : chaque entreprise cliente est elle-même, dans son activité, responsable de traitement des données de ses propres salariés, prospects, clients et fournisseurs, dont une partie transitait peut-être par la plateforme pour les démarches confiées. Et au bout de la chaîne figurent les destinataires finaux, personnes physiques dont les coordonnées permettraient des campagnes de phishing se présentant comme la plateforme, un organisme social, une banque ou l’administration fiscale.

C’est cette cascade des rôles qui fait l’effet domino. Quand le composant interne de la plateforme est compromis, la plateforme devrait examiner si elle subit elle-même une violation au sens du règlement européen, puis avertir ses propres sous-traitants et partenaires techniques concernés. Chaque entreprise cliente, de son côté, devrait examiner si elle subit à son tour une violation portant sur des données dont elle est responsable : dès lors que des données de tiers qu’elle a confiées à la plateforme auraient été extraites, la violation la concernerait directement, avec ses propres obligations de notification. La CNIL l’exprime sans détour dans sa doctrine de crise : face à une violation subie en tant que sous-traitant, l’entreprise concernée devrait informer au plus vite les responsables de traitement concernés pour qu’ils puissent remplir leurs propres obligations, et elle peut proposer de réaliser les notifications pour le compte de ses clients, en leur nom et après leur accord formel uniquement. Symétriquement, chaque responsable de traitement devrait vérifier si la coupure ou l’extraction constitue pour lui une violation à notifier, la doctrine rappelant le délai de 72 heures pour notifier la violation, en renvoyant vers le téléservice dédié dont la CNIL décrit la procédure de notification en ligne. Le règlement européen, dont le texte fait foi sur le site officiel de l’Union européenne (règlement (UE) 2016/679, dit RGPD), articule ces délais et ces rôles dans ses articles 28, 32, 33 et 34 : contrat entre responsable et sous-traitant, sécurité des traitements, notification à l’autorité de contrôle et communication aux personnes concernées lorsque la violation serait susceptible d’engendrer un risque élevé pour leurs droits et libertés.

Qui détient quelle preuve, maillon par maillon ? L’éditeur ou l’hébergeur de l’outil compromis détiendrait les journaux techniques, les versions correctives et la chronologie de la faille. La plateforme détiendrait la preuve de sa détection, de sa remédiation, de sa déclaration et de ses notifications, ainsi que ses contrats avec ses propres fournisseurs. Chaque entreprise cliente détiendrait la notification reçue, l’inventaire des données qu’elle avait confiées, son registre des traitements, son analyse du risque pour les personnes concernées et la trace de sa propre notification à la CNIL et, le cas échéant, aux personnes. Les partenaires en aval, banques, experts-comptables, prestataires de paie ou de facturation, détiendraient les alertes reçues et les mesures prises, révocation de jetons, surveillance des ordres de virement, sensibilisation des équipes. Cette cartographie n’est pas théorique : dans l’affaire jugée par la cour d’appel de Douai le 4 juin 2026 entre une association cliente et son hébergeur, après l’incendie d’un centre de données dans la nuit du 9 au 10 mars 2021, la cliente avait procédé dès le 1er avril 2021 à une notification auprès de la CNIL au titre d’une violation des données personnelles stockées sur son serveur, en qualité de responsable de traitement, pendant que le prestataire reconstruisait le serveur à partir d’une ancienne sauvegarde et proposait un avoir couvrant six mois de services. Chaque maillon avait agi sur son propre fondement, avec ses propres pièces, et c’est exactement ce que la crise actuelle exigerait de chacun.

II. Les décisions à prendre, entreprise par entreprise, sans attendre le contentieux

A. Côté entreprises clientes : notifier, informer, documenter, sécuriser les flux

La première décision de l’entreprise cliente est calendaire. Si elle estime, après analyse, que des données personnelles dont elle est responsable auraient été extraites ou rendues inaccessibles du fait de la compromission de sa plateforme, elle devrait notifier la violation à la CNIL sans retard indu et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation ne serait pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Le point de départ du délai se discute : la réception de la notification de la plateforme constitue, au plus tard, le moment de la prise de connaissance, et l’entreprise qui attendrait d’avoir mesuré l’intégralité du périmètre avant de notifier prendrait le risque d’être hors délai. La notification initiale peut être complétée ensuite, à mesure des investigations, et c’est précisément pour cela que le journal daté des décisions est indispensable. La seconde décision concerne les personnes : si la violation serait susceptible d’engendrer un risque élevé, l’entreprise devrait la leur communiquer dans un langage clair, en décrivant la nature de l’incident, les coordonnées du délégué à la protection des données, les conséquences possibles et les mesures prises ou proposées. Ici, la communication de la plateforme évoque des noms, courriels et téléphones, matière première de campagnes de phishing ciblé se présentant comme la plateforme elle-même ou comme un organisme officiel : le risque pour les personnes ne devrait pas être écarté d’un revers de main, et l’analyse qui conduirait à ne pas informer devrait être écrite, datée et motivée avec le même soin que la décision inverse.

La troisième décision est documentaire et probatoire. L’entreprise devrait consigner la violation dans son registre interne, conserver la notification reçue avec ses métadonnées, photographier ou exporter les messages suspects reçus ensuite par ses équipes, faire constater par commissaire de justice les pages et messages déterminants, et garder la preuve de chaque mesure : changement des mots de passe, révocation des accès partagés avec la plateforme, sensibilisation écrite des salariés, alerte aux propres clients si des démarches les concernant transitent par la plateforme. Sur le terrain contractuel, elle devrait relire le contrat signé avec la plateforme et son éventuelle annexe de protection des données : nature et durée des traitements, finalités, types de données, obligations d’assistance et de notification du prestataire, audits convenus, sort des données en fin de contrat. Si le contrat obligerait le prestataire à notifier rapidement et à coopérer, l’entreprise devrait le mettre en demeure par écrit de le faire, en visant précisément les stipulations invoquées, car la mise en demeure écrite fait courir les délais et fige les positions. Et si elle envisageait de suspendre ou de résilier, elle devrait mesurer l’inexécution invoquée à l’aune de la règle selon laquelle « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Une rupture précipitée, notifiée sans grief vérifiable ni mise en demeure préalable, exposerait l’entreprise cliente à son propre contentieux avec la plateforme, puis avec ses propres clients privés de démarches en cours : la crise ne justifierait pas une seconde crise, contractuelle celle-là, dont l’entreprise serait l’auteur.

La quatrième décision est financière et contentieuse, et elle se prépare par le chiffrage. L’entreprise devrait distinguer trois postes : le coût immédiat des mesures, assistance externe, constats, heures internes ; la perte d’exploitation si des démarches sont bloquées ; et le préjudice de ses propres clients si elle doit les indemniser. Pour chacun, elle devrait réunir factures, relevés, attestations et tableaux, car le juge n’indemniserait que le préjudice prouvé dans son existence et son montant. Deux décisions de justice intégralement lues pour ce dossier l’illustrent de façon saisissante. D’une part, dans l’affaire de l’incendie du centre de données, la cour d’appel de Douai, le 4 juin 2026, a certes écarté la force majeure invoquée par l’hébergeur et constaté des manquements, mais elle a jugé que le seul préjudice valablement invoqué par la cliente était l’indisponibilité du serveur couverte par les engagements de niveau de service, déjà compensée par un avoir représentant près de huit mois de services, et elle a rejeté des demandes qui étaient passées de 456 000 euros en première demande à 576 660,63 euros en appel, en condamnant la cliente aux dépens et à 5 000 euros au titre des frais irrépétibles. D’autre part, dans un litige entre un cabinet et son prestataire informatique, la cour d’appel de Bordeaux, le 5 mai 2026, avant dire droit, a invité les parties à conclure sur la responsabilité du prestataire pour manquement à son devoir de conseil et sur l’indemnisation par la perte de chance d’éviter le dommage. La morale commune est claire : réclamer large sans pièces mène au débouté et à la condamnation aux frais, tandis que réclamer précis, poste par poste, pièces à l’appui, ouvre la voie à l’indemnisation, fût-ce par la perte de chance. Pour calibrer cette stratégie, documenter la chaîne des responsabilités et chiffrer l’exposition avant toute mise en demeure, les entreprises concernées peuvent s’appuyer sur l’accompagnement en droit des affaires du cabinet, qui couvre l’audit des contrats de plateforme, la preuve du préjudice et le contentieux avec les prestataires.

B. Côté plateforme, fournisseurs techniques et partenaires : coopérer, limiter, révoquer, prouver

La plateforme compromise, elle, joue sa crédibilité et son avenir contentieux dans les premières semaines. Si elle est responsable de traitement des comptes de ses clients, elle devrait avoir notifié à la CNIL dans son propre délai de 72 heures, ce que la communication relayée date au 14 septembre 2026, soit cinq jours après la détection annoncée du 9 septembre : le respect effectif du délai se mesurerait à la date et à l’heure exactes de sa propre prise de connaissance, que seule elle connaît, et toute entreprise cliente avisée lui demanderait communication de l’accusé de réception de sa déclaration. Si elle agit aussi comme sous-traitant pour des traitements de ses clients, elle devrait les avoir informés au plus vite, les aider à remplir leurs obligations, et documenter chacune de ces informations. Au-delà du droit des données, sa responsabilité contractuelle pourrait être recherchée par chaque client sur le fondement de l’inexécution de ses obligations de sécurité et de continuité : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La force majeure, justement, ne devrait pas être invoquée à la légère. L’arrêt de Douai du 4 juin 2026 en donne la mesure : alors même que l’incendie figurait dans la liste contractuelle des cas de force majeure et que son origine restait inconnue, la cour a jugé que l’hébergeur ne démontrait ni l’extériorité ni l’imprévisibilité et l’irrésistibilité, relevant qu’un incendie survenant dans un centre d’hébergement informatique, avec ses serveurs, son réseau électrique complexe et ses matériaux hautement inflammables, n’est ni hors de la maîtrise intellectuelle et matérielle du prestataire ni imprévisible et irrésistible, d’autant que l’existence même de mesures de prévention démontrerait que le risque est connu. Transposée à une compromission informatique, la leçon serait sévère : une faille critique sur un composant interne, dont la correction relevait de la maintenance du prestataire, pourrait difficilement passer pour un événement échappant à son contrôle au sens de la définition légale, selon laquelle « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » La plateforme avisée plaiderait donc l’efficacité de sa réaction, la diligence de sa maintenance et la proportion de ses mesures, plutôt qu’une exonération totale dont la jurisprudence récente montre l’étroitesse.

Les clauses contractuelles limitatives ou exonératoires de responsabilité mériteraient le même examen lucide, des deux côtés. Dans l’affaire de Douai, la cliente demandait que ces clauses soient réputées non écrites, et la cour l’a déboutée sur ce point tout en écartant la force majeure : les plafonds et les crédits de service ont tenu, et c’est même sur leur fondement que le seul préjudice retenu a été jugé déjà indemnisé. Le droit commun leur donne leur cadre : « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » et, dans les contrats d’adhésion, « Dans un contrat d’adhésion, toute clause non négociable, déterminée à l’avance par l’une des parties, qui crée un déséquilibre significatif entre les droits et obligations des parties au contrat est réputée non écrite. » Concrètement, un plafond aligné sur quelques mois d’abonnement ou un crédit de service forfaitaire pourrait être jugé valable pour une indisponibilité temporaire, mais il ne couvrirait pas nécessairement un manquement distinct à l’obligation d’information ou à la sécurité des données, et il ne dispenserait pas le prestataire de réparer le préjudice direct prouvé au-delà du forfait lorsque la clause ne le vise pas. Chaque entreprise cliente devrait donc faire trier ses préjudices, poste par poste, stipulation par stipulation, au lieu de croire que tout est plafonné ou que rien ne l’est. Et si un dommage a été causé à un tiers par un comportement fautif en dehors de tout contrat, le rappel du droit commun s’impose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »

Restent les partenaires de la chaîne, souvent oubliés et pourtant exposés. Les fournisseurs techniques connectés à la plateforme, outils de facturation, de signature, de gestion de la relation client, devraient vérifier si des jetons d’accès, des clés d’interface ou des comptes de service partagés avec la plateforme pourraient avoir été exposés, et les révoquer par précaution en traçant l’opération. Les banques et établissements de paiement des entreprises clientes devraient être alertés de la circulation possible de factures et de coordonnées réelles, terreau classique de la fraude au changement de relevé d’identité bancaire : un ordre de virement modifié après réception d’un message convaincant ne serait détecté que par une procédure interne de double vérification, écrite et appliquée. Les experts-comptables, commissaires aux comptes et conseils des entreprises concernées devraient être informés pour ajuster leurs diligences et leurs lettres d’affirmation. Enfin, à Paris et en Île-de-France, où se concentrent les sièges, les directions juridiques et les prestataires des entreprises utilisatrices de ces plateformes, les réflexes procéduraux sont connus : conservation des preuves avec constat, signalement sur la plateforme publique dédiée aux escroqueries, dépôt de plainte auprès du service compétent du ressort, et saisine du tribunal judiciaire de Paris pour le contentieux civil des données et de la responsabilité, sans préjudice des clauses attributives de compétence que les contrats pourraient contenir et qu’il faudrait relire avant d’agir. Chacun de ces gestes, daté et conservé, vaudrait demain pièce au dossier, que l’on soit demandeur ou défendeur.

Conclusion

La carte des décisions tient sur une page. La plateforme qui détecte une compromission déclare à la CNIL dans son propre délai, informe ses clients au plus vite avec un contenu précis et daté, révoque et reconstruit, conserve la preuve de chaque mesure et s’abstient de qualifier elle-même les responsabilités. L’entreprise cliente qui reçoit la notification la conserve avec ses métadonnées, vérifie si des données dont elle est responsable seraient concernées, notifie à son tour la CNIL dans les 72 heures si le risque l’exige, informe les personnes si le risque serait élevé, met en demeure son prestataire sur le fondement des stipulations exactes du contrat, chiffre chaque poste de préjudice pièces à l’appui et refuse la rupture précipitée qui créerait sa propre faute. Les fournisseurs techniques et les partenaires financiers révoquent les accès partagés, surveillent les flux et tracent leurs alertes. Et tous conservent, car le juge ne retiendra que le préjudice prouvé, comme l’a montré l’arrêt de Douai du 4 juin 2026 qui, après avoir écarté la force majeure, n’a indemnisé que la seule indisponibilité couverte par les engagements de service, déjà compensée, et a rejeté des centaines de milliers d’euros de demandes non démontrées. Dernières réserves, qui ferment l’article comme elles l’ont ouvert : à la date de rédaction, aucune intrusion, aucun dommage ni aucune responsabilité n’a été établi par une source officielle, et les faits rapportés reposent sur la communication de l’entreprise telle que relayée le 22 septembre 2026 ; les contrats signés entre chacun des maillons priment sur toute analyse générale ; et seul le juge, au vu des pièces versées aux débats, dira qui devait notifier, qui devait informer et qui doit payer. Jouent en faveur de l’entreprise à l’origine de la notification, selon sa communication : l’information rapide de ses clients, la révocation annoncée des accès, le recours à des experts, le dépôt de plainte et la déclaration à la CNIL, ainsi que l’absence alléguée de mots de passe et de données bancaires parmi les données extraites pour les clients concernés.