Dans la nuit du dimanche 12 au lundi 13 octobre 2026, les systèmes de régulation du froid de plusieurs centaines de magasins de la grande distribution ont été déréglés à distance, selon Le Figaro du 14 octobre 2026. Le quotidien décrit des boîtiers de régulation pilotés par une simple interface web qui auraient servi de porte d’entrée, des tonnes de marchandises détruites et des dirigeants d’enseignes reconnaissant un manque de culture de la sécurité. L’un d’eux, cité par le journal, déclare notamment qu’il faut sécuriser aussi bien les données des clients que l’ensemble des systèmes.
À la date de rédaction du présent article, aucune source officielle n’a constaté que des données du personnel de ces magasins auraient été consultées, copiées ou diffusées à l’occasion de ces faits, et aucune responsabilité n’est établie. Les contrats signés entre les magasins, leurs prestataires et leurs salariés priment sur toute analyse générale, et seul le juge, saisi des faits exacts d’un dossier, peut dire si une règle a été méconnue et si un préjudice doit être réparé. Les développements qui suivent sont donc de portée générale : ils décrivent les vérifications utiles à tout salarié dont l’employeur annonce qu’une cyberattaque a pu exposer des données du personnel, sans préjuger d’aucune situation particulière.
Car la question se pose concrètement : quand votre employeur vous annonce que ses systèmes ont été piratés, que deviennent votre bulletin de paie, vos plannings, votre adresse, votre numéro de téléphone, vos identifiants de caisse ou votre messagerie professionnelle ? Qui devait protéger ces informations, qui doit prévenir la CNIL et dans quel délai, devez-vous être informé personnellement, et que pouvez-vous exiger puis obtenir devant la CNIL, au pénal et aux prud’hommes ? Cet article répond point par point, à partir des textes en vigueur et de décisions rendues en 2025 et 2026.
I. Une cyberattaque contre les systèmes du magasin : ce qu’elle change pour les données du personnel
A. Repérer les traitements exposés et les rôles de chacun
Le premier réflexe consiste à identifier ce qui a pu être atteint. Dans un magasin, les données du personnel ne se trouvent pas seulement dans le logiciel de paie. Elles figurent dans les plannings affichés ou partagés, les dossiers de recrutement et les contrats, les relevés d’heures et les badgeuses, les adresses électroniques et numéros professionnels, les historiques de caisse rattachés à un matricule, les images de vidéosurveillance, les échanges de messagerie et, de plus en plus, les applications mobiles imposées aux équipes. Chacun de ces ensembles constitue un traitement de données à caractère personnel, soumis aux principes du règlement (UE) 2016/679 : licéité, loyauté et transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité.
Le deuxième réflexe consiste à situer les responsabilités. L’employeur qui détermine les finalités et les moyens de la paie, des plannings ou de la messagerie est responsable du traitement. Le prestataire qui héberge ces données, qui maintient les serveurs ou qui pilote à distance des équipements connectés agit en principe comme sous-traitant, pour le compte et sur instruction de l’employeur. Cette distinction commande toute la suite : les obligations de sécurité pèsent sur les deux acteurs, mais la notification à l’autorité de contrôle incombe au responsable du traitement, tandis que le sous-traitant doit l’alerter dans les meilleurs délais après avoir pris connaissance de la violation. Une cyberattaque qui entre par un équipement connecté géré par un tiers ne déplace donc pas la responsabilité : elle la partage selon les rôles, et le salarié peut exiger des comptes d’abord auprès de son employeur.
Troisième point de vigilance : la collecte et l’information préalables. En droit français, aucun dispositif ne peut servir à collecter une information concernant personnellement un salarié sans avoir été porté préalablement à sa connaissance. C’est la lettre de l’article L1222-4 du code du travail : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Parallèlement, l’article L1121-1 du même code dispose : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Concrètement, si l’enquête interne ouverte après la cyberattaque conduit l’employeur à exploiter des journaux de connexion, des écoutes, des géolocalisations ou des images pour surveiller les salariés au lieu de réparer la faille, ces mesures doivent rester justifiées et proportionnées, faute de quoi les preuves ainsi recueillies et les sanctions qui s’ensuivraient pourraient être contestées.
Enfin, il faut qualifier l’incident en droit des données. Constitue une violation de données à caractère personnel toute destruction, perte, altération, divulgation non autorisée ou tout accès non autorisé, d’origine accidentelle ou illicite, affectant des données transmises, conservées ou traitées d’une autre manière. Un rançongiciel qui chiffre le serveur de paie, une extraction de la base des salariés, la diffusion d’un fichier de plannings sur un forum ou la simple ouverture d’un accès distant aux boîtes professionnelles entrent dans cette définition dès lors que des données identifiantes sont concernées. En revanche, une panne qui ne touche que des équipements sans exposer de données personnelles, ou un chiffrement sans exfiltration ni perte d’accès durable, ne produit pas nécessairement une violation au sens du règlement : tout dépend de ce que l’analyse technique établit, et c’est cette analyse, documentée par écrit, qui conditionne les obligations suivantes.
B. Ce que l’employeur doit faire : sécuriser, documenter, notifier en 72 heures, informer si le risque est élevé
La sécurité n’est pas une option. Le règlement européen impose au responsable du traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l’état des connaissances, des coûts, de la nature et des finalités du traitement. Sont cités entre autres la pseudonymisation et le chiffrement, la garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes, le rétablissement rapide de la disponibilité après incident, et une procédure régulière de test et d’évaluation de l’efficacité des mesures. Des interfaces d’administration exposées sur internet sans authentification robuste, des mots de passe partagés entre magasins, l’absence de journalisation ou de sauvegardes isolées : chacun de ces constats, s’il était établi dans un dossier, fragiliserait la démonstration par l’employeur qu’il avait pris les mesures adaptées.
Vient ensuite la documentation. Toute violation doit être consignée en interne dans un registre des violations, avec les faits, les effets et les mesures prises pour y remédier. Ce registre peut être contrôlé par la CNIL. La CNIL l’explique dans ses règles dédiées aux violations : même lorsqu’aucune notification ni information n’est due, parce que l’incident ne crée aucun risque pour les droits et libertés, la documentation interne reste obligatoire.
Le troisième étage est la notification à la CNIL. La CNIL l’énonce ainsi dans ses règles dédiées aux violations : si la violation entraîne un risque pour les droits et libertés, le responsable doit la notifier à la CNIL au plus tôt et dans un délai maximal de 72 heures ; s’il n’existe aucun risque, aucune notification ni information n’est due, la CNIL pouvant en revanche contrôler la documentation interne. Quant aux prestataires qui traitent des données pour le compte de l’employeur, le même guide rappelle que ces prestataires doivent en particulier alerter l’organisme de tout incident de sécurité dans les meilleurs délais, afin qu’il puisse remplir ses propres obligations. Dans une chaîne où un prestataire pilote à distance des équipements du magasin, ce dernier doit donc alerter l’employeur sans attendre, pour que le délai de 72 heures puisse être tenu. La CNIL résume ainsi la gradation : aucun risque, documentation seule ; un risque, documentation et notification CNIL sous 72 heures au plus tard ; un risque élevé, documentation, notification CNIL et information des personnes concernées dans les meilleurs délais.
L’information individuelle des salariés n’est donc due que si la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés : usurpation d’identité avec des données d’état civil et des coordonnées complètes, accès à des données bancaires, à des mots de passe en clair, à des données de santé ou à des éléments permettant un chantage. Cette communication se fait en des termes clairs et simples et décrit la nature de la violation, un point de contact, les conséquences probables et les mesures prises ou proposées. Trois exceptions dispensent d’informer nominativement : les données rendues incompréhensibles par une protection éprouvée, par exemple un chiffrement à l’état de l’art dont la clé n’a pas été compromise ; des mesures ultérieures garantissant que le risque élevé ne se matérialisera plus, par exemple des identifiants volés mais jamais utilisés puis réinitialisés ; ou des efforts disproportionnés pour joindre chacun, auquel cas une communication publique d’efficacité équivalente doit être réalisée. C’est dire que le silence de l’employeur ne prouve rien à lui seul : il peut signifier qu’aucune donnée du personnel n’était concernée, que le risque a été neutralisé, ou au contraire qu’une obligation a été manquée. Seule la réclamation permet de le vérifier, comme on le verra.
II. Vos recours concrets de salarié après l’annonce d’une cyberattaque
A. Vérifier ce qui vous concerne : accès aux données, réclamation CNIL et plainte pénale
Le droit d’accès est l’outil de départ. Toute personne peut obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données ainsi que les finalités, les catégories concernées, les destinataires, la durée de conservation envisagée, l’existence des droits de rectification, d’effacement, de limitation et d’opposition, et le droit d’introduire une réclamation. C’est l’article 15 du règlement européen qui l’organise, et le responsable doit faciliter cet exercice et répondre dans un délai d’un mois, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, en informant la personne des motifs du report.
Adressez donc à votre employeur une demande écrite et précise : copie de l’ensemble des données vous concernant dans les fichiers informatisés et manuels, métadonnées et contenu des courriels professionnels vous concernant sur une période définie, relevés d’heures et de badgeage, plannings conservés, enregistrements vous visant. Demandez sous quelle forme la copie sera fournie et conservez la preuve de l’envoi. Si la réponse est incomplète, tardive ou confuse, vous pouvez saisir la CNIL d’une réclamation : ce droit est ouvert à toute personne qui considère que le traitement de ses données constitue une violation du règlement, et l’autorité doit informer l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel. L’article 77 du même règlement ouvre à toute personne concernée, sans préjudice de tout autre recours administratif ou juridictionnel, le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, lorsqu’elle considère que le traitement de ses données constitue une violation du règlement.
La jurisprudence récente montre que ce chemin produit des résultats tangibles. Dans un arrêt du 27 février 2025, la cour d’appel de Rennes, chambre prud’homale, a ordonné à une société de transmettre à une ancienne salariée l’ensemble de ses données personnelles dans un format structuré et lisible, avec anonymisation des tiers et usage limité à l’éventuel contentieux prud’homal, sous astreinte provisoire de 50 euros par jour de retard à l’expiration d’un délai de 60 jours suivant la signification, pour 90 jours, en condamnant l’employeur aux dépens et à 2 500 euros au titre des frais irrépétibles (CA Rennes, 7e ch. prud’homale, 27 février 2025, RG n° 24/02772, Portalis DBVL-V-B7I-UYIY). L’affaire illustre aussi les limites : l’employeur avait demandé des précisions sur le périmètre, invoqué le volume et la complexité, la protection des tiers, des secrets et de la correspondance, et la CNIL, saisie entre-temps, était intervenue pour rappeler l’obligation de motiver tout refus et d’informer des voies de recours. Retenez la méthode : demande précise mais complète, mise en demeure avec délai, puis CNIL puis juge, chaque étape documentée.
Si vous souhaitez aller plus loin dans la compréhension de cette procédure d’accès, de ses délais et de ses pièces, un article du cabinet détaille comment exiger la copie de vos données personnelles, saisir la CNIL et le juge et obtenir réparation.
Parallèlement, la voie pénale appartient à toute victime d’une intrusion. L’article 323-1 du code pénal, en vigueur dans sa rédaction issue de la loi du 24 janvier 2023, dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Lorsque l’intrusion a entraîné la suppression ou la modification de données ou une altération du fonctionnement du système, les peines montent à cinq ans d’emprisonnement et 150 000 euros d’amende. Déposez plainte au commissariat ou par la pré-plainte en ligne, avec tout élément utile. Les services sont tenus de recevoir votre plainte : l’article 15-3 du code de procédure pénale dispose que « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » De son côté, l’article 323-3 du code pénal punit de cinq ans d’emprisonnement et de 150 000 euros d’amende « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». : le message d’information de l’employeur, les relevés d’opérations inhabituelles, les courriels de phishing reçus après l’incident, les attestations. La plainte ne préjuge pas de l’issue, mais elle fige les faits, permet des investigations techniques et conserve vos droits à réparation devant le juge pénal comme devant le juge civil ou prud’homal. Signalez également les messages suspects reçus dans la foulée (faux courriels de la direction, SMS demandant vos identifiants) sur la plateforme officielle de signalement des contenus illicites, sans jamais y saisir vos mots de passe.
Un dernier geste pratique : changez sans délai les mots de passe professionnels et personnels réutilisés, activez la double authentification, surveillez vos comptes et opposez-vous à toute prospection née de la fuite. Ces mesures ne valent pas preuve à elles seules, mais elles limitent le dommage, et le juge comme la CNIL apprécient qu’une victime ait agi avec diligence.
B. Obtenir réparation : pas de préjudice automatique, la preuve du dommage concret devant les prud’hommes
Le principe indemnitaire est posé par l’article 82 du règlement européen : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du préjudice subi auprès du responsable du traitement ou du sous-traitant. Tout responsable ayant participé au traitement répond du dommage causé par le traitement contraire au règlement, le sous-traitant seulement s’il a méconnu ses obligations propres ou agi hors des instructions licites. Et le texte prévoit une porte de sortie au paragraphe 3 : le responsable ou le sous-traitant est exonéré de responsabilité s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable.
Deux décisions rendues en 2026 précisent comment les juges français appliquent ce régime aux salariés, et elles se lisent ensemble. D’abord, la chambre sociale de la Cour de cassation, le 24 juin 2026, a censuré une cour d’appel qui avait alloué 5 000 euros de dommages et intérêts en retenant que le non-respect du règlement avait, par lui-même, causé un préjudice au salarié (Cass. soc., 24 juin 2026, pourvoi n° 24-22.792, arrêt n° 571 FS-B, ECLI:FR:CCASS:2026:SO00571). Au visa de l’article 82, paragraphe 1, la Haute juridiction rappelle, dans le sillage de la Cour de justice de l’Union européenne (CJUE, 25 janvier 2024, aff. C-687/21, citée par l’arrêt), que la simple violation du règlement ne suffit pas, à elle seule, à ouvrir un droit à réparation, tout en refusant toute condition de gravité minimale du préjudice moral et en rappelant la fonction compensatoire, et non punitive, de la réparation. Surtout, la personne qui demande réparation doit établir à la fois la violation invoquée et le dommage matériel ou moral que cette violation lui a personnellement causé. En statuant sur un préjudice automatique, sans vérifier si le salarié établissait un dommage causé par la violation constatée, la cour d’appel a violé le texte : cassation partielle. La leçon est nette : alléguer une faille de sécurité ne suffit jamais, il faut démontrer, pièces à l’appui, le dommage qu’elle vous a personnellement causé.
Ensuite, la chambre sociale de la cour d’appel de Lyon, le 18 septembre 2026, illustre l’autre versant, celui de l’employeur diligent (CA Lyon, chambre sociale B, 18 septembre 2026, RG n° 23/06069). Un salarié reprochait à son entreprise la diffusion d’un fichier Excel adressé à 85 salariés pour recueillir des informations sur les permis de conduire, fichier contenant domiciles et adresses électroniques, puis la soustraction frauduleuse de ce fichier et sa diffusion extérieure. La cour écarte la qualification de violation pour la diffusion interne entre adresses professionnelles, rappelle que seules les failles susceptibles d’engendrer un risque pour les droits et libertés doivent être notifiées à la CNIL, et celles susceptibles d’un risque élevé aux personnes concernées, puis constate que l’entreprise, informée de la diffusion externe, avait notifié la violation à la CNIL, informé le comité social et économique — dont la mission légale est « d’assurer une expression collective des salariés permettant la prise en compte permanente de leurs intérêts dans les décisions relatives à la gestion et à l’évolution économique et financière de l’entreprise, à l’organisation du travail, à la formation professionnelle et aux techniques de production » (article L2312-8 du code du travail) — et l’ensemble du personnel des mesures prises, sans que la Commission, saisie, formule la moindre observation, exige de mesure complémentaire ou prenne de sanction. Elle en déduit que les conditions de l’article 82 ne sont pas remplies : à supposer même un dommage lié au traitement, celui-ci ne serait pas imputable à une société elle-même victime d’un acte malveillant, d’autant que le demandeur n’était plus salarié au moment de la diffusion externe. Moralité pratique : face à un employeur qui a chiffré, cloisonné, notifié et informé, le salarié devra établir une faute subsistante et un dommage propre ; face à un employeur resté passif, les mêmes pièces — absence de registre, notification tardive ou inexistante, absence d’information malgré un risque élevé — nourriront à la fois la réclamation CNIL et la demande prud’homale.
Constituez donc votre dossier comme un enquêteur. Conservez le courrier ou le message par lequel l’employeur vous a informé, ou l’absence prouvée d’information ; la copie de vos données obtenue par le droit d’accès, qui révèle ce qui était conservé et depuis quand ; toute trace d’utilisation frauduleuse (comptes ouverts, crédits souscrits, phishing ciblé reprenant vos données exactes) ; vos démarches (oppositions, dépôts de plainte, signalements) et leur coût ; et tout élément de souffrance caractérisée : démarches répétées, temps passé, anxiété documentée par un professionnel, répercussions sur votre vie courante. Le juge prud’homal — le conseil de prud’hommes « règle par voie de conciliation les différends qui peuvent s’élever à l’occasion de tout contrat de travail » et « juge les litiges lorsque la conciliation n’a pas abouti » (article L1411-1 du code du travail) — peut ordonner la communication des pièces, tirer les conséquences d’un refus de collaborer et allouer des dommages et intérêts qui compensent intégralement le préjudice concret, sans enrichissement ni punition, conformément au principe du droit commun selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Si des sanctions disciplinaires ou un licenciement ont été prononcés à partir de données collectées par un dispositif inconnu du salarié ou par des mesures disproportionnées, contestez aussi ces décisions sur le fondement des articles L1222-4 et L1121-1 : une preuve obtenue en méconnaissance de ces garanties peut être écartée, et la sanction qui en dépend s’effondre avec elle.
Pour situer ces démarches patronales dans leur cadre complet — registre, documentation, notification et information — vous pouvez utilement lire l’analyse du cabinet sur la violation de données clients dans l’entreprise : notifier la CNIL en 72 heures, informer, documenter et limiter sanctions et réparations.
Conclusion
Une cyberattaque qui vise les systèmes de votre magasin ne vous laisse pas sans droits, mais elle ne vous donne pas non plus automatiquement droit à une indemnité. À ce jour, aucune source officielle n’a établi que les faits d’octobre 2026 auraient exposé des données du personnel, et aucune responsabilité n’est tranchée ; c’est à partir de votre situation réelle — ce que détenait votre employeur sur vous, ce qui a été atteint, ce qu’il a fait dans les 72 heures, ce qu’il vous a dit — que tout se joue. Vérifiez par le droit d’accès, saisissez la CNIL d’une réclamation en cas de réponse insuffisante, déposez plainte contre les intrus, et ne demandez réparation aux prud’hommes que de ce que vous pouvez prouver : un dommage matériel ou moral concret, causé par une violation caractérisée du règlement. Documenté avec méthode, un dossier de salarié exposé devient un dossier solide ; approximatif, il reste une alerte sans suite. La rigueur de vos premières semaines fera la force de votre recours.