Le 17 octobre 2026, un reportage du journal de 20 heures de France 2, repris sur franceinfo, décrit une cyberattaque visant les systèmes de froid de supermarchés français : des produits laitiers, du jambon ou des jus de fruits jetés à la poubelle après l’attaque, provoquant un immense gâchis. Les pirates ne sont pas identifiés, selon ce reportage, publié le 17 octobre 2026 sous un titre consacré aux cyberattaques visant supermarchés, comptes bancaires et hôpitaux. Quand l’attaque touche les systèmes d’une enseigne de distribution, elle peut atteindre bien plus que les frigos : les fichiers clients, les cartes de fidélité, les comptes de courses en ligne et les données de caisse sont des données à caractère personnel. Si vous êtes client d’une enseigne visée, vous pouvez recevoir un courrier ou un courriel de notification vous annonçant que vos données ont été exposées. Que vaut ce courrier ? Que doit faire l’enseigne ? Et que pouvez-vous faire, pas à pas, pour protéger vos données, saisir la CNIL et obtenir réparation ?
À la date de rédaction, aucune source officielle n’a constaté d’intrusion précise, de volume de données exposées ni de dommage subi par les clients de telle ou telle enseigne, et aucune responsabilité n’est établie. Les développements qui suivent décrivent le droit applicable à toute situation comparable : les contrats que vous avez signés avec l’enseigne priment sur toute analyse générale, et seul le juge décide en cas de litige.
I. Ce que la cyberattaque change pour vos données et ce que l’enseigne doit faire
A. Quels traitements sont concernés et qui en répond
Une enseigne de distribution traite vos données à de multiples occasions : création d’une carte de fidélité, ouverture d’un compte pour les courses en ligne ou le drive, tickets de caisse dématérialisés, paiement enregistré, lettres d’information. Chacun de ces traitements a un responsable : en principe, l’enseigne elle-même, qui détermine pourquoi et comment vos données sont utilisées. Quand elle confie l’hébergement, la maintenance ou la sécurité de ses systèmes à un prestataire informatique, ce prestataire agit comme sous-traitant. La distinction compte, car le règlement européen sur la protection des données fait peser l’obligation de sécurité sur les deux : le responsable du traitement et le sous-traitant doivent mettre en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, y compris si nécessaire la pseudonymisation et le chiffrement des données (article 32, paragraphe 1, du RGPD). Le même texte exige des moyens de garantir la confidentialité et l’intégrité des systèmes, et une procédure pour tester régulièrement l’efficacité de ces mesures.
En cas d’attaque, le sous-traitant qui détecte l’intrusion ne peut pas se taire : le sous-traitant doit avertir le responsable du traitement de toute violation dans les meilleurs délais après en avoir eu connaissance (article 33, paragraphe 2, du RGPD). C’est ensuite au responsable du traitement, donc en principe à l’enseigne, d’assumer la suite : notification à l’autorité de contrôle et, lorsque le risque est élevé, information des clients. Pour la victime cliente, l’interlocuteur utile reste donc l’enseigne, même si la faille vient de chez son prestataire : c’est auprès d’elle que s’exercent les droits, et c’est elle qui devra répondre de la violation devant la CNIL et, le cas échéant, devant le juge. La responsabilité pécuniaire suit la même logique : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du RGPD).
Concrètement, si vous êtes client, commencez par inventorier vos liens avec l’enseigne : carte de fidélité active ou ancienne, compte en ligne avec mot de passe, coordonnées bancaires enregistrées pour le paiement en un clic, adresse électronique utilisée pour les tickets dématérialisés. Ce sont ces traitements qui sont susceptibles d’être concernés, et c’est sur eux que porteront vos demandes. La Commission nationale de l’informatique et des libertés rappelle que le règlement impose aux responsables de traitement de documenter chaque violation en interne, puis de notifier celles qui présentent un risque pour les droits et libertés des personnes (Notifier une violation de données personnelles). Cette documentation interne sera, en cas de litige, la première pièce que l’autorité ira vérifier. Identifiez dès maintenant le délégué à la protection des données de l’enseigne, dont les coordonnées figurent en principe dans sa politique de confidentialité : la CNIL invite à identifier l’organisme ou son délégué avant toute démarche (Adresser une plainte à la CNIL). Écrire au délégué plutôt qu’au service client général donne une date certaine à vos demandes et oblige l’organisme à traiter votre dossier au bon niveau, ce qui pèsera plus tard dans l’appréciation de sa diligence.
B. La notification à la CNIL et le courrier que vous recevez
Lorsqu’une violation de données survient, le responsable du traitement doit prévenir l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir eu connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33, paragraphe 1, du RGPD). La CNIL précise le mode opératoire : une notification initiale dans un délai de 72 heures si possible après avoir constaté la violation, puis, si des investigations complémentaires sont nécessaires, une notification complémentaire dès que les informations sont disponibles, avec explication des motifs du retard en cas de dépassement (Notifier une violation de données personnelles). Ce téléservice de notification est réservé aux responsables de traitement ; si vous êtes un particulier, vous utiliserez le téléservice de plaintes en ligne, pas celui des notifications.
Le courrier ou le courriel que vous recevez comme client obéit à une autre règle : lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne, le responsable du traitement doit l’en informer directement dans les meilleurs délais (article 34, paragraphe 1, du RGPD). La CNIL résume ainsi : en cas de risque élevé, l’organisme doit également notifier les personnes concernées. Cette communication doit décrire, en termes clairs et simples, la nature de la violation et indiquer au minimum un point de contact, les conséquences probables et les mesures prises ou proposées pour y remédier.
Vérifiez donc que le courrier que vous recevez contient ces trois éléments : qui contacter, ce que l’incident peut entraîner pour vous, et ce que l’enseigne a fait ou vous propose de faire. S’il se limite à des formules vagues, demandez par écrit les informations manquantes et conservez la preuve de votre demande. Sachez aussi que cette information individuelle n’est pas due dans trois cas : si l’enseigne avait chiffré les données de sorte qu’elles restent incompréhensibles pour les personnes non autorisées, par exemple grâce au chiffrement, si elle a pris ensuite des mesures qui font disparaître le risque élevé, ou si l’information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique permettant d’informer aussi efficacement suffit (article 34, paragraphe 3, du RGPD). En pratique, l’absence de courrier ne signifie donc pas l’absence de violation : l’enseigne peut estimer, à tort ou à raison, que le risque n’est pas élevé ou que vos données étaient chiffrées. C’est précisément cette appréciation que la CNIL peut être amenée à contrôler, et que vous pouvez contester en exerçant vos droits.
II. Ce que vous pouvez faire, pas à pas, pour vos données
A. Sécuriser votre compte, exercer vos droits, saisir la CNIL et déposer plainte
La première urgence est pratique : changez le mot de passe de votre compte client, surtout s’il est réutilisé ailleurs, activez la double authentification si l’enseigne la propose, et surveillez vos relevés bancaires si des coordonnées de paiement étaient enregistrées. Méfiez-vous des messages qui exploitent l’attaque : faux courriels de l’enseigne vous invitant à vérifier votre compte, faux appels vous demandant vos codes. Ne cliquez sur aucun lien reçu par message : connectez-vous en tapant vous-même l’adresse du site. Ces précautions ne sont pas juridiques, mais elles conditionnent la suite : le juge et la CNIL apprécieront que vous ayez limité votre dommage.
Si vous n’avez reçu aucun courrier alors que la presse fait état d’une attaque contre votre enseigne, ne concluez ni à l’absence de violation ni à une faute : l’enseigne peut avoir estimé que le risque n’était pas élevé, ou avoir informé par un autre canal. Adressez-lui une demande écrite : exposez votre qualité de client, listez les traitements vous concernant et demandez si vos données sont concernées par l’incident, quelles catégories sont touchées et quelles mesures ont été prises. Cette demande, assortie d’une demande d’accès, crée une trace datée et fait courir le délai de réponse d’un mois.
Viennent ensuite vos droits. Vous pouvez obtenir de l’enseigne la confirmation que des données la concernant sont ou non traitées et, dans l’affirmative, l’accès à ces données ainsi qu’aux informations qui les accompagnent : finalités, catégories, destinataires, durée de conservation et droits disponibles (article 15, paragraphe 1, du RGPD). Pour une analyse détaillée de ce droit d’accès, de la copie exigible et des recours en cas de refus, voyez notre analyse du droit d’accès de l’article 15 : copie, refus et recours devant la CNIL et le juge. Vous pouvez aussi obtenir l’effacement dans les meilleurs délais, notamment lorsque les données ne sont plus nécessaires au regard de leurs finalités ou lorsqu’elles ont fait l’objet d’un traitement illicite (article 17, paragraphe 1, du RGPD) : une carte de fidélité inactive depuis des années dont les données circulent encore entre de mauvaises mains entre typiquement dans le premier cas. Et si l’enseigne utilise vos données pour vous démarcher, vous avez le droit de s’opposer à tout moment à l’usage de ses données à des fins de prospection (article 21, paragraphe 2, du RGPD). L’enseigne doit vous répondre dans les meilleurs délais et au plus tard un mois après réception de la demande, ce délai pouvant être prolongé de deux mois pour les demandes complexes, à condition de vous en informer dans le premier mois (article 12, paragraphe 3, du RGPD). La CNIL le confirme dans les mêmes termes : l’organisme doit répondre dans les meilleurs délais, et sous un mois maximum (Adresser une plainte à la CNIL).
Si l’enseigne ne répond pas, répond à côté ou refuse sans motif valable, la plainte devant la CNIL devient l’étape suivante. Chacun a le droit de déposer une réclamation auprès d’une autorité de contrôle, en particulier celle de son lieu de résidence, de travail ou de la violation présumée (article 77, paragraphe 1, du RGPD). La CNIL n’agit que sur la base d’une plainte complète et précise : exposez les faits avec dates, joignez vos demandes à l’enseigne et ses réponses, et conservez les preuves d’envoi. Si des manquements sont avérés, elle peut décider de mesures correctrices tels que rappels à l’ordre, mises en demeure ou sanctions financières (Adresser une plainte à la CNIL). Mais la CNIL a aussi des limites qu’il faut connaître avant de la saisir : elle ne peut pas exercer vos droits à votre place si vous ne l’avez pas fait, elle ne traite pas les plaintes imprécises fondées sur une simple crainte sans justificatifs, et surtout elle ne peut pas vous obtenir des dommages et intérêts ni constater vos préjudices. Autrement dit, exercez d’abord vos droits directement auprès de l’enseigne, avec preuves, puis saisissez la CNIL avec un dossier complet ; et si vous voulez de l’argent, c’est devant le juge que cela se jouera. Pour la conduite à tenir quand la CNIL ne répond pas à votre plainte, voyez notre guide de la plainte CNIL sans réponse : déposer, relancer, contester et obtenir réparation. Notez que si l’autorité compétente ne traite pas votre réclamation ou ne vous informe pas de son état d’avancement, vous disposez d’un recours juridictionnel effectif contre elle passé un délai de trois mois sans nouvelles de l’autorité (article 78, paragraphe 2, du RGPD).
Le volet pénal, enfin, ne dépend pas de vous mais peut soutenir votre dossier civil. L’accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende (article 323-1 du code pénal). La chambre criminelle de la Cour de cassation l’applique strictement : le 2 septembre 2025, elle a rejeté le pourvoi formé contre une condamnation à trois mois d’emprisonnement avec sursis pour atteinte à un système de traitement automatisé de données, en se prononçant aussi sur les intérêts civils (Cour de cassation, chambre criminelle, 2 septembre 2025, n° 24-83.605). Et le défaut de sécurité lui-même est incriminé : procéder à un traitement sans mettre en oeuvre les mesures prescrites notamment par l’article 32 du RGPD est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-17 du code pénal). L’extraction, la détention ou la diffusion frauduleuse des données contenues dans un système est elle-même punie de cinq ans d’emprisonnement et de 150 000 euros d’amende (article 323-3 du code pénal). Si vous êtes victime d’une utilisation frauduleuse de vos données, par exemple des achats passés avec votre compte ou une usurpation d’identité, déposez plainte auprès de la police ou de la gendarmerie avec toutes les preuves : captures d’écran, courriels, relevés. Par cette plainte, vous pouvez aussi exercer l’action civile : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction » (article 2 du code de procédure pénale). Cette plainte ne vous indemnisera pas directement, mais elle constate les faits et peut établir le lien entre la violation et votre dommage.
B. Demander réparation de votre préjudice devant le juge
La réparation de votre préjudice personnel se joue devant le juge judiciaire, qui est le seul à pouvoir allouer des dommages et intérêts. Au-delà du règlement européen, le droit commun protège votre intimité : « Chacun a droit au respect de sa vie privée », et les juges peuvent prescrire toute mesure propre à faire cesser l’atteinte (article 9 du code civil). Le texte applicable est direct : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du RGPD). Vous pouvez agir devant les juridictions de l’État membre où l’enseigne a son établissement ou devant celles de votre résidence habituelle : chaque personne concernée dispose d’un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés par un traitement non conforme (article 79, paragraphe 1, du RGPD).
Trois précisions de la Cour de justice encadrent votre demande. D’abord, la simple violation du règlement ne suffit pas à ouvrir droit à réparation : vous devez établir un dommage réel, matériel ou moral. Ensuite, la Cour écarte toute règle nationale subordonnant la réparation du préjudice moral à un seuil de gravité : aucun seuil à franchir, l’anxiété liée à l’exposition de vos données, le temps passé à sécuriser vos comptes ou les démarches imposées peuvent suffire si vous les établissez. Enfin, le montant s’apprécie selon les règles nationales de la réparation, dans le respect de l’équivalence et de l’effectivité du droit de l’Union (CJUE, 4 mai 2023, Österreichische Post, C-300/21).
Les juges du fond appliquent concrètement cette grille. Le tribunal judiciaire d’Aix-en-Provence, statuant le 5 août 2025 dans une affaire de diffusion non consentie de données personnelles, a condamné l’organisme fautif à payer à chacun des deux demandeurs « la somme de 1.000 euros chacun, à titre de dommages et intérêts en réparation de leur préjudice moral », en retenant que la divulgation leur avait nécessairement causé un préjudice moral lié aux tracas subis, étayé par des certificats médicaux faisant état d’épuisement, d’anxiété et d’insomnie (Tribunal judiciaire d’Aix-en-Provence, 5 août 2025, RG n° 22/03891). Le même jugement ordonne l’effacement des données de l’ensemble des fichiers sous deux mois à compter de sa signification, sous astreinte provisoire de 50 euros par jour de retard pendant trois mois. L’enseignement est double : le préjudice moral se prouve par des pièces concrètes, et l’effacement peut être obtenu du juge avec une sanction financière qui contraint à l’exécution.
Préparez donc votre dossier comme un dossier d’indemnisation. Conservez le courrier de notification de l’enseigne, vos demandes d’accès et d’effacement avec leurs accusés, les réponses reçues, les relevés montrant des opérations suspectes, les attestations de vos démarches et de leur durée, et tout document médical si l’exposition de vos données a retenti sur votre santé. Chiffrez chaque poste : opérations frauduleuses non remboursées, frais de sécurisation, temps passé, troubles anxieux médicalement constatés. Et agissez dans les temps : les actions personnelles se prescrivent « par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (article 2224 du code civil). Conservez soigneusement le courrier de notification : il établit à quelle date vous avez appris l’exposition de vos données, élément de fait que le juge appréciera pour situer votre connaissance des faits au sens de l’article précité. Sans notification, conservez de même tout document daté établissant quand vous avez découvert les faits. Les décisions consultées pour cet article ne tranchent pas chaque hypothèse de point de départ, et seul le juge, saisi de vos pièces, fixera le sien. À défaut de fondement spécial, la responsabilité civile de droit commun s’applique : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil).
La cyberattaque qui frappe les systèmes d’une enseigne de distribution ne s’arrête pas aux rayons : quand vos données de fidélité, de compte en ligne ou de paiement sont exposées, le droit européen impose à l’enseigne de documenter, de notifier la CNIL dans les meilleurs délais et si possible sous 72 heures, et de vous informer directement si le risque pour vos droits est élevé, avec un point de contact, des explications et des mesures concrètes. De votre côté, la séquence utile tient en quatre temps : sécuriser vos accès et surveiller vos comptes, exercer vos droits d’accès, d’effacement et d’opposition par écrit avec preuves, saisir la CNIL d’une plainte complète si l’enseigne ne répond pas sous un mois, puis demander au juge judiciaire la réparation de votre préjudice, moral compris, sans seuil de gravité, dans le délai de prescription de cinq ans. À ce jour, aucune source officielle n’a établi l’étendue d’une quelconque exposition ni la responsabilité d’une enseigne déterminée ; les contrats que vous avez signés priment sur toute analyse générale, et seul le juge, saisi de pièces précises, tranchera votre cas.