Un attaquant a copié le fichier clients de votre société, avec noms, adresses, numéros de téléphone et parfois coordonnées bancaires. Le réflexe du dirigeant se joue dans les premières heures : chaque message effacé, chaque serveur réinstallé trop vite et chaque jour de silence aggravent la sanction et exposent l’entreprise aux procès de ses propres clients. D’après le communiqué de la CNIL du 14 janvier 2026, la formation restreinte a rendu le 13 janvier 2026 deux décisions de sanction pour un total de 42 millions d’euros, en retenant des mesures de sécurité inadaptées pour protéger les données des abonnés. L’affaire visait une intrusion d’octobre 2024 dans le système d’information des sociétés, avec des données personnelles touchant 24 millions de contrats d’abonnés, dont des IBAN pour les clients communs aux deux sociétés, et plus de 2 500 plaintes reçues par l’autorité. Les manquements retenus portaient sur la sécurité des données, sur l’information des personnes et sur la conservation excessive des données d’anciens abonnés. Cet article décrit la méthode complète du dirigeant : qualifier l’incident et figer les preuves, prévenir la CNIL en 72 heures, informer les clients exposés, déposer plainte au pénal et se défendre face à la sanction administrative et aux demandes d’indemnisation.
I. Réagir dans les premières heures : qualifier la fuite, figer les preuves et saisir la CNIL en 72 heures
A. Comment qualifier l’incident et garder les preuves qui protégeront l’entreprise
La première tâche consiste à établir ce qui a été pris, quand et comment. Le dirigeant réunit son prestataire informatique, son délégué à la protection des données quand il en a désigné un, et dresse un constat écrit et daté : périmètre des fichiers copiés ou chiffrés, catégories de données concernées (identité, coordonnées, mots de passe, coordonnées bancaires, données de santé), nombre approximatif de personnes touchées, date et heure de la découverte, vecteur d’attaque supposé (hameçonnage d’un salarié, faille du site, accès du sous-traitant, poste administrateur compromis). Ce document servira pour la notification à la CNIL, pour la plainte pénale et, plus tard, pour démontrer la diligence de l’entreprise devant la formation restreinte. Les journaux de connexion, les sauvegardes, les courriels suspects et les captures d’écran se conservent tels quels, sans réinstaller les serveurs dans la précipitation : une preuve effacée ne revient pas, alors qu’un système isolé du réseau reste expertisable.
Le dirigeant vérifie ensuite ses contrats. Le contrat d’infogérance ou d’hébergement indique qui devait chiffrer, sauvegarder et surveiller ; le registre des traitements tenu par la société rappelle les finalités et les durées de conservation déclarées ; les engagements du sous-traitant précisent qui notifie et qui répare. Cette revue prend une heure et change tout : elle désigne le responsable du traitement, elle révèle si des données d’anciens clients auraient dû être purgées depuis longtemps, et elle prépare la mise en cause éventuelle du prestataire défaillant. Dans l’affaire sanctionnée en janvier 2026, la CNIL avait ainsi relevé l’absence de tri des données des anciens abonnés et la conservation injustifiée de millions de données pendant une durée excessive, au-delà des seuls besoins comptables (sanction CNIL de janvier 2026). Purger les données périmées après l’incident ne répare pas le passé, mais cela stoppe l’aggravation et compte dans l’appréciation finale.
Le dirigeant évalue enfin le risque pour les personnes. Un fichier de simples adresses professionnelles n’expose pas comme un fichier de clients avec mots de passe en clair, numéros de carte ou relevés d’identité bancaire. Quand des IBAN, des mots de passe ou des données de santé circulent, le risque d’usurpation d’identité, de virement frauduleux ou de chantage existe et commande la suite : notification à la CNIL dans tous les cas de risque, information directe des personnes quand le risque devient élevé. Cette gradation, aucun risque, risque simple, risque élevé, figure dans les consignes officielles et structure toute la réaction. Les salariés se préviennent en interne sans affolement, avec des consignes écrites et datées : ne pas ouvrir les pièces jointes suspectes, changer les mots de passe professionnels et personnels réutilisés, activer la double authentification partout où elle existe, et signaler immédiatement tout appel ou message se réclamant de la société.
B. Pourquoi la notification à la CNIL en 72 heures et l’information des clients conditionnent la sanction
Quand la violation présente un risque pour les droits et libertés des personnes, la société doit prévenir la CNIL au plus tôt, dans un délai maximal de 72 heures qui court à compter de la prise de connaissance de l’incident, c’est-à-dire du moment où elle dispose d’un degré de certitude raisonnable qu’un incident a touché des données personnelles (règles CNIL de notification des violations). L’enquête interne ne suspend pas tout : la CNIL attend une notification initiale rapide par son téléservice, complétée ensuite par une notification complémentaire au fil des investigations. Dépasser le délai sans motif expose à un manquement supplémentaire, alors qu’une notification complète et sincère démontre la coopération, critère légal de fixation de l’amende.
La notification contient au minimum la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d’enregistrements touchés, les conséquences probables, les coordonnées du contact, délégué à la protection des données ou autre, et les mesures prises pour remédier à la violation et limiter ses effets. Chaque rubrique se remplit avec les mots du constat interne, sans minimiser ni dramatiser : écrire que seuls des noms ont fuité quand les mots de passe ont circulé aussi transforme une maladresse en manquement délibéré. Quand la société ignore encore l’ampleur exacte, elle le dit et annonce la notification complémentaire. La CNIL répond en général sous 72 heures par des conseils et des questions ; cette correspondance se conserve, car elle prouve le dialogue avec l’autorité.
Quand la violation entraîne un risque élevé pour les clients, la société doit les informer directement au plus tôt (règles CNIL de notification des violations). Cette information s’écrit en termes clairs et précis : nature de la fuite, conséquences probables, coordonnées du contact, mesures prises et recommandations concrètes comme le changement du mot de passe, la vérification des comptes en ligne ou la sauvegarde des données personnelles. L’expérience des sanctions montre que le message minimaliste aggrave le cas : dans l’affaire de janvier 2026, la formation restreinte a sanctionné un courriel d’information incomplet au regard de l’article 34 du RGPD, parce que les clients ne pouvaient pas y comprendre directement les conséquences de la fuite ni les mesures de protection à prendre (sanction CNIL de janvier 2026). Un courriel complet, daté, conservé avec ses accusés de réception, prouve au contraire que l’entreprise a protégé ses clients au lieu de les laisser découvrir la fuite par la presse.
Le dirigeant garde la trace de tout : constat initial, journaux, factures du prestataire, échanges avec le délégué, récépissés de notification, courriels aux clients, dépôt de plainte. Ce dossier unique servira devant la CNIL, devant le juge pénal comme partie civile et devant le juge civil si des clients réclament de l’argent. Les dirigeants de petites sociétés sans délégué désigné procèdent de la même façon, avec les mêmes délais : la taille de l’entreprise module le montant de l’amende, jamais l’existence des obligations. Quand le sous-traitant a causé la fuite, la société le met en demeure par écrit dès le premier jour et l’associe aux mesures correctrices, sans attendre que la CNIL ou un client la mette elle-même en cause.
II. Faire payer l’attaquant et limiter la facture : plainte pénale, sanction proportionnée et actions des clients
A. Comment déposer plainte à Paris et obtenir la condamnation de l’attaquant
L’entreprise victime d’une intrusion dépose plainte et se constitue partie civile : cette démarche déclenche l’enquête, permet la saisie des preuves chez l’auteur et ouvre le droit à des dommages-intérêts devant le juge pénal. Le droit pénal vise d’abord l’intrus. Aux termes de l’article 323-1 du code pénal, « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » L’article 323-3 du code pénal ajoute que « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » L’attaquant qui copie le fichier clients commet donc au moins deux délits, avant même toute utilisation des données volées.
La jurisprudence condamne régulièrement, y compris d’anciens salariés ou prestataires. Par arrêt du 8 juin 2021, la chambre criminelle de la Cour de cassation a rejeté le pourvoi formé « contre l’arrêt de la cour d’appel d’Agen, chambre correctionnelle, en date du 10 septembre 2020, qui, pour atteinte à un système de traitement automatisé de données, l’a condamné à 15 000 euros d’amende et à six mois d’interdiction professionnelle » (Crim. 8 juin 2021, n° 20-85.853). Plus récemment, elle a rejeté le pourvoi formé « contre l’arrêt de la cour d’appel de Versailles, 9e chambre, en date du 2 mai 2024, qui, pour atteinte à un système de traitement automatisé de données, l’a condamné à trois mois d’emprisonnement avec sursis et a prononcé sur les intérêts civils » (Crim. 2 septembre 2025, n° 24-83.605). Dans cette seconde affaire, l’auteur présumé était l’administrateur réseau de la société plaignante, ce qui rappelle que la menace vient souvent de l’intérieur : comptes d’anciens salariés jamais désactivés, accès administrateur partagés, prestataire qui conserve un accès après la fin du contrat.
À Paris et en Île-de-France, la plainte se dépose au commissariat ou en gendarmerie, après une pré-plainte en ligne qui fait gagner du temps, ou directement par courrier au procureur de la République. La loi impose aux services de recevoir la plainte : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents » (article 15-3 du code de procédure pénale). La société joint son constat interne, les journaux de connexion, le récépissé de notification CNIL et l’estimation du préjudice, puis demande le récépissé de dépôt. Le signalement sur la plateforme officielle 17cyber complète la plainte sans la remplacer. La constitution de partie civile, dès le dépôt ou devant le juge d’instruction, permet de réclamer le coût de la remédiation, la perte d’exploitation et l’atteinte à l’image.
Le dirigeant surveille aussi son propre risque pénal, car l’absence de sécurité élémentaire se punit. L’article 226-17 du code pénal dispose que « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Quand la fuite provient d’une négligence, l’article 226-22 du code pénal prévoit que « La divulgation prévue à l’alinéa précédent est punie de trois ans d’emprisonnement et de 100 000 euros d’amende lorsqu’elle a été commise par imprudence ou négligence », tout en précisant que « la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit ». Autrement dit, des clients qui portent plainte contre la société négligente exposent ses dirigeants à des poursuites, d’où l’importance d’une réaction rapide et documentée qui établit la diligence plutôt que la faute.
B. Comment contester la sanction de la CNIL et répondre aux clients qui réclament de l’argent
La CNIL contrôle, met en demeure puis sanctionne par sa formation restreinte, avec des amendes qui doivent rester proportionnées. Le Conseil d’État l’a rappelé dans une affaire de serveurs d’imagerie médicale laissés en libre accès, découverte après un signalement public et confirmée par des contrôles en ligne de la CNIL en septembre 2019 (CE 22 juillet 2022, n° 449694). Le juge administratif y cite l’obligation de sécurité : « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » (CE 22 juillet 2022, n° 449694), avant de juger que ne pas limiter les flux réseau et ne pas chiffrer des données de santé caractérise le manquement. L’entreprise qui chiffre ses fichiers, cloisonne ses accès et teste ses sauvegardes se met donc à l’abri du grief le plus fréquent.
La même décision enseigne deux moyens de défense que tout dirigeant doit connaître. D’abord, la notification n’a pas de sens quand l’autorité sait déjà tout : le juge a censuré pour erreur de droit la sanction du défaut de notification, dès lors que la CNIL avait elle-même informé le professionnel de la fuite et engagé son contrôle sur cette base (CE 22 juillet 2022, n° 449694). Ensuite, le montant se discute critère par critère, car les amendes doivent rester « effectives, proportionnées et dissuasives » (CE 22 juillet 2022, n° 449694), en tenant compte de la gravité, de la coopération, des mesures correctrices et des catégories de données. Dans cette affaire, le Conseil d’État a ramené l’amende de 3 000 à 2 500 euros : « il sera fait une juste appréciation des circonstances de l’espèce en ramenant la sanction pécuniaire infligée à M. C… à un montant de 2 500 euros » (CE 22 juillet 2022, n° 449694). Coopérer, corriger vite, chiffrer et purger : chaque effort documenté pèse dans la balance.
Devant la CNIL, la société répond à la mise en demeure dans le délai fixé, produit son dossier de réaction et démontre les mesures techniques et organisationnelles déployées avant et après l’incident. Les arguments qui portent sont concrets : registre des traitements à jour, mots de passe robustes et double authentification, chiffrement des données sensibles, limitation des accès au strict nécessaire, sauvegardes testées, formation du personnel contre l’hameçonnage, purge des anciens fichiers, audit de sécurité après l’attaque. Les arguments vains sont connus : prétendre qu’aucun risque n’existait alors que des IBAN circulent, accuser le sous-traitant sans produire le contrat, ou soutenir que l’attaque était imparable sans décrire une seule mesure. La formation restreinte tient compte des capacités financières, du nombre de personnes touchées, du caractère sensible des données et de la coopération : un dossier complet et sincère vaut mieux qu’un silence ou qu’une contestation tous azimuts.
Les clients touchés agiront de leur côté, par la plainte pénale, par la saisine de la CNIL ou par l’action en réparation devant le juge civil. Sur le fondement de l’article 1240 du code civil, « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », ce qui ouvre aux clients la réparation de l’usurpation d’identité, des virements frauduleux ou du préjudice moral, à condition de prouver la faute de la société, le dommage et le lien entre les deux. L’article 9 du code civil rappelle que « Chacun a droit au respect de sa vie privée » et que « ces mesures peuvent, s’il y a urgence, être ordonnées en référé », ce qui permet au juge d’ordonner vite la suppression de données volées remises en ligne. Face à ces actions, l’entreprise qui a notifié dans les délais, informé ses clients et porté plainte se défend sur un terrain solide, tandis que celle qui a caché la fuite prête le flanc à la faute. Les lecteurs qui se trouvent du côté des personnes dont les données ont circulé trouveront la démarche miroir, plainte et indemnisation, dans notre dossier consacré au piratage de données personnelles : ce que les victimes peuvent faire pour porter plainte et être indemnisées.
La sanction pécuniaire ne constitue qu’une partie du prix à payer, car la CNIL rend publiques ses décisions les plus importantes, comme le montre la sanction de 42 millions d’euros prononcée en janvier 2026 pour violation de données, largement reprise par la presse généraliste et spécialisée. Cette publicité frappe l’image de l’entreprise bien au-delà du montant de l’amende : les clients actuels s’interrogent, les prospects comparent et les partenaires réclament des garanties. Le dirigeant anticipe ce risque réputationnel en préparant une communication honnête, calée sur les messages adressés aux clients et sur la notification, sans reconnaître une faute que le juge n’a pas établie et sans minimiser des faits que l’enquête établira. Les consignes officielles à suivre pas à pas figurent dans le guide de la CNIL sur les règles à suivre en cas de violation de données personnelles, qui détaille la gradation des risques, le contenu des notifications et les délais. L’entreprise qui applique ce guide à la lettre, qui conserve chaque justificatif et qui coopère loyalement avec l’autorité se présente devant la formation restreinte avec le meilleur dossier possible, celui d’un responsable qui a protégé les personnes avant de se protéger lui-même.
Conclusion
Une fuite de données clients ne se gère ni par le silence ni par la précipitation : elle se gère par écrit, par les délais et par les preuves. Dans les premières heures, le dirigeant qualifie l’incident, fige les journaux et désigne le périmètre exact des données touchées ; dans les 72 heures, il notifie la CNIL par le téléservice et prévient directement les clients exposés à un risque élevé, avec un message complet qui leur donne les moyens de se protéger ; dans les jours suivants, il dépose plainte et se constitue partie civile contre l’attaquant, met en demeure son prestataire s’il a failli et purge les données conservées sans raison. Chaque pièce de ce dossier, constat, récépissé, courriels, dépôt de plainte, compte deux fois : elle limite le dommage des clients et elle réduit la sanction, car la CNIL et le juge administratif jugent la coopération et les mesures correctrices. Les montants prononcés en 2026, jusqu’à plusieurs dizaines de millions d’euros pour les organismes qui avaient négligé la sécurité et l’information, montrent que l’inaction coûte plus cher que la réaction. À Paris comme ailleurs en Île-de-France, la société dispose des mêmes guichets : pré-plainte en ligne puis commissariat pour le volet pénal, téléservice de la CNIL pour la notification, tribunal judiciaire pour les actions en réparation. Le dirigeant qui applique cette méthode protège ses clients, son entreprise et sa propre responsabilité.