Maileva, marque de Docaposte, filiale du groupe La Poste, imprime et expédie des courriers pour le compte d’entreprises et d’organismes. Selon le site spécialisé Cyberattaque.org, la plateforme a interrompu ses services à titre préventif le 23 septembre 2026, après avoir détecté des activités informatiques inhabituelles, puis les a rétablis le 29 septembre. Dans une réponse écrite publiée par ce site et reprise par le site Univers Freebox le 13 novembre 2026, Maileva indique que 22 millions de personnes sont concernées par le vol de leurs données d’identification (prénom, nom, adresse postale), que plusieurs milliers d’entreprises clientes sont concernées, qu’elle les a toutes informées, qu’elle a notifié la CNIL et déposé plainte, et qu’une enquête judiciaire est en cours.
Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Maileva, de Docaposte ou de leurs clients, sur laquelle l’article ne formule aucun constat. Aucune responsabilité n’est établie à la date de rédaction, les contrats signés priment sur toute analyse générale, et seul le juge tranche un litige.
Pour l’entreprise cliente d’un prestataire d’envoi, l’alerte soulève des questions concrètes : qui notifie la CNIL, quand, faut-il écrire à chaque destinataire, et qui paiera une éventuelle indemnisation ? Il faut déterminer qui notifie et comment évaluer le risque (I), puis qui répond du préjudice des destinataires et quels recours existent contre le prestataire (II).
I. Fuite de données chez le prestataire d’envoi : que doit faire l’entreprise cliente envers la CNIL ?
A. Sous-traitant ou responsable du traitement : qui doit notifier la violation à la CNIL ?
Le règlement général sur la protection des données (RGPD) distingue deux rôles. Son article 4, que la CNIL reproduit dans sa version consolidée du texte, définit le responsable du traitement comme l’organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement, et le sous-traitant comme celui qui traite des données à caractère personnel pour le compte du responsable. L’entreprise qui confie à une plateforme l’impression et l’envoi de ses factures, de ses relances ou de ses avis d’échéance décide en principe à qui elle écrit et pourquoi : dans la configuration la plus courante, elle est responsable du traitement et la plateforme agit comme sous-traitant. Cette répartition n’a rien d’automatique. L’article 28, paragraphe 10, du RGPD prévoit qu’un sous-traitant qui détermine lui-même les finalités et les moyens d’un traitement est considéré comme responsable pour ce traitement. Le contrat de sous-traitance, que le même article impose sous une forme écrite, y compris électronique, est donc la première pièce à relire.
Le texte organise ensuite une chaîne d’information. L’article 33, paragraphe 2, du RGPD, reproduit par la cour d’appel de Douai dans un arrêt du 4 juin 2026 (RG n° 24/00967), dispose : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. » Saisie par une association cliente d’un hébergeur dont un centre de données avait été détruit par un incendie, la cour a jugé que « l’obligation de notification d’une violation de données incombe au responsable de traitement », et non au prestataire qui avait la qualité de sous-traitant. Elle a précisé, dans le même arrêt, qu’il ne pèse sur ce prestataire, « en sa qualité de sous-traitant, qu’une obligation de notification, dans les meilleurs délais, d’un incident, au responsable de traitement, afin de permettre à ce dernier de remplir ses obligations au titre du RGPD ». Dans cette affaire, la cour a relevé que l’hébergeur avait procédé à de multiples communications auprès de ses clients et a écarté le grief tiré d’un défaut d’information.
La leçon pour l’entreprise cliente est simple : l’alerte de son prestataire ne clôt pas la démarche : elle ouvre celle du client. Dans l’incident évoqué en introduction, Maileva indique, selon sa réponse écrite publiée par Cyberattaque.org, avoir informé toutes les organisations concernées et précise que l’information des personnes relève de ses clients ; ce partage des rôles est celui que décrit l’article 33 du règlement. Pour approfondir la mécanique générale de la déclaration, le cabinet a consacré un article à la notification d’une fuite de données personnelles à la CNIL par l’entreprise.
Le Conseil d’État n’a admis qu’une exception, étroite. Dans une décision du 22 juillet 2022 (n° 449694), mentionnée aux tables du recueil Lebon, il juge que « l’obligation de notifier à la CNIL une violation de données à caractère personnel susceptible de faire naître un risque pour les droits et libertés des personnes physiques ne s’impose pas au responsable du traitement dans le cas où la CNIL l’a elle-même informé de cette violation et a engagé son contrôle sur la base des informations portées à sa connaissance par ailleurs ». L’hypothèse est celle d’un responsable que l’autorité a elle-même alerté puis contrôlé. Les décisions consultées pour cet article ne disent pas qu’une notification déposée par un sous-traitant pour son propre compte produirait le même effet au profit de ses clients. Tant que la CNIL ne s’est pas adressée à elle, l’entreprise cliente qui s’abstiendrait de notifier prendrait donc un risque qu’aucune de ces décisions ne permet d’écarter.
Le contrat de sous-traitance est aussi un levier. L’article 28, paragraphe 3, du RGPD impose qu’il prévoie que le sous-traitant « aide le responsable du traitement » à respecter les obligations des articles 32 à 36, compte tenu de la nature du traitement et des informations dont il dispose, et qu’il mette à sa disposition toutes les informations nécessaires pour démontrer le respect de ses obligations, audits et inspections compris. Dans une fiche pratique consacrée à une cyberattaque visant un sous-traitant, la CNIL décrit les bonnes pratiques qu’elle attend : un guide remis aux clients pour réaliser leur propre notification, la mention, dans la notification du client, du numéro de la notification déposée par le prestataire, et la possibilité pour celui-ci d’effectuer les démarches au nom du client, avec son accord formel uniquement. La même fiche décrit une gestion en deux temps : une première notification liée à l’indisponibilité du service, puis un complément pour les clients dont la confidentialité des données est atteinte.
Concrètement, l’entreprise cliente a intérêt à adresser à son prestataire une demande écrite et datée portant sur cinq points : la liste de ses envois concernés et leurs dates d’expédition ; les catégories de données exposées pour ses propres courriers, en distinguant l’adresse du destinataire et le contenu du courrier ; le numéro de la notification déposée par le prestataire auprès de la CNIL ; les mesures prises pour contenir l’incident ; enfin, le nom de l’interlocuteur chargé du suivi. Elle vérifie en parallèle, dans son contrat et dans l’annexe relative aux données personnelles, ce qui a été prévu sur l’assistance en cas d’incident, la sous-traitance ultérieure et les audits. Cette correspondance servira trois fois : pour remplir sa propre notification, pour justifier ses choix devant la CNIL, et pour préparer, si nécessaire, une discussion sur les responsabilités.
B. Notification en 72 heures, documentation et information des destinataires : comment évaluer le risque ?
Le cœur de l’obligation est fixé par l’article 33, paragraphe 1, du RGPD, que le Conseil d’État cite dans sa décision du 22 juillet 2022 : le responsable du traitement notifie la violation à l’autorité de contrôle compétente « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ». Le même paragraphe, tel que la cour d’appel de Douai le reproduit, ajoute : « Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. »
Ce texte fait partir le délai de la prise de connaissance de la violation par le responsable du traitement, selon les termes de l’article 33, paragraphe 1, cités par le Conseil d’État. Quand l’information arrive par étapes, d’abord une interruption de service, ensuite l’annonce de tentatives d’accès frauduleuses, enfin la confirmation d’une atteinte à la confidentialité, les décisions consultées pour cet article ne précisent pas laquelle de ces étapes marque la prise de connaissance d’un client. Cette question reste donc ouverte. La prudence commande de traiter chaque message du prestataire comme un signal d’alerte : l’enregistrer avec sa date et son heure, analyser ce qu’il révèle pour ses propres envois, et notifier sans attendre une certitude complète, puis compléter. L’article 33, paragraphe 4, du RGPD permet d’ailleurs de communiquer les informations de manière échelonnée lorsqu’il n’est pas possible de les fournir toutes en même temps.
La notification doit, selon l’article 33, paragraphe 3, cité dans la même décision du Conseil d’État, notamment « décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés ». Elle communique aussi un point de contact, décrit les conséquences probables de la violation et les mesures prises ou envisagées pour y remédier et en atténuer les effets. Pour une entreprise cliente, ces informations ne peuvent venir que de deux sources : ses propres fichiers d’envoi, qui lui permettent de dénombrer les destinataires, et les éléments transmis par le prestataire sur ce qui a été atteint. D’où l’importance de la demande écrite évoquée plus haut.
Lorsque l’entreprise estime que la violation n’est pas susceptible d’engendrer un risque, l’obligation ne disparaît pas entièrement. L’article 33, paragraphe 5, du RGPD impose au responsable du traitement de documenter toute violation, en indiquant les faits, ses effets et les mesures prises pour y remédier, et précise que cette documentation permet à l’autorité de contrôle de vérifier le respect de l’article. Une décision de ne pas notifier se prend donc par écrit, avec le raisonnement qui la fonde, les éléments reçus du prestataire et l’identité de la personne qui l’a arrêtée.
L’information individuelle des destinataires obéit à un seuil plus élevé. L’article 34 du RGPD impose au responsable du traitement de communiquer la violation à la personne concernée lorsqu’elle est susceptible d’engendrer un « risque élevé » pour ses droits et libertés, en termes clairs et simples, avec au moins le point de contact, les conséquences probables et les mesures prises. Cette communication n’est pas nécessaire si les données étaient rendues incompréhensibles pour les tiers, par exemple par le chiffrement, si des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se matérialiser, ou si elle exigerait des « efforts disproportionnés » ; dans ce dernier cas, une communication publique ou une mesure d’effet équivalent la remplace. Si le responsable ne l’a pas faite, l’autorité de contrôle peut l’exiger.
Comment apprécier ce risque quand le prestataire annonce seulement le nom, le prénom et l’adresse postale ? Ces données sont moins sensibles qu’un numéro de compte, mais elles prennent un relief particulier lorsqu’elles révèlent un lien : savoir qu’une personne reçoit les courriers d’un bailleur, d’un laboratoire ou d’un fournisseur permet de lui adresser une fausse relance, un faux avis de régularisation ou une fausse demande de changement de coordonnées bancaires, crédibles parce qu’ils imitent un expéditeur réel. L’analyse change encore lorsque le contenu des courriers était lui-même exposé. L’article 4, point 15, du RGPD range parmi les données concernant la santé celles relatives à la prestation de services de soins de santé qui révèlent des informations sur l’état de santé d’une personne, et l’article 9 du règlement soumet ces données à un régime particulier. Dans sa décision du 22 juillet 2022, le Conseil d’État a validé l’appréciation de la CNIL retenant un manquement à l’article 32 « eu égard à la sensibilité particulière de ces données de nature médicale ». Un établissement de soins dont les relances mentionnaient des dates de soins ou des montants dus ne raisonne donc pas comme un commerçant dont seule l’adresse de livraison a été copiée.
Le coût d’une erreur d’appréciation n’est pas théorique. L’article 20 de la loi du 6 janvier 1978, tel que le cite le Conseil d’État dans une décision du 26 avril 2022 (n° 449284), permet à la formation restreinte de la CNIL de prononcer « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », plafonds relevés dans certaines hypothèses visées par l’article 83 du RGPD. La même décision juge que le prononcé d’une sanction n’est pas subordonné à une mise en demeure préalable, alors même que la société avait elle-même informé la CNIL de l’attaque et commencé à prendre des mesures correctrices. Parmi les critères de fixation de l’amende, l’article 83 retient, comme le rappelle la décision du 22 juillet 2022, « la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ». Une notification loyale et documentée pèse donc dans l’appréciation.
Le droit pénal complète ce dispositif. L’article 226-17 du code pénal réprime « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites » par les articles 24, 25, 30 et 32 du RGPD, d’une peine de cinq ans d’emprisonnement et de 300 000 euros d’amende. Le texte vise aussi celui qui fait procéder au traitement ; les décisions consultées pour cet article ne disent pas dans quelles conditions il s’appliquerait à un client dont le prestataire a subi une intrusion, et aucune conclusion ne peut en être tirée pour un dossier particulier. Il rappelle surtout que la sécurité d’un traitement confié à un tiers reste, en droit, une préoccupation de celui qui le confie.
II. Fuite de données chez un sous-traitant : qui indemnise les destinataires et quels recours contre le prestataire ?
A. Destinataires qui demandent réparation : responsabilité du client et du sous-traitant, preuve du dommage
Les destinataires des courriers n’ont en général aucun lien contractuel avec le prestataire d’envoi : ce sont les clients, patients, locataires ou usagers de l’entreprise qui leur écrit. Leur droit à réparation repose sur l’article 82 du RGPD, dont la chambre sociale de la Cour de cassation rappelle les termes dans un arrêt du 24 juin 2026 (n° 24-22.792), publié au Bulletin : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». La responsabilité civile de droit commun reste également mobilisable sur le fondement de l’article 1240 du code civil, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »
L’article 82 répartit ensuite la charge entre les deux acteurs. D’après son paragraphe 2, que la CNIL reproduit dans la version consolidée du règlement, tout responsable du traitement ayant participé au traitement répond du dommage causé par un traitement contraire au règlement, tandis que le sous-traitant n’en répond que s’il n’a pas respecté les obligations qui lui incombent spécifiquement ou s’il a agi en dehors des instructions licites du responsable, ou contrairement à elles. Le paragraphe 3 exonère celui qui prouve que le fait qui a provoqué le dommage ne lui est « nullement imputable ». Le paragraphe 4 prévoit que, lorsque le responsable et le sous-traitant participent au même traitement et sont tous deux responsables, chacun est tenu du dommage dans sa totalité, afin de garantir à la personne concernée une réparation effective. Le paragraphe 5 permet à celui qui a réparé l’intégralité du dommage de réclamer aux autres la part correspondant à leur responsabilité. Pour l’entreprise cliente, cela signifie qu’elle peut être la première interlocutrice d’un destinataire, puis se retourner contre son prestataire dans la mesure de la part de celui-ci.
Encore faut-il que le destinataire prouve un dommage. La Cour de cassation l’affirme nettement dans son arrêt du 24 juin 2026 : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». Elle s’appuie sur la jurisprudence de la Cour de justice de l’Union européenne, qu’elle cite : la personne qui demande réparation « est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral » (CJUE, 25 janvier 2024, C-687/21). Elle rappelle aussi que l’article 82 « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » (CJUE, 4 mai 2023, C-300/21). Dans l’affaire jugée, la cour d’appel avait alloué 5 000 euros au motif que le non-respect du règlement avait nécessairement causé un préjudice ; la Cour de cassation casse ce chef de l’arrêt. Il n’y a donc ni indemnisation automatique, ni seuil de gravité : le juge vérifie au cas par cas l’existence d’un dommage, matériel ou moral, et son lien avec la violation.
Sur la sécurité elle-même, la charge de la preuve est plus lourde pour le responsable du traitement. Un jugement du tribunal judiciaire de Nice du 18 novembre 2025 (RG n° 22/03193), rendu en première instance, en donne une illustration. Reprenant la jurisprudence européenne (CJUE, 14 décembre 2023, C-340/21), il retient, à propos des articles 24 et 32 du RGPD, que ces dispositions « ne sauraient être comprises en ce sens qu’une divulgation non autorisée de données à caractère personnel ou un accès non autorisé à de telles données par un tiers suffisent pour conclure que les mesures adoptées par le responsable du traitement concerné n’étaient pas appropriées », mais que « Le responsable du traitement en cause supporte la charge de prouver le caractère approprié des mesures de sécurité qu’il a mises en œuvre ». Dans cette affaire, la messagerie d’un gestionnaire d’agence immobilière avait été compromise ; le locataire avait reçu des courriels crédibles lui demandant de verser ses loyers sur un nouveau compte. Faute pour l’agence de justifier de ses mesures de sécurité et de la date à laquelle elle avait eu connaissance de l’incident, le tribunal l’a condamnée à verser 8 899,95 euros de dommages et intérêts. Le mécanisme de fraude décrit, une fausse demande de changement de coordonnées bancaires après une intrusion, est précisément celui que redoute un expéditeur de factures dont les fichiers de destinataires ont été copiés.
Recourir à un prestataire ne dispense pas le client de le surveiller. Dans sa décision du 26 avril 2022, le Conseil d’État a confirmé une amende de 250 000 euros infligée par la CNIL à une société de vente en ligne, après avoir relevé que la vulnérabilité à l’origine de la violation des données de près de 200 000 clients résultait de l’absence de mise en œuvre, par cette société, « d’un contrôle régulier sur les mesures techniques et organisationnelles prises par son sous-traitant chargé d’assurer la sécurité de son site web ». L’article 28, paragraphe 1, du RGPD impose d’ailleurs au responsable de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes. Pour l’entreprise cliente, les questionnaires de sécurité, les certifications demandées, les comptes rendus d’audit et les échanges sur les mises à jour constituent autant de preuves à rassembler dès maintenant, car ce sont elles qui permettront de démontrer, le cas échéant, le caractère approprié de ses propres diligences.
Enfin, l’entreprise cliente a intérêt à agir pour limiter le dommage de ses destinataires, ce que l’article 33 lui demande de décrire dans sa notification. Un message clair, envoyé par le canal habituel, qui rappelle que l’entreprise ne demande jamais de changement de coordonnées bancaires par simple courrier, qui indique comment vérifier l’authenticité d’une relance et qui donne un point de contact, réduit le risque de fraude et, partant, le risque de contentieux. Les questions propres à chaque secteur, qu’il s’agisse de santé, de logement social ou de transport, sont présentées sur la page consacrée à l’activité d’avocat RGPD à Paris du cabinet.
B. Recours de l’entreprise cliente contre son prestataire : contrat, clause limitative et plainte pénale
Entre l’entreprise cliente et son prestataire, le terrain est d’abord contractuel. L’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Encore faut-il identifier l’obligation inexécutée : l’article 28, paragraphe 3, du RGPD impose que le contrat prévoie que le sous-traitant prend toutes les mesures requises en vertu de l’article 32, mais cet article n’exige que des mesures appropriées, garantissant un niveau de sécurité adapté au risque. Dans son arrêt du 4 juin 2026, la cour d’appel de Douai a examiné une à une les mesures de prévention justifiées par l’hébergeur (plan de prévention, formation du personnel, vérifications périodiques) et a conclu qu’il n’était pas démontré que celui-ci aurait manqué à une obligation d’assurer la sécurité du site. La survenance de l’incident ne suffit donc pas : le client doit établir un manquement précis, ce qui suppose des éléments techniques, souvent une expertise.
Le deuxième obstacle tient aux clauses limitatives de responsabilité, présentes dans la plupart des conditions générales de prestation. L’article 1170 du code civil pose que « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » La chambre commerciale de la Cour de cassation avait jugé, dans l’arrêt Faurecia du 29 juin 2010 (n° 09-11.841), publié au Bulletin, que « seule est réputée non écrite la clause limitative de réparation qui contredit la portée de l’obligation essentielle souscrite par le débiteur ». La cour d’appel de Douai précise, dans son arrêt du 4 juin 2026, que « Le seul critère retenu pour déterminer la validité de la clause s’apprécie au moment de la formation du contrat et consiste à rechercher si la portée de l’obligation essentielle souscrite par le débiteur est contredite et si la clause prive le contrat de tout intérêt pour le créancier. » Elle a validé une limitation aux seuls dommages directs, en jugeant que le fait que les préjudices indemnisés soient limités aux dommages directs, et non aux dommages indirects tels que le trouble commercial ou l’atteinte à l’image, « ne prive pas l’obligation essentielle de sa substance, mais cantonne uniquement le préjudice indemnisable ». Un plafond d’indemnisation ou une exclusion des préjudices indirects n’est donc pas, en soi, écarté : tout dépend de l’économie du contrat. Le cabinet a détaillé ces critères dans un article sur la manière d’écarter une clause limitative de responsabilité après une panne informatique.
La faute lourde ouvre une seconde voie. L’article 1231-3 du code civil énonce que « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive. » Mais la barre est haute : selon l’arrêt Faurecia, « la faute lourde ne peut résulter du seul manquement à une obligation contractuelle, fût-elle essentielle, mais doit se déduire de la gravité du comportement du débiteur ». Le client qui l’invoque doit donc démontrer un comportement d’une gravité particulière, et non la seule réalisation du risque.
Le troisième levier est le recours prévu par le RGPD lui-même. Si l’entreprise cliente a indemnisé intégralement un destinataire, le paragraphe 5 de l’article 82 du règlement l’autorise à réclamer au sous-traitant la part de la réparation correspondant à sa part de responsabilité, dans les conditions du paragraphe 2, c’est-à-dire si celui-ci a méconnu ses obligations propres ou les instructions reçues. L’articulation entre ce recours et les clauses du contrat n’est pas tranchée par les décisions consultées pour cet article : c’est un point à examiner dossier par dossier. Selon l’enjeu, le client mesure aussi l’intérêt de maintenir ou non la relation ; le cabinet a consacré un article aux conditions dans lesquelles on peut résilier le contrat d’un prestataire informatique après une intrusion et obtenir réparation.
Reste la voie pénale, qui vise d’abord l’auteur de l’intrusion. L’article 323-1 du code pénal punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de trois ans d’emprisonnement et de 100 000 euros d’amende, peines aggravées lorsque des données ont été supprimées ou modifiées. L’article 323-3 du code pénal réprime notamment le fait, s’agissant d’un système de traitement automatisé, « d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient » de cinq ans d’emprisonnement et de 150 000 euros d’amende. Selon l’article 2 du code de procédure pénale, « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction. » L’entreprise cliente qui estime avoir subi un tel dommage, par exemple des frais de gestion de crise ou des fraudes visant ses propres clients, peut donc déposer sa propre plainte et faire valoir ses intérêts, même lorsque le prestataire a déjà porté plainte de son côté. Cette démarche a aussi une utilité probatoire : elle date les faits constatés et rassemble les pièces, comme les courriers frauduleux signalés par des destinataires.
Dans tous les cas, la qualité du dossier fait la différence : copie du contrat et de son annexe sur les données personnelles, messages reçus du prestataire avec leurs dates, notification déposée auprès de la CNIL et ses compléments, analyse de risque écrite, preuve des messages envoyés aux destinataires, coûts engagés et réclamations reçues. Lorsque l’incident touche aussi la continuité des systèmes, le volet technique et contractuel relève d’un avocat en cybersécurité, qui travaillera avec les experts chargés de reconstituer le déroulement de l’attaque.
Conclusion
Lorsqu’un prestataire d’envoi de courriers annonce un incident de sécurité, l’entreprise cliente ne subit pas seulement l’événement : en sa qualité habituelle de responsable du traitement, elle porte l’obligation de notification que la cour d’appel de Douai, dans son arrêt du 4 juin 2026, place sur le responsable et non sur le sous-traitant, et elle doit apprécier elle-même le risque pour ses destinataires. Sa feuille de route tient en quelques gestes : obtenir par écrit les informations du prestataire, notifier la CNIL en suivant les exigences de l’article 33 rappelées par le Conseil d’État, documenter chaque décision, informer les destinataires lorsque le risque est élevé et les mettre en garde contre les faux courriers.
Sur le terrain de la responsabilité, la jurisprudence récente écarte les automatismes dans les deux sens. Un destinataire doit prouver son dommage, comme l’a jugé la Cour de cassation le 24 juin 2026, mais le responsable du traitement doit pouvoir démontrer le caractère approprié de ses mesures et la réalité de son contrôle sur le sous-traitant. Entre le client et son prestataire, tout se joue sur le contrat, ses clauses limitatives et la preuve d’un manquement précis. Ces développements restent de portée générale : ils ne constatent aucun manquement ni aucune responsabilité dans l’incident évoqué en introduction, les contrats signés priment sur toute analyse générale, et seul le juge peut trancher un litige né d’une fuite de données chez un sous-traitant.