Dans la nuit du dimanche 11 au lundi 12 octobre 2026, une attaque coordonnée a visé les logiciels de supervision des installations frigorifiques de plusieurs enseignes de la grande distribution. Selon Le Figaro, les meubles froids sont montés jusqu’à 35 °C, et jusqu’à 50 °C selon les relevés cités par BFMTV, avec des tonnes de denrées détruites et des départs de feu signalés. Le groupement des Mousquetaires a déclaré sur BFMTV, par la voix de son président, que 300 de ses magasins Intermarché et Netto étaient touchés et a chiffré le préjudice à des dizaines de millions d’euros au niveau national. Le parquet de Paris a ouvert une enquête confiée à l’Office anticybercriminalité (OFAC) et l’Anssi aurait identifié une vulnérabilité dans un logiciel du fabricant danois des installations, qui conteste toute responsabilité. À la date de rédaction, l’enquête est en cours, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale et seul le juge tranchera les litiges à venir. Cet article décrit, de façon générale, les vérifications utiles à tout commerçant franchisé dont l’outil imposé par le réseau tombe en panne après une cyberattaque : qui prévient la CNIL, comment sauver le magasin, contre qui agir et comment chiffrer les pertes.

I. La cyberattaque des frigos : qui sécurise le magasin et qui prévient la CNIL ?

A. Cyberattaque des supermarchés : qui doit notifier la CNIL quand l’outil est imposé par le réseau ?

Dans un réseau de franchise, le franchisé n’a généralement pas choisi son logiciel de supervision des frigos : l’outil est imposé ou référencé par la tête de réseau, installé par un prestataire commun, parfois fabriqué par un industriel unique pour des centaines de magasins. Quand cet outil est détourné à distance, comme dans la nuit du 11 au 12 octobre 2026 où les attaquants ont pris la main sur la supervision puis modifié les consignes de température après avoir neutralisé les alarmes, selon l’experte interrogée par Sud Ouest, la première question juridique n’est pas qui paiera : c’est qui doit alerter, et dans quel délai.

Le raisonnement part des rôles du règlement européen sur les données personnelles. Le tribunal judiciaire de Paris rappelle que « Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement. Un sous-traitant n’est tenu pour responsable du dommage causé par le traitement que s’il n’a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu’il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. » (TJ Paris, 5e ch., 2e sect., 30 janvier 2025, n° 20/12149, décision publiée). Concrètement, le franchisé qui exploite le fichier clients de son magasin, la vidéosurveillance ou les badges d’accès reste responsable de ses propres traitements, même si l’outil appartient à la chaîne technique du réseau. Le prestataire qui héberge ou supervise, lui, doit alerter : la CNIL indique que les sous-traitants doivent alerter l’organisme de tout incident de sécurité dans les meilleurs délais pour lui permettre de remplir ses propres obligations.

Le délai est bref et il court dès la découverte. La CNIL précise que le responsable du traitement doit notifier la violation à la CNIL au plus tôt, dans un délai maximal de 72 heures et que la notification intervient dans les meilleurs délais et au plus tard 72 heures après la prise de connaissance par le responsable du traitement. Le point de départ retenu en pratique est le moment où le responsable atteint un degré de certitude raisonnable qu’un incident a touché des données personnelles. Pour un franchisé, cela signifie dater précisément la découverte : le lundi 12 octobre vers 5 h 40 pour la patronne de l’Intermarché d’Haguenau citée par Le Figaro, l’heure des premières alertes de température, l’heure de la coupure manuelle, l’heure de l’appel au réseau. Ces horodatages feront foi plus tard, face à la CNIL comme face à l’assureur.

Une nuance mérite d’être posée avec netteté. Les températures des bacs ne sont pas, en elles-mêmes, des données personnelles. La notification à la CNIL ne s’impose que si l’incident a touché des données relatives à des personnes : fichier de fidélité hébergé sur le même système, journaux de connexion exposés, caméras pilotées par la même supervision, données des salariés. Si seules les consignes frigorifiques ont été modifiées, sans accès aux données personnelles, le franchisé documente l’incident dans son registre interne sans notification. S’il existe un doute sur l’exfiltration, la notification conservatoire reste la position la plus sûre, car l’omission est sanctionnable alors que l’excès de prudence ne l’est pas.

Enfin, les clients du magasin ne toucheront pas d’indemnisation automatique du seul fait de l’incident informatique. La Cour de cassation vient de juger que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » (Cass. soc., 24 juin 2026, n° 24-22.792, décision publiée), tout en rappelant que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Autrement dit : sans dommage prouvé, pas de réparation. Le tribunal judiciaire de Paris a débouté un demandeur qui n’établissait ni la faute ni le préjudice dans une affaire de violation de données (TJ Paris, 30 janvier 2025, précité). Pour le franchisé, la leçon est symétrique : ses propres clients devront prouver un dommage, et lui-même devra prouver le sien contre ses cocontractants.

B. Frigos montés à 50 °C : que faire des denrées, des départs de feu et des preuves ?

Quand les meubles froids chauffent au lieu de refroidir, le commerçant n’a pas le luxe d’attendre les conclusions de l’OFAC. Les employés du groupement ont « vidé toute la journée les rayons impactés », selon son président sur BFMTV : c’est exactement le premier réflexe à documenter. Toute denrée restée au-dessus des seuils réglementaires doit être écartée de la vente, triée, pesée, photographiée avec horodatage, puis détruite par une filière tracée avec bordereaux. Les factures d’achat correspondantes, les relevés de température avant, pendant et après l’incident, les journaux d’alarmes de la supervision et les échanges avec la tête de réseau et le mainteneur constituent le dossier de preuve des pertes. Un constat de commissaire de justice dressé dans les premières heures, décrivant les températures affichées, les bacs vidés et les palettes mises au rebut, vaut mieux qu’un long rapport rédigé trois semaines plus tard.

Les départs de feu signalés dans le cadre de l’enquête imposent la même rigueur : appel des secours, procès-verbal, photos, conservation des matériels, déclaration à l’assureur multirisque dans les délais du contrat, souvent cinq jours ouvrés. Le parquet de Paris a indiqué que l’enquête de l’OFAC doit recenser les victimes et établir le lien avec les pertes de denrées et les départs de feu signalés, selon BFMTV : se signaler comme victime auprès des enquêteurs, avec un dossier chiffré, sert à la fois la procédure pénale et les recours civils ultérieurs.

Sur le plan pénal, les faits rapportés par la presse entrent dans le champ des atteintes aux systèmes de traitement automatisé de données. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » L’article 323-3 du code pénal ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La modification des consignes de température et la neutralisation des alarmes, telles que décrites par l’experte interrogée par Sud Ouest, correspondent à des altérations du fonctionnement et des modifications de données au sens de ces textes, si l’enquête les confirme.

Deux arrêts récents éclairent la qualification. La chambre criminelle juge que « des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification » (Cass. crim., 8 juin 2021, n° 20-85.853, décision publiée). Elle juge également que « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 septembre 2025, n° 24-83.605, décision publiée). Pour le franchisé, l’enseignement pratique est double : déposer plainte rapidement, y compris avec constitution de partie civile pour accéder au dossier, et conserver toute trace de l’intrusion, car l’action publique des délits « se prescrit par six années révolues à compter du jour où l’infraction a été commise » (article 8 du code de procédure pénale dans sa version applicable). Le dépôt de plainte n’attend pas la fin de l’expertise technique : il la provoque.

II. Franchisé bloqué par la cyberattaque : contre qui agir et combien réclamer ?

A. Cyberattaque via la tête de réseau ou le fabricant : contre qui agir en pratique ?

Le franchisé dont le magasin est resté plusieurs jours sans froid positif dispose de trois directions possibles : la tête de réseau qui a imposé l’outil, le prestataire qui l’exploite et le fabricant qui l’a conçu. Aucune ne prospère sans le contrat. La première pièce à relire est le contrat de franchise et ses annexes informatiques : outil imposé ou simplement référencé, obligation de maintenance, niveaux de service, clause de sécurité, assurance, clause attributive de compétence. La seconde est le document d’information précontractuelle, car l’article L. 330-3 du code de commerce dispose : « Toute personne qui met à la disposition d’une autre personne un nom commercial, une marque ou une enseigne, en exigeant d’elle un engagement d’exclusivité ou de quasi-exclusivité pour l’exercice de son activité, est tenue, préalablement à la signature de tout contrat conclu dans l’intérêt commun des deux parties, de fournir à l’autre partie un document donnant des informations sincères, qui lui permette de s’engager en connaissance de cause. » Si le réseau a tu une dépendance critique à un outil vulnérable ou une panne comparable déjà survenue, ce document sera scruté. Son contenu est détaillé par l’article R. 330-1 du code de commerce et doit être remis vingt jours minimum avant la signature.

Contre la tête de réseau, le fondement naturel est contractuel : inexécution de l’obligation d’assistance et de fourniture d’un outil de travail conforme. L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le réseau répondra probablement que la cyberattaque constitue une force majeure qui l’exonère. L’article 1218 du code civil la définit strictement : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Les trois conditions sont cumulatives et la jurisprudence récente rappelle que « la condition de l’irrésistibilité ne supplée pas celle de l’imprévisibilité pour caractériser la force majeure attachée à l’événement » (CA Paris, Pôle 5, ch. 11, 17 avril 2026, n° 23/01626, décision publiée). Or l’experte interrogée par Sud Ouest affirme que les failles exploitées étaient documentées et que les dernières remontaient à avril 2025, avec des correctifs publiés au printemps : si l’enquête confirme qu’un simple correctif appliqué à temps aurait bloqué l’intrusion, la condition d’imprévisibilité et celle des mesures appropriées seront difficiles à réunir pour celui qui exploitait le système. Chaque camp devra donc démontrer son propre calendrier de mises à jour, et le franchisé a intérêt à réclamer dès maintenant les journaux de maintenance du réseau.

Quand l’outil imposé rend durablement l’exploitation impossible, la résolution du contrat de franchise entre dans le champ des possibles, mais elle se demande au juge et ne se décrète pas seul. La cour d’appel de Pau vient de confirmer une résolution judiciaire d’un contrat de franchise dont l’exécution était devenue impossible, en jugeant : « La cour confirmera le jugement en ce qu’il a prononcé la résolution judiciaire du contrat, mais infirmé sur la date d’effet de celle-ci, laquelle sera fixée à la date du jugement entrepris » (CA Pau, 2e ch., sect. 1, 29 septembre 2026, n° 25/00166, décision publiée). La situation d’un franchisé privé de froid pendant des semaines n’est pas identique à celle d’une ouverture interdite par l’administration, mais la méthode est la même : mise en demeure préalable, délai raisonnable de rétablissement, puis saisine du juge si le réseau ne restaure pas un outil de travail. La résiliation unilatérale sans juge expose au paiement de redevances et à une action en rupture abusive ; elle reste l’option du dernier recours, documentée par un huissier.

Contre le prestataire qui supervise les installations et contre le fabricant du système, le terrain est celui de la responsabilité contractuelle pour le premier et délictuelle pour le second, sauf chaîne de contrats transmissive. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La faute du fabricant pourrait résider dans une vulnérabilité connue et non corrigée, celle du prestataire dans une supervision défaillante ou des alarmes neutralisables trop facilement. À ce stade, tout cela relève du conditionnel : l’Anssi aurait identifié une vulnérabilité dans le logiciel du fabricant danois selon l’entourage du Premier ministre cité par BFMTV, tandis que ce fabricant aurait indiqué que le problème ne venait pas de chez lui selon le président du groupement. Une « guerre juridique » est prédite entre les distributeurs et le fabricant, toujours selon les propos rapportés par BFMTV. Le franchisé n’a pas à choisir son camp dans la presse : il assigne sur la base de son préjudice, et c’est l’expertise judiciaire qui départagera les responsabilités techniques. Les lecteurs confrontés à une fuite de données dans un réseau trouveront des réflexes voisins dans notre analyse de la fuite de données chez un réparateur en réseau : ce que doivent décider tête de réseau, franchisés et fournisseurs, et ceux dont le prestataire est directement en cause dans notre dossier sur la revendication de piratage visant des agences et leurs prestataires : ce que doivent décider franchiseur, agences et prestataires.

B. Pertes de la cyberattaque : comment chiffrer la marge perdue et dans quels délais agir ?

Le préjudice d’un franchisé privé de froid se compose de couches qu’il faut chiffrer séparément : denrées détruites au prix d’achat, marge brute perdue sur les ventes impossibles, frais de remise en état (nettoyage, contrôles, relocation de stocks, groupes froids de secours), heures supplémentaires et intérim, honoraires d’expertise et de constat, et éventuel trouble commercial durable si la clientèle s’est détournée. La méthode de la marge brute est celle que la Cour de cassation valide en matière de relations commerciales : « engage la responsabilité de son auteur et l’oblige à réparer le préjudice causé le fait de rompre brutalement une relation commerciale établie, sans préavis écrit tenant compte de la durée de la relation commerciale », et ce au visa du « principe de la réparation intégrale du préjudice » (Cass. com., 29 janvier 2025, n° 23-19.972, décision publiée). Dans cette affaire, la perte de marge sur la durée du préavis non respecté s’élevait à 91 566,25 euros et la Cour a censuré la déduction des marges réalisées après la période indemnisable. Transposé au franchisé : la marge perdue se calcule sur la période exacte de fermeture ou de vente dégradée, rayon par rayon, à partir du taux de marge sur coûts variables de chaque famille de produits, sans compensation avec les semaines meilleures qui suivront la réouverture.

Le dossier comptable doit être irréprochable : balance et grand-livre, tickets de caisse de la période comparable de l’année précédente corrigés de la tendance, inventaires avant et après, bons de destruction, factures du mainteneur et du loueur de matériel de secours. L’expert-comptable du franchisé chiffre, le commissaire aux comptes ou l’expert judiciaire vérifie, et l’assureur perte d’exploitation applique sa franchise et son plafond. Quand le réseau conteste les chiffres, c’est ce dossier, constitué dès la première semaine, qui emporte la conviction du tribunal de commerce. Les franchisés dont la tête de réseau traverse elle-même une zone de turbulences liront utilement notre dossier sur le franchiseur en difficulté : ce que doivent décider franchisés et fournisseurs, car la solvabilité du débiteur conditionne toute stratégie de recouvrement.

Les délais courent vite et ils ne sont pas les mêmes selon les actions. Entre commerçants, l’article L. 110-4 du code de commerce fixe à cinq ans la prescription des obligations nées à l’occasion de leur commerce, ce qui laisse le temps de consolider le chiffrage mais n’autorise pas l’attentisme : les preuves fraîches valent de l’or et les souvenirs s’effacent. La mise en demeure au réseau et au prestataire part dès que le chiffrage provisoire est établi, avec rappel des fondements et proposition d’expertise amiable contradictoire. Si le dialogue échoue, l’assignation au fond ou le référé-expertise fige les constatations techniques avant toute remise en service qui effacerait les traces. Côté pénal, la plainte avec constitution de partie civile suit son propre calendrier de six ans et permet d’accéder aux constatations de l’OFAC, précieuses pour le procès civil. Côté CNIL, le compteur des 72 heures, lui, ne pardonne pas : il impose de traiter la notification en parallèle du sauvetage commercial, dès les premières heures.

Conclusion

Le franchisé dont les frigos ont chauffé dans la nuit du 11 au 12 octobre 2026 doit mener trois chantiers en même temps : sauver le magasin et détruire les stocks impropres avec un dossier de preuves horodaté, notifier la CNIL dans les 72 heures si des données personnelles sont concernées pendant que le prestataire alerte dans les meilleurs délais, puis chiffrer la marge perdue et mettre en demeure le réseau, le prestataire et, le cas échéant, le fabricant. La force majeure ne se présume pas, la violation du règlement européen n’ouvre réparation qu’à condition de prouver un dommage, et la résolution du contrat de franchise passe par le juge. L’enquête de l’OFAC dira comment les attaquants ont pris la main sur la supervision et si un correctif manquant est en cause ; en attendant, aucune responsabilité n’est établie contre le fabricant ni contre le réseau, les contrats signés priment sur toute analyse générale et seul le juge, au vu de l’expertise, départagera les fautes alléguées. Documenter aujourd’hui, c’est se donner les moyens d’être indemnisé demain.