Votre éditeur SaaS ou votre hébergeur cloud vous annonce qu’une intrusion a exposé les données que vous lui confiez : fichiers clients aspirés, base de données chiffrée par un rançongiciel, accès administrateur détourné. Le réflexe consiste à attendre que le prestataire règle le problème. Ce réflexe est dangereux. Dès lors que vous déterminez les finalités et les moyens du traitement, vous restez le responsable du traitement au sens du droit européen, et c’est à vous qu’il appartient de notifier la violation à la CNIL, d’informer les personnes concernées lorsque le risque est élevé et de documenter l’incident. Le contrat signé avec le prestataire ne transfère aucune de ces obligations : il organise seulement la manière dont le sous-traitant vous aide à les remplir. Passé le temps de la réaction, un second temps s’ouvre : celui du recours contre le prestataire dont la faille a provoqué l’incident. Mise en demeure, audit, suspension, résiliation et demande de réparation forment une chaîne dont chaque maillon doit être préparé pendant que les traces sont encore disponibles. Cet article décrit les deux temps de la réaction, avec les textes applicables et deux décisions rendues en 2024 et 2026 qui fixent les conditions de la réparation.
I. Notifier la CNIL en 72 heures et protéger les personnes concernées
A. Qualifier la violation et saisir la CNIL dans les meilleurs délais
La première opération consiste à qualifier les faits. Le règlement européen vise toute violation de données à caractère personnel, qu’il s’agisse d’une destruction, d’une perte, d’une altération, d’une divulgation ou d’un accès non autorisé. Un rançongiciel qui chiffre la base hébergée chez votre prestataire, une extraction massive de la table clients, un accès anormal aux comptes administrateurs ou la découverte que des sauvegardes sont restées exposées sur internet entrent dans ce champ. La qualification ne dépend pas du fait que l’intrusion ait visé votre prestataire plutôt que vous : si les données concernées sont celles de vos clients, de vos salariés ou de vos prospects, traitées pour votre compte, l’obligation de réaction pèse sur vous.
Le texte applicable impose au responsable du traitement de notifier la violation à l’autorité de contrôle compétente, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, et d’assortir toute notification tardive des motifs du retard (article 33, paragraphe 1, du règlement (UE) 2016/679). Le point de départ de ce délai est donc la prise de connaissance, par vous, de la violation, et non la date de l’intrusion elle-même. Concrètement, le compteur part lorsque votre prestataire vous alerte ou lorsque vos propres journaux révèlent l’incident. Le sous-traitant, de son côté, doit vous notifier toute violation dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2, du même règlement). Exigez de votre prestataire une alerte écrite, datée et précise dès le premier signal, car cette date conditionne la vôtre.
La notification doit contenir au minimum quatre séries d’informations : la nature de la violation, avec les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés ; les coordonnées du délégué à la protection des données ou d’un autre point de contact ; les conséquences probables ; les mesures prises ou envisagées pour y remédier et en atténuer les effets (article 33, paragraphe 3, du même règlement). Lorsque toutes les informations ne sont pas disponibles immédiatement, elles peuvent être communiquées de manière échelonnée, sans retard indu (article 33, paragraphe 4, du même règlement). N’attendez donc pas l’enquête complète pour notifier : une notification initiale dans le délai, complétée ensuite, respecte mieux le texte qu’un dossier parfait déposé hors délai. En pratique, la notification s’effectue en ligne sur le téléservice de notification des violations de la CNIL, qui guide le déclarant rubrique par rubrique.
L’erreur la plus fréquente consiste à considérer que la violation est l’affaire exclusive du prestataire, au motif que ses serveurs ont été attaqués. Le partage des rôles est inverse : le prestataire vous alerte et vous assiste, mais la notification à la CNIL incombe au responsable du traitement. Vérifiez donc immédiatement votre contrat de sous-traitance : il doit prévoir l’alerte du sous-traitant, son délai contractuel, souvent plus court que le délai réglementaire pour vous laisser le temps de notifier, ainsi que son assistance pour l’analyse. Si le contrat est muet, adressez sans attendre une mise en demeure écrite d’avoir à vous transmettre tous les éléments techniques, journaux et constats nécessaires à votre notification. Chaque jour sans information du prestataire doit être consigné, car il expliquera un éventuel retard et fondera votre recours ultérieur contre lui.
Une seconde erreur consiste à écarter d’office la notification au motif que l’incident serait mineur ou purement interne. Le critère légal est le risque pour les droits et libertés des personnes, et non votre propre appréciation du préjudice commercial. Des identifiants et mots de passe exposés, des données de santé, des données bancaires ou des documents d’identité volés créent un risque d’usurpation d’identité, d’escroquerie ou de discrimination qui justifie la notification. En cas de doute, la CNIL recommande de documenter l’analyse qui conduit à ne pas notifier, afin de pouvoir la présenter en cas de contrôle. Cette documentation fait partie des obligations : le responsable du traitement documente toute violation, avec les faits, ses effets et les mesures prises, de manière à permettre à l’autorité de contrôle de vérifier le respect de ces règles (article 33, paragraphe 5, du même règlement).
B. Informer les personnes concernées et constituer la preuve
Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation à la personne concernée dans les meilleurs délais (article 34, paragraphe 1, du règlement (UE) 2016/679). Cette communication s’ajoute à la notification adressée à la CNIL et poursuit un autre objectif : permettre à chaque personne de se protéger, en changeant ses mots de passe, en surveillant ses comptes ou en plaçant ses documents sous vigilance. Elle doit décrire la nature de la violation en des termes clairs et simples et reprendre les informations essentielles : point de contact, conséquences probables et mesures prises (article 34, paragraphe 2, du même règlement).
La communication individuelle n’est pas nécessaire dans trois situations : lorsque des mesures de protection appropriées, comme le chiffrement, rendaient les données incompréhensibles aux personnes non autorisées ; lorsque des mesures ultérieures ont écarté le risque élevé ; ou lorsque l’effort serait disproportionné, auquel cas une communication publique d’efficacité équivalente est organisée (article 34, paragraphe 3, du même règlement). Ces exemptions s’interprètent strictement. Un chiffrement ne protège que si la clé n’a pas elle-même été compromise avec les données. Des mesures ultérieures, comme la révocation des accès détournés ou la réinitialisation forcée des mots de passe, doivent garantir que le risque élevé ne peut plus se matérialiser. Et la communication publique ne remplace l’information individuelle que lorsque les destinataires ne peuvent pas être identifiés ou joints : elle ne dispense jamais d’informer les clients dont vous détenez les coordonnées. Si vous omettez cette information, l’autorité de contrôle peut l’exiger après examen du risque (article 34, paragraphe 4, du même règlement).
Rédigez cette information avec soin : elle constitue une pièce que le juge, la CNIL et les personnes concernées liront. Décrivez les faits sans les minimiser ni les dramatiser, indiquez la période d’exposition, les catégories de données touchées, les mesures déjà prises et les précautions recommandées, ainsi qu’un point de contact joignable. Conservez la preuve de chaque envoi et de chaque publication. N’y reconnaissez aucune responsabilité et n’y formulez aucune promesse que le contrat ou l’enquête ne permettent pas de tenir : ce courrier informe, il ne transige pas.
Constituez en parallèle le dossier de preuve de l’incident. Rassemblez l’alerte du prestataire et ses horodatages, les journaux de connexion, les constats techniques, la copie de votre notification à la CNIL et de son accusé, les courriers d’information aux personnes et leurs preuves d’envoi, ainsi que la chronologie complète des mesures prises. Faites établir si possible un constat par un tiers technique indépendant et, lorsque des faits pénaux sont caractérisés, déposez plainte : l’accès frauduleux à un système de traitement automatisé de données et l’extraction de données sont des comportements que le droit pénal réprime, et le dépôt de plainte fige la date de votre réaction. Ce dossier servira deux fois : devant la CNIL en cas de contrôle, et devant le juge lorsque vous demanderez au prestataire de répondre de sa faille.
II. Vous retourner contre le prestataire sous-traitant
A. Exiger le contrat, l’audit et les mesures de l’article 28
Avant toute demande de réparation, vérifiez la qualité juridique de votre prestataire et le contenu de votre contrat. Le prestataire SaaS ou cloud qui traite des données pour votre compte est un sous-traitant au sens du règlement européen, et le traitement qu’il effectue doit être régi par un contrat ou un autre acte juridique contraignant qui définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que vos droits et obligations (article 28, paragraphe 3, du règlement (UE) 2016/679). Un simple bon de commande ou des conditions générales qui ne décrivent ni les traitements ni les instructions ne satisfont pas à cette exigence. Rappelons que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits » et que « Les contrats doivent être négociés, formés et exécutés de bonne foi », exigence d’ordre public : un prestataire ne peut ni improviser ses obligations ni retenir vos données comme moyen de pression. Le contrat doit en outre se présenter sous une forme écrite, y compris en format électronique (article 28, paragraphe 9, du même règlement). Si aucun contrat de sous-traitance conforme n’a été signé, ce manquement initial pèse déjà sur le prestataire : il aurait dû vous proposer un cadre écrit avant tout traitement.
Le contrat doit prévoir que le sous-traitant ne traite les données que sur votre instruction documentée, qu’il garantit la confidentialité des personnes autorisées, qu’il prend toutes les mesures de sécurité requises, qu’il vous aide à répondre aux demandes des personnes concernées et à respecter vos propres obligations de sécurité, et qu’il vous fournit toutes les informations nécessaires pour démontrer le respect de ces règles et pour permettre des audits, y compris des inspections, en y contribuant (article 28, paragraphe 3, points a) à h), du même règlement). Deux de ces stipulations sont décisives après une violation. D’une part, le prestataire doit, selon votre choix, supprimer toutes les données ou vous les renvoyer au terme de la prestation, puis détruire les copies existantes, sauf obligation légale de conservation (article 28, paragraphe 3, point g), du même règlement). D’autre part, le droit d’audit vous permet d’exiger l’accès aux informations et de faire inspecter ses installations et ses journaux. Si votre contrat ne contient pas ces clauses, l’enjeu n’est pas théorique : sans clause d’audit, le prestataire peut freiner vos investigations ; sans clause de sortie, vos données restent entre ses mains après la résiliation.
Contrôlez également la chaîne de sous-traitance. Le sous-traitant ne peut recruter un autre sous-traitant, par exemple un hébergeur ou un outil d’analyse, sans votre autorisation écrite préalable, spécifique ou générale ; en cas d’autorisation générale, il doit vous informer de tout changement prévu afin que vous puissiez vous y opposer (article 28, paragraphe 2, du même règlement). Et les mêmes obligations de protection doivent être imposées à cet autre sous-traitant par contrat, le sous-traitant initial demeurant pleinement responsable devant vous de leur exécution (article 28, paragraphe 4, du même règlement). Après une violation, demandez la liste complète des sous-traitants ultérieurs, les autorisations données et les contrats en cascade. Si l’intrusion provient d’un hébergeur que vous n’aviez jamais autorisé, la faute contractuelle du prestataire est caractérisée à deux titres : traitement sans instruction et sous-traitance sans autorisation.
Si le prestataire a déterminé lui-même les finalités et les moyens du traitement, en violation du règlement, il est regardé comme responsable du traitement pour ce traitement (article 28, paragraphe 10, du même règlement). Cette requalification emporte des conséquences directes : le prestataire cesse de pouvoir s’abriter derrière vos instructions et répond de ses propres manquements, y compris devant la CNIL. En pratique, les indices d’un tel dépassement sont une réutilisation de vos données pour améliorer ses propres modèles, une conservation au-delà de vos instructions ou un refus de restitution au terme du contrat. Pour un premier cadrage des clauses à exiger dans ce type de contrat, vous pouvez consulter notre analyse des clauses du contrat de sous-traitance RGPD que le prestataire refuse de signer : mise en demeure, audit et suspension.
Mettez le prestataire en demeure par écrit dès que l’incident est connu. La mise en demeure doit lister les manquements constatés ou suspectés : défaut d’alerte, mesures de sécurité insuffisantes, sous-traitant ultérieur non autorisé, refus d’audit, et impartir un délai précis pour transmettre les journaux, les constats, la liste des sous-traitants et le plan de remédiation. Adressez-la en recommandé avec accusé de réception et conservez-en la preuve : elle conditionne la suite, car la suspension et la résiliation supposent un manquement préalablement dénoncé, et le juge appréciera votre diligence. Joignez-y la demande d’audit prévue au contrat et, à défaut de clause, fondez-la sur votre qualité de responsable du traitement, qui doit être en mesure de démontrer la conformité de l’ensemble de la chaîne.
B. Mettre en demeure, résilier et obtenir réparation
Lorsque le manquement est établi, le droit commun des contrats vous offre cinq leviers cumulatifs. La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut refuser d’exécuter ou suspendre l’exécution de sa propre obligation, poursuivre l’exécution forcée en nature, obtenir une réduction du prix, provoquer la résolution du contrat et demander réparation des conséquences de l’inexécution, ces sanctions pouvant être cumulées et des dommages et intérêts pouvant toujours s’y ajouter, comme l’énonce l’article 1217 du code civil. Le principe indemnitaire suit : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». Concrètement, vous pouvez suspendre le paiement des redevances tant que le service n’est pas sécurisé, exiger la correction et la restitution des données, obtenir une réduction des factures de la période d’indisponibilité, résilier et réclamer l’indemnisation de vos pertes. Documentez chaque levier séparément, car le juge vérifiera chacun de leurs fondements.
La résolution peut résulter d’une clause résolutoire, d’une notification du créancier en cas d’inexécution suffisamment grave ou d’une décision de justice, comme le prévoit l’article 1224 du code civil. En matière de violation de données, la gravité s’apprécie au regard de la sensibilité des données exposées, du nombre de personnes touchées, de la durée de l’exposition et de l’attitude du prestataire après l’alerte. Un prestataire qui tarde à vous informer, qui refuse l’audit ou qui minimise l’incident aggrave son cas à chaque étape. Si le contrat comporte une clause résolutoire, respectez scrupuleusement son formalisme, mise en demeure préalable et délai de régularisation, car le juge contrôle ces conditions avant d’admettre la rupture. À défaut de clause, la notification de résolution pour inexécution suffisamment grave produit effet sous votre responsabilité : motivez-la précisément en visant les stipulations violées et les faits constatés.
Parallèlement, la voie administrative reste ouverte. Toute personne peut adresser une plainte à la CNIL, et la commission dispose, après contrôle, d’un pouvoir de mise en demeure, d’injonction et de sanction. Les violations des principes et des droits fondamentaux du règlement exposent à des amendes administratives pouvant atteindre 20 millions d’euros ou, pour une entreprise, 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 83, paragraphe 5, du règlement (UE) 2016/679). La perspective d’un contrôle incite fortement le prestataire à coopérer : signalez-lui, dans votre mise en demeure, que vous vous réservez la saisine de la commission. Le contrôle exercé par la CNIL porte aussi bien sur vos propres traitements que sur ceux de votre sous-traitant, et votre notification documentée démontrera votre diligence.
La réparation suit le régime propre du règlement européen. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, comme le rappelle la Cour de cassation dans son arrêt du 24 juin 2026 en citant le texte applicable. Le sous-traitant n’est toutefois tenu responsable que s’il n’a pas respecté les obligations qui lui incombent spécifiquement ou s’il a agi en dehors de vos instructions licites ou contrairement à celles-ci (article 82, paragraphes 1 et 2, du règlement (UE) 2016/679). La démonstration de la violation ne suffit donc pas : encore faut-il établir le manquement précis du sous-traitant et le lien avec votre dommage.
Trois enseignements de cet arrêt du 24 juin 2026, rendu sous le pourvoi numéro 24-22.792 et publié au Bulletin, gouvernent votre demande. D’abord, la simple violation du règlement ne suffit pas à ouvrir droit à réparation : la cour d’appel qui avait alloué 5 000 euros au motif que la violation avait nécessairement causé un préjudice a vu sa décision cassée, faute d’avoir vérifié que le salarié établissait un dommage. Ensuite, aucun seuil de gravité ne peut être exigé pour le dommage moral : la Cour de justice, dans son arrêt du 4 mai 2023 rendu dans l’affaire C-300/21, a écarté toute condition de gravité minimale. Enfin, la réparation remplit une fonction compensatoire et non punitive, et c’est au demandeur d’établir la violation, le dommage et le lien entre les deux, conformément à l’arrêt de la Cour de justice du 25 janvier 2024 dans l’affaire C-687/21. Transposée à votre litige contre le prestataire, cette grille impose de chiffrer chaque poste, en gardant à l’esprit que « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive » : les pertes prévisibles à la signature, comme le coût d’une notification massive ou d’une migration de secours, s’indemnisent plus sûrement que les conséquences éloignées. Chaque poste : coût de la notification et de l’information des personnes, frais d’audit et de constat, perte d’exploitation pendant l’indisponibilité, atteinte à la réputation mesurée par des éléments objectifs, et sommes versées à vos propres clients indemnisés.
Une décision rendue par la cour d’appel de Paris le 17 janvier 2024, sous le numéro de répertoire général 22/03890, illustre cette exigence de preuve poste par poste dans un litige de données après rupture contractuelle. Après la sortie d’une agence d’un réseau de franchise, le tribunal puis la cour ont condamné le réseau à 16 180 euros pour le retard apporté à la mise à disposition des données de l’agence, puis la cour a porté à 28 420 euros la condamnation au titre de l’utilisation des données postérieurement à la résiliation, en violation du protocole de sortie. En revanche, la demande de 58 000 euros au titre de la perte de valeur du fonds de commerce et celle de 50 000 euros au titre du préjudice moral ont été rejetées, faute de préjudice démontré. L’enseignement est double : le retard de restitution et l’utilisation postérieure à la fin du contrat se paient, mais chaque euro réclamé doit être prouvé. Appliquez cette méthode à votre prestataire SaaS : facturez le retard de restitution, l’utilisation ou la conservation postérieure à la résiliation, et justifiez chaque autre poste par des pièces.
Préparez enfin l’après-résiliation dès la mise en demeure. Activez la clause de sortie : restitution dans un format exploitable, puis suppression et destruction des copies, attestées par écrit par le prestataire. Vérifiez la restitution par échantillonnage avant de solder les comptes, changez les clés d’interface et les accès, et informez vos clients de la migration lorsque leurs démarches sont nécessaires. Si le prestataire retient vos données en otage pour obtenir le paiement de factures contestées, faites constater la rétention et saisissez le juge des référés : « Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » ; la restitution de vos propres données d’exploitation ne se négocie pas contre un solde litigieux, et chaque semaine de rétention aggrave le préjudice dont le prestataire répondra.
En synthèse, la violation de données née chez votre prestataire ne vous décharge de rien et vous ouvre tout : elle vous impose de notifier la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance, d’informer les personnes exposées à un risque élevé et de documenter chaque étape, puis elle vous autorise à exiger du sous-traitant les journaux, l’audit et la remédiation, à suspendre puis à résilier le contrat en cas d’inexécution suffisamment grave et à lui réclamer la réparation intégrale de votre préjudice prouvé. Les décisions de 2024 et de 2026 citées montrent que les juges indemnisent les manquements établis et chiffrés, et rejettent les demandes non démontrées. La diligence des premières heures conditionne donc l’issue des mois suivants : notifiez vite, écrivez tout et ne laissez aucune donnée sans contrat.