Le 29 septembre 2026, la société niçoise FACTUAL SAS, qui édite le logiciel de facturation en ligne VosFactures, a prévenu ses utilisateurs que son prestataire technique polonais, Fakturownia, l’avait averti d’un piratage détecté la veille, lundi 28 septembre. Selon les informations relayées le 1er octobre par la presse spécialisée, des données de comptes, des fichiers clients et fournisseurs et une partie des factures ont pu être lus par un tiers non autorisé. L’Agence pour l’informatique financière de l’État (AIFE), qui gère notamment Chorus Pro, le portail des factures adressées au secteur public, a suspendu à titre provisoire ses échanges avec FACTUALI, la plateforme agréée intégrée à VosFactures. Un mois seulement après l’entrée en vigueur de la facturation électronique obligatoire, la défaillance d’un sous-traitant se propage ainsi en chaîne : du prestataire à l’éditeur, de l’éditeur aux entreprises clientes, et de celles-ci à leurs propres clients et fournisseurs.
La réponse tient en quatre réflexes. D’abord, figer les preuves : la notification reçue le 29 septembre, les messages affichés sur Chorus Pro, les journaux de connexion, les contrats et leurs annexes de protection des données. Ensuite, qualifier son propre rôle : l’entreprise cliente, responsable du traitement de son fichier clients et de son fichier fournisseurs, doit apprécier si elle doit notifier la Commission nationale de l’informatique et des libertés dans les soixante-douze heures et si elle doit informer les personnes concernées. Puis, sécuriser les flux d’argent : les données lues peuvent servir à fabriquer de fausses factures ou de faux changements de relevé d’identité bancaire, et la jurisprudence récente montre que l’entreprise qui paie sur un faux RIB supporte le plus souvent la perte. Enfin, régler le sort du contrat avec la plateforme : continuer à facturer malgré la suspension, déclarer sa créance si un acteur de la chaîne entre en procédure collective, et n’envisager la résolution qu’au vu des clauses signées.
Ces réserves s’imposent avant tout développement. À la date de rédaction, le périmètre exact de l’incident reste en cours de vérification : l’éditeur affirme que les données de cartes bancaires ne seraient pas concernées et que son propre environnement d’hébergement, qualifié SecNumCloud par l’Agence nationale de la sécurité des systèmes d’information, ne présenterait aucun signe d’intrusion. Aucune responsabilité n’est établie, les contrats signés entre chaque maillon de la chaîne priment sur toute analyse générale, et seul le juge, saisi des faits et des pièces, déciderait des qualifications et des réparations. Ce qui suit est une carte des décisions possibles, pas un constat de faute.
I. La fuite partie du sous-traitant et sa propagation aux entreprises
A. Ce que l’on sait de l’incident : prestataire visé, éditeur confirmé, État suspendu
La chronologie est courte et documentée. Le piratage est détecté le lundi 28 septembre 2026 chez Fakturownia, prestataire technique polonais de FACTUAL SAS. Le mardi 29 septembre, Fakturownia avertit l’éditeur, qui prévient à son tour ses utilisateurs le même jour. Comme l’écrit Frandroid le 1er octobre : Factuali, la société niçoise qui édite ce logiciel de facturation en ligne, a prévenu ses utilisateurs que son prestataire technique polonais, Fakturownia, l’avait averti ce mardi 29 septembre d’un piratage. Le même article résume ainsi l’exposition : Comptes, fichiers clients et fournisseurs et une partie des factures ont pu être lus, un mois après l’entrée en vigueur de la facturation électronique. Le mode opératoire décrit évoque un accès en lecture à une réplique de la base de données de production, une copie miroir des informations du service que l’intrus pouvait consulter sans pouvoir la modifier, selon les éléments rapportés par Clubic le 1er octobre.
Deux limites importantes, formulées par l’éditeur lui-même, doivent être rapportées avec la même fidélité. D’une part, les cartes bancaires ne seraient pas concernées, assure l’éditeur, pas plus que les services de facturation électronique opérés dans son propre environnement cloud. D’autre part, cet environnement est qualifié SecNumCloud et l’éditeur dit n’avoir trouvé aucun signe d’intrusion de ce côté. Autrement dit, selon la parole de l’entreprise à ce stade, l’incident serait circonscrit à l’infrastructure du prestataire externe, et les moyens de paiement directement gérés par l’éditeur seraient préservés. Ces affirmations jouent en faveur de l’entreprise et devront être vérifiées par les audits en cours ; elles ne permettent pas, à elles seules, de conclure que les entreprises clientes sont hors de cause, puisque leurs fichiers commerciaux ont pu être lus.
La réaction de l’État donne à l’affaire sa dimension institutionnelle. L’AIFE a suspendu par précaution les échanges entre ses services et FACTUALI/VosFactures après le signalement, et des vérifications sont en cours pour déterminer le périmètre de l’incident. À ce stade, d’après le compte rendu du site spécialisé qui recense l’annonce, l’AIFE indique qu’aucune donnée de facturation n’a été transmise à l’administration via cette solution. Comme le précise Clubic, l’agence a suspendu à titre provisoire ses échanges avec FACTUALI, la plateforme agréée intégrée à VosFactures, autrement dit l’intermédiaire habilité par lequel doivent transiter les factures de ses clients. Le contexte rend cette suspension particulièrement sensible : depuis le 1er septembre 2026, la généralisation de la facture électronique interentreprises est entrée en vigueur, et la réception des factures électroniques pour toutes les entreprises s’effectue par l’intermédiaire d’une plateforme agréée. Quand l’intermédiaire obligé est mis sur pause par l’administration, ce sont les circuits de facturation de milliers d’entreprises qui doivent être réexaminés en urgence.
Sur le plan juridique, la configuration est celle d’une sous-traitance en cascade. L’entreprise cliente confie ses données à l’éditeur, qui en confie l’hébergement ou une partie du traitement à son propre prestataire. Le règlement général sur la protection des données anticipe exactement ce montage : lorsqu’un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection de données que celles fixées dans le contrat doivent être imposées à cet autre sous-traitant, et lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations. La défaillance du second maillon engage donc, devant le responsable du traitement, la responsabilité du premier : c’est ce mécanisme qui fait de l’incident polonais un problème français pour chaque entreprise cliente.
B. Ce qui se propage vers les clients, les fournisseurs et les flux d’argent
Le deuxième cercle de la propagation concerne les entreprises clientes de la plateforme. Leurs fichiers commerciaux — base clients, base fournisseurs, factures émises et reçues — ont pu être lus. Ces documents contiennent, par construction, des données à caractère personnel : noms et coordonnées de dirigeants, d’interlocuteurs commerciaux, d’auto-entrepreneurs fournisseurs, parfois des coordonnées bancaires inscrites sur les factures. Chaque entreprise cliente devient ainsi, potentiellement, le point de départ d’une nouvelle propagation vers ses propres partenaires. Un fournisseur dont le nom, l’adresse électronique et le relevé d’identité bancaire figurent sur une facture lue par un tiers peut recevoir, dans les semaines qui suivent, un message parfaitement renseigné lui demandant de changer ses coordonnées de paiement. La presse spécialisée, notamment 01net le 1er octobre, met en garde contre ce risque précis : ces données peuvent servir à mettre au point des arnaques particulièrement crédibles, reposant sur de fausses factures ou de faux changements de RIB, et les utilisateurs sont invités à redoubler de vigilance.
La jurisprudence récente sur les faux RIB éclaire ce risque d’une lumière crue. Le 7 avril 2026, la cour d’appel de Montpellier a statué sur le cas d’une société qui avait viré 20 275,75 euros de loyers sur un relevé transmis par un escroc se faisant passer pour le gestionnaire de son bailleur. Le tribunal de commerce avait partagé la responsabilité entre la banque et la société ; la cour a infirmé ce jugement en toutes ses dispositions et débouté la société de l’intégralité de ses demandes contre sa banque, la condamnant aux dépens. La leçon, pour les entreprises exposées par la fuite, est directe : celle qui ordonne elle-même un virement sur des coordonnées frauduleuses en supporte le plus souvent le coût, et aucun recours automatique contre sa banque ne viendra effacer une vérification manquée. À l’inverse, la cour d’appel de Paris a, le 2 octobre 2024, confirmé un jugement rendu contre un établissement bancaire et débouté cet établissement de ses demandes, ce qui rappelle que la responsabilité de la banque peut être retenue selon les circonstances propres à chaque dossier, notamment son devoir de vigilance. Entre ces deux pôles, la ligne de conduite des entreprises est stable : tout changement de coordonnées bancaires reçu après une fuite de données doit être vérifié par un canal indépendant — rappel téléphonique d’un numéro connu, confirmation écrite signée, double validation interne — et cette vérification doit être tracée.
Le troisième cercle touche la continuité même de la facturation. L’entreprise assujettie reste tenue de s’assurer qu’une facture est émise pour ses opérations, puisque le code général des impôts dispose que tout assujetti est tenu de s’assurer qu’une facture est émise, par lui-même, ou en son nom et pour son compte, par son client ou par un tiers. Or ses factures transitent par une plateforme dont les échanges avec l’administration sont suspendus à titre provisoire. L’entreprise ne peut ni cesser de facturer, ni émettre des doublons qui seraient payés ou comptabilisés deux fois. Le guide pratique de l’administration admet, en cas d’incident, le recours à un canal alternatif identifié comme une copie rattachée à la facture initiale, puis la régularisation par le circuit électronique au retour du service. Concrètement, l’entreprise cliente doit interroger son éditeur sur le statut réel de ses flux — factures émises mais non transmises, statuts non restitués, messages affichés sur Chorus Pro pour ses factures publiques — et consigner par écrit les réponses reçues. Si elle travaille avec un expert-comptable, c’est le moment de l’associer aux rapprochements de fin de période, car une facture bloquée dans un tuyau suspendu reste une facture dont la taxe et le paiement doivent être suivis.
Le quatrième cercle, enfin, est celui des partenaires qui n’ont pourtant jamais signé avec la plateforme : les clients et les fournisseurs des entreprises utilisatrices. Leurs données ont pu être lues sans qu’ils aient choisi le prestataire ni l’éditeur, et ils l’apprendront, dans le meilleur des cas, par l’information que l’entreprise cliente leur adressera. C’est ici que l’effet domino est le plus net : une PME qui facture avec VosFactures et dont le fichier fournisseurs a été lu doit prévenir ses fournisseurs, lesquels doivent à leur tour verrouiller leurs propres procédures de paiement. La carte des décisions commence donc par une question de preuves : qui détient quoi, et qui peut démontrer quoi.
II. Qui détient quelle preuve et quelle décision prendre
A. Figer les preuves avant qu’elles ne s’effacent
La première décision est conservatoire et elle concerne tous les acteurs : empêcher la disparition des traces. L’entreprise cliente conserve d’abord la notification adressée par l’éditeur le 29 septembre, avec ses en-têtes, sa date et son contenu exact, ainsi que toutes les communications ultérieures sur le périmètre de l’incident. Elle capture ensuite les messages affichés par Chorus Pro et par sa plateforme sur ses propres flux, en notant le jour et l’heure de chaque capture. Elle exporte ses journaux de connexion et d’activité sur la période, la liste de ses utilisateurs habilités, et l’historique des factures émises et reçues autour du 28 septembre. Elle constitue un dossier distinct pour chaque anomalie constatée ensuite : message suspect reçu par un fournisseur, tentative de changement de coordonnées bancaires, facture contestée par un client. Chacune de ces pièces pourra établir, plus tard, la date à laquelle elle a su, ce qu’elle a su, et ce qu’elle a fait.
Cette discipline probatoire répond à une règle simple du code civil : celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. L’entreprise qui demandera réparation à son éditeur devra prouver l’inexécution et son préjudice ; l’éditeur qui invoquera la force majeure ou l’absence de faute devra prouver l’événement qui l’aurait empêché d’exécuter ses engagements. Or le règlement européen impose lui-même cette traçabilité : le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l’autorité de contrôle de vérifier le respect du règlement, mais elle servira tout autant devant le juge civil.
Un jugement récent du tribunal judiciaire de Nice, rendu le 18 novembre 2025, illustre l’usage que le juge fait de ces preuves. Saisi d’un litige opposant un particulier à un agent immobilier, mandataire condamné à 8 899,95 euros de dommages et intérêts sur le fondement des articles 1991 et 1992 du code civil, qui tiennent le mandataire des dommages-intérêts de l’inexécution et de ses fautes de gestion, le tribunal a examiné les mesures de sécurité du traitement au regard des articles 24 et 32 du règlement européen. Il a rappelé qu’une divulgation non autorisée ou un accès non autorisé par un tiers ne suffisent pas, à eux seuls, à conclure que les mesures adoptées n’étaient pas appropriées, le responsable du traitement restant admis à apporter la preuve contraire. La portée pratique est claire : ni la fuite subie ni la fuite alléguée ne dispensent de démontrer, pièces à l’appui, les mesures techniques et organisationnelles mises en œuvre — chiffrement, cloisonnement des accès, audits du sous-traitant, tests d’intrusion. L’entreprise cliente qui exige aujourd’hui de son éditeur la communication des audits de sécurité de son prestataire, et l’éditeur qui produit ses certifications et ses journaux, préparent l’un et l’autre le terrain sur lequel la responsabilité se jouera.
Le contrat est la troisième source de preuves, et souvent la décisive. Le règlement exige que le traitement par un sous-traitant soit régi par un contrat ou un autre acte juridique qui définit l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les droits et obligations du responsable du traitement. L’entreprise cliente doit donc relire son contrat avec l’éditeur : clause de sécurité, engagement de notification, délai d’information, droit d’audit, réversibilité des données, limitation de responsabilité, assurance. Elle doit vérifier si le contrat autorisait le recours à un sous-traitant ultérieur et si elle en avait été informée, car le règlement n’autorise ce recrutement que sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement — plus exactement, le sous-traitant ne recrute pas d’autre sous-traitant sans cette autorisation. L’absence d’autorisation, ou l’absence de répercussion contractuelle des obligations de protection vers le prestataire ultime, serait un élément central de la discussion sur les responsabilités. Pour l’expertise du cabinet en droit des affaires à Paris, accessible depuis la page dédiée aux entreprises et à leurs contrats, ce type de chaîne de sous-traitance informatique constitue un contentieux classique : la faute se loge rarement dans le piratage lui-même, presque toujours dans ce que les contrats avaient prévu, ou omis de prévoir, avant lui.
B. Notifier, informer, continuer à facturer et préparer les recours
Une fois les preuves figées, l’entreprise cliente doit trancher la question des notifications. Le principe est posé par le règlement : en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Le point de départ du délai est la prise de connaissance : pour l’entreprise cliente, c’est la notification de l’éditeur du 29 septembre, complétée par ses propres constats. Si elle estime que la lecture de son fichier commercial n’est pas susceptible d’engendrer un risque — hypothèse étroite, car des identifiants, des coordonnées et des références de factures ont pu être lus — elle doit être en mesure de justifier cette appréciation. Dans le doute, la notification dans le délai, quitte à la compléter de manière échelonnée, reste la conduite la plus sûre, d’autant que le règlement admet que les informations peuvent être communiquées de manière échelonnée sans autre retard indu et que toute notification tardive doit être accompagnée des motifs du retard.
Symétriquement, l’éditeur était tenu d’informer ses clientes sans tarder, puisque le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. La notification du 29 septembre, le lendemain de l’avertissement de son prestataire, paraît satisfaire à cette exigence de célérité, sous réserve du contenu exact de l’information transmise. L’entreprise cliente vérifiera que cette notification décrit la nature de la violation, les catégories de données et de personnes concernées, les conséquences probables et les mesures prises, car ce sont ces éléments qui lui permettront, à son tour, de notifier utilement l’autorité et d’informer les personnes.
L’information des personnes concernées obéit à un seuil distinct et plus élevé : lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. Un fichier fournisseurs contenant des coordonnées bancaires et exposé à un risque avéré de fraude au faux RIB pourrait caractériser un tel risque élevé, ce qui imposerait à l’entreprise cliente d’écrire directement aux personnes concernées, en des termes clairs et simples. À l’inverse, si les données lues avaient été chiffrées de manière à les rendre incompréhensibles à toute personne non autorisée, ou si des mesures ultérieures garantissaient que le risque élevé ne se matérialisera plus, cette communication individuelle pourrait ne pas être exigée. L’appréciation se fait au cas par cas, données par données, et elle doit être documentée : c’est elle que l’autorité contrôlera en premier.
Pendant ce temps, l’activité ne s’arrête pas. L’entreprise doit continuer à émettre et à recevoir ses factures, alors même que les échanges entre sa plateforme et l’administration sont suspendus à titre provisoire. La bonne conduite consiste à exiger de l’éditeur un état écrit et daté des flux — ce qui est parti, ce qui est bloqué, ce qui reste à régulariser — et à convenir avec lui d’un mode dégradé tracé, sans créer de doublons. Si l’éditeur cesse de répondre ou si le service demeure durablement indisponible, le droit commun des contrats offre une gradation de sanctions que le code civil énumère : la partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut refuser d’exécuter ou suspendre l’exécution de sa propre obligation, poursuivre l’exécution forcée en nature de l’obligation, obtenir une réduction du prix, provoquer la résolution du contrat, demander réparation des conséquences de l’inexécution. Chacune de ces voies suppose toutefois de respecter les conditions légales et les clauses du contrat : mise en demeure préalable, gravité suffisante pour la résolution, proportionnalité de l’exception d’inexécution. Un jugement du tribunal des activités économiques de Paris du 2 septembre 2026 l’illustre à sa manière : saisi d’un litige portant sur un abonnement logiciel, il a condamné la société cliente à payer 4 408,92 euros d’arriérés avec intérêts majorés, 360 euros de frais de recouvrement et 1 000 euros au titre de l’article 700 du code de procédure civile. Cesser unilatéralement de payer son éditeur, même en pleine crise, expose à une condamnation pour les sommes dues ; la suspension du paiement ne se décrète pas, elle se négocie ou s’ordonne.
Reste la question de la réparation. Toute personne ayant subi un dommage du fait d’une violation du règlement peut en obtenir réparation, puisque toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le sous-traitant — ici l’éditeur, et derrière lui son prestataire — ne serait tenu que s’il n’a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu’il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci, et il serait exonéré s’il prouve que le fait dommageable ne lui est nullement imputable. En droit interne, le débiteur d’une obligation inexécutée est condamné s’il ne justifie pas que l’exécution a été empêchée par la force majeure, et tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Concrètement, l’entreprise cliente qui réclamerait à son éditeur le coût d’une fraude au faux RIB subie par l’un de ses fournisseurs, ou le surcoût d’une bascule d’urgence vers une autre plateforme, devrait établir la faute — défaut de sécurité, sous-traitant non autorisé, information tardive —, le préjudice et le lien entre les deux, tandis que l’éditeur tenterait de démontrer ses diligences et, le cas échéant, appellerait son propre prestataire en garantie. Si l’un des maillons de la chaîne venait à entrer en procédure collective, la créance devrait être déclarée dans les délais : la cour d’appel de Bordeaux a ainsi, le 28 avril 2026, fixé au passif du redressement judiciaire d’une société, à titre chirographaire, la créance d’un éditeur de logiciels pour 44 084,11 euros, rappelant que le fournisseur impayé d’une entreprise en difficulté ne recouvre qu’au marc le franc et après déclaration. Chaque acteur a donc intérêt à chiffrer tôt son préjudice, à mettre en demeure par écrit, et à ne signer aucune décharge ni aucun avenant de sortie sans en mesurer la portée.
En refermant cette carte des décisions, les réserves de l’ouverture demeurent entières. L’intrusion chez le prestataire a été confirmée par l’éditeur lui-même, et la suspension des échanges par l’AIFE est un fait établi ; en revanche, le périmètre exact des données lues, l’existence de préjudices concrets chez les entreprises clientes ou leurs fournisseurs, et toute responsabilité d’un acteur de la chaîne ne sont, à la date de rédaction, ni mesurés ni jugés. L’absence de données bancaires lues, l’absence d’intrusion relevée dans l’environnement certifié de l’éditeur et la rapidité de l’information des utilisateurs sont des éléments qui jouent en faveur de l’entreprise éditrice, sans préjuger des vérifications en cours. Les contrats signés entre l’éditeur, son prestataire, les entreprises clientes et leurs partenaires primeront sur toute analyse générale, et seul le juge, au vu des pièces que chacun aura su conserver, dira qui devait quoi à qui. Dans l’intervalle, l’entreprise avisée ne spécule pas : elle fige ses preuves, elle notifie dans les délais, elle vérifie chaque coordonnée bancaire par un canal indépendant, et elle continue à facturer sans créer de doublon.