Dans la nuit du dimanche 11 au lundi 12 octobre 2026, plusieurs centaines de magasins d’enseignes de la grande distribution auraient subi un dérèglement brutal de leurs installations frigorifiques pilotées à distance, selon les informations publiées le 12 octobre 2026 par des titres de la presse nationale à partir des déclarations des distributeurs et de constats réalisés en magasin. D’après ces récits, une fonction de dégivrage aurait été détournée pour imposer un cycle forcé et continu, avec une consigne portée jusqu’à 50 degrés, sur certaines versions anciennes d’un logiciel de régulation du froid, ce qui aurait entraîné la destruction de stocks de produits frais et surgelés et, dans deux magasins cités en exemple en Alsace, un préjudice évalué à 270 000 euros. À l’échelle nationale, la facture est évoquée en millions d’euros, au conditionnel, car aucun bilan consolidé et audité n’est disponible à la date de rédaction.

À ce stade, aucun accident corporel, aucune intrusion qualifiée par une autorité ni aucun dommage définitivement constaté par une source officielle ne résulte des éléments accessibles, aucune responsabilité n’est établie et les contrats signés entre chaque exploitant, son mainteneur et l’éditeur de l’outil de supervision priment sur toute analyse générale. Seul le juge, saisi des faits complets et des pièces contractuelles, pourra dire qui répond de quoi. Le présent article décrit donc la méthode utile dans toute situation comparable où une installation critique pilotée à distance se dérègle après une cyberattaque visant la chaîne de supervision : identifier les traitements et les rôles, sécuriser la preuve des relevés, couper l’accès distant sans aggraver le dommage, puis mettre en cause en chaîne sur des fondements vérifiés.

I. Identifier la chaîne de supervision et les rôles avant d’agir

A. Cartographier l’exploitant, le mainteneur et l’éditeur de l’outil distant

Une installation de froid pilotée à distance fait intervenir au minimum trois acteurs. L’exploitant du magasin utilise l’installation pour conserver des denrées. Le mainteneur assure l’entretien, le paramétrage et souvent la télésurveillance des températures. L’éditeur ou le fournisseur de l’outil de supervision fournit le logiciel, les mises à jour et parfois l’infrastructure d’accès distant. Chacun agit en vertu d’un contrat distinct : contrat de maintenance, contrat de supervision ou d’infogérance, licence et maintenance logicielle. La première tâche consiste à rassembler ces trois contrats, avec leurs annexes techniques, leurs niveaux de service et leurs clauses de sécurité.

Cette cartographie conditionne l’action. Le contrat de maintenance indique qui peut se connecter à distance, dans quelles plages horaires, avec quel niveau d’habilitation et quelle procédure d’arrêt d’urgence. La licence logicielle indique quelle version est installée, jusqu’à quand elle est supportée et qui doit proposer la mise à jour corrective. Le contrat d’infogérance ou de supervision précise les journaux conservés, leur durée et les modalités d’accès de l’exploitant. Sans ces documents, toute mise en cause reste fragile, car le manquement s’apprécie par rapport aux engagements écrits et aux règles applicables.

Sur le terrain, les récits du 12 octobre 2026 évoquent des versions anciennes du logiciel de régulation, antérieures à une version corrective numérotée 4, selon les informations rapportées par la presse à partir de propos de professionnels. Si cette circonstance se confirme dossier par dossier, elle pose deux questions distinctes : l’exploitant a-t-il été informé de la disponibilité d’une version corrigée et du risque lié au maintien d’une version ancienne, et le mainteneur ou l’éditeur a-t-il proposé, relancé et documenté cette mise à jour. La réponse se trouve dans les échanges écrits, les comptes rendus d’intervention et les notifications de fin de support, pas dans des affirmations générales sur la sécurité.

La qualification des données traitées par l’outil de supervision mérite le même examen concret. Des relevés de température, des journaux de connexion et des alertes techniques ne constituent pas toujours des données personnelles. Ils le deviennent dès qu’ils permettent d’identifier une personne, directement ou indirectement : identifiants des salariés connectés, horodatage croisé avec les plannings, vidéosurveillance branchée sur le même réseau, fichiers clients hébergés sur une infrastructure commune. L’exploitant, en qualité de responsable du traitement pour les finalités qu’il détermine, doit recenser ces traitements dans son registre, vérifier la base juridique et contrôler le contrat conclu avec chaque prestataire qui traite des données pour son compte.

Le règlement (UE) 2016/679 du 27 avril 2016 encadre cette relation. Son article 28 impose au responsable du traitement de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à ce que le traitement réponde aux exigences du texte et garantisse la protection des droits des personnes concernées. Le même article impose un contrat écrit qui définit l’objet et la durée du traitement, sa nature et sa finalité, les types de données et les catégories de personnes concernées ainsi que les obligations et droits du responsable, et qui oblige notamment le sous-traitant à prendre toutes les mesures de sécurité requises au titre de l’article 32. En pratique, l’exploitant doit donc exiger et conserver le contrat de sous-traitance, la description des mesures de sécurité, la liste des sous-traitants ultérieurs autorisés et la procédure d’assistance en cas de violation.

L’articulation avec la sécurité des réseaux et des systèmes d’information complète le tableau. La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, renforce les obligations de gestion des risques, de traitement des incidents et de sécurité de la chaîne d’approvisionnement pour les entités qu’elle désigne, avec des mesures de supervision et des délais de notification propres à ce régime. Elle ne se confond ni avec le règlement général sur la protection des données ni avec le contrat de maintenance : un même incident peut relever de plusieurs régimes cumulatifs, chacun avec son autorité, ses délais et ses pièces. L’exploitant doit donc qualifier séparément le risque pour les denrées et les personnes, le risque pour les données personnelles et le risque pour la continuité du système d’information, puis notifier à chaque guichet compétent selon ses règles.

Concrètement, la méthode d’identification tient en cinq vérifications écrites. Premièrement, lister les contrats et leurs titulaires exacts, avec numéros, dates et versions logicielles installées. Deuxièmement, relever les clauses d’accès distant, de mise à jour, de support et de fin de vie. Troisièmement, recenser les traitements de données personnelles liés à la supervision et les contrats de sous-traitance correspondants. Quatrièmement, identifier les sous-traitants ultérieurs, notamment l’hébergeur de la plateforme de supervision. Cinquièmement, consigner la date et l’heure de connaissance de l’incident par chaque acteur, car tous les délais de notification et de conservation courent à partir de faits datés.

B. Couper l’accès distant et figer les installations sans créer un second dommage

Quand les températures s’emballent, l’urgence consiste à stopper la cause sans détruire la preuve et sans aggraver la perte. La coupure de l’accès distant doit suivre la procédure prévue au contrat : révocation des comptes de télémaintenance, fermeture du tunnel d’accès, bascule en pilotage local, consigne manuelle de sauvegarde. Toute coupure brutale qui effacerait les journaux, réinitialiserait les automates ou empêcherait l’expert de comprendre la consigne injectée ferait perdre plus qu’elle ne sauverait. L’exploitant demande donc au mainteneur, par écrit et avec horodatage, l’exécution immédiate de la procédure d’isolement contractuelle, la confirmation de son exécution et la préservation des traces.

Le droit commun des contrats donne un cadre à cette réaction. L’article 1217 du code civil dispose que « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution », en précisant que « Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter ». La suspension du paiement des redevances de supervision, la demande d’intervention en exécution forcée et la demande de réparation peuvent donc se combiner, à condition de respecter les mises en demeure et les préavis stipulés.

La décision de jeter ou de conserver les denrées obéit à une logique distincte, sanitaire et probatoire. Les relevés de température, les tickets d’alarme et les constats photographiés permettent de démontrer la rupture de la chaîne du froid. La destruction des denrées impropres, lorsqu’elle s’impose pour protéger les consommateurs, doit être documentée : inventaire par référence et par lot, quantités, valeurs d’achat et de vente, bons de destruction, attestations du transporteur et du centre de traitement. Les échantillons conservés sous scellés et les enregistrements continus des sondes, quand ils existent, complètent utilement le dossier. Un inventaire approximatif, établi après coup sans pièce, réduit fortement les chances d’indemnisation.

La notification aux autorités sanitaires et aux consommateurs suit ses propres règles et ne doit pas être confondue avec la notification à l’autorité de protection des données. Quand des denrées ayant subi une rupture de la chaîne du froid ont pu être vendues, le professionnel évalue le risque, informe et, si les conditions sont réunies, procède aux retraits et rappels via les dispositifs officiels, dont la plateforme RappelConso pour les rappels de produits destinés aux consommateurs. Cette démarche protège les clients et limite l’extension du dommage, ce que l’assureur et le juge examinent avec attention. Elle s’exécute en parallèle de la coupure technique, sans attendre la détermination des responsabilités informatiques.

Côté données personnelles, l’isolement ne dispense pas de l’analyse de la violation. Si l’attaquant a pu accéder à des données personnelles par le même vecteur, par rebond sur le réseau du magasin ou via la plateforme de supervision mutualisée, l’exploitant et ses sous-traitants doivent qualifier l’incident au regard du règlement européen. En matière de sécurité, l’article 32 du même règlement exige du responsable du traitement comme du sous-traitant des mesures techniques et organisationnelles appropriées garantissant un niveau de sécurité adapté au risque, apprécié au regard de l’état des connaissances, des coûts, de la nature du traitement et des risques pour les droits et libertés. Le défaut de correctif disponible et non proposé, l’absence de segmentation réseau, l’usage de mots de passe partagés ou l’absence de journalisation s’apprécient à cette aune, dossier par dossier, au regard de l’état des connaissances et des coûts de mise en œuvre.

Enfin, la plainte pénale se prépare dès les premières heures, sans précipitation hasardeuse. L’article 323-1 du code pénal punit le fait suivant : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende ». Lorsque l’intrusion a entraîné une altération du fonctionnement du système, la peine encourue est aggravée. Le dépôt de plainte décrit les faits constatés, les heures, les versions logicielles et les préjudices, en renvoyant aux pièces conservées. Il ne qualifie pas à la place du parquet et ne désigne comme auteur que ce que les traces permettent d’attribuer, car l’adresse technique d’origine ne suffit pas à identifier une personne.

II. Prouver le dérèglement et obtenir réparation dans la chaîne contractuelle

A. Constituer une preuve des relevés, des versions et des pertes qui résiste au débat

La preuve d’un dérèglement piloté à distance repose sur quatre blocs : les journaux de supervision, les versions logicielles, les relevés physiques et les pertes chiffrées. Les journaux montrent les connexions distantes, les ordres envoyés, les consignes modifiées et les acquittements. Les versions établissent si le correctif existait et s’il était installé. Les relevés physiques, issus des sondes locales et des enregistreurs indépendants, corroborent les journaux distants. Les pertes, enfin, relient le dérèglement au préjudice par un inventaire précis. Chaque bloc doit être original, horodaté et conservé avec sa chaîne d’acquisition, faute de quoi la discussion sur la fiabilité occupe tout le procès.

Le constat par un commissaire de justice, anciennement huissier, reste l’outil le plus solide pour figer l’état des systèmes et des stocks. Il décrit les écrans de supervision, relève les numéros de version, photographie les afficheurs de température, annexe les exports de journaux et inventorie les denrées détruites. Quand l’urgence empêche d’obtenir une ordonnance préalable, le constat simple, dressé à la demande de l’exploitant, conserve une valeur probante que le juge apprécie librement. Quand l’adversaire refuse l’accès aux journaux hébergés chez lui, la voie de l’instruction préventive prend le relais.

L’article 145 du code de procédure civile ouvre cette voie dans les termes suivants : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé ». La demande doit démontrer le motif légitime, circonscrire les mesures aux faits litigieux et éviter toute investigation générale. En matière de supervision distante, le juge peut ordonner la production des journaux de connexion, la copie des configurations, la préservation des sauvegardes et, si nécessaire, une expertise sur les versions et les correctifs. La requête se prépare avec la liste exacte des pièces déjà demandées à l’amiable et restées sans réponse, car le refus documenté justifie la mesure.

La jurisprudence récente illustre l’exigence de rigueur dans les litiges de prestations informatiques. Par arrêt du 28 avril 2026, la cour d’appel de Reims, saisie d’un litige opposant un industriel à son prestataire informatique après une refonte de système et des prestations interrompues puis dégradées, a examiné successivement les devis acceptés, les comptes rendus d’intervention, les mises en demeure et les manquements allégués avant de statuer sur les demandes en paiement et en réparation (cour d’appel de Reims, 28 avril 2026, RG 24/01502, texte intégral conservé au dossier). La leçon vaut pour le froid piloté à distance : le juge confronte les engagements écrits, les alertes émises et les diligences réelles, sans présumer ni la faute ni l’absence de faute. L’exploitant qui produit un dossier chronologique complet place le débat sur le terrain du contrat, là où il peut être gagné.

La même rigueur s’impose pour les notifications de violation de données, quand l’incident en comporte une. L’article 33 du même règlement impose au responsable du traitement de notifier toute violation de données personnelles à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Le sous-traitant, de son côté, doit notifier au responsable du traitement toute violation dans les meilleurs délais après en avoir pris connaissance. La documentation de chaque violation doit indiquer les faits, les effets et les mesures prises, afin de permettre à l’autorité de vérifier le respect de ces obligations. La page de la CNIL consacrée aux violations de données personnelles détaille la procédure de notification en ligne et les informations attendues. Notifier hors délai sans motif, notifier sans faits vérifiés ou s’abstenir de notifier un risque avéré expose à des mesures correctrices distinctes de la réparation due aux personnes.

Quand le risque pour les droits et libertés est élevé, l’information des personnes s’ajoute à la notification à l’autorité. L’article 34 du même règlement prévoit que, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable doit la lui communiquer dans les meilleurs délais, en termes clairs et simples. Cette communication s’effectue en termes clairs et simples et contient les informations et mesures prévues par le texte. Dans un contexte de supervision mutualisée, où la plateforme d’un prestataire traite des journaux pour des centaines de sites, la qualification du risque et le périmètre des personnes à informer exigent une analyse centralisée et documentée, conduite avec le délégué à la protection des données.

Le chiffrage du préjudice suit une méthode distincte de la preuve technique. Les pertes de marchandises se justifient par les factures d’achat, les prix de vente, les taux de marge et les bons de destruction. Les coûts de remise en service se prouvent par devis et factures : dégivrage, nettoyage, contrôles sanitaires, réétalonnage des sondes, mise à jour logicielle, renfort de gardiennage. Les pertes d’exploitation se démontrent par la comparaison des chiffres d’affaires sur des périodes comparables, corrigée des effets saisonniers et des fermetures partielles. Les frais de constat, d’expertise et d’assistance technique se rattachent au préjudice s’ils étaient nécessaires. Un tableau unique, pièce par pièce, avec dates, montants hors taxes et toutes taxes comprises et références de justificatifs, facilite le contrôle par l’assureur, le prestataire et le juge.

Les erreurs fréquentes, observées dans les dossiers de supervision, doivent être évitées. Première erreur : réinitialiser les automates avant toute copie des journaux, ce qui efface la consigne injectée. Deuxième erreur : jeter les denrées sans inventaire contradictoire, ce qui rend le montant invérifiable. Troisième erreur : laisser le mainteneur mettre à jour le logiciel sans constater la version antérieure, ce qui fait disparaître la preuve du défaut de correctif. Quatrième erreur : notifier à l’autorité de protection des données des faits non vérifiés ou, à l’inverse, tarder à consigner l’incident dans le registre interne. Cinquième erreur : mettre en demeure par téléphone sans écrit, ce qui prive le dossier de date certaine. Chacune de ces fautes de méthode se paie en expertise, en délais et en indemnisation réduite.

B. Mettre en cause en chaîne et chiffrer la réparation sans confondre les fondements

La mise en cause suit la chaîne des contrats : l’exploitant agit contre son mainteneur et, selon les clauses, contre l’éditeur, tandis que le mainteneur appelle en garantie son propre fournisseur. La responsabilité contractuelle prime entre parties liées par un contrat. L’article 1231-1 du code civil énonce la règle applicable : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». Le débiteur qui invoque la cyberattaque comme force majeure doit démontrer l’imprévisibilité, l’irrésistibilité et l’extériorité de l’événement, ce qui suppose de prouver les mesures de sécurité déployées, les correctifs proposés et la réaction à l’alerte. Une attaque, même massive, ne constitue pas automatiquement un cas de force majeure pour un professionnel de la supervision chargé précisément de prévenir ce risque.

La résolution du contrat de supervision ou de maintenance obéit à l’article 1224 du code civil, aux termes duquel « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice ». La mise en œuvre exige une inexécution suffisamment grave, une mise en demeure restée infructueuse quand le contrat ou la loi l’impose, et une notification motivée qui précise les manquements. La clause résolutoire, quand elle existe, doit être invoquée de bonne foi et selon son formalisme. La résolution met fin aux prestations futures et ouvre droit à la restitution des avances pour la période non exécutée, sans effacer la réparation du dommage déjà subi.

En dehors du contrat, la responsabilité délictuelle trouve à s’appliquer à l’égard des tiers et, dans certaines configurations, entre acteurs de la chaîne pour les dommages distincts de l’inexécution. L’article 1240 du code civil pose le principe : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Le fournisseur de l’outil qui aurait laissé perdurer une vulnérabilité connue sans alerte ni correctif, ou le prestataire qui aurait conservé des accès distants avec des identifiants partagés, voit sa faute s’apprécier au regard des règles de l’art, des recommandations de sécurité et des alertes publiées. La preuve de la faute, du dommage et du lien causal incombe au demandeur, avec les pièces techniques et comptables déjà constituées.

Le volet pénal ne répare pas directement mais structure le dossier civil. Outre l’accès frauduleux, les qualifications d’entrave au fonctionnement d’un système, d’introduction frauduleuse de données, de destruction de données ou d’escroquerie peuvent être examinées par le parquet selon les traces. La chambre criminelle de la Cour de cassation contrôle strictement la caractérisation de l’accès et du maintien frauduleux ainsi que l’altération du fonctionnement du système, comme l’illustrent plusieurs arrêts rendus en matière d’atteintes aux systèmes de traitement automatisé de données, dont l’arrêt du 2 septembre 2025 (pourvoi n° 24-83.605) et l’arrêt du 16 janvier 2018 (pourvoi n° 16-87.168), lus en texte intégral au cours de la préparation. La constitution de partie civile, adossée à la plainte et aux constats, permet de demander réparation dans le procès pénal, sans dispenser de chiffrer le préjudice avec les mêmes justificatifs que devant le juge civil ou commercial.

Le volet protection des données ouvre un droit propre à réparation. L’article 82 du même règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant, et précise les conditions dans lesquelles le sous-traitant répond ainsi que les cas d’exonération quand le fait dommageable ne lui est nullement imputable. Les salariés dont les identifiants et les horaires de connexion auraient été exposés, ou les clients dont les données auraient été rendues accessibles par rebond, peuvent agir sur ce fondement, distinct de la perte de marchandises. Le juge apprécie séparément chaque préjudice, avec ses pièces, sans forfait automatique.

L’articulation des demandes évite les confusions qui font échouer les dossiers. La perte de stocks et les frais de remise en service relèvent du contrat de maintenance et de supervision, avec les plafonds de responsabilité, les exclusions et les obligations d’assurance stipulés. L’atteinte aux données personnelles relève du règlement européen et du contrat de sous-traitance, avec sa notification, sa documentation et sa réparation propre. L’infraction pénale relève du ministère public, avec la constitution de partie civile pour la réparation. Les préjudices sanitaires et commerciaux liés à la vente éventuelle de denrées altérées relèvent des régimes de responsabilité du fait des produits et de la sécurité des aliments, avec leurs délais et leurs causes d’exonération. Chaque demande renvoie à ses pièces et à son fondement, sans mélanger les montants.

La négociation avec le mainteneur et l’éditeur gagne à s’appuyer sur un dossier complet plutôt que sur des échanges généraux. Une mise en demeure unique, datée, avec rappel des clauses visées, description des manquements constatés, inventaire des pièces jointes, demande de mesures conservatoires sur les journaux et chiffrage provisoire, produit plus d’effet qu’une succession de courriels. Elle fixe la date de connaissance, fait courir les délais contractuels et prépare, si nécessaire, la saisine du juge des référés pour obtenir la production des traces ou la désignation d’un expert. Les lecteurs confrontés à une situation voisine impliquant un outil informatique compromis chez un prestataire trouveront une méthode complémentaire dans l’analyse consacrée à la résiliation et à la réparation après le piratage d’un prestataire informatique, qui détaille les réflexes de mise en demeure, de suspension et de preuve dans ce type de chaîne.

Enfin, la prévention contractuelle pour l’avenir se négocie à froid, une fois l’incident traité. Les clauses à revoir portent sur les versions supportées et les délais de proposition des correctifs, la segmentation des accès distants avec des comptes nominatifs et une authentification renforcée, la journalisation inaltérable et accessible à l’exploitant, la procédure d’isolement et de bascule locale, les objectifs de reprise, les pénalités et les plafonds de responsabilité, l’assurance et la garantie financière, l’audit et les tests d’intrusion, ainsi que le sort des données et la réversibilité en fin de contrat. Un plan de réponse à incident annexé au contrat, avec les contacts d’astreinte, les modèles de notification et les habilitations pour couper l’accès, transforme la prochaine alerte en exécution d’une procédure plutôt qu’en improvisation.

À la date de rédaction, aucune intrusion qualifiée par une autorité, aucun dommage définitivement établi par une source officielle et aucune responsabilité fixée par un juge ne résultent des éléments accessibles sur le dérèglement des installations de froid pilotées à distance survenu dans la nuit du 11 au 12 octobre 2026. Les faits rapportés par la presse, à partir des déclarations des distributeurs et des constats en magasin, décrivent au conditionnel une cyberattaque visant un outil de supervision et un détournement d’une fonction de dégivrage, avec des pertes alléguées qui restent à auditer dossier par dossier. Les contrats signés entre chaque exploitant, son mainteneur et l’éditeur de l’outil priment sur toute analyse générale, et seul le juge, au vu des journaux préservés, des versions constatées et des inventaires contradictoires, pourra imputer les préjudices. Dans l’intervalle, la méthode demeure : cartographier les rôles et les traitements, couper l’accès distant selon la procédure écrite, figer la preuve par constat et mesures d’instruction, notifier à chaque autorité selon son régime et chiffrer chaque préjudice avec ses justificatifs.