Le 6 octobre 2026, le site spécialisé Cyberattaque.org a relayé l’information publiée par Bati-Avenue, spécialiste français de la vente en ligne de matériel et d’outillage pour les professionnels du bâtiment : l’enseigne confirme être concernée par la cyberattaque ayant touché Shipup, son prestataire chargé du suivi de certaines livraisons. Sont concernées des commandes passées auprès de Bati-Avenue via les places de marché Amazon ou ManoMano, dont certaines données transmises au prestataire pour assurer le suivi des colis ont pu être consultées par un tiers non autorisé. Selon l’information publiée par l’entreprise, les données susceptibles d’avoir été exposées comprennent les noms, prénoms et numéros de téléphone des clients concernés, tandis que les adresses électroniques transmises pour les commandes réalisées via Amazon ou ManoMano étaient masquées et non directement lisibles. L’entreprise précise qu’aucune donnée bancaire, aucune donnée de paiement ni aucun mot de passe ne serait concerné, qu’elle a engagé des vérifications avec son prestataire et qu’elle a procédé à une notification auprès de la CNIL.
La question que pose cet incident dépasse le seul vendeur. Quand le prestataire qui suit les livraisons est compromis, toute la chaîne professionnelle doit décider vite : le vendeur qui lui a confié les données de ses clients, les places de marché par lesquelles les commandes ont transité, les transporteurs dont le nom peut être usurpé dans des messages frauduleux, et les artisans qui attendent leur outillage et reçoivent des SMS évoquant un colis bloqué. Chacun détient une partie de la preuve et supporte une part différente du risque. À la date de rédaction, aucune autorité n’a constaté publiquement l’étendue exacte de l’intrusion au-delà de ce que l’entreprise a elle-même publié, aucune responsabilité n’est établie, les contrats signés entre les acteurs priment sur toute analyse générale, et seul le juge tranchera les litiges éventuels. C’est cette carte des conséquences et des décisions, acteur par acteur, que détaille le présent article, à partir des textes applicables et de décisions réellement rendues.
Concrètement, trois réflexes s’imposent dès la notification reçue du prestataire. D’abord, figer par écrit la chronologie et le périmètre : quelles données, quels clients, quels canaux de commande, quelles mesures de confinement et à quelles dates. Ensuite, relire chaque contrat de la chaîne pour identifier qui devait quoi en matière de sécurité, de notification et d’audit, et qui répond de quoi envers les clients. Enfin, distinguer ce qui relève de la gestion de crise immédiate, notamment l’information des personnes et la notification à la CNIL, de ce qui relève du contentieux à venir : réparation, résiliation, changement de prestataire et recours entre professionnels.
I. Le vendeur exposé par son prestataire : obligations immédiates et partage des rôles
Lorsqu’un commerçant confie le suivi de ses livraisons à un prestataire, il ne se dessaisit d’aucune de ses obligations. Le droit des données personnelles le dit sans détour : le vendeur reste le responsable du traitement des données de ses clients, tandis que le prestataire n’agit que pour son compte. Cette asymétrie structure toute la suite : c’est au vendeur de notifier, d’informer et de documenter, quand bien même la faille se serait produite dans les systèmes du prestataire. Les places de marché qui ont intermédié les commandes et les transporteurs dont l’identité peut être détournée occupent, eux, des positions différentes qu’il faut qualifier une par une, contrat par contrat.
A. Le vendeur, responsable du traitement, face à la violation subie chez son prestataire
Le premier texte à ouvrir est l’article 28 du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD. Son premier paragraphe impose au responsable du traitement de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de façon que le traitement réponde aux exigences du règlement et garantisse la protection des droits des personnes concernées. Autrement dit, le choix du prestataire de suivi des colis n’est pas un simple achat de service : le vendeur devait s’assurer, avant même de lui transmettre le premier fichier clients, que ce prestataire offrait des garanties suffisantes de sécurité. En cas de litige ultérieur, cette vérification préalable sera l’une des premières pièces réclamées, et son absence pèsera lourd.
Le même article impose ensuite que le traitement par un sous-traitant doit être régi par un contrat ou un autre acte juridique qui lie le sous-traitant envers le responsable du traitement et définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Ce contrat doit notamment prévoir que le sous-traitant ne traiter les données que sur instruction documentée du responsable du traitement, qu’il prend toutes les mesures de sécurité requises au titre de l’article 32 et qu’il met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d’audits, y compris des inspections, et contribuer à ces audits. Pour le vendeur, la décision pratique est donc immédiate : exhumer le contrat de prestation, vérifier qu’il contient ces clauses, et activer sans attendre le droit d’audit et le devoir d’information du prestataire. Si le contrat est muet sur ces points, le vendeur devra le constater par écrit, car ce silence deviendra un élément du dossier, dans un sens ou dans l’autre.
Vient ensuite le diptyque des notifications. L’article 33 du RGPD prévoit que en cas de violation de données personnelles, le responsable du traitement notifie la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, et toute notification au-delà de 72 heures doit être accompagnée des motifs du retard. Le même article ajoute que le sous-traitant notifie au responsable du traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance. Deux délais courent donc en cascade : celui du prestataire vers le vendeur, puis celui du vendeur vers la CNIL. En pratique, le vendeur doit dater précisément le moment où il a eu connaissance de l’incident, car c’est de cette date que partent ses propres 72 heures, et toute inertie du prestataire à l’alerter doit être consignée pour établir les responsabilités. Le fait que Bati-Avenue indique avoir notifié la CNIL joue ici en sa faveur : c’est exactement l’attitude qu’attend le texte.
L’information des clients obéit à un seuil distinct. L’article 34 du RGPD dispose que lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement la communique à la personne concernée dans les meilleurs délais. Avec des noms, prénoms et numéros de téléphone issus d’un contexte de livraison, le risque d’hameçonnage ciblé est l’argument central pour considérer ce seuil comme atteint : un attaquant qui connaît le nom, le téléphone et le fait qu’un colis d’outillage est attendu peut rédiger un faux SMS de transporteur particulièrement crédible. Le vendeur doit donc informer en termes clairs et simples, sans minimiser ni dramatiser, en décrivant la nature de la violation, ses conséquences probables et les mesures prises, et en donnant un point de contact joignable. Le fait que les adresses électroniques aient été masquées pour les commandes via Amazon ou ManoMano et qu’aucune donnée bancaire ne soit concernée doit être dit aussi nettement que le reste : ce sont des éléments qui réduisent le risque et qui protègent le vendeur autant qu’ils rassurent les clients.
Enfin, le vendeur doit documenter. Le paragraphe 5 de l’article 33 impose que le responsable du traitement documente toute violation en indiquant les faits, ses effets et les mesures prises pour y remédier, afin que l’autorité de contrôle puisse vérifier le respect de ces obligations. Concrètement, cela signifie constituer dès les premières heures un dossier horodaté : notification reçue du prestataire, captures et courriels échangés, périmètre des données et des clients identifié avec le prestataire, décisions de notification et d’information avec leurs dates, mesures de confinement suivies chez le prestataire. Ce dossier servira deux fois : devant la CNIL en cas de contrôle, et devant le juge en cas d’action en réparation. Ce qui n’est pas écrit à chaud sera très difficile à prouver à froid.
Une décision récente du Conseil d’État éclaire d’ailleurs les limites de la voie CNIL pour régler un différend entre professionnels. Le 27 août 2026, la 10ème chambre a jugé, à propos d’un médecin qui demandait à la CNIL d’obtenir de son prestataire la restitution de données hébergées, qu’« Une telle saisine n’a donc pas été présentée par une personne concernée au sens des dispositions citées au point précédent. Elle ne peut dès lors être regardée comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD », et a conclu : « Article 1er : La requête de M. A… est rejetée ». L’enseignement vaut pour tout vendeur en conflit avec son prestataire : la plainte à la CNIL ne remplace ni la mise en demeure contractuelle, ni l’action en justice pour obtenir restitution des données, audit ou réparation. Les deux voies coexistent mais ne se confondent pas, et c’est au contrat, puis au juge, de trancher le litige commercial pendant que la CNIL exerce son propre contrôle.
B. Le prestataire, les places de marché et les transporteurs : une chaîne à qualifier contrat par contrat
Le prestataire compromis n’est pas un simple spectateur. Outre son devoir de notification au vendeur dans les meilleurs délais, il est tenu, avec le responsable du traitement, de mettre en œuvre les mesures de sécurité appropriées. L’article 32 du RGPD dispose en effet que le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l’état des connaissances, des coûts, de la nature du traitement et des risques pour les droits et libertés des personnes physiques, y compris, selon les besoins, la pseudonymisation et le chiffrement des données. Le masquage des adresses électroniques évoqué pour les commandes transitant par Amazon ou ManoMano illustre exactement ce type de mesure : une donnée rendue illisible pour qui n’est pas autorisé à y accéder réduit le risque à la source et pourra être invoquée pour écarter l’obligation d’information individuelle si le risque élevé n’est plus susceptible de se matérialiser. À l’inverse, si l’enquête montre que des données sont restées en clair sans nécessité, le prestataire devra expliquer pourquoi.
La chaîne ne s’arrête pas toujours au premier prestataire. L’article 28 prévoit que, lorsqu’un sous-traitant en recrute un autre, les mêmes obligations en matière de protection des données que celles du contrat initial sont imposées à cet autre sous-traitant par contrat, et que lorsque cet autre sous-traitant manque à ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de leur exécution. Pour le vendeur, la décision utile consiste donc à exiger de son prestataire la cartographie complète de ses propres sous-traitants : hébergeur, outil d’analyse, routeur de notifications. Chaque maillon doit être identifié, avec le contrat correspondant, car la responsabilité remonte la chaîne jusqu’au vendeur vis-à-vis des clients, avant de redescendre par les recours.
Les places de marché par lesquelles les commandes ont transité occupent une position intermédiaire qu’il ne faut ni surestimer ni négliger. Sur le terrain des données, elles peuvent être elles-mêmes responsables de traitement pour les données qu’elles collectent en propre, et le vendeur doit vérifier avec chacune d’elles quelles données ont circulé, sous quel régime et avec quelle information des clients. Sur le terrain de l’information due au public, le code de la consommation dispose que « Tout fournisseur de place de marché en ligne ou de comparateur en ligne est tenu de délivrer au consommateur une information loyale, claire et transparente ». Ce texte vise le consommateur et ne règle pas à lui seul la situation d’artisans qui achètent à titre professionnel, mais il fixe l’esprit : la plateforme qui intermédie des commandes ne peut pas rester silencieuse quand elle apprend que des données issues de transactions passées par son intermédiaire ont été exposées. En pratique, le vendeur a intérêt à notifier par écrit chaque place de marché concernée, à leur demander leurs propres mesures, et à coordonner avec elles le message adressé aux clients pour éviter les versions contradictoires qui nourrissent les contentieux.
Quant aux transporteurs, ils sont ici le plus souvent des victimes par ricochet : leur nom et leurs codes de suivi servent d’habillage aux faux SMS. Ils n’ont en général aucune donnée compromise dans leurs propres systèmes du fait de cet incident, mais ils ont intérêt à être alertés pour pouvoir démentir, communiquer et conserver les signalements. Pour le vendeur, les prévenir par écrit, c’est à la fois un geste commercial et une pièce de plus au dossier de bonne foi.
Reste la question de la preuve entre commerçants, qui gouvernera tous les recours à venir. L’article L. 110-3 du code de commerce dispose qu’« A l’égard des commerçants, les actes de commerce peuvent se prouver par tous moyens à moins qu’il n’en soit autrement disposé par la loi », et l’article 1353 du code civil rappelle que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation ». Entre professionnels, les courriels, journaux techniques, bons de commande, contrats et constats font donc foi librement, mais encore faut-il les conserver et les dater. Pour une entreprise qui doit à la fois gérer ses fournisseurs et défendre ses clients, l’appui d’un cabinet d’avocats en droit des affaires à Paris permet de qualifier chaque lien de la chaîne, de rédiger les mises en demeure utiles et de chiffrer les risques avant qu’ils ne deviennent des assignations.
II. Des preuves conservées aux décisions contentieuses : qui paie et qui tranche
Une fois la crise immédiate gérée, vient le temps des comptes : clients qui ont subi un préjudice après un message frauduleux, vendeur qui a engagé des coûts de notification et perdu des commandes, prestataire qui conteste sa faute, assureurs qui discutent leurs garanties. Tout se jouera sur trois questions : que prouve-t-on, qui répond de quoi, et devant quel juge. Les décisions rendues ces derniers mois sur l’hameçonnage et la sécurité des données donnent des repères précis, à condition de ne pas les plaquer sans nuance sur des situations différentes.
A. Le dossier probatoire et la seconde vague : l’hameçonnage qui suit la fuite
Le risque principal identifié après ce type d’incident est la seconde vague : des messages frauduleux qui exploitent les données exposées en se faisant passer pour le vendeur, la place de marché, le prestataire ou le transporteur, et qui évoquent une livraison bloquée, un colis à reprogrammer ou des frais supplémentaires. Si un artisan clique, communique ses coordonnées bancaires ou valide un paiement, le préjudice change de nature : il ne s’agit plus seulement d’une exposition de données, mais d’opérations financières non voulues. La preuve devra alors établir le lien entre la fuite initiale et le message frauduleux : identité de l’expéditeur apparent, données personnelles reprises dans le message que seul l’incident a pu fournir, chronologie entre l’exposition et la réception du message. Les clients professionnels doivent donc conserver les SMS et courriels suspects avec leurs en-têtes, ne jamais les effacer après signalement, et déposer plainte rapidement, car la plainte pénale fige la chronologie et servira au civil.
Sur ce terrain, un arrêt récent de la cour d’appel de Riom mérite une lecture attentive. Le 28 janvier 2026, dans une affaire RG 25/00560 opposant une cliente victime d’hameçonnage à sa banque, la cour a jugé que la simple utilisation d’un service de paiement doté d’un dispositif de sécurité ne permet pas de présumer que l’utilisateur a autorisé l’opération litigieuse, en se référant à la jurisprudence de la Cour de cassation du 30 novembre 2022. Elle a retenu que les virements avaient pu être réalisés par un tiers sans l’autorisation de la cliente, après une opération d’hameçonnage puis l’enrôlement d’un dispositif d’authentification sur le téléphone de l’escroc, et les a qualifiés d’opérations de paiement non autorisées. Certes, cette affaire opposait un particulier à sa banque et non un artisan à son vendeur d’outillage, et les comptes professionnels obéissent à des stipulations contractuelles parfois plus exigeantes en matière de vigilance. Mais le raisonnement sur le consentement est transposable : l’article L. 133-7 du code monétaire et financier dispose que « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement », et un paiement extorqué par tromperie n’est pas un paiement consenti, même s’il a transité par un dispositif de sécurité détourné. Symétriquement, l’article L. 133-18 du même code prévoit qu’« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé ». Pour l’artisan victime, la décision utile est donc double : contester vite auprès de sa banque dans les formes prévues, et conserver la preuve du défaut de consentement, sans attendre l’issue du litige entre le vendeur et son prestataire.
Côté réparation, le RGPD ouvre une action propre. Son article 82 dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du préjudice subi auprès du responsable du traitement ou du sous-traitant. Le même article précise qu’un sous-traitant n’est tenu pour responsable que s’il n’a pas respecté les obligations du règlement qui incombent spécifiquement aux sous-traitants, ou s’il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci, et qu’un responsable du traitement ou un sous-traitant est exonéré de responsabilité s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. Surtout, lorsque plusieurs acteurs participent au même traitement et sont responsables, chacun des responsables ou sous-traitants impliqués est tenu responsable du dommage dans sa totalité, afin de garantir à la personne concernée une réparation effective, avant un partage entre eux : celui qui a réparé totalement le dommage est en droit de réclamer aux autres participants leur part de la réparation, correspondant à leur part de responsabilité. Pour le client, cela signifie qu’il peut agir contre le vendeur sans attendre que celui-ci ait réglé ses comptes avec son prestataire ; pour le vendeur qui indemnise, cela fonde l’action récursoire contre le prestataire, à condition d’avoir conservé les preuves de la faute de ce dernier.
En droit commun des contrats, les fondements suivent. L’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure », et l’article 1240 que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Le vendeur qui a manqué à son obligation de sécurité envers ses clients, le prestataire qui a manqué à ses obligations envers le vendeur, et l’auteur des messages frauduleux répondent chacun sur leur propre fondement, sans que la faute de l’un efface celle de l’autre. C’est précisément pour démêler cet écheveau que la chronologie écrite et les contrats comptent autant que les constats techniques.
B. Les décisions à prendre, acteur par acteur, avant que le juge ne tranche
Pour le vendeur, quatre décisions s’enchaînent. Premièrement, purger la crise : terminer l’identification des personnes concernées avec le prestataire, achever si nécessaire la notification à la CNIL avec les compléments échelonnés qu’autorise le texte, et adresser aux clients une information claire avec un canal de contact dédié. Deuxièmement, préserver les recours : mettre en demeure le prestataire de communiquer les rapports d’investigation, les journaux et la liste de ses propres sous-traitants, exiger les mesures correctives avec un calendrier, et faire constater par huissier ce qui peut disparaître, notamment les écrans et versions du service. Troisièmement, décider du sort du contrat : l’article 1217 du code civil rappelle que la partie envers laquelle l’engagement n’a pas été exécuté peut « refuser d’exécuter ou suspendre l’exécution de sa propre obligation », « poursuivre l’exécution forcée en nature de l’obligation », « obtenir une réduction du prix », « provoquer la résolution du contrat » ou « demander réparation des conséquences de l’inexécution ». Suspendre les flux de données vers le prestataire le temps de l’audit, renégocier les clauses de sécurité ou changer de prestataire sont des options graduées, mais chacune doit être notifiée par écrit dans les formes du contrat, sous peine de transformer une victime en débiteur défaillant. Quatrièmement, chiffrer : coûts de notification et d’assistance aux clients, baisse de commandes, remises commerciales consenties pour garder les artisans, honoraires techniques et juridiques, puis interroger l’assurance cyber sur les garanties et les exclusions, car beaucoup de polices subordonnent leur jeu à des mesures minimales de sécurité dont il faudra prouver l’existence.
Pour les places de marché, la décision tient en un mot : coopérer sans se substituer. Elles doivent vérifier quelles données de leurs propres systèmes sont concernées, participer à une information cohérente des clients communs, et conserver leurs propres journaux de transmission vers le vendeur. Si ellescommercialisent elles-mêmes des prestations logistiques ou des outils de suivi, elles doivent en outre auditer ces outils pour vérifier qu’ils ne partagent pas la vulnérabilité exploitée. Leur silence ou leurs messages contradictoires avec ceux du vendeur seraient exploités dans un contentieux, tandis qu’une coordination écrite et datée protège tout le monde.
Pour les artisans et entreprises clientes, la vigilance est à la fois numérique et procédurale. Ne jamais cliquer sur un lien reçu par SMS évoquant une livraison, vérifier toute demande de paiement ou de reprogrammation en repartant du site ou de l’application du vendeur et non du message reçu, alerter le vendeur de tout message suspect en lui transférant le contenu avec la date et le numéro d’expéditeur, et signaler les tentatives sur la plateforme dédiée des autorités. En cas de paiement frauduleux, contester sans délai auprès de sa banque, déposer plainte, et conserver l’ensemble des pièces : le raisonnement de la cour d’appel de Riom montre que la démonstration du défaut de consentement et de la chronologie de l’hameçonnage peut conduire à qualifier les opérations de non autorisées, même passées par un dispositif de sécurité. Les contrats signés avec le vendeur pour la fourniture d’outillage restent par ailleurs exécutoires selon leurs propres termes : un incident de données ne dispense ni de payer les commandes fermes, ni de prendre livraison, sauf clause contraire qu’il faut relire avant d’agir.
Pour le prestataire enfin, l’heure est à la transparence organisée : rapport d’investigation communiqué au vendeur, preuve des correctifs déployés, identification des autres clients potentiellement concernés qu’il devra lui-même alerter, et coopération loyale aux audits contractuels. Toute rétention d’information l’expose non seulement à l’action récursoire du vendeur sur le fondement de l’article 82 du RGPD et du contrat, mais aussi à un contrôle de la CNIL sur ses propres manquements à la sécurité, l’amende pouvant s’ajouter aux dommages-intérêts. C’est en documentant ses diligences dès maintenant qu’il préservera ses moyens de défense pour plus tard.
Au terme de cette carte, un constat s’impose : la compromission d’un prestataire de suivi des livraisons ne crée pas un litige unique, mais une grappe de litiges entrecroisés où chaque acteur doit prouver sa propre diligence. Le vendeur prouve ses garanties préalables, son contrat, sa notification et son information ; le prestataire prouve ses mesures de sécurité et ses correctifs ; la place de marché prouve sa coopération et la loyauté de son information ; le client prouve son absence de consentement aux opérations frauduleuses. Aucune intrusion supplémentaire ni aucun dommage définitif n’a été constaté par une source officielle à la date de rédaction au-delà des faits publiés par l’entreprise elle-même, aucune responsabilité n’est établie à ce stade, les contrats signés entre les acteurs priment sur toute analyse générale, et seul le juge, saisi des pièces de chacun, dira qui doit quoi à qui.