Vous avez reçu un courriel ou un courrier de l’enseigne où vous faites vos courses en ligne : vos données personnelles liées à votre compte Drive ont été exposées lors d’une cyberattaque. Nom, date de naissance, numéro de carte de fidélité, adresse de facturation, numéro de téléphone, numéros et montants de commandes : la liste des informations concernées figure dans la notification, avec l’assurance que vos données bancaires et vos mots de passe ne seraient pas touchés. Faut-il s’inquiéter, changer ses mots de passe, déposer plainte, saisir la CNIL, demander réparation ? Selon le site spécialisé qui recense l’annonce, l’enseigne aurait informé près de 290 000 clients, déclaré l’incident à la CNIL et déposé plainte, tandis que le groupe d’attaquants revendiquerait une base bien plus large, de l’ordre de 1,4 million de lignes. Ces chiffres ne sont pas confirmés par une source officielle à la date de rédaction et doivent être lus avec prudence : une ligne de base ne vaut pas un client, et une revendication d’attaquants ne vaut pas constat.
Plusieurs réserves s’imposent avant d’aller plus loin. À la date de rédaction, aucune décision de justice ni aucune décision d’une autorité n’a établi une responsabilité dans cette affaire, et seul le juge pourrait la constater. Les contrats que vous avez signés avec l’enseigne et les conditions de son service Drive priment sur toute analyse générale. Les développements qui suivent sont de portée générale : ils décrivent les obligations de toute enseigne victime d’une violation de données et les droits de tout client concerné, avec les vérifications utiles dans toute situation comparable. Ce que les sources citées ne disent pas est écrit au conditionnel.
Concrètement, cet article répond à quatre questions : ce que l’enseigne doit faire après la violation et ce que vous devez recevoir, comment elle peut être sanctionnée si elle a manqué à ses obligations de sécurité, comment vous protéger et constituer vos preuves face aux tentatives de phishing, et comment saisir la CNIL puis le juge pour obtenir réparation.
I. Ce que l’enseigne doit faire après la violation, et ce que vous devez recevoir
A. Notifier la CNIL sous 72 heures et vous informer en cas de risque élevé
Le point de départ est le règlement général sur la protection des données, le RGPD. L’article 33, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation ne risque pas d’engendrer un risque pour les droits et libertés des personnes physiques En France, l’autorité compétente est la Commission nationale de l’informatique et des libertés. La CNIL résume ainsi l’obligation sur sa page consacrée aux violations : le responsable du traitement doit notifier cette violation à la CNIL, au plus tôt et dans un délai maximal de 72h (CNIL, violations de données personnelles : les règles à suivre). Lorsque la notification intervient après ce délai, elle doit être accompagnée des motifs du retard.
Si la violation a été commise chez un prestataire qui héberge ou exploite le service Drive pour le compte de l’enseigne, le circuit est double. Le paragraphe 2 du même article impose au sous-traitant d’avertir le responsable du traitement de toute violation dans les meilleurs délais après en avoir pris connaissance C’est ensuite au responsable du traitement, ici l’enseigne qui détermine les finalités et les moyens du fichier clients, d’apprécier le risque et de notifier la CNIL. Cette répartition des rôles explique pourquoi, dans les dossiers de fuite de données liées à un service en ligne, la question de savoir qui est responsable du traitement et qui n’est que sous-traitant conditionne toute la suite : les obligations ne pèsent pas sur les mêmes épaules, et le client qui écrit au mauvais interlocuteur perd du temps.
La notification à la CNIL doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les coordonnées du délégué à la protection des données ou d’un autre point de contact, les conséquences probables et les mesures prises ou envisagées pour y remédier. En parallèle, l’enseigne doit documenter chaque violation dans un registre interne, y compris celles qui n’ont pas été notifiées, afin que l’autorité puisse vérifier le respect de ces obligations.
À côté de cette notification à l’autorité existe une information due aux clients eux-mêmes. L’article 34, paragraphe 1, du même règlement impose au responsable du traitement d’informer la personne concernée dans les meilleurs délais dès lors que la violation risque d’engendrer un risque élevé pour ses droits et libertés La CNIL l’exprime en termes directs : si la violation entraîne un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement doit communiquer la violation aux personnes concernées, au plus tôt. Avec un fichier contenant nom, adresse de facturation, téléphone et historique de commandes, le risque élevé se discute sérieusement : ces informations permettraient à des tiers de monter des messages de phishing ciblés, crédibles parce qu’ils reprendraient vos achats réels.
Cette communication aux personnes concernées obéit à des exigences de forme strictes. Le paragraphe 2 exige que cette information décrive, en des termes clairs et simples, la nature de la violation et reprenne au minimum les éléments prévus pour la notification à l’autorité : point de contact, conséquences probables et mesures prises ou envisagées Concrètement, le message que vous recevez doit dire clairement ce qui a fuité, qui contacter pour en savoir plus, quelles conséquences envisager et ce que l’enseigne a fait ou va faire. Un message vague, noyé dans des formules rassurantes, qui ne listerait pas les catégories de données concernées ou qui n’indiquerait aucun contact, ne satisferait pas à cette exigence de clarté. Conservez précieusement cette notification : elle fera foi de ce que l’enseigne reconnaît elle-même, des dates qu’elle avance et du périmètre qu’elle admet.
Trois exceptions dispensent l’enseigne d’informer les clients : des mesures techniques préalables qui rendraient les données incompréhensibles aux personnes non autorisées, comme le chiffrement ; des mesures ultérieures qui garantiraient que le risque élevé ne se matérialisera plus ; ou une communication individuelle qui exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente doit y suppléer. Si l’enseigne invoque le chiffrement pour ne pas vous informer, vous pouvez lui demander sur quel périmètre exact ce chiffrement porte : un chiffrement des mots de passe ne couvre pas des noms et des numéros de téléphone stockés en clair. Et si vous n’avez reçu aucune information alors que vos données figurent manifestement dans le fichier exposé, cette absence d’information constitue déjà un premier point à signaler à la CNIL.
Pour un client parisien ou francilien, ces démarches se font entièrement à distance : la notification des violations à la CNIL passe par le téléservice dédié de l’autorité, et vos propres courriers à l’enseigne ou à son délégué à la protection des données partent par lettre recommandée avec accusé de réception ou par courriel avec accusé de réception conservé. L’important est la traçabilité, pas le guichet.
B. Prouver la sécurité du traitement ou répondre de sa défaillance
Une cyberattaque réussie ne signifie pas automatiquement que l’enseigne a violé le droit : des attaquants déterminés peuvent percer des défenses sérieuses. Mais le RGPD impose au responsable du traitement une obligation de sécurité dont il doit démontrer le respect. L’article 32, paragraphe 1, du règlement prévoit que le responsable du traitement et le sous-traitant doivent mettre en oeuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins, en citant notamment la pseudonymisation et le chiffrement des données à caractère personnel, les moyens de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, les moyens de rétablir la disponibilité des données dans des délais appropriés en cas d’incident, et une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. L’évaluation du risque tient compte notamment de la divulgation non autorisée de données.
Dans le cas d’un service Drive qui concentre l’identité, les coordonnées et l’historique d’achats de centaines de milliers de clients, le niveau de sécurité attendu est élevé : contrôle des accès distants, cloisonnement des serveurs, journalisation, tests d’intrusion réguliers, chiffrement des données sensibles. Selon le site spécialisé qui recense l’annonce des attaquants, le point d’entrée allégué serait un serveur d’accès distant, ce qui, si ce mode opératoire était confirmé par une enquête, poserait la question des mesures de protection de cet accès. Cette méthode d’accès n’est toutefois pas confirmée par l’enseigne, qui n’a pas détaillé publiquement le point d’entrée : elle est rapportée ici comme une allégation des attaquants, pas comme un fait établi.
Sur le plan administratif, les manquements aux obligations de sécurité exposent l’enseigne aux pouvoirs de la CNIL. L’article 83 du RGPD exige que chaque autorité de contrôle doive veiller à ce que les amendes administratives imposées pour les violations du règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives, en précisant que ces amendes sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, qui comprennent mises en demeure, injonctions de mise en conformité et limitations de traitement. En pratique, la CNIL a déjà sanctionné à plusieurs reprises des organismes dont les mesures de sécurité étaient insuffisantes après une violation, avec des montants qui se comptent en centaines de milliers voire en millions d’euros pour les fichiers les plus sensibles ou les plus volumineux. Votre réclamation individuelle, jointe à celles d’autres clients, peut nourrir un contrôle de l’autorité : c’est l’une des utilités concrètes de la plainte CNIL, au-delà de votre dossier personnel.
Sur le plan pénal, le droit français punit le défaut de sécurité des traitements. L’article 226-17 du code pénal dispose : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité […] est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Ce texte vise les personnes physiques responsables, dirigeants ou prestataires selon les cas, et suppose la démonstration d’un défaut des mesures prescrites : il ne sanctionne pas la simple survenance d’une attaque, mais l’absence des protections qu’imposait le risque. C’est le parquet, saisi notamment par les plaintes des victimes et de l’enseigne elle-même, qui apprécierait l’opportunité de poursuites ; l’enseigne a, selon le site spécialisé, déposé plainte, ce qui ouvre la voie à une enquête sur l’intrusion elle-même, distincte de la question de sa propre sécurité.
Enfin, la chaîne contractuelle compte : contrat avec l’hébergeur, contrat avec le prestataire qui exploite la plateforme Drive, clauses de sécurité et d’audit, délais de notification entre sous-traitant et responsable. Si vous êtes client, ces contrats ne vous sont pas directement opposables, mais ils détermineront, en cas de procès, qui supporte finalement la charge de la réparation entre l’enseigne et ses prestataires. Pour vous, le bon réflexe reste d’agir contre le responsable du traitement, c’est-à-dire l’enseigne qui a constitué le fichier clients, sans vous laisser renvoyer vers un prestataire technique avec lequel vous n’avez aucun lien. Les actions entre professionnels pour se répartir la facture relèvent de leurs rapports entre eux.
II. Ce que vous pouvez faire, pas à pas, en tant que client concerné
A. Vous protéger immédiatement et constituer vos preuves
La première urgence est pratique : empêcher que la fuite ne se transforme en fraude. Les données exposées, nom, téléphone, adresse, historique de commandes, sont exactement celles qui permettent de fabriquer des messages frauduleux crédibles : un faux SMS de l’enseigne citant votre dernière commande, un faux appel du service clients qui connaît votre numéro de carte de fidélité, un courriel de remboursement qui reprend le montant de vos achats. Ne cliquez sur aucun lien reçu par message dans les jours qui suivent la notification, vérifiez toute sollicitation en repartant du site ou de l’application officielle que vous utilisez habituellement, et ne communiquez jamais vos codes bancaires ou vos mots de passe en réponse à un message entrant. Si vous utilisiez le même mot de passe pour votre compte Drive et pour d’autres services, changez-le partout où il était réutilisé, en commençant par votre messagerie, et activez la double authentification là où elle est proposée.
Surveillez ensuite vos comptes : relevés bancaires, commandes passées à votre insu, inscriptions à des services que vous n’avez pas demandées, messages de confirmation suspects. Si vos données bancaires ne figurent pas parmi les données exposées selon la notification de l’enseigne, le risque de débit direct resterait limité, mais la vigilance demeure utile car les fraudeurs combinent souvent plusieurs sources. Notez chaque anomalie avec sa date, conservez les messages suspects sans les effacer, avec leurs en-têtes complets pour les courriels, et effectuez des captures d’écran datées. Ce journal des incidents fera partie de votre dossier : il servira à établir le lien entre la fuite et les troubles que vous invoquez, et à chiffrer votre préjudice.
La deuxième urgence est probatoire : figez tout ce qui prouve votre qualité de client concerné et l’étendue de l’exposition. Conservez la notification reçue de l’enseigne, avec sa date et son contenu exact ; conservez vos factures et confirmations de commandes sur le service Drive, qui établissent que vos données figuraient dans le fichier ; conservez les échanges ultérieurs avec le service clients ou le délégué à la protection des données, notamment si vous exercez vos droits d’accès ou d’opposition. Si vous constatez que vos données circulent, par exemple parce qu’un tiers les cite dans un message, conservez-en la preuve sans chercher à les racheter ni à contacter les auteurs de la fuite. Adressez à l’enseigne une demande écrite précisant les catégories de données vous concernant qui ont été exposées, les mesures prises et la date à laquelle l’incident a été découvert : sa réponse, ou son absence de réponse, alimentera votre dossier.
La troisième démarche consiste à signaler et, le cas échéant, à porter plainte. Tout message frauduleux reçu après la fuite peut être signalé sur la plateforme officielle d’assistance aux victimes de cybermalveillance (cybermalveillance.gouv.fr), qui oriente les particuliers vers les bons réflexes et les bons interlocuteurs. Si vous subissez une usurpation d’identité ou des tentatives avérées d’escroquerie, déposez plainte au commissariat ou à la gendarmerie en joignant votre journal des incidents, la notification de l’enseigne et les messages frauduleux. Le droit pénal punit l’usurpation : l’article 226-4-1 du code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », en précisant que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». Votre plainte vise alors les auteurs de l’usage frauduleux de vos données, distincts de l’enseigne elle-même, et elle constate officiellement votre préjudice à une date certaine. L’intrusion initiale elle-même est punie par le code pénal : l’article 323-1 dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », et l’article 226-18 punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ». Ces qualifications visent les attaquants, pas l’enseigne cliente de l’attaque : votre action en réparation contre l’enseigne relève du terrain civil décrit ci-après, tandis que le volet pénal de l’intrusion appartient à l’enquête ouverte notamment sur sa plainte.
Le service public propose par ailleurs un dossier d’actualité expliquant comment se protéger des conséquences d’une fuite de données, utile pour compléter ces premiers réflexes par les démarches administratives adaptées à votre situation, comme la surveillance de votre identité ou la sécurisation de vos comptes. Lisez-le tôt : certaines démarches, comme le dépôt de plainte ou les oppositions à la prospection, gagnent à être accomplies vite, avant que les traces ne s’effacent.
B. Saisir la CNIL et le juge pour obtenir réparation
Une fois protégé et muni de vos preuves, vous pouvez agir sur deux terrains complémentaires : la réclamation devant la CNIL et l’action en réparation devant le juge. Ces deux voies ne s’excluent pas et poursuivent des buts différents : la première fait constater le manquement et peut conduire à une sanction, la seconde vous indemnise personnellement.
La réclamation CNIL est ouverte à toute personne qui estime qu’un traitement de ses données viole le règlement. L’article 77, paragraphe 1, du RGPD ouvre à toute personne concernée le droit de saisir l’autorité de contrôle, notamment dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée, si elle estime que le traitement de ses données méconnaît le règlement Pour un client résidant en France, la réclamation se fait en ligne auprès de la CNIL. Joignez-y la notification reçue, votre demande écrite à l’enseigne et sa réponse, votre journal des incidents et, le cas échéant, votre dépôt de plainte. L’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue de sa démarche, et sa réponse, même si elle ne vous indemnise pas directement, constatera ou non un manquement : une mise en demeure ou une sanction rendue publique pèsera ensuite dans votre procès civil. Avant de saisir la CNIL, écrivez d’abord au délégué à la protection des données de l’enseigne : l’autorité attend en principe que vous ayez tenté de régler le litige directement, et ce courrier préalable démontre votre bonne foi.
L’action en réparation repose sur l’article 82, paragraphe 1, du RGPD, qui reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant Trois éléments doivent être réunis : une violation du règlement, un dommage matériel ou moral, et un lien entre les deux. Le dommage matériel se prouve par factures et relevés : débits frauduleux, frais de sécurisation engagés, achats passés à votre insu. Le dommage moral recouvre l’angoisse d’être exposé, la perte de contrôle sur ses données, le temps passé à se protéger et à surveiller ses comptes, les démarches accomplies. Le considérant 85 du règlement décrit d’ailleurs les conséquences redoutées d’une violation non traitée à temps, parmi lesquelles des dommages physiques ou matériels, un préjudice moral tel qu’une perte de contrôle sur ses données, voire un vol ou une usurpation d’identité, voire « un vol ou une usurpation d’identité ». Vos captures, votre journal daté, vos signalements et votre plainte sont les pièces qui transforment une inquiétude alléguée en préjudice établi.
La Cour de justice a encadré strictement les conditions de cette réparation dans son arrêt du 4 mai 2023, C-300/21, Österreichische Post. D’abord, une simple violation du règlement ne suffit pas à elle seule à ouvrir droit à réparation : il faut démontrer un préjudice effectif causé par cette violation, même minime. Ensuite, la Cour écarte toute règle ou pratique nationale qui subordonnerait la réparation d’un dommage moral à un certain degré de gravité du préjudice : aucun seuil de gravité ne peut être exigé, de sorte qu’une angoisse établie, même modérée, peut être indemnisée. Enfin, pour le montant, la Cour renvoie aux règles internes de chaque État membre sur l’étendue de la réparation pécuniaire, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union : c’est le juge français qui chiffre, selon ses méthodes, sans pouvoir vider le droit européen de sa substance. En pratique, les montants alloués pour une simple exposition sans fraude avérée restent modestes, de l’ordre de quelques centaines à quelques milliers d’euros selon les juridictions et les circonstances, et ils augmentent nettement en cas de fraude subie, d’usurpation d’identité ou de manquement caractérisé de l’organisme. N’attendez pas de ces chiffres, lus dans la presse, une promesse : chaque dossier est jugé sur ses pièces.
L’enseigne peut s’exonérer, mais c’est à elle de le prouver. Le paragraphe 3 de l’article 82 renverse la charge de la preuve en faveur de la victime : le responsable du traitement ou le sous-traitant n’est exonéré que s’il prouve que le fait à l’origine du dommage ne lui est nullement imputable La charge de la preuve est donc renversée en votre faveur : vous établissez la violation, le dommage et le lien, puis c’est à l’enseigne de démontrer que le fait dommageable ne lui est nullement imputable, par exemple en prouvant l’état de ses mesures de sécurité, la diligence de ses équipes et le caractère irrésistible de l’attaque. Si plusieurs acteurs participent au même traitement, chacun peut être tenu pour le tout, afin de garantir une réparation effective, à charge pour eux de se répartir ensuite la dette entre eux. En droit interne, cette action se double du fondement classique de la responsabilité civile : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». L’article 1241 complète ce fondement en visant la négligence : « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence. » Un défaut avéré des mesures de sécurité prescrites par l’article 32 du RGPD pourrait ainsi être analysé comme une telle négligence. Enfin, l’article 9 du code civil rappelle que « Chacun a droit au respect de sa vie privée » et permet au juge de prescrire les mesures propres à empêcher ou faire cesser une atteinte, ce qui peut servir lorsqu’une diffusion de vos données se poursuit et doit être stoppée en urgence.
Devant quel juge agir ? L’article 79, paragraphe 1, du RGPD garantit à chaque personne concernée un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés par un traitement non conforme, et son paragraphe 2 permet d’agir devant les juridictions de l’État membre de sa résidence habituelle. Un client domicilié à Paris ou en Île-de-France peut donc saisir le tribunal judiciaire de son domicile, sans avoir à plaider au siège de l’enseigne. Cette option de proximité simplifie l’accès au juge pour des litiges dont l’enjeu individuel reste souvent limité : près de chez vous, avec vos pièces, sans frais de déplacement. Pour le montant de la demande, le tribunal judiciaire statue en premier ressort avec appel possible, et les litiges de faible montant peuvent relever de procédures simplifiées dont le greffe vous indiquera les modalités.
Surveillez enfin le délai pour agir. En matière civile, l’article 2224 du code civil prévoit : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » Le point de départ court en principe du jour où vous avez connu la fuite et son auteur, souvent la date de la notification reçue de l’enseigne, et non du jour de l’attaque elle-même, que vous ignoriez. Cinq ans laissent du temps, mais n’attendez pas : les preuves se conservent mal, les interlocuteurs changent, et une action engagée tôt, après une mise en demeure restée sans réponse, se présente mieux devant le juge. La mise en demeure préalable, par lettre recommandée détaillant vos demandes, reste un préalable utile avant toute assignation : elle ouvre parfois une négociation et, à défaut, elle établit la résistance de l’enseigne.
Les lecteurs qui souhaitent replacer ce dossier dans l’ensemble des recours ouverts après une cyberattaque massive peuvent utilement lire notre analyse des données personnelles piratées : que faire après une cyberattaque massive, plainte et indemnisation, qui détaille le parcours plainte pénale, réclamation CNIL et action en réparation dans un dossier comparable côté victimes. Et si votre seule crainte, sans fraude subie, fonde déjà votre demande, notre éclairage sur le numéro exposé dans une fuite de données sans fraude : la crainte suffit à être indemnisé précise ce qu’il faut prouver et les montants envisageables.
En conclusion, la réception d’une notification de fuite de données liée à votre compte Drive n’est ni un papier à classer ni une promesse d’indemnisation automatique : c’est le point de départ d’un parcours en quatre temps, se protéger contre le phishing, figer les preuves, signaler et porter plainte si une fraude survient, puis saisir la CNIL et le juge avec un dossier documenté. L’enseigne doit notifier la violation sous 72 heures, vous informer en cas de risque élevé dans des termes clairs, et démontrer la sécurité de son traitement ; à défaut, elle s’expose aux sanctions de la CNIL, au risque pénal du défaut de mesures et à votre action en réparation sur le fondement de l’article 82 du RGPD, sans qu’aucun seuil de gravité puisse vous être opposé. Aucun accident, aucune intrusion ni aucun dommage autre que ceux décrits par les sources citées n’est constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, vos contrats signés priment sur toute analyse générale, et seul le juge, saisi de vos pièces, décidera de votre indemnisation.