Selon plusieurs articles de presse parus le 12 octobre 2026, des centaines de magasins d’enseignes de la grande distribution auraient subi un dérèglement de leurs installations frigorifiques après une cyberattaque visant les systèmes de télégestion de leur prestataire, avec des températures qui seraient montées jusqu’à une cinquantaine de degrés et des produits frais détruits, d’après les informations publiées par BFM, Le Monde et Ouest-France ce même jour. À la date de rédaction du présent article, aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité n’est établie, les contrats signés entre les exploitants et leurs prestataires priment sur toute analyse générale, et seul le juge, saisi des faits et des pièces, déciderait des responsabilités éventuelles. Les développements qui suivent sont de portée générale : ils décrivent les vérifications et les démarches utiles pour tout commerçant ou toute entreprise dont une installation pilotée à distance se dérègle après une cyberattaque affectant son prestataire informatique, sans formuler de constat sur une enseigne ou un prestataire déterminé.

La situation soulève une question concrète que les exploitants découvrent souvent dans l’urgence : quand l’outil qui pilote à distance les frigos, les chambres froides, les sondes de température ou plus largement un équipement connecté se dérègle, qui doit agir, dans quel ordre, et contre qui se tourner pour les marchandises perdues et l’exploitation interrompue. Le réflexe consiste à appeler le prestataire et à attendre. Ce réflexe ne suffit pas. L’exploitant reste responsable de ses produits, de ses locaux et, le cas échéant, des données personnelles traitées par ses systèmes, pendant que le prestataire reste tenu de ses propres engagements contractuels. Les deux plans coexistent et exigent une méthode rigoureuse dès les premières heures.

Cet article décrit cette méthode en deux temps. D’abord, les gestes immédiats : couper l’accès distant compromis, sécuriser les personnes et les denrées, puis figer la preuve de ce qui s’est produit, car une demande ultérieure ne vaudra que par les pièces qui l’appuient. Ensuite, les démarches de fond : notifier qui doit l’être, notamment en matière de données personnelles, puis construire le recours contre le prestataire, avec le contrat, la faute à démontrer et l’assurance, sans négliger les clauses qui encadrent la réparation.

I. Couper l’accès, sécuriser, puis figer la preuve

A. Reprendre la main sur l’installation et protéger les denrées et les personnes

La première mesure consiste à isoler l’installation du pilotage distant qui dysfonctionne. Concrètement, cela signifie basculer les équipements en mode manuel ou local, couper la connexion distante compromise, changer les identifiants d’accès et empêcher toute nouvelle consigne envoyée depuis l’extérieur. Cette coupure doit être documentée : heure exacte, personne qui l’a ordonnée, moyen utilisé, captures des écrans de supervision avant et après. L’objectif est double : stopper le dérèglement et démontrer ensuite que l’exploitant a agi avec diligence pour limiter le dommage, ce que le juge apprécie toujours lorsqu’il évalue les préjudices et leur imputabilité.

Parallèlement, l’exploitant doit traiter la conséquence sanitaire. Des denrées qui ont séjourné à une température non conforme ne peuvent pas être remises en vente. Le professionnel qui détient des produits frais a l’obligation de ne pas mettre sur le marché des denrées dont il sait ou devrait savoir qu’elles sont impropres à la consommation, et de retirer celles qui présenteraient un risque. En pratique, cela suppose de relever les températures atteintes et les durées d’exposition, de consigner les lots concernés, de les isoler puis de les détruire selon la filière adaptée, en conservant les bons de destruction. Lorsque des produits ont déjà été vendus avant la découverte du dérèglement, le dispositif public de rappel, consultable sur RappelConso, décrit la marche à suivre pour alerter les consommateurs. Chaque décision sanitaire doit être tracée par écrit, car le coût de la destruction et du retrait fera partie du préjudice réclamé ensuite, et l’assureur comme le juge exigeront des justificatifs précis.

Sur le plan des personnes, il faut vérifier que personne n’a été exposé à un danger : projection de fluide frigorigène, atmosphère anormale dans une chambre froide, sols rendus glissants par un dégivrage massif. Si un salarié ou un client a été incommodé, les secours et la médecine du travail doivent être prévenus, et l’événement doit être consigné dans le registre prévu à cet effet. Ces vérifications relèvent de l’obligation générale de sécurité de l’exploitant dans ses locaux, indépendamment de la cause informatique du dérèglement, sur le fondement du principe selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »

L’exploitant doit également prévenir son assureur sans tarder. Les contrats multirisque professionnelle et perte d’exploitation comportent des délais de déclaration, souvent de quelques jours ouvrés, et imposent des mesures conservatoires. La déclaration initiale peut rester sommaire, au conditionnel, en indiquant ce qui est constaté et ce qui reste à vérifier. Elle doit mentionner la coupure de l’accès distant, les relevés de température, les lots détruits et l’interruption d’activité éventuelle. Un expert d’assurance se déplacera dans la plupart des cas : il faut lui réserver l’accès aux équipements dans l’état où ils se trouvent, sans réinitialisation hâtive qui effacerait les journaux techniques.

Enfin, si l’installation compromise traite aussi des données personnelles, par exemple des images de vidéosurveillance hébergées sur la même plateforme, des fichiers clients synchronisés ou des relevés d’activité des salariés, la coupure ne dispense pas des obligations propres au droit des données, examinées dans la seconde partie. L’inventaire des traitements connectés à l’équipement déréglé doit donc être dressé dès cette phase, avec l’aide du registre des activités de traitement lorsque l’entreprise en tient un.

B. Constituer un dossier de preuve recevable avant toute discussion

Une fois l’urgence traitée, tout se joue sur la preuve. En droit français, « Celui qui réclame l’exécution d’une obligation doit la prouver. » C’est le premier alinéa de l’article 1353 du code civil, en vigueur depuis le 1er octobre 2016. L’exploitant qui entend mettre en cause son prestataire devra donc établir le contrat, l’inexécution ou la mauvaise exécution, le préjudice et le lien entre les deux. Réciproquement, le prestataire qui se prétend libéré devra justifier le fait qui a éteint son obligation, par exemple la force majeure ou la faute exclusive d’un tiers ou du client lui-même. La charge de la preuve commande ainsi toute la stratégie : chaque heure qui passe sans constat écrit affaiblit le dossier.

Les journaux techniques, courbes de température, historiques de consignes et registres de connexion constituent le cœur du dossier. Mais ces éléments, générés par les systèmes de l’une des parties, ne s’imposent pas d’eux-mêmes au juge. D’une part, « Nul ne peut se constituer de titre à soi-même. » C’est l’article 1363 du code civil, en vigueur depuis le 1er octobre 2016 : des relevés produits unilatéralement par l’exploitant, sans garantie d’intégrité, peuvent être discutés par l’adversaire. D’autre part, les captures d’écran et les exports réalisés après coup, sans constat d’huissier, voient leur force probante réduite dès lors qu’ils sont contestés. La bonne pratique consiste donc à faire établir sans délai un constat par un commissaire de justice, qui décrira l’état des équipements, relèvera les paramètres affichés, annexera les journaux et attestera de la chaîne de conservation des exports. Ce constat, dressé par un officier ministériel, donne aux éléments techniques une date certaine et une objectivité que les pièces internes n’ont pas.

La jurisprudence récente illustre l’importance de cette rigueur. Dans un arrêt du 12 juin 2025, la cour d’appel de Lyon a refusé d’engager la responsabilité d’un prestataire de maintenance informatique après une cyberattaque subie par son client, en relevant que le client ne rapportait pas la preuve d’une faute contractuelle ou d’une défaillance imputable au prestataire, et en donnant effet à la clause qui excluait la responsabilité du prestataire en cas de perte de données, selon l’analyse publiée de cette décision par un cabinet d’avocats intervenant en droit de l’informatique. L’enseignement est direct : sans démonstration précise du manquement, par exemple l’absence des sauvegardes promises, la configuration défaillante promise au contrat ou la non-application d’un correctif convenu, la cyberattaque reste un événement subi par les deux parties, et le juge ne transfère pas automatiquement son coût sur le prestataire. L’exploitant doit donc identifier, article par article, les engagements écrits du prestataire : contrat de maintenance, contrat de télésurveillance ou de télégestion, niveaux de service, engagements de disponibilité, de sauvegarde et de sécurité, procédure de gestion des incidents.

À l’inverse, lorsque des manquements techniques sont établis par des audits indépendants, les juges n’hésitent pas à sanctionner le prestataire, y compris lorsqu’il n’a pas lui-même causé l’attaque. Dans un arrêt du 19 novembre 2024, la cour d’appel de Rennes a retenu la responsabilité partielle d’un prestataire qui n’avait pas mis en place les dispositifs élémentaires de sécurité, comme des sauvegardes déconnectées et une protection antivirus, et qui avait manqué à son obligation d’information et de conseil envers un client non spécialiste, en lui faisant perdre une chance de limiter les effets du rançongiciel, selon l’analyse publiée de cette décision par un cabinet d’avocats intervenant en droit des nouvelles technologies. La cour a évalué ce préjudice de perte de chance à 50 000 euros. Pour l’exploitant d’installations pilotées à distance, la leçon est symétrique : il faut vérifier si le prestataire devait conseiller, alerter sur les risques d’une architecture exposée et proposer des sauvegardes ou des modes dégradés, et réunir les audits ou les rapports qui décrivent l’état réel du système avant l’incident.

Un arrêt récent de la cour d’appel de Reims, rendu le 28 avril 2026 dans un litige entre une société utilisatrice et son prestataire informatique, confirme cette approche équilibrée du partage des responsabilités. La cour y rappelle que le prestataire est tenu d’une obligation de moyens renforcée et d’un devoir de conseil consistant à proposer une solution adaptée aux besoins du client et à le mettre en garde contre les difficultés d’exploitation d’un équipement complexe, tout en rappelant le devoir de collaboration du client. En l’espèce, elle a jugé le prestataire responsable à hauteur de 50 % des dommages et l’a condamné à verser 12 097,59 euros, détaillés en 7 862,47 euros de perte d’exploitation, 2 673,78 euros de remise en état du système, 131,25 euros de paramétrage des connexions à distance, 52,50 euros de réinstallation logicielle et 1 377,59 euros de coût de rançon. Cette ventilation montre concrètement ce qu’un juge accepte d’indemniser sur justificatifs, et ce qu’il écarte : dans cette affaire, le temps de remise en service non justifié, l’audit et le préjudice moral ont été rejetés. L’exploitant doit donc chiffrer chaque poste avec des factures, des devis et des attestations, et renoncer aux postes qu’il ne peut pas documenter.

En pratique, le dossier de preuve se construit en cinq ensembles : le contrat et ses annexes avec les engagements de sécurité et de disponibilité ; le constat du commissaire de justice et les journaux horodatés ; les relevés sanitaires et les bons de destruction des denrées ; les pièces comptables de la perte d’exploitation, comparant le chiffre d’affaires de la période à une période de référence ; la correspondance avec le prestataire, en recommandé ou par un canal horodaté, qui établit les mises en demeure et les réponses. Tant que ce dossier n’est pas constitué, toute négociation avec le prestataire ou son assureur reste fragile.

II. Notifier les autorités compétentes puis obtenir réparation

A. Déterminer qui doit être notifié, notamment en matière de données personnelles

Un dérèglement d’installation pilotée à distance ne se réduit pas toujours à une panne matérielle. Dès lors que des données personnelles sont en cause, un second régime s’applique, avec ses propres délais, et l’exploitant doit vérifier sans attendre s’il est concerné. Le règlement (UE) 2016/679 sur la protection des données, dit RGPD, impose au responsable du traitement et à son sous-traitant de mettre en œuvre les mesures de sécurité adaptées au risque. Son article 32 prévoit que le responsable du traitement et le sous-traitant doivent garantir « un niveau de sécurité adapté au risque », ce qui inclut la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes. Une installation de télégestion accessible depuis internet sanscloisonnement, sans journalisation et sans procédure de rétablissement fait difficilement figure de mesure adaptée, et l’exploitant comme le prestataire ont intérêt à documenter ce qu’ils avaient prévu avant l’incident.

Lorsque l’incident constitue une violation de données personnelles, par exemple parce que l’attaquant a accédé aux images des caméras connectées, aux fichiers clients stockés sur la plateforme ou aux identifiants des utilisateurs, l’article 33 du RGPD impose au responsable du traitement une notification « si possible, 72 heures au plus tard » après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Le dépassement du délai doit être motivé. De son côté, le sous-traitant qui détecte la violation doit la notifier au responsable du traitement dans les meilleurs délais après en avoir pris connaissance. La CNIL précise qu’une notification initiale peut intervenir dans ce délai de 72 heures, quitte à être complétée ensuite, et met à disposition un téléservice dédié. Les règles détaillées figurent sur la page de la CNIL consacrée aux violations de données. Si la violation est susceptible d’engendrer un risque élevé pour les personnes, par exemple des identifiants en clair permettant d’usurper leur identité, l’article 34 du RGPD ajoute une communication aux personnes concernées en cas de « risque élevé pour les droits et libertés ». Cette communication s’écrit en termes clairs et simples, et son contenu comme sa preuve d’envoi doivent être conservés.

La qualification de sous-traitant mérite une attention particulière dans les contrats de télégestion. Le prestataire qui pilote les équipements pour le compte de l’exploitant et traite à cette occasion des données personnelles agit comme sous-traitant au sens du RGPD. L’article 28 du règlement exige alors que le responsable du traitement ne fasse appel qu’à des sous-traitants présentant « des garanties suffisantes », et que le traitement soit encadré par un contrat définissant objet, durée, nature et finalités. L’exploitant doit donc relire son contrat : contient-il une clause de sous-traitance de données, une description des mesures de sécurité, une procédure de notification des violations et une assistance en cas de demande des personnes ? Si le contrat est muet, la négociation post-incident sera plus difficile, et la mise en conformité devra être engagée parallèlement au règlement du sinistre.

Il faut toutefois distinguer les situations. Un dérèglement qui détruit des denrées sans atteindre aucune donnée personnelle ne constitue pas une violation de données au sens du RGPD et ne se notifie pas à la CNIL. À l’inverse, un accès illégitime aux images ou aux fichiers clients, même découvert à l’occasion d’une panne matérielle, déclenche le régime des articles 33 et 34. La notification à la CNIL ne remplace ni la plainte pénale ni la déclaration à l’assureur, et ces démarches se cumulent : dépôt de plainte auprès des forces de l’ordre pour l’atteinte aux systèmes, avec les constats et les journaux en annexe ; déclaration à l’assureur dans les délais du contrat ; information documentée du prestataire par mise en demeure. Chacune de ces démarches obéit à son propre calendrier, et c’est le plus court qui commande.

B. Engager la responsabilité du prestataire sur le fondement du contrat

Le terrain principal de la réparation reste le contrat. « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » C’est l’article 1103 du code civil, en vigueur depuis le 1er octobre 2016. Et lorsque l’engagement n’a pas été exécuté ou l’a été imparfaitement, l’article 1217 du code civil ouvre à la partie lésée plusieurs sanctions, dont celle de « demander réparation des conséquences de l’inexécution », en vigueur depuis le 1er octobre 2018. Le débiteur de l’obligation inexécutée s’expose ainsi à des dommages et intérêts : l’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » En pratique, le prestataire invoque souvent la force majeure ou la faute d’un tiers, à savoir l’auteur de la cyberattaque. Cette défense ne prospère que s’il démontre que l’attaque présentait les caractères de la force majeure et qu’aucune mesure promise n’aurait permis de l’éviter ou d’en limiter les effets, ce qui renvoie directement au contenu du contrat et aux audits techniques.

Avant tout procès, l’exploitant doit mettre le prestataire en demeure, par écrit, d’exécuter ses obligations et de remédier au désordre : rétablir un fonctionnement sûr, fournir les journaux, expliquer la cause, proposer un mode dégradé. Cette mise en demeure n’est pas une formalité : elle fait courir les délais, caractérise la persistance de l’inexécution et conditionne souvent la résolution du contrat. Si le prestataire ne répond pas ou répond de manière insatisfaisante, l’exploitant peut envisager la suspension du paiement des redevances correspondant aux prestations non fournies, la réduction du prix, voire la résolution du contrat, en mesurant chaque initiative à l’aune du risque contentieux. La résolution, en particulier, doit être maniée avec prudence, car une résolution prononcée à tort expose son auteur à des dommages et intérêts.

Le contrat contient presque toujours des clauses qui plafonnent ou excluent la réparation, et c’est là que beaucoup de dossiers se gagnent ou se perdent. La Cour de cassation a jugé, dans un arrêt du 13 novembre 2025 rendu dans un litige informatique opposant un éditeur à son client, que « en cas de résolution d’un contrat pour inexécution, les clauses limitatives de réparation des conséquences de cette inexécution demeurent applicables. » Autrement dit, obtenir la résolution du contrat ne fait pas disparaître le plafond de responsabilité que ce même contrat prévoyait. L’exploitant doit donc chiffrer son préjudice réel, identifier le plafond applicable et vérifier si la clause est opposable : était-elle négociée et connue, son montant reste-t-il assurable, ne vide-t-elle pas l’obligation essentielle de sa substance ? Lorsque le plafond couvre à peine une semaine de perte d’exploitation, la négociation commerciale ou la renégociation du contrat pour l’avenir devient un enjeu aussi important que le contentieux sur le passé.

Reste la question centrale : que reprocher exactement au prestataire ? Trois griefs se combinent utilement. D’abord, le manquement aux engagements exprès : disponibilité promise, correctifs non appliqués, sauvegardes non réalisées, astreinte injoignable. Ensuite, le manquement au devoir de conseil : le prestataire spécialiste devait alerter l’exploitant non informaticien sur les risques d’une télégestion exposée et proposer des parades, comme l’enseignent les arrêts de Rennes et de Reims cités plus haut. Enfin, la gestion défaillante de l’incident lui-même : information tardive des clients, absence de mode dégradé, consignes contradictoires. Chacun de ces griefs doit être rattaché à une pièce : un article du contrat, un échange écrit, un rapport d’audit, une facture. Les affirmations générales sur la qualité du prestataire n’ont aucune valeur devant le juge.

Le chiffrage du préjudice suit la ventilation retenue par les juridictions : marchandises détruites sur justificatifs de destruction, coût de remise en état et de reparamétrage, surcoûts de fonctionnement pendant la période dégradée, perte d’exploitation calculée sur une base comparative et attestée par l’expert-comptable, frais de constat et d’audit. Les postes non justifiés sont rejetés, comme le montre l’arrêt de Reims. L’exploitant doit également intégrer les sommes versées par son assureur, pour éviter toute double indemnisation, et articuler sa demande avec la subrogation de l’assureur. Lorsque le prestataire est en difficulté ou conteste tout, une provision peut être sollicitée en référé, à condition de démontrer l’existence de l’obligation et l’urgence, avec le dossier de preuve déjà constitué.

Pour situer ce contentieux dans son cadre plus large, on peut se reporter à l’analyse d’ensemble consacrée à la responsabilité du prestataire informatique en cas de cyberattaque : faute à prouver, clause applicable et réparation du préjudice, qui détaille la mise en demeure, la résiliation pour inexécution grave et l’articulation avec la plainte. Le présent article s’en distingue par son objet : non pas la fuite de données d’un système d’information classique, mais le dérèglement d’une installation physique pilotée à distance, avec ses conséquences sanitaires, ses destructions de stocks et ses spécificités de preuve technique.

Conclusion

Un dérèglement d’installation pilotée à distance après une cyberattaque chez le prestataire se traite comme un sinistre à part entière : couper l’accès distant et passer en mode manuel, relever et tracer les températures et les lots, détruire ce qui n’est plus commercialisable, prévenir l’assureur dans les délais du contrat, faire constater par un commissaire de justice, identifier les données personnelles éventuellement atteintes pour notifier la CNIL dans les 72 heures et informer les personnes si le risque est élevé, puis mettre le prestataire en demeure sur la base de ses engagements écrits et chiffrer chaque poste de préjudice sur justificatifs. La faute du prestataire ne se présume pas, les plafonds de responsabilité survivent en principe à la résolution, et seuls les manquements démontrés, pièce par pièce, ouvrent droit à réparation. À la date de rédaction, les informations publiques sur l’épisode du 12 octobre 2026 restent des articles de presse, sans constat officiel ni responsabilité établie ; les contrats signés priment sur toute analyse générale, et seul le juge, au vu du dossier complet, déciderait des imputations et des montants.