Selon Le Monde du 17 octobre 2026, une cyberattaque a perturbé le pilotage à distance d’équipements frigorifiques utilisés par des enseignes de la grande distribution, avec des rayons perturbés plusieurs jours ; selon Ouest-France du 18 octobre 2026, le retour à la normale a pris environ cinq jours dans le magasin décrit. D’après ces articles de presse, la perturbation serait passée par le système d’un prestataire d’équipements et de supervision, et non par une intrusion directe dans chaque magasin. À la date de rédaction, aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide. Ce point de départ factuel, rapporté au conditionnel chaque fois que la source ne l’établit pas, illustre une configuration devenue courante : l’attaque ne vise plus seulement l’entreprise visible, elle passe par son prestataire informatique, son hébergeur, son outil de supervision ou ses objets connectés.
Pour le lecteur, la question est double. Côté personne fichée, client ou salarié : mes données ont-elles été touchées, dois-je être averti, que puis-je exiger et devant qui ? Côté entreprise cliente du prestataire : qui doit notifier la CNIL, qui prévient les personnes, que faire du contrat, de l’assurance et de la preuve ? Cet article décrit le droit français et européen applicable à ce cas de figure, textes et décisions en main, dans sa version applicable au 18 octobre 2026. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable où une cyberattaque transite par un prestataire ou des objets connectés. Les faits d’actualité sont rapportés d’après la presse citée ci-dessus ; le droit exposé est vérifié article par article. Les contrats signés priment sur toute analyse générale, et seul le juge décide des responsabilités.
I. Comprendre qui fait quoi quand l’attaque passe par le prestataire
A. Responsable du traitement, sous-traitant et objets connectés : des rôles qui commandent tout le reste
Le règlement (UE) 2016/679, dit RGPD, sur EUR-Lex ne raisonne pas en termes de victime apparente ou de prestataire technique, mais en termes de rôles. Le responsable du traitement est celui qui détermine les finalités et les moyens ; le sous-traitant est celui qui traite des données pour le compte du responsable, dans le cadre d’un service ou d’une prestation. La CNIL, dans sa page Cyberattaque : le sous-traitant au centre de la crise, rappelle que le sous-traitant se trouve souvent au centre de la crise, parce qu’il héberge, supervise ou maintient les systèmes de plusieurs clients à la fois. Un outil de supervision de températures, une plateforme de télésurveillance d’équipements frigorifiques, un logiciel de caisse, un routeur maintenu à distance ou une caméra connectée peuvent ainsi faire du fournisseur un sous-traitant au sens du RGPD, dès lors qu’il traite des données personnelles pour le compte du magasin : logs de connexion, identifiants de salariés, images, données de carte de fidélité transitant par le même réseau.
Cette qualification commande les obligations. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique qui lie le sous-traitant à l’égard du responsable du traitement et qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, selon l’article 28, paragraphe 3, du RGPD. Le texte exact dispose : « Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. » Ce contrat prévoit notamment que le sous-traitant ne traite les données que sur instruction documentée du responsable, qu’il garantit la confidentialité, qu’il aide le responsable à répondre aux demandes des personnes et aux obligations de sécurité et de notification, et qu’il n’engage un autre sous-traitant qu’avec autorisation. En pratique, face à une attaque passée par des frigos connectés, la première vérification utile est donc documentaire : quel contrat lie le magasin au prestataire de supervision, quelles données personnelles sont visées, quelles instructions de sécurité et de remontée d’incident y figurent, et quel sous-traitant ultérieur intervient pour l’hébergement ou la maintenance.
La distinction entre données de supervision purement techniques et données personnelles est déterminante. Une courbe de température anonyme n’est pas une donnée personnelle ; un journal qui associe un badge salarié, une adresse IP, un identifiant de caisse, une image de vidéosurveillance ou un numéro de carte de fidélité en est une. Seules les secondes déclenchent le régime RGPD de notification et de droits des personnes. La CNIL, dans ses règles sur les violations de données personnelles, recommande aux organismes de prévoir des procédures globales de détection, d’endiguement, d’analyse des risques et de documentation, précisément pour ne pas confondre incident technique et violation de données. Dans le cas des équipements frigorifiques pilotés à distance, l’entreprise doit donc vérifier avec son prestataire : quels systèmes ont été atteints, quelles données personnelles s’y trouvaient, pendant quelle fenêtre, avec quelle exfiltration éventuelle, et quelles traces subsistent. Ce que la presse ne dit pas sur ces points s’écrit au conditionnel ou ne s’écrit pas ; seule l’analyse des journaux et des contrats permet de passer du soupçon à la qualification.
Le droit européen de la cybersécurité complète ce tableau sans s’y substituer. La directive (UE) 2022/2555, dite NIS 2, sur EUR-Lex impose aux entités essentielles et importantes des mesures de gestion des risques et des notifications d’incidents significatifs à leurs autorités nationales, selon des circuits distincts de la CNIL. Un distributeur alimentaire ou un équipementier industriel pourrait relever de ces catégories selon son activité et sa taille, mais cette qualification dépend de la transposition nationale et de la désignation effective de l’entité, vérifiée au cas par cas. Il ne faut donc pas confondre les obligations de protection des données, les obligations contractuelles envers le prestataire et les régimes de cybersécurité effectivement applicables : chaque circuit a son autorité, son fait générateur et ses destinataires. Pour le lecteur, la conséquence est simple : une même attaque peut déclencher zéro, une ou plusieurs notifications, et c’est l’analyse des rôles et des textes qui le dit, jamais l’émotion de l’actualité.
B. La sécurité attendue du responsable et du prestataire, et comment la prouver
Le RGPD impose une obligation de sécurité graduée, partagée entre responsable et sous-traitant. Selon l’article 32, paragraphe 1, du RGPD : « Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » Le juge n’exige pas une sécurité absolue, il vérifie des mesures adaptées au risque : correctifs appliqués, cloisonnement des réseaux, authentification forte pour l’accès distant, chiffrement, sauvegardes testées, journalisation, plan de reprise, audits du prestataire.
Dans une architecture avec objets connectés, ces mesures prennent un sens concret. Des sondes de température ou des contrôleurs frigorifiques accessibles à distance sans réseau dédié, sans VPN, avec des mots de passe d’usine ou un protocole non chiffré, exposent l’ensemble du système d’information si le réseau n’est pas segmenté. La CNIL attend que le responsable choisisse un prestataire présentant des garanties suffisantes et qu’il documente ce choix, puis qu’il contrôle dans le temps : revue des mesures, tests d’intrusion proportionnés, gestion des comptes d’accès du prestataire, révocation rapide en cas d’incident. Le contrat de sous-traitance doit prévoir l’assistance du sous-traitant pour la sécurité, les audits, l’information en cas d’incident et la restitution ou suppression des données en fin de contrat. Quand ce contrat est vague sur la sécurité des objets connectés, sur les mises à jour, sur la supervision ou sur les sous-traitants ultérieurs, la phase contentieuse devient plus difficile, car chacun renvoie la faute à l’autre.
La preuve se prépare avant le litige. Le registre des activités de traitement, les analyses d’impact quand elles sont requises, les politiques de sécurité, les rapports de correctifs, les journaux de connexion conservés dans la limite de leur finalité, les constats d’huissier ou constats techniques, les échanges horodatés avec le prestataire et l’assureur forment le dossier qui permettra de démontrer les diligences ou, à l’inverse, de caractériser un manquement. La CNIL recommande de documenter toute violation, même non notifiée, avec sa nature, ses effets et les mesures prises, car cette documentation participe à la conformité. Pour les salariés dont le badge ou l’identifiant aurait transité par le système compromis, et pour les clients dont les données de fidélité auraient été exposées, cette documentation conditionne aussi l’information qui leur sera due. À Paris et en Île-de-France, où siègent de nombreuses centrales d’achat et directions informatiques, la juridiction compétente en cas de litige contractuel avec le prestataire résultera d’abord de la clause attributive de juridiction et des règles de compétence, avant toute considération géographique ; le volet CNIL relève de la procédure nationale décrite ci-après.
Le manquement à cette obligation de sécurité peut fonder une sanction administrative et une responsabilité pénale distinctes de la réparation civile. Le fait de procéder à un traitement sans mettre en œuvre les mesures prescrites aux articles 24, 25, 30 et 32 du RGPD est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende, selon l’article 226-17 du code pénal, dans sa version en vigueur au 18 octobre 2026, à rapprocher de l’article 226-16 du code pénal, dans sa version en vigueur au 18 octobre 2026 qui punit le traitement sans formalités préalables prévues par la loi. Cette incrimination vise le responsable comme le sous-traitant qui néglige les mesures requises, sans exiger la démonstration d’un dommage. Elle ne se confond ni avec l’intrusion elle-même, ni avec la violation de données au sens du RGPD : un traitement peut être sanctionné pour défaut de mesures même si l’attaque a échoué, et une attaque réussie ne prouve pas à elle seule le défaut de mesures. Seul l’examen des mesures réellement déployées, à la date des faits, permet au juge de trancher.
II. Agir vite et obtenir réparation quand l’attaque transite par un tiers
A. Notifications, plaintes et droits des personnes : le chemin critique des premières 72 heures
Quand une violation de données personnelles est suspectée, le temps compte double : pour contenir l’incident et pour respecter les délais légaux. Selon l’article 33, paragraphe 1, du RGPD : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. » Ce délai de 72 heures au plus tard après la prise de connaissance court à compter de cette prise de connaissance, et lorsque la notification n’a pas lieu dans les 72 heures elle est accompagnée des motifs du retard, selon le même article. Le point de départ n’est donc pas la date de l’attaque ni celle de l’article de presse, mais le moment où le responsable dispose d’un degré raisonnable de certitude sur la violation ; les décisions consultées pour cet article ne tranchent pas de point de départ propre à l’hypothèse d’une attaque via objets connectés au-delà de cette règle, et il n’est rien affirmé de plus.
Le sous-traitant a sa propre obligation de remontée, sans laquelle le délai du responsable ne peut être tenu. Selon l’article 33, paragraphe 2, du RGPD : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. » Dans le cas d’un prestataire de supervision frigorifique, cela signifie qu’il doit alerter chaque client responsable dans les meilleurs délais après sa propre prise de connaissance, avec les éléments permettant d’évaluer le risque : nature des données, catégories et nombre approximatif de personnes, conséquences probables, mesures prises. Si le contrat ne prévoit ni canal d’alerte, ni délai contractuel plus précis, ni modèle de notification, la remontée arrive souvent trop tard, et le responsable notifie hors délai à la CNIL. La notification se fait en ligne via le téléservice de notification de violation de la CNIL, avec possibilité de notification par phases quand l’analyse se poursuit.
L’information des personnes obéit à un seuil distinct. Selon l’article 34, paragraphe 1, du RGPD : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » Cette communication décrit la nature de la violation, les coordonnées du délégué à la protection des données, les conséquences probables et les mesures prises, en langage clair. Elle n’est pas requise si des mesures appropriées rendaient les données incompréhensibles, comme un chiffrement robuste dont la clé n’a pas été compromise, ou si des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus, ou si la communication exigerait des efforts disproportionnés, auquel cas une communication publique peut suffire. Pour des clients exposés par une carte de fidélité ou des salariés exposés par des identifiants, la question n’est donc pas seulement « ai-je été prévenu », mais si le risque était élevé et si l’information reçue était complète et donnée à temps.
Parallèlement, la voie pénale protège les systèmes eux-mêmes. Le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende, porté à cinq ans et 150 000 euros s’il en est résulté une suppression, une modification de données ou une altération du fonctionnement, selon l’article 323-1 du code pénal, dans sa version en vigueur au 18 octobre 2026. Le fait d’introduire frauduleusement des données dans un système, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende, selon l’article 323-3 du code pénal, dans sa version en vigueur au 18 octobre 2026. L’entreprise cliente comme le prestataire peuvent déposer plainte, se constituer partie civile et préserver les preuves ; le client ou le salarié dont les données ont été détournées peut aussi déposer plainte pour ces faits et pour l’usage frauduleux ultérieur. La plainte auprès du procureur et la plainte auprès de la CNIL suivent des circuits distincts et peuvent être menées ensemble : l’une vise la sanction de l’auteur et la réparation pénale, l’autre la conformité et la sanction administrative du responsable ou du sous-traitant.
Pour la personne concernée, le parcours utile tient en quatre gestes, sans attendre la fin de l’enquête technique. D’abord, conserver le courrier ou le courriel de notification reçu, relever sa date, son expéditeur exact et les mesures proposées. Ensuite, exercer ses droits auprès du responsable identifié dans cette notification : droit d’accès et de copie, demande de mesures complémentaires, en gardant la preuve des envois. À ce stade, la page pilier du site sur la plainte CNIL sans réponse, comment déposer, relancer, contester et obtenir réparation décrit la procédure de plainte en ligne, et la page sur le droit d’accès de l’article 15 du RGPD, copie, délai, refus et recours détaille le contenu exigible de la réponse. Ensuite, en cas d’absence de notification individuelle malgré un risque élevé apparent, saisir la CNIL par une plainte documentée. Enfin, déposer plainte pénale si des usages frauduleux apparaissent. Aucune de ces démarches n’exige de démontrer seul la chaîne technique complète : c’est au responsable et au sous-traitant de documenter ce qui a été touché.
B. Contrats, assurance et juge : faire payer la défaillance sans se tromper de débiteur
Quand l’attaque transite par le prestataire, le contrat devient la première loi du litige. Le contrat de supervision, de maintenance ou d’hébergement doit être relu ligne à ligne : périmètre des équipements connectés, niveaux de service, correctifs et mises à jour, segmentation réseau, gestion des accès distants, journalisation, audit, notification d’incident, réversibilité, limitation de responsabilité et assurance. La mise en demeure doit viser les manquements précis à ces stipulations, avec les pièces qui les établissent, et fixer un délai de remédiation compatible avec la continuité d’activité, surtout pour des équipements sensibles comme le froid alimentaire. La suspension des paiements, la résiliation pour inexécution grave et l’exception d’inexécution ne se décident qu’au regard des clauses et du droit commun des contrats, car une rupture brutale peut aggraver le dommage et se retourner contre son auteur. Les contrats signés priment sur toute analyse générale, et seul le juge apprécie la gravité de l’inexécution.
La réparation due aux personnes suit un régime européen autonome. Selon l’article 82, paragraphe 1, du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le paragraphe 2 du même article précise que tout responsable ayant participé au traitement est responsable du dommage causé par un traitement violant le règlement, tandis qu’un sous-traitant n’est tenu que s’il a méconnu ses obligations propres ou agi hors des instructions licites ou contre elles, selon l’article 82, paragraphe 2, du RGPD. La Cour de justice a jugé que le droit à réparation suppose une violation du règlement, un dommage effectif et un lien de causalité, mais que le dommage moral n’exige pas un seuil de gravité, dans son arrêt du 4 mai 2023, Österreichische Post, C-300/21, sur EUR-Lex. Elle a ensuite précisé les conditions d’exonération et d’évaluation du dommage moral lié à une violation, dans son arrêt du 14 décembre 2023, Natsionalna agentsia za prihodite, C-340/21, sur EUR-Lex, qui concernait une cyberattaque avec exfiltration massive. Ces deux arrêts sont lus ici dans leur dispositif et leurs motifs publiés sur EUR-Lex ; ils ne jugent pas le cas des frigos connectés, et aucune transposition automatique n’en est tirée.
En droit français, ce régime s’articule avec la responsabilité de droit commun. Tout fait quelconque de l’homme qui cause à autrui un dommage oblige celui par la faute duquel il est arrivé à le réparer, selon l’article 1240 du code civil, dans sa version en vigueur au 18 octobre 2026. Le client qui démontre une faute du prestataire, un dommage et un lien causal peut agir sur ce fondement contractuel ou délictuel selon sa qualité, en cumulant utilement avec l’article 82 du RGPD quand une violation du règlement est établie. Les préjudices invocables sont concrets : usages frauduleux des données, démarches de protection, perte de temps documentée, anxiété caractérisée par des éléments précis, et pour l’entreprise cliente, pertes d’exploitation, coûts de remédiation, atteinte à l’image démontrée. Le juge évalue au cas par cas, pièces à l’appui ; aucune grille forfaitaire ne résulte des textes cités, et les décisions consultées ne fixent pas de quantum propre à ce scénario.
L’assurance cyber et la responsabilité en cascade complètent le dispositif. L’entreprise cliente déclare le sinistre à son assureur dans le délai de sa police, en joignant la notification CNIL, la plainte pénale, le rapport d’incident du prestataire et l’inventaire des mesures conservatoires. Elle vérifie si sa police couvre les frais de notification individuelle, d’expertise, d’assistance juridique et de pertes d’exploitation, et si elle exclut la négligence grave ou le défaut de correctifs. Côté prestataire, sa responsabilité suppose la démonstration d’un manquement à ses obligations RGPD propres ou à son contrat, au sens de l’article 226-17 du code pénal pour le volet sécurité ; il peut s’exonérer en prouvant qu’il n’est en rien responsable du fait à l’origine du dommage. Quand plusieurs sous-traitants se succèdent, hébergeur, éditeur, mainteneur, chacun répond de son segment, et la clause de limitation de responsabilité ne joue qu’entre professionnels et dans les limites du droit applicable, jamais à l’égard des personnes concernées qui agissent sur l’article 82. Pour ce volet contractuel et assurantiel, la preuve technique partagée, journaux, versions logicielles, correctifs, tickets, rapports d’intrusion, vaut plus que les affirmations générales sur la sophistication de l’attaque.
À Paris et en Île-de-France, où se concentrent centrales, sièges et prestataires, trois réflexes renforcent le dossier sans changer le droit applicable. D’abord, centraliser les preuves horodatées dès les premières heures : captures du téléservice CNIL, récépissés de plainte, échanges avec le prestataire, photographies des dysfonctionnements cantonnés au constatable. Ensuite, identifier la juridiction compétente d’après le contrat et les règles de procédure, avant tout déplacement, car le tribunal judiciaire de Paris n’est compétent que si un critère de rattachement le désigne. Enfin, préparer les pièces d’identité des traitements : registre, contrat de sous-traitance, mentions d’information remises aux salariés et aux clients, car le juge et la CNIL les demanderont en premier. Ces points d’attention du ressort ne créent aucune règle locale distincte ; ils rendent le dossier lisible là où il sera examiné.
En conclusion, une cyberattaque passée par un prestataire ou des objets connectés ne se résume ni à une panne technique ni à une fatalité. Elle impose de qualifier les rôles au sens du RGPD, de vérifier la sécurité promise et déployée, de notifier la CNIL dans les meilleurs délais et si possible dans les 72 heures après la prise de connaissance selon l’article 33 du RGPD, d’informer les personnes en cas de risque élevé selon l’article 34 du RGPD, de déposer les plaintes utiles sur l’article 323-1 et l’article 323-3 du code pénal, puis de régler le litige contractuel et la réparation sur l’article 82 du RGPD et l’article 1240 du code civil, à la lumière des arrêts C-300/21 et C-340/21 et des positions de la CNIL sur le sous-traitant au centre de la crise et de la CNIL sur les violations de données. À la date de rédaction, aucune responsabilité n’est établie dans le cas des frigos connectés rapporté par la presse, les contrats signés priment sur toute analyse générale, et seul le juge décide.