Selon le site spécialisé qui recense l’annonce, un acteur affirme mettre à disposition un ensemble présenté comme des documents internes d’un réseau français d’aide et de services à domicile : 3 731 fichiers, pour environ 2,9 Go, issus selon la revendication de l’espace documentaire partagé par plusieurs agences en France. L’annonce est datée du 28 septembre 2026. À la date de rédaction du présent article, aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité n’est établie, et la revendication n’a fait l’objet d’aucune confirmation publique de l’enseigne, toujours selon le même site de recensement. Les contrats signés entre la tête de réseau, les agences, les salariés et les partenaires priment sur toute analyse générale, et seul le juge, saisi des faits vérifiés, pourrait dire le droit applicable à chaque situation.

La question que doivent trancher, dès les premières heures, la tête de réseau, chaque agence locale, les représentants du personnel et les partenaires médico-sociaux tient en une phrase : qui détient quelle preuve, et quelle décision prendre, quand des documents censés rester dans l’espace partagé du réseau circuleraient hors de ses serveurs. La réponse suppose de distinguer trois plans que la précipitation confond souvent : la réalité technique de l’incident, qui reste à établir ; les obligations de documentation et de notification, qui courent dès le doute sérieux ; et la cascade contractuelle entre la tête de réseau, les agences franchisées ou affiliées, les salariés et les partenaires, qui se joue contrat par contrat. Les développements qui suivent dressent cette carte des décisions, à l’indicatif pour ce que la source dit, au conditionnel pour tout ce qu’elle ne dit pas.

I. Ce que la revendication du 28 septembre 2026 fait peser sur chaque maillon du réseau

A. La tête de réseau et les agences : des contrats à relire avant toute communication

Le lot décrit par le site de recensement ne ressemblerait pas à une simple base de clientèle. Il comprendrait, toujours selon la revendication, des comptes rendus de réunions d’agence, des notes d’information aux équipes, des procès-verbaux des instances du personnel, des supports qualité et des annuaires de partenaires, avec le texte de 3 082 documents également fourni. Les documents les plus récents dateraient de septembre 2026, ce qui laisserait penser à des informations relativement récentes. L’échantillon publié montrerait aussi des informations nommément liées à des bénéficiaires, souvent âgés ou dépendants : état de santé, hospitalisations, éléments liés à la fin de vie, organisation des passages à domicile. S’y ajouteraient des coordonnées de salariés et de partenaires médico-sociaux, ainsi que quelques documents de paie avec des données d’état civil et bancaires.

Pour la tête de réseau, la première décision n’est pas de communiquer, mais de qualifier. Dans un réseau d’aide à domicile, l’espace documentaire partagé entre agences concentre en général des traitements dont les finalités et les moyens sont définis à plusieurs niveaux : la tête de réseau qui conçoit les outils, l’agence qui organise les interventions, parfois un prestataire informatique qui héberge. Chacun de ces acteurs pourrait être regardé, selon les contrats, comme responsable de traitement, responsable conjoint ou sous-traitant, et seul l’examen des contrats et des mentions du registre des traitements permettrait de trancher. La Commission nationale de l’informatique et des libertés rappelle sur sa page consacrée à la notification des violations que les organismes doivent documenter chaque incident en interne, puis avertir la Commission lorsque les droits et libertés des personnes pourraient être atteints et, quand le danger serait élevé, prévenir aussi les personnes concernées. Cette gradation commande toute la suite : documenter d’abord, notifier ensuite, sans attendre une certitude que les premières heures ne donnent jamais.

Chaque agence locale se trouverait dans une position double. D’un côté, elle serait susceptible d’être exposée comme victime si ses propres documents figurent dans le lot ; de l’autre, elle resterait débitrice, envers les bénéficiaires et les salariés, des obligations nées de ses propres contrats et de son rôle dans les traitements. C’est ici que le rappel du droit commun des contrats prend tout son sens : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Autrement dit, le contrat de franchise ou d’affiliation, le contrat de partenariat avec les acteurs médico-sociaux, le contrat de prestation informatique et les engagements de confidentialité signés par les salariés diraient, chacun pour sa part, qui devait protéger quoi, qui devait alerter qui, et dans quel délai. Une analyse générale ne remplacerait jamais cette lecture.

La tentation serait grande, pour la tête de réseau, d’affirmer publiquement que tel document serait protégé par le secret des affaires et que sa diffusion constituerait une faute. La prudence commande l’inverse. Le secret des affaires ne se présume pas : « Est protégée au titre du secret des affaires toute information répondant aux critères suivants : 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité ; 2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; 3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret. » Des comptes rendus d’agence ou des supports qualité ne rempliraient ces trois conditions cumulatives que si le réseau démontrait leur valeur liée au secret et les mesures raisonnables prises pour les protéger. Les procès-verbaux d’instances du personnel et les documents de paie, eux, relèveraient d’abord du droit du travail et de la protection des données, pas du secret commercial. Toute qualification juridique resterait donc au conditionnel tant que le contenu exact, l’origine et les mesures de protection n’auraient pas été vérifiés pièce par pièce.

L’expérience des réseaux de franchise enseigne qu’un contentieux en cache souvent un autre : redevances contestées, chiffres d’affaires non communiqués, assistance promise et non fournie. Le 2 juin 2026, le tribunal des activités économiques de Marseille, statuant dans un litige entre la tête d’un réseau de salles de sport et l’un de ses franchisés, a condamné le franchisé à payer les redevances mensuelles et la redevance annuelle sur chiffre d’affaires, calculée sur la base de la moyenne des deux dernières années faute de transmission des éléments comptables, ainsi qu’une indemnité au titre de l’article 700 du code de procédure civile (jugement du 2 juin 2026, RG n° 2025F00493). La leçon dépasserait le cas d’espèce : dans un réseau, chaque manquement documenté à une obligation de transmission ou de paiement deviendrait une pièce du contentieux suivant. Une agence qui cesserait de verser ses redevances au motif de l’incident, ou une tête de réseau qui suspendrait son assistance au motif qu’elle douterait de la sécurité des agences, s’exposerait à voir ces décisions retenues contre elle. Le contrat prime, et il s’exécute même en pleine crise, sauf décision de justice : « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public. »

Enfin, la tête de réseau devrait vérifier ce qui joue en sa faveur sans l’inventer. Le site de recensement indique que la revendication du 28 septembre 2026 n’a pas fait l’objet d’une confirmation publique, et qu’une revendication antérieure, en février 2026, portait sur des plannings d’intervention présentés comme un lot distinct. Ces éléments, s’ils étaient confirmés, iraient dans le sens d’une lecture prudente : une annonce sur un forum ne vaudrait pas preuve d’une intrusion, et deux lots distincts ne feraient pas un système défaillant. Mais ils n’autoriseraient aucune conclusion définitive, dans un sens comme dans l’autre. Pour les lecteurs qui gèrent des relations de franchise ou de distribution dans d’autres secteurs, l’analyse des obligations contractuelles entre partenaires commerciaux suivies par les avocats en droit des affaires à Paris éclaire la méthode : relire les contrats, identifier les débiteurs de chaque obligation, puis décider.

B. Salariés, instances du personnel, bénéficiaires et partenaires : les personnes les plus exposées

Si la tête de réseau et les agences raisonnent en contrats, les salariés, les bénéficiaires et les partenaires raisonnent en risques personnels. Le lot décrit comprendrait des procès-verbaux des instances du personnel, des documents de paie avec état civil et coordonnées bancaires, des annuaires de partenaires médico-sociaux et des données de santé de bénéficiaires âgés ou dépendants. Chacune de ces catégories appellerait une réponse propre, et c’est aux agences, employeurs des intervenants à domicile, qu’il reviendrait en premier lieu d’organiser la protection.

Pour les salariés, l’enjeu serait triple. D’abord, leurs données d’emploi et leurs coordonnées pourraient servir à des sollicitations ciblées : faux messages de la direction, appels se prévalant d’informations exactes, hameçonnage fondé sur l’organisation réelle des agences. Ensuite, les procès-verbaux d’instances du personnel contiendraient par nature des débats, des positions nominatives, parfois des situations individuelles : leur diffusion hors du cercle légal des destinataires porterait atteinte au fonctionnement même de la représentation du personnel. Enfin, les quelques documents de paie évoqués exposeraient numéros de sécurité sociale, pièces d’identité et IBAN. Un IBAN seul ne permettrait pas de retirer de l’argent, mais il pourrait servir, selon le site de recensement, à mettre en place des prélèvements frauduleux, contestables auprès de la banque dans un délai de treize mois. L’agence employeur devrait donc informer ses équipes vite et clairement, sans minimiser ni dramatiser, en indiquant ce qui est établi, ce qui est supposé et ce qui reste inconnu.

Pour les bénéficiaires, souvent âgés ou dépendants, la sensibilité serait d’un autre ordre. Des informations sur l’état de santé, les hospitalisations, la fin de vie et l’organisation des passages à domicile toucheraient à l’intimité la plus protégée et pourraient faciliter des arnaques d’une cruauté particulière : faux soignants, faux conseillers de mutuelle, appels aux familles. Le site de recensement recommande la vigilance face aux faux messages de l’Assurance maladie ou d’une mutuelle, et rappelle que l’Assurance maladie ne demanderait jamais de coordonnées bancaires par courriel ou par SMS. Les agences, qui connaissent les bénéficiaires et leurs familles, seraient les mieux placées pour faire passer ce message avec tact, en lien avec les partenaires médico-sociaux : médecins traitants, services hospitaliers, caisses et mutuelles. Ici encore, les faits s’écriraient à l’indicatif d’après la source, et les conséquences au conditionnel : telle donnée, si elle était avérée comme exposée, serait susceptible d’être exploitée de telle manière.

Pour les partenaires figurant dans les annuaires, la situation serait plus ambiguë. Un annuaire de partenaires médico-sociaux contiendrait des coordonnées souvent publiques, mais croisées avec des notes internes, des volumes d’activité ou des appréciations, elles deviendraient des informations que le partenaire n’avait jamais accepté de voir diffuser. Chaque partenaire devrait vérifier avec l’agence concernée ce qui, dans le lot revendiqué, le concernerait réellement, et convenir d’une position commune : information des personnes concernées, renforcement des contrôles, clause de confidentialité rappelée par écrit. La doctrine de la CNIL pour les organismes distingue deux seuils : dès lors que la vie privée des personnes pourrait être atteinte, l’incident devrait lui être signalé ; si le danger encouru serait élevé, les personnes concernées devraient l’être également. Avec des données de santé, des IBAN et des pièces d’identité, le seuil du risque élevé semblerait pouvoir être atteint, mais cette appréciation appartiendrait à chaque responsable de traitement, au vu de son analyse documentée, et en cas de doute la Commission invite à notifier pour qu’elle indique s’il faut informer les personnes.

Resterait la question des preuves détenues par chaque acteur. L’agence conserverait ses journaux de connexion, ses habilitations, ses contrats avec l’hébergeur, ses registres et ses échanges avec la tête de réseau. La tête de réseau conserverait l’architecture de l’espace partagé, les règles d’habilitation, les audits et les mises en demeure éventuelles. Les salariés conserveraient les messages suspects reçus, sans les effacer, sans y répondre, en les signalant. Les bénéficiaires et leurs familles conserveraient tout appel ou message douteux. Car « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Dans le contentieux qui suivrait, peut-être, chaque pièce conservée aujourd’hui compterait double.

II. Les décisions à prendre, dans l’ordre, quand l’espace partagé du réseau est en cause

A. Sécuriser, documenter, notifier : les soixante-douze premières heures

La première décision appartiendrait à la tête de réseau et aux agences ensemble : isoler sans détruire. Isoler l’espace documentaire partagé, révoquer ou suspendre les accès douteux, imposer la double authentification, journaliser chaque opération. Ne rien effacer : ni journaux, ni sauvegardes, ni messages. Car l’effacement serait susceptible d’être regardé, plus tard, comme une perte de chance de comprendre l’incident, voire comme un manquement à l’obligation de documentation. La CNIL attend en effet que l’organisme détermine, dans tous les cas, la nature de la violation, si possible les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Le document récapitulatif de la notification permettrait, selon la Commission, de répondre à l’obligation de documentation interne.

La deuxième décision concernerait le délai. la notification attendue par la CNIL devrait partir dans les meilleurs délais après la constatation d’une violation à risque, sous la forme d’un premier signalement transmis si possible dans les soixante-douze heures, quitte à le compléter ensuite en expliquant les motifs de tout retard. Le point de départ ne serait pas la rumeur, mais la constatation : le moment où l’organisme disposerait d’éléments suffisants pour estimer qu’une violation présentant un risque aurait eu lieu. Face à une revendication non confirmée, la prudence commanderait de faire vérifier sans délai, par un prestataire spécialisé, la réalité de l’exposition — l’échantillon publié, les métadonnées, les traces d’accès — puis de constater par écrit, à date et heure certaines, ce qui aurait été établi. Si le délai de soixante-douze heures était dépassé, il faudrait expliquer les motifs du retard lors de la notification, comme la Commission l’exige.

La troisième décision concernerait les personnes. Avec des données de santé, des documents d’identité et des coordonnées bancaires de personnes vulnérables, l’information des personnes concernées en cas de risque élevé semblerait devoir être préparée sans attendre : projet de message, canal adapté aux personnes âgées et à leurs familles, coordination avec les agences qui les connaissent, articulation avec les partenaires médico-sociaux. La CNIL précise qu’en cas de doute, il faudrait notifier à la Commission, qui indiquerait s’il est nécessaire d’informer les personnes. Cette information, si elle était décidée, devrait rester factuelle : nature des données possiblement concernées, mesures prises, précautions recommandées, contact dédié. Ni aveu de responsabilité, ni promesse qu’aucune qualification juridique ultérieure ne viendrait démentir.

La quatrième décision concernerait la plainte. La CNIL conseille, sur cette même page dédiée aux violations, de déposer plainte au commissariat ou à la gendarmerie lorsque la violation succéderait à une cyberattaque, en gardant les preuves techniques à la disposition des enquêteurs. Le dépôt de plainte ne vaudrait pas reconnaissance d’une intrusion avérée ; il préserverait les droits du réseau et ouvrirait la voie à des investigations que ni la tête de réseau ni les agences ne pourraient mener seules. Les preuves techniques — journaux, images disque, copies de l’échantillon publié avec leur contexte de collecte — devraient être conservées dans des conditions qui en garantiraient l’intégrité, car leur force probante dépendrait de la traçabilité de leur conservation. À cet égard, l’ordonnance du tribunal judiciaire de Paris du 10 septembre 2026 (RG n° 25/11358), rendue dans un litige relatif à une saisie fondée sur le droit du producteur de bases de données, illustrerait l’exigence avec laquelle les juges contrôlent les opérations de saisie et de séquestre : autorisée sur requête le 8 juillet 2025, réalisée les 1er et 2 septembre 2025, placée sous séquestre à la demande du saisi, puis contestée par une demande de rétractation. La leçon serait claire : en matière de preuves numériques, la régularité de la collecte compterait autant que le contenu collecté.

La cinquième décision concernerait l’assureur et le prestataire informatique. Le contrat d’assurance cyber, s’il existait, devrait être notifié dans les délais et formes qu’il prévoirait, avec la copie de la revendication, des constats et des mesures prises. Le prestataire hébergeur devrait être mis en demeure, par écrit, de conserver les traces, de coopérer et de déclarer ce qu’il aurait constaté de son côté, sans préjuger de sa responsabilité. Car si le prestataire était sous-traitant au sens du règlement européen, il serait tenu d’assister le responsable de traitement et de l’informer sans retard après avoir pris connaissance d’une violation ; mais cette qualification, comme toutes les autres, dépendrait des contrats signés et resterait au conditionnel tant qu’ils n’auraient pas été relus.

B. Gérer la cascade des contrats : franchise, partenariats, fournisseurs et suite de l’activité

Une fois l’urgence traitée, viendrait le temps de la cascade contractuelle, qui déciderait de l’avenir économique du réseau. Premier front : les relations entre la tête de réseau et les agences. Si des agences envisageaient de suspendre leurs paiements ou de quitter le réseau au motif de l’incident, elles devraient mesurer que le contrat de franchise continuerait de produire ses effets et que leurs manquements seraient susceptibles d’être sanctionnés comme toute inexécution. Le tribunal des activités économiques de Marseille l’a rappelé le 2 juin 2026 en condamnant un franchisé au paiement des redevances échues : dans un réseau, les obligations financières ne s’éteindraient pas parce que la confiance serait ébranlée. Symétriquement, la tête de réseau qui manquerait à son obligation d’assistance ou qui laisserait les agences sans consignes ni outils de remplacement s’exposerait à voir sa propre inexécution retenue. Et « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Chaque partie devrait donc exécuter ce qui dépendrait d’elle, documenter ce qu’elle exécuterait, et ne suspendre que ce que le contrat ou le juge l’autoriserait à suspendre.

Deuxième front : les partenaires et les fournisseurs. Les partenaires médico-sociaux dont les coordonnées figureraient dans les annuaires pourraient s’inquiéter d’être associés à l’incident et demander des garanties, voire suspendre leurs orientations vers les agences. Les fournisseurs de services — hébergeur, éditeur du logiciel de planning, prestataire de paie — pourraient être montrés du doigt. Ici encore, les contrats primeraient : clauses de confidentialité, clauses de sécurité, engagements de cooperation en cas d’incident, limitation ou exclusion de responsabilité dont la validité dépendrait de leur rédaction et du droit applicable. Aucune de ces clauses ne jouerait automatiquement ; chacune devrait être relue à la lumière des faits établis. Et si un partenaire rompait brutalement ses relations au motif de l’incident, cette rupture serait susceptible d’être examinée au regard du droit des pratiques restrictives : « Engage la responsabilité de son auteur et l’oblige à réparer le préjudice causé le fait », dans les conditions prévues par l’article L. 442-1 du code de commerce. Si un différend survenait avec un partenaire situé dans un autre État membre, la détermination du juge compétent et de la loi applicable ajouterait une difficulté que seule la lecture des clauses attributives permettrait de lever.

Troisième front : l’hypothèse où la crise s’aggraverait jusqu’à la défaillance économique d’une agence ou de la tête de réseau elle-même. Il faudrait alors composer avec le droit des procédures collectives, qui figerait les rapports contractuels selon des règles d’ordre public. Le principe, en sauvegarde comme en redressement, tient en une phrase : « Nonobstant toute disposition légale ou toute clause contractuelle, aucune indivisibilité, résiliation ou résolution d’un contrat en cours ne peut résulter du seul fait de l’ouverture d’une procédure de sauvegarde. » Le même principe vaudrait en liquidation judiciaire : « Nonobstant toute disposition légale ou toute clause contractuelle, aucune indivisibilité, résiliation ou résolution d’un contrat en cours ne peut résulter du seul fait de l’ouverture ou du prononcé d’une liquidation judiciaire. » Concrètement, ni les agences ni les partenaires ne pourraient se prévaloir de la seule ouverture d’une procédure pour rompre leurs contrats ; seul l’administrateur ou le liquidateur aurait la faculté d’exiger la continuation, et le cocontractant qui voudrait sortir devrait mettre en demeure l’organe de la procédure de prendre parti, puis attendre plus d’un mois sans réponse pour obtenir la résiliation de plein droit. La Cour de cassation l’a illustré le 23 novembre 2022 dans un litige opposant un franchisé en redressement à son franchiseur : « l’administrateur avait été mis en demeure par la société La Tagliatella de se prononcer sur la poursuite du contrat de franchise, sur le fondement de l’article L. 622-13 du code de commerce », et la chambre commerciale en a tiré les conséquences sur le sort de la clause compromissoire, distinguée du contrat de franchise lui-même (Cass. com., 23 novembre 2022, n° 21-10.614). Rien n’indiquerait, à la date de rédaction, qu’une procédure collective concernerait le réseau visé par la revendication ; mais chaque agence fragile devrait connaître ce régime avant de prendre une décision irréversible.

Quatrième front : la communication et la preuve. Toute communication publique du réseau devrait être relue comme une pièce future : ce qu’elle affirmerait sur l’origine, l’étendue et les causes de l’incident pourrait être opposé au réseau, et ce qu’elle tairait pourrait lui être reproché au titre de l’information des personnes. Le juste milieu tiendrait en trois paragraphes : ce qui est établi, ce qui est mis en œuvre, ce qui reste à vérifier avec les autorités et les enquêteurs. Les agences devraient consigner par écrit chaque décision — suspension d’un accès, information d’une famille, signalement d’un message suspect — avec date, auteur et destinataire. Les salariés devraient être invités à conserver les sollicitations inhabituelles et à les signaler par un canal dédié. Les partenaires devraient recevoir une information écrite, calibrée, rappelant les engagements de confidentialité réciproques. Cette discipline de l’écrit ne coûterait presque rien et vaudrait, en cas de contentieux, plus que bien des expertises.

Au terme de cette carte, une certitude et une inconnue. La certitude : les soixante-douze premières heures décideraient de la qualité des preuves, de la régularité des notifications et de la solidité des positions contractuelles de chacun. L’inconnue : la réalité de l’intrusion, que ni la presse, ni le site de recensement, ni le présent article ne pourraient établir. Aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge, saisi des pièces et des témoignages vérifiés, pourrait dire si telle agence, tel partenaire ou telle tête de réseau aurait manqué à ses obligations. En attendant, chaque maillon du réseau tiendrait sa part : sécuriser sans détruire, documenter sans interpréter, notifier sans tarder, exécuter ses contrats sans les rompre, et ne rien affirmer au-delà de ce que les pièces établiraient.