Le 7 octobre 2026, BFM Tech, citant Le Canard enchaîné, a révélé que le numéro de téléphone personnel de l’actuel Premier ministre figurait parmi les données dérobées lors du piratage du site de vente en ligne Le Slip Français, survenu le 15 avril 2024. Selon la chaîne d’information, environ 1,5 million de données appartenant à près de 696 000 clients, passés et présents, dont des adresses électroniques, se seraient ainsi retrouvées exposées, et une recherche sur un annuaire en ligne de vérification aurait permis de retrouver ces coordonnées. L’entreprise avait elle-même annoncé l’attaque sur son centre d’aide, indiquant que des données personnelles de clients avaient été volées par des hackeurs le 15 avril 2024, que les mots de passe des comptes clients et les données de cartes de paiement n’étaient pas concernés par l’incident, et qu’une plainte pour accès frauduleux avait été déposée parallèlement à un signalement adressé à la CNIL.
À la date de rédaction, aucune source officielle n’a constaté de dommage précis subi par les clients concernés, aucune responsabilité n’a été établie par un juge, et les contrats conclus entre le site et ses clients priment sur toute analyse générale. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable, pour tout client dont les données ont été exposées après le piratage d’un site marchand, et ne décrivent pas la situation de l’entreprise citée, sur laquelle l’article ne formule aucun constat. Seul le juge, saisi d’un litige, pourrait dire le droit applicable à un cas particulier.
I. Fuite de données personnelles après le piratage d’un site marchand : que faire quand on est client
Lorsqu’un site de commerce en ligne annonce que des données de ses clients ont été volées, chaque client concerné se retrouve destinataire d’une information alarmante sans toujours savoir quoi en faire. La première étape consiste à comprendre quelles données circulent, puis à verrouiller tout ce qui peut l’être, avant d’exercer les droits que la loi attache à toute personne fichée dans un traitement.
A. Vérifier si son numéro de téléphone circule en ligne et verrouiller ses comptes contre le phishing
Dans l’affaire qui a fait remonter la tendance, c’est une simple recherche sur un annuaire en ligne permettant de vérifier si des données personnelles ont été piratées qui a fait apparaître le numéro de téléphone du chef du gouvernement, selon BFM Tech. Ces annuaires, dont certains fonctionnent en toute légalité en croisant des bases de données déjà diffusées, permettent à chacun de vérifier si sa propre adresse électronique ou son numéro figure dans une fuite connue. Cette vérification constitue un réflexe utile : savoir que son numéro circule permet d’anticiper les appels et messages frauduleux plutôt que de les découvrir au moment de décrocher.
L’entreprise visée indiquait elle-même à ses clients qu’ils risquaient d’être victimes de campagnes de messages indésirables et d’hameçonnage, et leur recommandait la vigilance lors de la réception de courriels, de SMS et d’appels téléphoniques. Ce point mérite une attention particulière : un numéro de téléphone associé à un nom, une adresse électronique et une habitude d’achat permet de personnaliser des tentatives d’escroquerie redoutablement crédibles. BFM Tech relevait ainsi que des données mêlées, retrouvées en ligne et touchant jusqu’à des membres du gouvernement, permettaient de mieux personnaliser les campagnes d’hameçonnage. Le réflexe à adopter reste simple et ne coûte rien : ne transmettre aucune information confidentielle ou bancaire par courriel ou par SMS, vérifier l’expéditeur réel de tout message pressant, et refuser toute demande de code reçu par téléphone.
Le deuxième geste consiste à changer le mot de passe du compte créé sur le site concerné, puis à vérifier que ce même mot de passe ne protège pas d’autres comptes importants, notamment la messagerie. L’entreprise le recommandait à titre préventif à ses clients, tout en indiquant que les mots de passe n’étaient pas concernés par l’incident. La prudence s’impose d’autant plus lorsque les adresses électroniques des clients ont circulé : une adresse connue des fraudeurs devient la porte d’entrée de tentatives de réinitialisation de mot de passe sur d’autres services. L’activation de la double authentification sur la messagerie et sur les comptes sensibles constitue, dans ce contexte, une protection concrète et immédiate.
Ces mesures relèvent de l’hygiène numérique, mais elles ont aussi une portée juridique : en cas de litige ultérieur sur un préjudice, le juge appréciera le comportement de la victime et les précautions qu’elle a prises après avoir été informée. Conserver les messages suspects, noter les dates des appels frauduleux et garder une copie de l’information reçue du site marchand permet de documenter, le moment venu, la réalité des désagréments subis.
B. Exercer ses droits sur ses données : accès, rectification, effacement et opposition
Au-delà des gestes de protection, toute personne dont les données figurent dans le fichier clients d’un site marchand dispose de droits qu’elle peut exercer directement auprès de l’entreprise, sans attendre l’issue d’une enquête. Ces droits s’appliquent à tout responsable de traitement, y compris lorsque celui-ci vient d’être victime d’une attaque : le piratage ne suspend pas les obligations de l’entreprise envers les personnes fichées.
Le premier de ces droits est le droit de savoir. La loi du 6 janvier 1978 dispose que « Le droit à l’information s’exerce dans les conditions prévues aux articles 12 à 14 du règlement (UE) 2016/679 du 27 avril 2016 » (article 48 de la loi informatique et libertés). Concrètement, un client peut demander à l’entreprise quelles données elle détient sur lui, d’où elles proviennent, à quoi elles servent et à qui elles ont été transmises. Après une fuite, cette demande prend un sens très pratique : elle permet de vérifier si le numéro de téléphone, l’adresse électronique ou l’adresse postale dont la circulation est redoutée figurent bien dans le fichier, et d’exiger que l’entreprise indique les mesures prises depuis l’incident.
Le deuxième levier est le droit d’obtenir la rectification des données inexactes et l’effacement de celles dont la conservation ne se justifie plus. Un ancien client qui n’a plus commandé depuis des années peut ainsi demander la suppression de son compte et des données associées, dans les limites des obligations légales de conservation qui pèsent sur le commerçant, notamment en matière comptable et fiscale. Cette demande se fait par écrit auprès du responsable du traitement, dont les coordonnées figurent en principe dans la politique de protection des données du site. En cas de réponse insatisfaisante ou d’absence de réponse, le client conserve la preuve de sa démarche pour la suite.
Le troisième levier est le droit d’opposition à la prospection. Les données volées lors d’un piratage servent fréquemment à alimenter des campagnes de messages non sollicités. Or tout client peut s’opposer à ce que ses coordonnées soient utilisées à des fins de prospection, et exiger son retrait des listes de diffusion. Là encore, la démarche ne nécessite aucun formalisme particulier, même si l’envoi recommandé avec accusé de réception sécurise la preuve.
L’intérêt de ces démarches est double. D’une part, elles réduisent concrètement l’exposition : moins de données conservées, moins de surface exposée aux fraudeurs. D’autre part, elles construisent le dossier : si le litige devait un jour être porté devant un juge ou devant la CNIL, la victime qui a exercé ses droits par écrit, daté et conservé les réponses se présente avec des pièces, et non avec de simples affirmations. L’article 20 de la loi informatique et libertés prévoit d’ailleurs que le président de la CNIL peut mettre en demeure un responsable de traitement « De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits » et « De mettre les opérations de traitement en conformité avec les dispositions applicables » (article 20, III). La mise en demeure peut également viser, sauf pour les traitements intéressant la sûreté de l’État ou la défense, l’obligation « de communiquer à la personne concernée une violation de données à caractère personnel ».
Un précédent récent du même site éclaire l’utilité de ces réflexes : un article du 22 septembre 2026 consacré à la cyberattaque visant un organisme de formation, qui avait exposé les données de près de 1,7 million de personnes, détaillait déjà la marche à suivre pour les victimes (données personnelles piratées : que faire après une cyberattaque massive). La méthode reste la même quel que soit le secteur : vérifier, verrouiller, écrire, conserver les preuves.
II. Numéro de téléphone exposé en ligne : plainte pénale, signalement à la CNIL et réparation du préjudice
Une fois les mesures d’urgence prises, la question devient celle de la réponse juridique : faut-il porter plainte, saisir la CNIL, demander réparation, et à quelles conditions ? Les trois voies obéissent à des logiques différentes et peuvent être empruntées ensemble, car la plainte pénale vise les auteurs de l’attaque, la réclamation devant la CNIL vise le responsable du traitement, et l’action en réparation vise l’indemnisation de la victime.
A. Faire constater l’infraction et saisir la CNIL : plainte pénale et réclamation du client exposé
Le piratage d’un site marchand constitue, avant tout, une infraction pénale commise par les attaquants. L’article 323-1 du code pénal punit ainsi : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). L’article 323-3 vise pour sa part « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient », puni de cinq ans d’emprisonnement et de 150 000 euros d’amende (article 323-3 du code pénal). L’entreprise visée par l’attaque d’avril 2024 indiquait elle-même avoir déposé plainte pour accès frauduleux dans un système de traitement automatisé de données.
La Cour de cassation a précisé la portée de ces textes dans un arrêt du 20 mai 2015 rendu dans une affaire où un internaute s’était maintenu dans l’extranet d’une agence sanitaire après une défaillance technique. La chambre criminelle a relevé que l’intéressé « s’est maintenu dans un système de traitement automatisé après avoir découvert que celui-ci était protégé et a soustrait des données qu’il a utilisées sans le consentement de leur propriétaire », a estimé que la cour d’appel avait caractérisé les délits de maintien frauduleux et de vol en tous leurs éléments, et a rejeté le pourvoi (Cass. crim., 20 mai 2015, n° 14-81.336, publié au Bulletin). Cet arrêt intéresse directement les victimes de fuites : il montre que la justice pénale sanctionne non seulement l’intrusion initiale, mais aussi l’exploitation des données dérobées, y compris leur diffusion à des tiers.
De son côté, la victime dont les données ont été exposées peut elle-même déposer plainte, notamment lorsque son numéro de téléphone ou ses coordonnées se retrouvent diffusés. L’article 226-22 du code pénal punit « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir », d’une peine de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-22 du code pénal). Le même article précise que « La divulgation prévue à l’alinéa précédent est punie de trois ans d’emprisonnement et de 100 000 euros d’amende lorsqu’elle a été commise par imprudence ou négligence », et que « Dans les cas prévus aux deux alinéas précédents, la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit. » La plainte de la victime conditionne donc les poursuites sur ce fondement, ce qui donne à sa démarche un rôle procédural décisif.
Parallèlement à la voie pénale, toute personne peut adresser une réclamation à la CNIL, qui centralise les plaintes des personnes concernées et contrôle le respect des obligations par les responsables de traitement. La réclamation se fait en ligne et suppose en principe d’avoir d’abord exercé ses droits auprès de l’entreprise. De son côté, le responsable du traitement qui subit une violation doit lui-même informer l’autorité : « Le responsable de traitement notifie à la Commission nationale de l’informatique et des libertés et communique à la personne concernée toute violation de données à caractère personnel en application des articles 33 et 34 du règlement (UE) 2016/679 du 27 avril 2016 » (article 58, I, de la loi informatique et libertés). L’entreprise concernée par l’attaque d’avril 2024 indiquait avoir effectué ce signalement.
Lorsque la CNIL constate un manquement, elle dispose d’une gamme graduée de réponses. Son président peut d’abord mettre en demeure, puis saisir la formation restreinte « en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures » correctrices, parmi lesquelles le rappel à l’ordre, l’injonction de mise en conformité, la limitation ou l’interdiction du traitement et, sauf lorsque le traitement est mis en œuvre par l’État, l’amende administrative (article 20, IV, de la loi informatique et libertés). L’ampleur possible de ces sanctions a été illustrée par la décision du Conseil d’État du 19 juin 2020 qui, saisi du recours contre la sanction de 50 millions d’euros infligée à un géant du numérique, a jugé « eu égard à la gravité particulière des manquements commis, qui tient à la nature des exigences méconnues et à leurs effets sur les utilisateurs, au caractère continu de ces manquements et à la durée de la période durant laquelle ils ont perduré, aux plafonds prévus par le 4 de l’article 83 du RGPD, et à la situation financière de la société, la sanction pécuniaire de 50 000 000 d’euros prononcée à l’encontre de la société Google ne revêt pas un caractère disproportionné », avant de conclure : « La requête de la société Google LLC est rejetée » (CE, 19 juin 2020, n° 430810, publié au recueil Lebon). Cette jurisprudence éclaire les critères du juge administratif : nature des exigences méconnues, effets sur les utilisateurs, durée des manquements et situation financière de l’entreprise.
B. Obtenir réparation : prouver un dommage concret, agir seul ou par l’action de groupe
La sanction du responsable par la CNIL n’indemnise pas les victimes : l’amende administrative est versée au Trésor public. Pour obtenir réparation de son propre préjudice, le client exposé doit agir devant le juge civil, sur le fondement du droit commun de la responsabilité. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). S’y ajoute la protection de la vie privée : « Chacun a droit au respect de sa vie privée. Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée » (article 9 du code civil). Un numéro de téléphone personnel diffusé en ligne, qui expose son titulaire à des appels indésirables et à des tentatives d’escroquerie ciblées, touche directement à cette sphère protégée.
Mais l’écueil principal de ces actions est la preuve du dommage. La Cour de cassation vient de le rappeler avec netteté dans un arrêt du 24 juin 2026, publié au Bulletin : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » et il appartient au juge d’apprécier « si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral » (Cass. soc., 24 juin 2026, n° 24-22.792). Dans cette affaire, une cour d’appel avait alloué 5 000 euros de dommages et intérêts en retenant que le non-respect du règlement avait nécessairement causé un préjudice ; la chambre sociale a cassé, au visa de l’article 82, paragraphe 1, du règlement européen, aux termes duquel « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ».
La Cour de cassation s’appuie explicitement sur la Cour de justice de l’Union européenne : une simple violation du règlement ne suffit pas à ouvrir droit à réparation, aucune condition de gravité minimale du préjudice moral ne peut être exigée, la réparation remplit une fonction compensatoire et non punitive, et la victime doit établir à la fois la violation des dispositions du règlement et le dommage matériel ou moral que cette violation lui a causé. Pour le client d’un site piraté, la leçon est directe : l’exposition de son numéro de téléphone ne suffit pas, à elle seule, à obtenir des dommages et intérêts. Il lui faudra démontrer des faits précis : vagues d’appels frauduleux, messages d’hameçonnage ciblés utilisant ses données d’achat, temps passé à verrouiller ses comptes, souscription à des services de surveillance, voire usurpation d’identité. Les captures de messages, les relevés d’appels, les attestations et les factures constituent, dans cette perspective, des pièces déterminantes.
Reste la question du coût et de l’isolement : un préjudice individuel de quelques centaines d’euros dissuade d’agir seul. Les victimes peuvent alors se tourner vers une association de défense des consommateurs, qui dispose d’une action propre devant le juge civil : « Les associations mentionnées à l’article L. 621-1 peuvent agir devant la juridiction civile pour faire cesser ou interdire tout agissement illicite portant directement ou indirectement atteinte à l’intérêt collectif des consommateurs » (article L. 621-7 du code de la consommation). Cette action vise la cessation de l’illicite et profite à l’ensemble des consommateurs concernés, sans que chacun ait à saisir individuellement le tribunal. En pratique, les associations agréées recueillent les témoignages et les pièces des victimes, captures de messages frauduleux, relevés d’appels et courriers échangés avec l’entreprise, et portent les dossiers les plus documentés. Parallèlement, chaque réclamation individuelle adressée à la CNIL nourrit le dossier du régulateur, qui peut mettre en demeure puis sanctionner selon l’échelle des mesures prévue par les textes. Pour les centaines de milliers de clients potentiellement concernés par une fuite de grande ampleur, cette combinaison, action associative en cessation, réclamations individuelles devant la CNIL et actions individuelles en réparation pour les préjudices les mieux établis, mutualise les efforts et donne un poids que les démarches isolées n’ont pas.
Un dernier point mérite d’être souligné pour les dirigeants et responsables de traitement qui liraient ces lignes : la sécurité des données n’est pas une option. L’article 226-16 du code pénal punit « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi » de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-16 du code pénal). La négligence dans la protection d’un fichier clients expose donc l’entreprise sur trois fronts à la fois : la sanction administrative de la CNIL, la mise en cause pénale et les actions en réparation des victimes. L’audit de sécurité, la minimisation des données conservées et la préparation d’un plan de réaction à l’incident, avec notification et communication prévues par les textes, relèvent de la gestion prudente de toute société qui vend en ligne.
Conclusion
La remise en lumière, en octobre 2026, d’un piratage commis en avril 2024 contre un site de vente en ligne, avec près de 696 000 clients concernés selon la presse, rappelle une réalité simple : les données volées ne disparaissent pas, elles ressurgissent des années plus tard dans des annuaires et des campagnes d’hameçonnage. Pour tout client confronté à une telle situation, la marche à suivre tient en quatre temps : vérifier si ses coordonnées circulent, verrouiller ses comptes et sa messagerie, exercer par écrit ses droits d’information et d’effacement auprès de l’entreprise, puis, si un dommage concret apparaît, le documenter avec soin avant d’envisager la plainte, la réclamation devant la CNIL ou l’action en réparation, seul ou dans le cadre d’une action de groupe. La jurisprudence la plus récente exige la preuve d’un préjudice réel, mais elle refuse aussi tout seuil de gravité qui fermerait par principe la porte aux victimes.
Aucun accident précis, aucune intrusion nouvelle ni aucun dommage subi par un client déterminé n’a été constaté par une source officielle à la date de rédaction, et aucune responsabilité n’est établie. Les contrats conclus entre chaque client et le site marchand priment sur toute analyse générale, et seul le juge, saisi des faits d’une espèce, pourrait dire si un manquement a été commis et s’il a causé un dommage réparable.