Dans la nuit de dimanche à lundi 12 octobre 2026, les installations frigorifiques de plusieurs centaines de supermarchés français ont été visées par une cyberattaque, selon BFMTV, franceinfo et 20 Minutes. Les pirates auraient imposé à distance un dégivrage forcé avec une consigne de température fixée à 50 degrés, ce qui aurait entraîné la perte de stocks de produits frais et surgelés. Depuis, une question domine les recherches des internautes : la liste des magasins touchés. Or, à la date de rédaction du présent article, aucune liste officielle et exhaustive des magasins concernés n’a été publiée par une autorité ou par les enseignes elles-mêmes : les chiffres communiqués portent sur des volumes, magasin par magasin, et le bilan définitif reste à établir. Aucune intrusion, aucun vol de données et aucun dommage n’a été constaté par une source officielle à ce stade s’agissant des données personnelles des clients ; aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide.
Concrètement, si vous faites vos courses dans l’une des enseignes citées par la presse, vous ne pouvez pas attendre une notification qui ne viendra peut-être jamais : c’est à partir de vos propres traces — ticket de caisse, compte de fidélité, compte Drive, relevé bancaire — que vous pouvez vérifier votre exposition, conserver vos preuves, puis exercer vos droits. Le présent article explique comment procéder, quelles demandes adresser et à qui, et dans quels délais, en droit français et européen des données personnelles.
I. Vérifier si vous êtes concerné quand aucune liste officielle n’existe
A. Ce que les sources disent, et ce qu’elles ne disent pas
Les faits rapportés par la presse décrivent une attaque d’une ampleur inédite. Selon BFMTV, les pirates ont ciblé les systèmes de régulation frigorifique du fabricant danois Danfoss, utilisés par de très nombreux magasins français, en détournant une fonction de dégivrage : les équipements auraient chauffé pendant plusieurs heures au lieu de maintenir les marchandises au froid. Le groupement des Mousquetaires a indiqué que 300 magasins de ses enseignes Intermarché et Netto ont été affectés, toujours selon BFMTV, et son dirigeant a évoqué à l’antenne des pertes susceptibles d’atteindre des dizaines de millions d’euros au niveau national, selon 20 Minutes. La Coopérative U, par la voix de son dirigeant sur le réseau social X, a fait état d’une cyberattaque touchant les installations de production de froid de plusieurs magasins de son réseau, avec moins d’une centaine de points de vente affectés selon les informations de franceinfo. Le groupe E.Leclerc a confirmé que l’incident a eu des répercussions sur le fonctionnement des équipements de froid dans plusieurs magasins, selon BFMTV. S’agissant d’autres enseignes, 20 Minutes évoque une trentaine de magasins Monoprix et 80 magasins Carrefour, tout en précisant que le bilan définitif reste à établir, et BFMTV relève que la présence de magasins Carrefour Market et Monoprix parmi les victimes, évoquée par un site spécialisé, n’a pas été confirmée par ces enseignes. Selon 20 Minutes, une enquête a été ouverte par le parquet de Paris, et le directeur général de l’ANSSI jugerait urgent de déconnecter ces contrôleurs d’Internet ou d’appliquer a minima un filtrage réseau très restrictif. Le fabricant Danfoss, cité par 20 Minutes, précise que la majorité des unités touchées seraient des produits anciens qui auraient atteint leur fin de vie et ne bénéficieraient plus de mises à jour, et qu’une faille importante avait été signalée le 18 septembre.
Ce tableau appelle trois réserves de méthode. D’abord, ce sont des volumes, pas des listes : savoir que 300 magasins d’un réseau sont affectés ne dit pas si le vôtre en fait partie. Ensuite, les informations non confirmées par les enseignes elles-mêmes — notamment pour certaines d’entre elles — doivent être lues au conditionnel : elles ne permettent ni d’affirmer que tel magasin est touché, ni d’affirmer qu’il ne l’est pas. Enfin, à ce stade, aucune source officielle n’a constaté un vol ou une fuite de données personnelles de clients liée à cette attaque : l’incident décrit porte sur des systèmes de régulation du froid, pas sur les fichiers de caisse ou de fidélité. Cela ne signifie pas qu’il ne faut rien faire — un même prestataire peut intervenir sur plusieurs systèmes, et des données de contact peuvent être exposées à l’occasion d’une intrusion — mais cela interdit de présenter comme établie une compromission de vos données qui n’est pas démontrée. C’est précisément pour lever ce doute que le droit d’accès existe.
B. Reconstituer votre exposition avec vos propres traces
Faute de liste officielle, votre dossier commence dans votre poche et votre boîte mail. Si vous avez fréquenté l’un des magasins des enseignes citées pendant la période de l’attaque et les jours suivants, conservez tout ce qui prouve votre passage et vos achats : tickets de caisse, factures Drive, confirmations de commande et de retrait, relevés de carte bancaire faisant apparaître le magasin et la date, historique de votre compte de fidélité et de votre application d’enseigne. Ces pièces servent deux fois : elles établissent que vous êtes une personne concernée au sens du droit des données personnelles si vos données figurent dans les fichiers du magasin, et elles fondent toute demande ultérieure, y compris financière. En droit civil français, « Celui qui réclame l’exécution d’une obligation doit la prouver » : celui qui demandera des comptes devra démontrer les faits qu’il invoque, et un ticket daté vaut mieux qu’un souvenir.
Photographiez également, sans rien déplacer et sans filmer d’autres clients, les affichages apposés en magasin : rayons vidés, panneaux d’information, affiches de rappel de produits. Si vous avez acheté des produits frais ou surgelés dans un magasin possiblement affecté avant la mise en place des mesures de retrait, conservez l’emballage, le ticket et, en cas de trouble de santé, tout document médical, et signalez le produit sur la plateforme publique RappelConso ou via SignalConso : la chaîne du froid rompue relève aussi de la sécurité des produits, et votre signalement crée une trace datée. Pour les seuls produits, ne consommez pas un article dont la conservation a été compromise ; en cas de doute, rapportez-le au magasin contre remboursement plutôt que de le jeter sans preuve.
Adressez ensuite une demande écrite au magasin ou à l’enseigne : demandez confirmation que le magasin que vous fréquentez figure ou non parmi les sites affectés, quelles catégories de données ont été exposées le cas échéant, et si une notification individuelle vous sera adressée. Envoyez ce courrier par un moyen qui laisse une trace — lettre recommandée avec accusé de réception ou courriel conservé avec ses accusés — et gardez-en copie. L’absence de réponse, une réponse évasive ou une réponse contradictoire avec les informations publiques constituent déjà des pièces de votre dossier : elles démontreront, si un litige naît, que vous avez cherché à vérifier votre situation de bonne foi. Si vous disposez d’un compte de fidélité ou d’un compte Drive auprès de l’enseigne, relevez dès maintenant l’historique de vos données : coordonnées enregistrées, historique d’achats, consentements publicitaires. Ce relevé servira de point de comparaison si une notification ultérieure décrit une exposition différente, et il fonde l’exercice du droit d’accès décrit ci-après. Les enseignes concernées disposent de réseaux couvrant tout le territoire, y compris Paris et l’Île-de-France où la densité de magasins urbains rend la vérification particulièrement utile : un client parisien qui fait ses courses chaque semaine dans le même supermarché de quartier a tout intérêt à effectuer cette vérification écrite sans attendre, car ses passages répétés multiplient les traces le concernant dans les fichiers du magasin.
Votre demande écrite gagne à suivre un modèle précis en cinq points : rappel des faits datés qui vous concernent (magasin, dates de passage, montants), liste des pièces jointes (tickets, relevés, captures), questions fermées appelant des réponses vérifiables (le magasin figure-t-il parmi les sites affectés, quelles catégories de données ont été exposées, une notification individuelle sera-t-elle adressée et à quelle date), fondement de la demande (droit d’être informé et droit d’accès), et délai de réponse sollicité au regard du délai d’un mois prévu par les textes. Adressez-la au délégué à la protection des données de l’enseigne lorsque ses coordonnées sont publiées, avec copie au service client, et relancez une fois à quinze jours en conservant chaque envoi. Si le magasin invoque le secret de l’enquête en cours pour refuser toute réponse, prenez acte par écrit : ce refus, même motivé, n’éteint ni votre droit d’accès à vos propres données ni votre droit de saisir la CNIL, et il figurera dans votre dossier comme la preuve que vous avez accompli les démarches préalables.
II. Exercer vos droits et demander réparation
A. Vos droits sur vos données : accès, information, notification et réclamation
Le premier droit à exercer est le droit d’accès. Le règlement européen sur la protection des données prévoit que le responsable du traitement doit fournir une copie des données concernées (droit d’accès), et répondre dans les meilleurs délais et au plus tard sous un mois à compter de la réception de la demande (modalités d’exercice des droits). Adressez votre demande au responsable du traitement — en pratique l’enseigne ou la société exploitant le magasin, dont les coordonnées figurent dans sa politique de confidentialité — en précisant votre identité, le magasin fréquenté, la période concernée et les catégories de données visées : fichier de caisse, compte de fidélité, compte Drive, historique d’achats, données de prospection. Joignez une copie de pièce d’identité seulement si elle est demandée et par un canal sécurisé, et exigez une copie de vos données sous une forme électronique d’usage courant si votre demande est électronique. Si la réponse confirme que vos données ont été affectées par l’incident, ou si elle est incomplète, contradictoire ou tardive, conservez-la : elle conditionne la suite.
Le deuxième levier est la notification individuelle. Lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement doit la communiquer à la personne concernée dans les meilleurs délais, en décrivant la nature de la violation en des termes clairs et simples (communication à la personne concernée). Cette communication n’est toutefois pas due dans trois cas : si des mesures de protection appropriées, comme le chiffrement, avaient été appliquées aux données ; si des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus ; ou si elle exigerait des efforts disproportionnés, auquel cas une communication publique permettant d’informer les personnes de manière tout aussi efficace y supplée. Concrètement, si vous recevez une notification, vérifiez qu’elle décrit la nature de l’incident, ses conséquences possibles, les mesures prises et un point de contact : une notification vague, sans date, sans périmètre et sans contact est inexploitable et doit être contestée par écrit. Et si vous n’en recevez aucune alors que la presse décrit une attaque massive, votre demande d’accès et votre demande écrite de confirmation prennent le relais : c’est à l’enseigne d’expliquer pourquoi elle estime que le risque pour vos droits ne justifie pas une notification individuelle, et son silence pourra être soumis à la CNIL puis au juge.
Si la copie de vos données révèle des informations inexactes — adresse obsolète, historique d’achats incomplet, consentements que vous n’avez jamais donnés — demandez leur rectification par écrit en joignant les justificatifs, en vous référant aux droits de rectification et d’effacement décrits par la CNIL. De même, si l’incident vous a fait perdre confiance dans le programme de fidélité, vous pouvez demander l’effacement de votre compte et vous opposer à toute prospection ultérieure : ces demandes, distinctes de la réparation du préjudice déjà subi, empêchent que vos données continuent de circuler après l’attaque. Là encore, conservez les confirmations d’effacement et de prise en compte de l’opposition : en cas de prospection postérieure, elles établiront une violation distincte, souvent mieux documentée que l’incident initial lui-même.
Le troisième levier est la réclamation auprès de la CNIL. Toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle (droit de réclamation auprès d’une autorité de contrôle), en particulier dans l’État membre de sa résidence habituelle : pour un résident français, la CNIL, par une plainte en ligne sur cnil.fr/fr/plaintes. Joignez à votre plainte l’ensemble du dossier constitué : tickets et relevés, demande d’accès et réponse reçue, demande de confirmation et suites données, notification éventuelle, captures des affichages en magasin. Une plainte documentée, datée et chiffrée a incomparablement plus de poids qu’un simple récit : elle permet à la CNIL de vérifier si l’enseigne a notifié la violation à l’autorité dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (notification à l’autorité de contrôle), si le registre des violations est tenu, et si les personnes exposées à un risque élevé ont été informées. Le droit commun renforce ces outils : « Chacun a droit au respect de sa vie privée », et les juges peuvent prescrire toutes mesures propres à faire cesser une atteinte à l’intimité de la vie privée, y compris en référé en cas d’urgence. Si vos données continuent d’être diffusées ou exploitées après l’incident malgré vos demandes, cette voie permet d’obtenir rapidement la cessation du trouble, en complément de la plainte devant la CNIL. Parallèlement, si vous recevez après l’incident des appels, SMS ou courriels frauduleux se prévalant de l’enseigne, ne cliquez sur aucun lien, conservez les messages avec leurs en-têtes, signalez les SMS au 33700 et signalez l’escroquerie sur la plateforme officielle internet-signalement.gouv.fr : ces pièces établiront le préjudice moral et le risque avéré en cas de demande de réparation. Pour une méthode complète de réaction après la notification d’une violation de données par une enseigne, on se reportera utilement au guide Données personnelles piratées : que faire après la notification d’une violation, plainte et indemnisation, et pour les questions propres aux comptes de fidélité et aux comptes Drive exposés, au guide Carte de fidélité et compte Drive exposés : copie, effacement, opposition et réparation.
B. Responsabilités en chaîne, plainte pénale et réparation du préjudice
Une cyberattaque contre un prestataire de supervision ne met pas en cause qu’une seule entreprise : le magasin ou l’enseigne qui exploite les fichiers de clients est en principe responsable du traitement, tandis que le prestataire qui administre à distance les systèmes — ici le fabricant des régulateurs, selon les informations rapportées — intervient comme sous-traitant. Or le règlement n’autorise le responsable à faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées (recours au sous-traitant), et il impose au responsable comme au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (sécurité du traitement), y compris le chiffrement, la garantie de confidentialité, d’intégrité et de disponibilité des systèmes, et des procédures de test régulières. Des équipements connectés à Internet sans filtrage restrictif, des unités en fin de vie ne recevant plus de mises à jour de sécurité alors qu’une faille a été signalée : si ces circonstances étaient établies par une expertise ou une enquête, elles pourraient être regardées comme des manquements à ces obligations. Elles ne sont pas établies à ce jour, et seule une mesure d’instruction ou une décision de justice permettrait de les qualifier : c’est pourquoi votre dossier doit rester factuel et daté, sans affirmation prématurée.
La Cour de cassation rappelle d’ailleurs l’exigence de rigueur dans le maniement des données personnelles jusque devant le juge : dans un arrêt du 3 octobre 2024, la deuxième chambre civile juge que la communication de données personnelles constitue un traitement au sens du règlement, qui n’est licite que dans les cas prévus, et que le juge doit tenir compte des intérêts des personnes concernées au regard des principes de proportionnalité et de minimisation (Cass. 2e civ., 3 oct. 2024, n° 21-20.979). Retenez-en une règle pratique : ne diffusez jamais publiquement vos propres pièces d’identité, tickets comportant des codes-barres exploitables ou captures d’écrans de comptes, ni les données d’autrui ; communiquez-les uniquement à la CNIL, à votre conseil et, le cas échéant, à la juridiction saisie.
Sur le plan pénal, l’intrusion dans des systèmes de régulation à distance serait susceptible de constituer l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, défini comme le fait « d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et la collecte de données de clients par ce biais serait susceptible de constituer le fait de « collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ». Le traitement de données en violation des formalités légales est lui-même puni : le fait « de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi » est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. La qualification exacte appartient au parquet — qui, selon 20 Minutes, a déjà ouvert une enquête — puis à la juridiction répressive. En tant que client, vous pouvez déposer plainte au commissariat ou en gendarmerie, y compris par pré-plainte en ligne : les officiers et agents de police judiciaire sont « tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale ». Déposez plainte avec vos pièces — tickets, relevés, messages frauduleux reçus, notification éventuelle — et demandez un récépissé : la plainte fige votre statut de victime alléguée et alimente l’enquête en cours, sans préjuger de son issue. Si l’enquête n’aboutit pas, « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction », ce qui permet de contraindre la désignation d’un juge d’instruction : conservez le récépissé de votre plainte initiale et la réponse du parquet, car ils conditionnent cette voie de recours.
Enfin, anticipez la question du temps : les preuves périssables disparaissent vite — relevés en ligne accessibles quelques mois, affichages en magasin retirés en quelques jours, souvenirs qui s’estompent. Constituez votre dossier dans la semaine qui suit la découverte de l’incident, classez-le par ordre chronologique, et tenez un journal daté de chaque démarche avec le nom de l’interlocuteur, la réponse reçue et la pièce correspondante. Les actions personnelles se prescrivent par ailleurs « par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » : le point de départ court donc à compter de la découverte de l’exposition, ce qui renforce l’intérêt d’une demande écrite datée dès les premiers jours. Un dossier tenu au jour le jour, même modeste, impressionne davantage une autorité ou une juridiction qu’un récit reconstitué un an plus tard : il montre une victime diligente, crédible, et dont le préjudice moral — temps perdu, inquiétude durable, démarches répétées — se lit dans l’épaisseur même des pièces.
Sur le plan civil, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (droit à réparation, article 82 du règlement). La Cour de justice de l’Union européenne, dans son arrêt du 4 mai 2023, C-300/21, Österreichische Post, a posé trois principes : la simple violation du règlement ne suffit pas à ouvrir droit à réparation, encore faut-il un dommage et un lien de causalité ; aucune règle nationale ne peut subordonner la réparation du dommage moral à un seuil de gravité ; et le montant de l’indemnisation relève des règles internes de chaque État membre, dans le respect des principes d’équivalence et d’effectivité. Concrètement, l’exposition abstraite de vos données ne suffit pas : le droit commun de la responsabilité s’applique : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Il faut donc démontrer un préjudice — temps passé, démarches, stress documenté, messages frauduleux reçus, achats compromis, utilisation abusive avérée — et le relier à l’incident. Chiffrez chaque poste, même modeste, et conservez-en les justificatifs : c’est ce dossier chiffré, et non l’émotion légitime, qui emportera la conviction du juge. À Paris et en Île-de-France, comme ailleurs, ces demandes relèvent du tribunal judiciaire du domicile du demandeur en matière de données personnelles, et la CNIL siège à Paris pour les réclamations : la proximité géographique ne change ni les délais ni les conditions, mais elle facilite les démarches des Franciliens.
En conclusion, aucune liste officielle des magasins touchés n’étant publiée, votre protection repose sur une méthode en quatre temps : conserver vos traces d’achat, demander par écrit confirmation de votre exposition, exercer votre droit d’accès et, si un risque élevé apparaît, exiger la notification individuelle ; puis saisir la CNIL et déposer plainte avec un dossier complet et chiffré. À la date de rédaction, aucune intrusion ni aucun dommage concernant les données des clients n’a été constaté par une source officielle, aucune responsabilité n’est établie, les contrats conclus avec les enseignes et prestataires priment sur toute analyse générale, et seul le juge tranchera les responsabilités et les réparations.