Selon le site spécialisé qui recense l’annonce, un acteur affirme mettre à disposition une base d’environ 12 Mo et 17 244 lignes, présentée comme liée à une plateforme française de prise de rendez-vous en ligne utilisée par des professionnels recevant de la clientèle. La publication serait datée du 27 septembre 2026. Les données décrites concerneraient les clients de plusieurs professionnels utilisateurs de la plateforme : noms et prénoms, adresses électroniques, numéros de téléphone, identifiants clients et rendez-vous, soit environ 17 200 personnes selon le recensement. À la date de rédaction du présent article, aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité n’est établie, et la revendication n’a fait l’objet d’aucune confirmation publique de la plateforme, toujours selon le même site de recensement. Les contrats signés entre la plateforme, les professionnels utilisateurs et leurs propres prestataires priment sur toute analyse générale, et seul le juge, saisi des faits vérifiés, pourrait dire le droit applicable à chaque situation.

La question que doivent trancher, dès les premières heures, les professionnels utilisateurs, la plateforme et, derrière eux, les clients dont les rendez-vous se trouveraient exposés tient en une phrase : qui détient quelle preuve, et quelle décision prendre, quand les fichiers de la clientèle de plusieurs entreprises auraient circulé hors du prestataire commun. La réponse tient elle-même en trois constats. D’abord, chaque professionnel utilisateur resterait responsable de ses propres traitements envers ses clients, même si la faille viendrait du prestataire : registre, contrat de sous-traitance et documentation de l’incident primeraient toute communication. Ensuite, la plateforme, si elle intervenait comme sous-traitant, devrait notifier chaque responsable de traitement dans les meilleurs délais, tandis que chacun apprécierait sous soixante-douze heures s’il doit avertir l’autorité de contrôle, puis, en cas de risque élevé, les personnes concernées. Enfin, ni la violation alléguée ni la rupture des relations commerciales qui pourrait s’ensuivre n’ouvriraient de droit automatique : le préjudice devrait être prouvé, le préavis devrait être chiffré, et chaque contentieux se jouerait contrat par contrat. Les développements qui suivent dressent cette carte des conséquences et des décisions, à l’indicatif pour ce que la source dit, au conditionnel pour tout ce qu’elle ne dit pas.

I. Ce que l’annonce du 27 septembre 2026 ferait peser sur chaque maillon de la chaîne

A. Les professionnels utilisateurs : responsables de leurs traitements même quand le prestataire serait en cause

Le premier réflexe des salons, instituts, cabinets et autres professionnels utilisateurs serait de se considérer comme de simples victimes d’un incident extérieur. Ce réflexe serait juridiquement trompeur. Dès lors qu’un professionnel détermine les finalités et les moyens de la gestion de sa clientèle — qui peut réserver, quelles données sont collectées, combien de temps elles sont conservées — il agirait comme responsable de traitement au sens du règlement européen sur la protection des données, quand bien même l’outil appartiendrait à un prestataire. La plateforme, qui traiterait les données pour le compte de ces professionnels, pourrait être regardée comme sous-traitant, et cette qualification commanderait toute la suite. Le droit européen exigerait du responsable de traitement qu’il ne fasse appel qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, comme le rappelle la page de la Commission consacrée aux compromissions de données chez un sous-traitant. Autrement dit, le contrat signé avant la crise — audit de sécurité, clauses de chiffrement, engagements de journalisation — pèserait plus lourd que toutes les déclarations faites après elle.

Concrètement, chaque professionnel utilisateur devrait rouvrir trois documents dans les premières heures. Le premier serait le contrat conclu avec la plateforme : existe-t-il un contrat de sous-traitance définissant l’objet, la durée, la nature et la finalité du traitement, prévoit-il l’assistance du prestataire en cas de violation et la restitution des données en fin de contrat. Le deuxième serait le registre des activités de traitement, que chaque responsable de traitement doit tenir et qui comporte notamment les finalités, les catégories de personnes concernées, les catégories de données et les destinataires. Le troisième serait la documentation interne de l’incident : date et heure de la découverte, nature des données possiblement concernées, mesures conservatoires prises, échanges avec le prestataire. Ici, le rappel du droit commun des contrats prendrait tout son sens : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Le contrat d’abonnement, le contrat de prestation informatique et les engagements de confidentialité diraient qui devait quoi, et la Commission nationale de l’informatique et des libertés rappelle sur sa page dédiée que le responsable de traitement doit documenter chaque incident en interne, vérifier ses contrats et apprécier s’il doit notifier la violation à la Commission puis, le cas échéant, aux personnes concernées. Cette discipline de l’écrit ne coûterait presque rien et vaudrait, en cas de contrôle ou de contentieux, plus que bien des expertises a posteriori.

Le deuxième front serait celui des preuves à conserver, et d’abord celles qui pourraient disculper le professionnel. Les journaux de connexion à l’interface d’administration, les exports de la base clients avant et après la date alléguée, les captures des paramétrages de confidentialité, les factures du prestataire, les échanges écrits avec son support : chacune de ces pièces permettrait de dater ce que le professionnel savait et quand il l’a su. Le droit commun de la preuve donnerait ici le cadre : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Un professionnel qui voudrait démontrer qu’il avait choisi un prestataire offrant des garanties suffisantes, qu’il avait limité les données collectées au strict nécessaire et qu’il a réagi sans délai devrait donc produire ses contrats, son registre et ses journaux, plutôt que des affirmations générales. À l’inverse, toute suppression hâtive — effacement des logs, réinitialisation des accès sans sauvegarde préalable, destruction des échanges avec le prestataire — pourrait être interprétée comme une négligence et priverait le professionnel de ses meilleurs moyens de défense.

Le troisième front serait celui des clients du professionnel, qui pourraient l’interroger, voire le mettre en cause, avant même que la réalité technique soit établie. Ici, la prudence commanderait de distinguer l’information due et la reconnaissance de faute. Informer ses clients des vérifications en cours, des mesures de vigilance recommandées et du canal dédié pour signaler toute sollicitation suspecte relèverait de la diligence attendue d’un commerçant ou d’un professionnel diligent. Reconnaître une fuite, désigner un coupable ou chiffrer un préjudice avant toute investigation serait en revanche prématuré et pourrait être opposé au professionnel. Si des clients invoquaient un préjudice moral lié à l’exposition de leurs rendez-vous, le professionnel devrait savoir que la simple violation alléguée ne suffirait pas : la chambre sociale de la Cour de cassation a jugé le 24 juin 2026, au visa de l’article 82 du règlement européen, que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et que la personne qui demande réparation devrait établir non seulement la violation mais aussi le dommage matériel ou moral qu’elle lui aurait causé (Cass. soc., 24 juin 2026, n° 24-22.792). Cette jurisprudence, rendue dans un litige opposant un salarié à son employeur, énoncerait un principe transposable : sans préjudice prouvé — démarchage frauduleux subi, usurpation avérée, troubles caractérisés — l’indemnisation ne serait pas acquise. Chaque professionnel devrait donc inviter ses clients à conserver les éléments concrets d’un éventuel dommage, sans promettre ni exclure par avance une réparation que seul le juge pourrait accorder.

B. La plateforme et ses propres fournisseurs : notifier vite, sécuriser sans détruire, anticiper la chaîne contractuelle

Du côté de la plateforme, la situation serait symétrique et inverse : si elle agissait comme sous-traitant des professionnels utilisateurs, elle leur devrait une notification rapide, une coopération documentée et la preuve de ses mesures de sécurité, sans pour autant endosser automatiquement la qualité de responsable des traitements décidés par ses clients. Le droit européen imposerait au sous-traitant d’avertir chaque responsable de traitement dans les meilleurs délais après en avoir pris connaissance, selon les recommandations de la Commission en cas de compromission chez un sous-traitant. Cette notification ne serait pas une simple courtoisie commerciale : elle conditionnerait la capacité de chaque professionnel à respecter son propre délai de soixante-douze heures envers l’autorité de contrôle. Une plateforme qui tarderait à prévenir ses clients professionnels, qui minimiserait l’étendue des données concernées ou qui modifierait ses journaux avant de les transmettre fragiliserait à la fois leur position et la sienne.

La plateforme devrait aussi gérer sa propre chaîne de sous-traitance, car une solution de prise de rendez-vous reposerait en général sur des hébergeurs, des prestataires de messagerie, des outils d’analyse et parfois des centres de support externalisés. Chacun de ces acteurs pourrait à son tour être regardé comme sous-traitant ultérieur, et le contrat initial avec les professionnels devrait avoir prévu leur identité, leur rôle et les garanties associées. Si l’incident proviendrait d’un hébergeur ou d’un prestataire technique, la plateforme devrait produire les audits, les tests d’intrusion, les relevés de supervision et les échanges avec ce fournisseur, afin d’établir où se situerait la faille et qui en répondrait. Sa responsabilité propre ne serait pas automatique : le sous-traitant ne répondrait du dommage que s’il avait manqué à ses obligations propres ou agi hors des instructions licites du responsable du traitement, ainsi que l’illustre la jurisprudence rendue au visa de l’article 82 du règlement (Cass. soc., 24 juin 2026, n° 24-22.792). Mieux encore pour la défense, responsable du traitement comme sous-traitant seraient exonérés s’ils prouvaient que le fait dommageable ne leur serait nullement imputable, la charge de cette preuve pesant sur celui qui l’invoque. La plateforme qui démontrerait des mesures de sécurité appropriées, une réaction immédiate et une coopération complète avec ses clients et les autorités disposerait donc d’arguments sérieux, à condition de les avoir documentés au moment des faits et non reconstruits après coup.

Resterait l’hypothèse où la crise dépasserait le seul incident de sécurité pour devenir une crise économique : résiliations en série des abonnements, impayés, mise en cause de la plateforme devant plusieurs juridictions, voire procédure collective de la plateforme ou de l’un des professionnels. Le droit des entreprises en difficulté figerait alors les rapports contractuels selon des règles d’ordre public que les cocontractants méconnaîtraient à leurs dépens. Le principe, posé pour la sauvegarde, vaut comme repère général : « Nonobstant toute disposition légale ou toute clause contractuelle, aucune indivisibilité, résiliation ou résolution d’un contrat en cours ne peut résulter du seul fait de l’ouverture d’une procédure de sauvegarde. » Concrètement, ni les professionnels utilisateurs ni les fournisseurs de la plateforme ne pourraient se prévaloir de la seule ouverture d’une procédure pour rompre leurs contrats ; seul l’organe de la procédure aurait la faculté d’exiger la continuation, et le cocontractant qui voudrait sortir devrait mettre en demeure l’administrateur ou le liquidateur de prendre parti. La Cour de cassation l’a illustré le 23 novembre 2022 dans un litige opposant un franchisé en sauvegarde à son franchiseur : l’administrateur, mis en demeure de prendre parti sur la continuation du contrat de franchise, avait répondu en distinguant le contrat de la clause compromissoire, et la chambre commerciale en a tiré les conséquences sur le sort de cette clause (Cass. com., 23 novembre 2022, n° 21-10.614). Rien n’indiquerait, à la date de rédaction, qu’une procédure collective concernerait la plateforme visée par la revendication ; mais chaque entreprise de la chaîne devrait connaître ce régime avant de notifier une résiliation qui pourrait s’avérer inefficace, voire fautive.

Enfin, la plateforme devrait mesurer chacun de ses mots publics. Dire qu’elle aurait été victime d’une attaque sophistiquée sans rapport d’investigation, affirmer qu’aucune donnée sensible ne serait concernée avant d’avoir analysé l’échantillon diffusé, ou promettre l’absence de tout risque pour les clients des professionnels engagerait sa crédibilité et pourrait être produit contre elle. Ce qui jouerait en sa faveur, si la source le confirmait, devrait être dit avec la même précision : recueil volontaire des signalements, information rapide des clients professionnels, mesures techniques prises, coopération avec les autorités, périmètre des données selon l’analyse. À ce stade, le site de recensement ne rapporterait aucune communication publique de la plateforme et aucune mesure annoncée, ce qui imposerait une prudence redoublée : ni affirmation d’une intrusion, ni négation de principe, mais un plan d’investigation vérifiable, des jalons datés et des interlocuteurs désignés.

II. Notifications, réparations et contrats : la carte des décisions des soixante-douze heures aux contentieux

A. Notifier l’autorité, informer les personnes, prouver le préjudice : l’ordre qui protégerait chaque maillon

Une fois le doute sérieux établi — échantillon téléchargé et analysé, correspondance avec les formats de la base, recoupement avec des rendez-vous réels — chaque professionnel utilisateur devrait appliquer la gradation prévue par le règlement, sans attendre une certitude technique que les premières heures ne donneraient jamais. Première marche : la notification à l’autorité de contrôle. Le responsable de traitement devrait notifier la violation à l’autorité compétente dans les meilleurs délais et, si possible, dans les soixante-douze heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes, comme l’explique la page de la Commission sur la notification des violations. Le délai courrait à compter de la prise de connaissance, c’est-à-dire du moment où le professionnel disposerait d’un degré raisonnable de certitude que des données de ses clients seraient concernées. Documenter l’heure de découverte, les vérifications effectuées et les motifs d’une éventuelle non-notification serait donc aussi important que la notification elle-même, car l’autorité pourrait demander des comptes sur chacun de ces points.

Deuxième marche : l’information des personnes concernées, qui ne serait due qu’en cas de risque élevé pour leurs droits et libertés. Lorsque la violation serait susceptible d’engendrer un tel risque, le responsable du traitement devrait la communiquer aux personnes concernées dans les meilleurs délais, en des termes clairs et simples, selon les indications de la Commission. Des noms associés à des numéros de téléphone et à des rendez-vous — dont certains pourraient révéler, par la nature du professionnel consulté, des informations sur la santé, les convictions ou la vie privée — pourraient être regardés comme créant un tel risque, en particulier si les données circuleraient en clair sur un forum accessible. La communication devrait décrire la nature de la violation, ses conséquences possibles et les mesures prises ou recommandées, sans spéculer sur l’identité des auteurs ni sur leurs intentions. Les professionnels qui craindraient d’alarmer inutilement leur clientèle devraient mesurer le risque inverse : une information tardive ou édulcorée, découverte ensuite par les clients eux-mêmes, alimenterait les réclamations et les actions bien plus sûrement qu’une lettre mesurée et datée.

Troisième marche, souvent oubliée : la notification aux autres destinataires des données. Le responsable du traitement devrait notifier à chaque destinataire des données toute rectification, tout effacement ou toute limitation du traitement, sauf impossibilité ou efforts disproportionnés. Un tribunal judiciaire l’a illustré le 5 août 2025 dans un litige opposant des copropriétaires à une société de gestion immobilière qui avait diffusé leurs données : la juridiction a ordonné l’effacement des données et condamné la société à notifier cet effacement à l’ensemble des destinataires sous astreinte (TJ d’Aix-en-Provence, 5 août 2025, n° RG 22/03891). Transposée à la chaîne des rendez-vous, cette solution signifierait que chaque professionnel qui obtiendrait l’effacement ou la limitation d’un traitement devrait en avertir ses propres destinataires — prestataires marketing, logiciels de caisse, organismes sociaux — sauf impossibilité démontrée. La cascade des notifications ne s’arrêterait donc pas aux clients : elle suivrait chaque transfert documenté au registre.

B. Inexécution, rupture brutale et effet domino : chiffrer avant de rompre, saisir le bon juge

Parallèlement aux notifications, chaque entreprise de la chaîne devrait expertiser ses contrats sous l’angle de l’inexécution. Le professionnel qui cesserait de payer son abonnement en invoquant l’incident, comme la plateforme qui suspendrait un compte professionnel sans préavis, s’exposerait à une demande de dommages et intérêts s’il ne justifiait pas d’une cause exonératoire. Le droit commun des obligations poserait la règle : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Or un incident de sécurité, même avéré, constituerait rarement à lui seul un cas de force majeure pour le cocontractant qui s’en prévaudrait : l’irrésistibilité et l’imprévisibilité devraient être démontrées contrat par contrat, et le juge apprécierait si des mesures raisonnables — changement de prestataire, sécurisation des accès, information des clients — auraient permis de poursuivre l’exécution. Avant toute suspension de paiement ou toute résiliation, chaque maillon devrait donc mettre l’autre en demeure par écrit, fixer un délai de régularisation et conserver la preuve de ses propres diligences. Pour calibrer cette stratégie contractuelle et contentieuse, les entreprises concernées pourraient utilement recourir à un accompagnement en droit des affaires à Paris couvrant contrats de sous-traitance, preuve et contentieux en chaîne, afin de faire relire chaque clause avant toute décision irréversible.

Au-delà du contrat, le droit commun de la responsabilité délictuelle poserait le principe : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le risque le plus grave serait celui d’une rupture brutale en cascade : un réseau de professionnels qui résilierait en bloc ses abonnements sans préavis écrit, ou une plateforme qui couperait l’accès de ses clients pour les contraindre à accepter de nouvelles conditions, pourrait voir sa responsabilité engagée envers chaque partenaire, puis, par ricochet, envers les créanciers et les salariés de ceux-ci. Le droit des pratiques restrictives sanctionnerait la brutalité : « Engage la responsabilité de son auteur et l’oblige à réparer le préjudice causé le fait », dans les conditions prévues par l’article L. 442-1 du code de commerce, notamment en cas de rupture brutale d’une relation commerciale établie sans préavis écrit tenant compte de la durée de la relation et des circonstances. Une décision récente illustrerait l’ampleur de l’effet domino : le 29 octobre 2025, la cour d’appel de Paris a jugé qu’une société de transport, en rompant brutalement le contrat de son sous-traitant, avait provoqué la liquidation de celui-ci — le tribunal de commerce ayant retenu que la rupture du contrat par le principal donneur d’ordre rendait toute perspective de redressement impossible — et a confirmé l’indemnisation des coûts de licenciement de l’ensemble du personnel, soit 78 613,33 euros, tout en refusant la prise en charge de l’insuffisance d’actif faute de lien causal démontré (CA Paris, pôle 5, chambre 4, 29 octobre 2025, n° RG 23/06808). La leçon vaudrait pour la chaîne des rendez-vous : rompre sans préavis suffisant exposerait l’auteur à réparer non seulement la marge perdue, mais aussi les licenciements que la brutalité aurait rendus inévitables, tandis que la victime devrait prouver chaque poste de préjudice et son lien avec la brutalité, sans pouvoir faire supporter à l’auteur l’intégralité de son passif.

Resterait le choix du juge et du calendrier, qui départagerait les stratégies. Les professionnels d’Île-de-France saisiraient en général le tribunal des activités économiques de Paris pour les litiges entre commerçants, et le tribunal judiciaire pour les demandes des clients personnes physiques fondées sur le règlement européen ou sur le respect de la vie privée : « Chacun a droit au respect de sa vie privée. » Les plaintes pénales pour accès frauduleux ou extraction de données pourraient être déposées parallèlement, mais elles ne dispenseraient ni des notifications à l’autorité de contrôle ni des mises en demeure contractuelles, et le juge civil n’attendrait pas nécessairement l’issue de l’enquête pénale pour statuer sur les responsabilités contractuelles. Surtout, chaque demandeur devrait rapporter la preuve de son préjudice concret : la Cour de cassation l’a rappelé en visant la jurisprudence de la Cour de justice de l’Union européenne, selon laquelle le droit à réparation remplit une fonction compensatoire et non punitive, et la personne qui l’invoque devrait établir la violation puis le dommage qu’elle lui aurait causé (CJUE, 4 mai 2023, n° C-300/21 ; CJUE, 25 janvier 2024, n° C-687/21, citées par Cass. soc., 24 juin 2026, n° 24-22.792). Adresses électroniques exposées sans usage frauduleux démontré, rendez-vous diffusés sans conséquence établie, craintes non étayées : autant de préjudices dont l’indemnisation resterait incertaine, tandis que des démarchages malveillants avérés, des usurpations documentées ou des pertes de clientèle chiffrées pourraient fonder une réparation.

Au terme de cette carte, une certitude et une inconnue. La certitude : les soixante-douze premières heures décideraient de la qualité des preuves, de la régularité des notifications et de la solidité des positions contractuelles de chacun — professionnels utilisateurs, plateforme, hébergeurs et destinataires successifs. L’inconnue : la réalité de l’intrusion, que ni la presse, ni le site de recensement, ni le présent article ne pourraient établir. Aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge, saisi des pièces et des témoignages vérifiés, pourrait dire si telle entreprise de la chaîne aurait manqué à ses obligations. En attendant, chaque maillon tiendrait sa part : sécuriser sans détruire, documenter sans interpréter, notifier sans tarder, exécuter ses contrats sans les rompre brutalement, et ne rien affirmer au-delà de ce que les pièces établiraient.