Le 12 octobre 2026 en fin de journée, une partie des systèmes d’information de Solutions30 a subi un incident de cybersécurité. Dans un communiqué publié le 13 octobre 2026, l’entreprise reconnaît que ses premières investigations font apparaître la possibilité que certaines données relatives à des clients du groupe aient été consultées ou divulguées sans autorisation. Parallèlement, un pirate se présentant sous le pseudonyme Syrv4x revendique la mise en vente, sur un forum cybercriminel, d’une base de plus de 10 millions de lignes, soit environ 34 Go, contenant des noms, des adresses postales et des numéros de téléphone qui proviendraient d’interventions réalisées pour le compte d’opérateurs de télécommunications et d’un gestionnaire de réseau électrique. Ces volumes et cette provenance restent, à ce stade, les allégations du pirate : le communiqué de l’entreprise ne les confirme ni l’un ni l’autre. L’entreprise indique avoir activé ses procédures de gestion de crise, sécurisé ses systèmes, déposé plainte, informé individuellement les clients potentiellement concernés et engagé les notifications aux autorités compétentes, tandis que ses activités se poursuivraient normalement, selon les informations rapportées par la presse économique le 16 octobre 2026.
La situation intéresse directement des centaines de milliers de foyers : Solutions30 a installé environ un quart des compteurs Linky en France pour le compte d’Enedis, dont elle a été le premier partenaire, et ses techniciens interviennent au domicile des abonnés pour le raccordement à la fibre des grands opérateurs. Si vous avez reçu la visite d’un technicien mandaté par cette chaîne de sous-traitance, vos coordonnées ont pu circuler dans les systèmes visés. Aucune intrusion, aucun vol de données ni aucun dommage n’est toutefois constaté par une source officielle au-delà de ce que reconnaît le communiqué de l’entreprise, aucune responsabilité n’est établie, les contrats signés entre les opérateurs, le prestataire et les clients priment sur toute analyse générale, et seul le juge tranchera les litiges qui naîtraient de cet incident. Cet article décrit, d’un côté, ce que les personnes potentiellement concernées peuvent vérifier et entreprendre, et, de l’autre, les obligations qui s’enclenchent pour l’entreprise attaquée, ses donneurs d’ordre et ses actionnaires.
I. Fuite de données personnelles après la cyberattaque Solutions30 : que faire quand un prestataire intervenu à votre domicile est visé
A. Vérifier que vos nom, adresse postale et téléphone sont concernés, puis verrouiller vos comptes et vos accès
Le premier réflexe consiste à déterminer si vous faites partie des personnes potentiellement concernées. L’entreprise a annoncé que les clients potentiellement concernés seraient informés individuellement et accompagnés. Si vous avez fait l’objet d’une intervention à domicile pour l’installation d’un compteur Linky ou pour un raccordement à la fibre optique au cours des dernières années, conservez précieusement le courrier, le courriel ou le message que le groupe ou votre opérateur pourrait vous adresser : ce document fixe la date à laquelle vous avez été averti et décrit les catégories de données exposées selon l’entreprise. En l’absence de notification individuelle, rien ne permet d’affirmer que vos données figurent dans la base revendue, et rien ne permet non plus de l’exclure : les volumes cités dans la presse, 10,3 à 10,38 millions de lignes, restent ceux que revendique le pirate, et un site spécialisé qui dit avoir analysé un échantillon de 1 500 enregistrements y a trouvé des noms, des adresses postales, des numéros de téléphone, des informations professionnelles et des références de partenaires. D’après ce même site, ces éléments présenteraient notamment un risque d’usurpation de l’identité des techniciens intervenant au domicile des particuliers.
Lorsque la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, c’est au responsable du traitement de vous en informer directement. Le texte applicable dispose : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » (article 34, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016). Cette communication doit décrire, en des termes clairs et simples, la nature de la violation et les mesures à prendre. Elle n’est pas exigée dans trois cas : si les données affectées avaient été rendues incompréhensibles par des mesures telles que le chiffrement, si des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus, ou si l’information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique permettant une information tout aussi efficace y supplée. Concrètement, surveillez donc aussi les communications publiques de l’entreprise et de votre opérateur, et pas seulement votre boîte aux lettres.
En attendant d’y voir clair, appliquez des mesures de verrouillage proportionnées au contenu supposé exposé. Des nom, adresse postale et numéro de téléphone servent d’abord au démarchage agressif, aux tentatives d’hameçonnage par SMS et aux appels frauduleux : ne communiquez jamais de code reçu par SMS, vérifiez l’identité de tout interlocuteur qui se prévaut d’une intervention technique, et refusez l’entrée à votre domicile à toute personne dont la venue n’a pas été confirmée par votre opérateur via ses canaux habituels. La vigilance s’impose tout particulièrement face aux faux techniciens : un individu qui se présente à votre porte en se réclamant du prestataire pour « vérifier votre compteur » ou « sécuriser votre ligne » après une fuite médiatisée peut chercher à s’introduire chez vous ou à vous soutirer des informations bancaires. Or la loi pénale définit ainsi l’escroquerie : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », et précise qu’elle « est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende » (article 313-1 du code pénal). En cas de visite suspecte, relevez l’immatriculation du véhicule, conservez tout document laissé sur place et alertez votre opérateur puis les forces de l’ordre.
Parallèlement, exercez vos droits sur vos données. Le Conseil d’État rappelle que, « conformément au paragraphe 2 de l’article 12 du règlement général sur la protection des données du 27 avril 2016, le responsable de traitement facilite l’exercice des droits conférés à la personne concernée en vertu des articles 15 à 22 du même règlement, en particulier de son droit d’accès aux données traitées ainsi que de son droit de s’opposer à tout moment au traitement » (Conseil d’État, 26 avril 2022, n° 449284, Optical Center, lien officiel). Vous pouvez donc écrire au responsable du traitement, votre opérateur ou le prestataire selon le cas, pour demander quelles données vous concernant sont détenues, d’où elles proviennent et à qui elles ont été transmises, et pour vous opposer à leur utilisation à des fins de prospection. Ces démarches écrites, envoyées en recommandé avec accusé de réception ou via les canaux traçables des opérateurs, constitueront plus tard la preuve de votre diligence si vous devez saisir une autorité ou un juge. Une situation comparable, la cyberattaque ayant visé un organisme de formation et exposé les données de 1,7 million de personnes, a déjà donné lieu à des conseils pratiques détaillés sur les premières démarches des victimes (fuite de données après une cyberattaque : plainte et indemnisation).
B. Porter plainte pour piratage, préserver ses preuves et chiffrer son préjudice avant tout recours
Si vous constatez une utilisation frauduleuse de vos données, par exemple des appels d’usurpateurs qui citent votre adresse exacte, des inscriptions ouvertes à votre nom ou des prélèvements inexpliqués, déposez plainte. Plusieurs qualifications pénales correspondent aux différentes facettes d’une cyberattaque suivie d’une revente de données. L’accès initial au système est visé par l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). L’exploitation de la base dérobée relève de l’article 323-3 : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal). Quant à l’usage illicite des données elles-mêmes, il peut caractériser le délit prévu à l’article 226-16 du même code : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-16 du code pénal). La Cour de cassation donne à ces textes une portée concrète et sévère : « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cour de cassation, chambre criminelle, 2 septembre 2025, n° 24-83.605, lien officiel). Autrement dit, même un accès initialement autorisé devient frauduleux dès lors qu’il est détourné de sa mission et dissimulé aux titulaires des données.
Le temps de la plainte est encadré par la prescription. Pour ces délits, le texte applicable énonce : « L’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise. » (article 8 du code de procédure pénale). Ce délai de six ans court, selon les termes mêmes de l’article 8, à compter du jour où l’infraction a été commise, ce qui impose de ne pas attendre : signalez les faits sans tarder sur la plateforme de signalement du ministère de l’Intérieur (internet-signalement.gouv.fr), déposez plainte au commissariat ou à la brigade territoriale, ou écrivez directement au procureur de la République, et saisissez parallèlement la CNIL via son téléservice de plainte (cnil.fr). À Paris et en Île-de-France, où siège la CNIL et où le tribunal judiciaire de Paris concentre un contentieux nourri des données personnelles, les victimes franciliennes peuvent déposer plainte dans n’importe quel commissariat parisien ou de petite couronne, adresser leur plainte au parquet de Paris pour les faits les plus graves, et saisir la CNIL en ligne en joignant la notification individuelle reçue, les courriers échangés avec l’opérateur et le relevé précis des utilisations frauduleuses constatées. Conservez chaque preuve dans son format d’origine : captures d’écran datées des messages suspects, enregistrements des appels avec numéros affichés, relevés bancaires, courriers de l’entreprise et de l’opérateur. La plainte avec constitution de partie civile devant le juge d’instruction reste la voie énergique lorsque l’enquête simple piétine, mais elle suppose des faits précis et documentés.
Obtenir réparation suppose ensuite de démontrer un dommage concret, et non la seule existence de la fuite. Le principe général demeure celui de l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). En matière de données personnelles, le règlement européen ouvre bien un droit à réparation : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », selon l’article 82, paragraphe 1, du règlement (UE) 2016/679 tel que cité par la Cour de cassation. Mais la Haute juridiction vient de trancher une question que beaucoup de victimes se posent : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et il appartient au juge d’apprécier « si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral » (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792, lien officiel). Appliquée aux victimes d’une fuite, cette solution signifie qu’il faut chiffrer des postes réels : frais bancaires et de réédition de documents, heures perdues et démarches justifiées, changement de numéro et surcoût d’abonnement, préjudice moral documenté par attestations, voire perte de chance précisément établie. La Cour de cassation admet d’ailleurs, en matière pénale, que « la perte de confiance éprouvée par M. [G], suite aux agissements de M. [L], était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal retenu à la charge du prévenu » (Cour de cassation, chambre criminelle, 2 septembre 2025, n° 24-83.605, lien officiel), ce qui illustre qu’un trouble moral caractérisé et rattaché aux faits peut être indemnisé dès lors qu’il est prouvé.
Reste la voie collective, souvent évoquée après les fuites massives, mais dont les conditions sont strictes. L’article 37 de la loi n° 78-17 du 6 janvier 1978 ouvre l’action de groupe en matière de données personnelles lorsque plusieurs personnes physiques placées dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature au règlement européen ou à la loi, du fait d’un responsable de traitement ou d’un sous-traitant, l’action étant portée devant la juridiction compétente au vu des cas individuels présentés par le demandeur, qui en informe la CNIL (tribunal judiciaire de Paris, 1/7 actions de groupe, 18 décembre 2024, RG n° 19/08151, portalis n° 352J-W-B7D-CQIGQ, qui reproduit ce texte). Or, dans la première grande action de groupe française en matière de données personnelles, intentée par une association de consommateurs contre un géant du numérique, le tribunal a estimé que l’association ne démontrait pas qu’au moins deux des cas individuels présentés remplissaient les conditions de recevabilité de l’article 37, les quatre utilisateurs décrits n’étant ni dans des situations similaires, ni assortis d’un dommage décrit, ni rattachés à un manquement caractérisé, et a en conséquence déclaré l’action irrecevable (tribunal judiciaire de Paris, 1/7 actions de groupe, 18 décembre 2024, RG n° 19/08151, UFC-Que Choisir contre Google LLC et Google Ireland Limited). Les cas individuels présentés n’étaient ni dans des situations similaires, ni assortis d’un dommage décrit, ni rattachés à un manquement caractérisé. La leçon pour les personnes qui se regrouperaient après la cyberattaque visant Solutions30 est directe : une action collective ne prospère que si au moins deux victimes documentent de façon homogène la même situation, le même manquement et le même type de dommage. Avant d’en arriver là, les recours individuels devant le juge civil, fondés sur l’article 1240 du code civil et l’article 82 du règlement européen, restent la voie la plus maîtrisée dès lors que le dommage est prouvé.
II. Cyberattaque d’une société cotée : notification à la CNIL, donneurs d’ordre et actionnaires face à l’incident
A. Notification à la CNIL dans les 72 heures et information des personnes : qui doit faire quoi, et sous quel contrôle
Du côté de l’entreprise, le compte à rebours court dès la découverte de l’incident. Le règlement européen impose : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. » (article 33, paragraphe 1, du règlement (UE) 2016/679). La notification adressée à la CNIL doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, le point de contact du délégué à la protection des données, les conséquences probables et les mesures prises ou envisagées ; si elle intervient après 72 heures, elle doit exposer les motifs du retard (article 33, paragraphe 1, du règlement (UE) 2016/679), et les informations peuvent être communiquées de manière échelonnée sans retard indu. Le sous-traitant, lui, n’a pas 72 heures : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. » (article 33, paragraphe 2, du même règlement). Dans l’affaire Solutions30, où le prestataire intervient pour le compte d’opérateurs et d’un gestionnaire de réseau, cette remontée immédiate vers les donneurs d’ordre conditionne leur propre notification à la CNIL : chaque heure perdue dans la chaîne contractuelle rapproche le responsable du dépassement du délai. Le responsable doit en outre documenter chaque violation, avec les faits la concernant et ses effets, dans un registre que la CNIL peut contrôler (article 33, paragraphe 5, du règlement (UE) 2016/679).
L’obligation de sécurité qui sous-tend tout le dispositif pèse sur les deux maillons de la chaîne. Le Conseil d’État juge que, « conformément à l’article 32 du règlement général sur la protection des données du 27 avril 2016, il incombe au responsable de traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, et notamment, en fonction des risques que présente le traitement, des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement, ainsi que de mettre en place une procédure permettant de tester, analyser et évaluer régulièrement l’efficacité de ces mesures » (Conseil d’État, 26 avril 2022, n° 449284, lien officiel). Dans cette affaire, une enseigne d’optique avait vu les données de près de 200 000 clients européens compromises, le Conseil d’État relevant que « la vulnérabilité du système informatique à l’origine de la violation des données de près de 200 000 clients européens est la conséquence directe de l’absence de mise en œuvre par la société Optical Center d’un contrôle régulier sur les mesures techniques et organisationnelles prises par son sous-traitant chargé d’assurer la sécurité de son site web », situation aggravée par une politique de mots de passe insuffisamment robuste alors que les données incluaient des numéros de sécurité sociale. La CNIL avait prononcé une amende de 250 000 euros avec injonction de mise en conformité sous astreinte, et le Conseil d’État a rejeté le recours de la société. Trois enseignements valent pour tout prestataire attaqué : le donneur d’ordre ne peut pas se défausser sur son sous-traitant informatique, il doit contrôler régulièrement les mises à jour et la robustesse des accès ; le sous-traitant opérationnel, comme un groupe d’intervention technique qui détient des millions de coordonnées issues de ses tournées, doit lui-même chiffrer, cloisonner et tester ses systèmes ; et la coopération avec la CNIL, l’auto-signalement et les mesures correctrices rapides sont pris en compte pour apprécier la proportionnalité de la sanction, sans pour autant l’effacer. Les amendes administratives doivent en effet, dans chaque cas, être « effectives, proportionnées et dissuasives », leur montant étant apprécié au regard notamment de la nature, de la gravité et de la durée de la violation, du nombre de personnes affectées, du niveau de dommage, du degré de coopération et de la manière dont l’autorité a eu connaissance des faits.
Le choix des sous-traitants se joue en amont, dans le contrat. Le règlement prévoit que le responsable « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée » (article 28, paragraphe 1, du règlement (UE) 2016/679), et que le traitement par un sous-traitant est régi par un contrat qui définit l’objet, la durée, la nature, la finalité, les types de données et les catégories de personnes concernées, le sous-traitant ne traitant les données que sur instruction documentée du responsable. Pour les opérateurs qui confient à un prestataire des interventions au domicile de millions d’abonnés, avec collecte d’adresses, de numéros et de créneaux de présence, ce contrat de sous-traitance, souvent appelé DPA, doit organiser l’audit régulier, la notification immédiate en cas d’incident, la restitution et la suppression des données en fin de mission, et la répartition des coûts d’une violation. Lorsqu’un prestataire refuse de signer un tel contrat ou de s’y soumettre, le donneur d’ordre doit le mettre en demeure, suspendre les flux et, si nécessaire, changer de prestataire, comme l’illustrent les litiges déjà nés de ces refus (sous-traitant qui refuse le contrat RGPD : mise en demeure et audit). À l’inverse, une entreprise cliente dont le prestataire informatique est lui-même piraté dispose de recours propres, de la résiliation à la réparation (prestataire informatique piraté : résilier et obtenir réparation).
B. Solutions30 en Bourse et sous-traitant des opérateurs : ce que l’attaque change pour les actionnaires, les clients donneurs d’ordre et les contrats en cours
Solutions30 est une société cotée sur Euronext, suivie par les analystes et les actionnaires individuels, et l’annonce d’une cyberattaque par une société cotée touche immédiatement au droit de l’information financière. Le règlement européen sur les abus de marché dispose : « Tout émetteur rend publiques, dès que possible, les informations privilégiées qui concernent directement ledit émetteur. » (article 17, paragraphe 1, du règlement (UE) n° 596/2014 sur les abus de marché). Le communiqué du 13 octobre 2026, qui reconnaît l’incident du 12 octobre, décrit les premières constatations, annonce la plainte, l’information individuelle des clients et les notifications aux autorités, et assure de la continuité des activités, s’inscrit dans cette logique d’information rapide du marché : les faits rapportés par la presse économique montrent une société qui communique dans les vingt-quatre heures et affirme la poursuite normale de ses opérations. Si l’incident devait ultérieurement apparaître comme une information privilégiée au sens du règlement, par exemple en cas d’impact financier significatif ou de remise en cause de contrats majeurs, l’émetteur devrait compléter son information sans retard, par le canal réglementé et sur son site internet où ces informations doivent être conservées au moins cinq ans. Les actionnaires qui s’estimeraient lésés par une information inexacte, incomplète ou tardive disposent du droit commun de la responsabilité, l’article 1240 du code civil déjà cité, et peuvent alerter le régulateur boursier (amf-france.org), seul juge, avec les tribunaux, de la qualité de l’information financière délivrée. La prudence s’impose toutefois dans les deux sens : aucune perte boursière durable ni aucun manquement à l’information du marché n’est établi à ce stade, et la variation quotidienne d’un cours ne prouve à elle seule ni un préjudice ni une faute.
Pour les donneurs d’ordre, opérateurs de télécommunications et gestionnaire de réseau dont les clients auraient été exposés par l’intermédiaire du prestataire, l’incident pose la question de leur propre qualité de responsables de traitement. Lorsqu’un opérateur confie à une société de services techniques les interventions à domicile, avec transmission des coordonnées des abonnés et remontée des comptes rendus d’intervention, il détermine les finalités et les moyens du traitement et en reste responsable au sens du règlement, quand bien même l’intrusion a frappé les systèmes du sous-traitant. Il lui appartient donc de vérifier s’il doit notifier lui-même la violation à la CNIL dans le délai de 72 heures et informer les abonnés concernés en cas de risque élevé, sans se retrancher derrière la notification effectuée par le prestataire. Les revendications du pirate, qui attribue la base aux interventions réalisées pour le compte de grands opérateurs et d’Enedis, restent des allégations à prendre au conditionnel, mais elles désignent le périmètre des vérifications que chaque donneur d’ordre doit conduire : rapprocher les catégories de données revendues de celles qu’il a effectivement confiées, auditer les flux avec le prestataire, et exiger la preuve des mesures de sécurisation prises depuis l’incident. Contractuellement, les conventions de sous-traitance prévoient généralement des clauses de sécurité, d’audit, de pénalités et de résiliation pour manquement grave, ainsi qu’une répartition du coût des notifications et des indemnisations ; leur mise en œuvre relève de négociations interentreprises où chaque partie s’appuie sur ses propres conseils, et les contrats signés priment sur toute lecture générale des responsabilités.
Enfin, l’incident interroge la continuité des contrats en cours et la couverture assurantielle. Le communiqué affirme la poursuite normale des activités et des prestations, et un client, public ou privé, ne peut ni suspendre ses paiements ni résilier ses marchés au seul motif d’une cyberattaque médiatisée : il doit démontrer un manquement contractuel caractérisé, mettre en demeure son cocontractant et respecter les procédures de résiliation prévues aux contrats, sous le contrôle du juge. Les entreprises avisées vérifieront leur police d’assurance cyber, qui prend en charge, selon les garanties souscrites, les frais d’investigation et d’expertise, les coûts de notification, l’assistance juridique et, parfois, les pertes d’exploitation et les réclamations de tiers. Les dirigeants, eux, documenteront les décisions prises pendant la crise, activation de la cellule de crise, choix techniques, arbitrages d’information, car leur responsabilité personnelle peut être recherchée en cas de faute de gestion détachable de leurs fonctions. À l’échelle du marché, cette affaire s’ajoute à une série d’attaques contre des prestataires critiques, après les fuites massives visant des enseignes en ligne dont les dirigeants ont dû gérer notification et clients dans l’urgence (boutique en ligne piratée : notification CNIL et clients). Elle confirme une tendance de fond : la sécurité des données ne se joue plus seulement dans les systèmes du responsable du traitement, mais dans toute la chaîne de ses sous-traitants, jusqu’au technicien qui sonne à la porte.
Conclusion
À la date de rédaction, les faits établis tiennent en quelques lignes : Solutions30 a reconnu, par un communiqué du 13 octobre 2026, un incident de cybersécurité survenu le 12 octobre sur une partie de ses systèmes, avec une possible exposition de données de clients, et a annoncé une plainte, l’information individuelle des clients concernés et des notifications aux autorités, ses activités se poursuivant normalement. Tout le reste, les 10,3 millions de lignes, les 34 Go, la provenance des interventions et l’étendue réelle des données compromises, appartient au registre des allégations d’un pirate ou des constatations partielles d’un site spécialisé sur un échantillon, et doit être lu au conditionnel. Pour les personnes potentiellement concernées, la marche à suivre est claire : vérifier la notification reçue, verrouiller ses comptes, se méfier des faux techniciens, exercer ses droits d’accès et d’opposition, déposer plainte sans attendre le délai de six ans de la prescription des délits, et ne réclamer réparation que sur un dommage prouvé, l’action de groupe supposant pour sa part au moins deux cas homogènes et documentés. Pour l’entreprise, ses donneurs d’ordre et ses actionnaires, les obligations sont symétriques : notification à la CNIL dans les 72 heures, information des personnes en cas de risque élevé, contrôle effectif des sous-traitants, information rapide du marché pour la société cotée, et mise en œuvre loyale des contrats. Aucune responsabilité n’est établie à ce jour, les contrats signés priment sur toute analyse générale, et seul le juge, saisi de faits précis et prouvés, dira qui doit répondre de quoi.