Le 6 août 2026, une enquête a été ouverte à Paris après une cyberattaque ayant touché le service de commande en ligne d’Intermarché. Les premières informations rendues publiques font état d’un accès aux données d’environ 300 000 clients : identité, coordonnées téléphoniques et postales, date de naissance, informations de fidélité et éléments liés aux commandes. Les données bancaires, les mots de passe et les adresses électroniques n’auraient pas été concernés selon les éléments alors communiqués. Cette affaire rappelle qu’une fuite ne se résume pas à un problème informatique : elle déclenche une crise de preuve, de protection des personnes, de communication et de responsabilité.
Pour l’entreprise, la question urgente n’est pas seulement de savoir qui a pénétré le système. Elle doit déterminer quelles données ont été exposées, depuis quand, pour quelles personnes, avec quel niveau de risque et par quel acteur. Elle doit aussi conserver les traces permettant de discuter ensuite la faute d’un prestataire, la garantie d’un assureur ou la demande d’indemnisation d’un client. Les règles du règlement général sur la protection des données imposent une réaction structurée, même lorsque l’enquête technique n’est pas achevée.
Ce cadre pratique répond aux deux questions qui se posent après une attaque comparable : quelles mesures l’entreprise doit-elle prendre dans les premières heures, puis comment organiser sa défense et les recours lorsque des clients, la CNIL, un assureur ou un prestataire demandent des comptes ?
I. Cyberattaque d’Intermarché : que faire dans les 72 heures après la fuite de données clients ?
A. Comment qualifier la fuite, conserver les preuves et notifier la CNIL ?
La première erreur consiste à attendre la fin de l’analyse informatique avant de qualifier juridiquement l’incident. Le RGPD définit la violation de données comme une atteinte à la sécurité pouvant entraîner une destruction, une perte, une altération, une divulgation non autorisée ou un accès non autorisé à des données personnelles. La perte de confidentialité suffit donc : l’entreprise n’a pas besoin de démontrer que les données ont déjà été utilisées frauduleusement.
Dans une affaire de distribution, les informations de fidélité, d’achat ou de livraison se combinent souvent avec des données d’identité et de contact. Même si aucune carte bancaire n’a été extraite, l’association de ces éléments peut faciliter l’hameçonnage, l’usurpation d’identité, la fraude au faux conseiller ou la reconstitution des habitudes de consommation. L’analyse doit porter sur les données réellement présentes dans les bases et les sauvegardes, mais aussi sur les journaux d’accès, les comptes compromis, les exports, les interfaces avec les prestataires et les copies susceptibles d’avoir été téléchargées.
L’article 32 du RGPD impose au responsable de traitement et au sous-traitant de mettre en œuvre des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Cette obligation ne transforme pas l’entreprise en assureur absolu contre toute attaque. Elle l’oblige toutefois à pouvoir expliquer ses choix : gestion des habilitations, authentification renforcée, segmentation, sauvegardes, journalisation, supervision, correctifs, tests, procédure de crise et encadrement des prestataires.
Dans les premières heures, la cellule de crise doit prendre des mesures parallèles :
- isoler les comptes, postes, serveurs ou interfaces compromis sans détruire les journaux utiles à l’enquête ;
- faire établir une chronologie datée : premier signal, découverte de l’accès, confirmation de l’extraction, mesures de confinement et décisions prises ;
- conserver les journaux de connexion, alertes, copies forensiques, courriels, tickets, rapports d’intervention et échanges avec les prestataires ;
- identifier les catégories de données, le nombre approximatif de personnes et le nombre d’enregistrements concernés ;
- ouvrir un dossier de violation séparé du dossier de communication de crise et désigner une personne responsable de sa mise à jour.
Le responsable de traitement doit documenter toute violation, y compris lorsqu’il conclut finalement qu’une notification n’était pas nécessaire. Lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés, l’article 33 du RGPD prévoit une notification à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après la prise de connaissance. La CNIL rappelle elle-même que la notification doit intervenir « au plus tôt et dans un délai maximal de 72h » lorsque le risque existe. Le délai ne commence pas au jour où l’entreprise connaît chaque détail technique : il se rattache au moment où elle dispose d’une certitude raisonnable qu’un incident a touché des données personnelles.
Une notification initiale peut être incomplète. L’article 33 autorise une transmission échelonnée lorsque toutes les informations ne peuvent pas être réunies simultanément. L’entreprise doit alors envoyer ce qu’elle sait, expliquer ce qui reste à établir et compléter sans retard indu. Cette méthode est préférable à une notification tardive présentée comme plus précise. Le dossier doit conserver la preuve de l’heure de découverte, de l’heure de validation du risque, de la date d’envoi et des compléments ultérieurs.
La loi française renforce le risque en cas de manquement grave. L’article 226-17 du Code pénal réprime le fait de traiter des données sans mettre en œuvre les mesures prescrites par les textes applicables. L’article 226-17-1 du Code pénal vise spécifiquement l’absence de notification d’une violation à la CNIL ou aux personnes concernées, ainsi que le défaut de notification du sous-traitant envers le responsable de traitement. Ces dispositions ne signifient pas qu’une cyberattaque entraîne automatiquement une condamnation pénale de l’enseigne ; elles rendent indispensable une décision documentée sur le risque, la notification et les mesures de sécurité.
La préservation de la preuve répond aussi à l’intérêt de l’entreprise. Une restauration précipitée, l’effacement d’un serveur, la modification d’un compte administrateur ou une réinstallation sans copie peuvent empêcher de démontrer l’origine de l’intrusion. Le dirigeant doit demander aux intervenants techniques de préciser les opérations effectuées, les supports copiés, les horodatages utilisés et les éléments conservés. Le rapport final doit distinguer les faits établis, les hypothèses, les limites d’analyse et les recommandations. Cette distinction sera déterminante si un prestataire soutient ensuite que l’entreprise ne prouve ni la faille, ni l’extraction, ni le dommage.
B. Quand l’entreprise doit-elle informer les clients et déposer plainte ?
La notification à la CNIL et l’information des clients obéissent à deux seuils différents. Lorsque la violation est susceptible de créer un risque, l’entreprise notifie l’autorité de contrôle. Lorsque le risque est élevé pour les personnes, elle doit aussi communiquer la violation aux personnes concernées dans les meilleurs délais, sauf exception prévue par le RGPD. L’article 34 du RGPD exige une information rédigée « en des termes clairs et simples ». Un communiqué vague ne permet pas au client de comprendre ce qui s’est passé ni de se protéger.
L’évaluation du risque tient compte de la nature des données, du volume, de la facilité d’identification, de la possibilité d’un usage frauduleux, de la durée d’exposition, du chiffrement et des mesures déjà prises. Un nom isolé n’a pas la même portée qu’un nom relié à une date de naissance, une adresse, un numéro de téléphone et un historique de commandes. L’absence de données bancaires réduit certains risques, mais elle ne suffit pas à exclure les campagnes de fraude ciblée. Le message adressé au client doit donc éviter les garanties absolues et décrire les risques encore plausibles.
Une information utile répond au minimum à cinq questions : que s’est-il passé ; quelles catégories de données sont concernées ; à quelle période l’incident s’est-il produit ; quelles mesures l’entreprise a-t-elle prises ; quelles précautions la personne doit-elle adopter ? Le message doit fournir un point de contact identifiable, rappeler que l’entreprise ne demandera jamais un mot de passe ou un code bancaire par téléphone et orienter vers les canaux officiels. Si certaines données n’ont pas été touchées, cette précision doit être formulée avec la réserve correspondant au niveau d’analyse atteint.
L’entreprise doit coordonner l’information des clients avec la conservation de la preuve. Elle ne doit pas supprimer les messages frauduleux reçus par les clients, ni leur demander de transférer des pièces techniques par un canal non sécurisé. Un formulaire sécurisé peut recueillir les signalements : date, adresse d’expédition, numéro appelé, lien reçu, capture d’écran et référence de commande. Ces remontées peuvent révéler une seconde phase de l’attaque ou permettre de rapprocher une campagne de hameçonnage avec les données exfiltrées.
Le dépôt de plainte doit être effectué rapidement, même si l’auteur demeure inconnu. L’article 15-3 du Code de procédure pénale prévoit que les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions, y compris lorsque le service saisi n’est pas territorialement compétent. Le dépôt donne lieu à un procès-verbal et à un récépissé. L’entreprise doit préparer un dossier exploitable : chronologie, constat d’incident, liste des systèmes, éléments de compromission, rapports techniques, demandes de rançon éventuelles, préjudices immédiats et coordonnées des personnes pouvant répondre aux enquêteurs.
Les qualifications pénales peuvent concerner l’auteur de l’intrusion. L’article 323-1 du Code pénal réprime l’accès ou le maintien frauduleux dans un système de traitement automatisé de données. Le texte vise le fait « d’accéder ou de se maintenir, frauduleusement » dans tout ou partie d’un système. L’article 323-3 du Code pénal sanctionne notamment l’extraction, la détention, la reproduction ou la transmission frauduleuse des données. Les éléments techniques doivent être conservés pour permettre aux enquêteurs de rattacher les faits à ces qualifications.
Le dépôt de plainte ne remplace pas la notification CNIL et la notification CNIL ne remplace pas la plainte. Ces démarches poursuivent des objectifs différents : protéger les personnes, permettre le contrôle de l’autorité et déclencher l’enquête pénale. L’assureur cyber peut également imposer une déclaration selon le contrat. Une déclaration tardive ou incomplète peut provoquer un débat sur la garantie, la coopération attendue et la prise en charge des frais d’expertise, de notification, de restauration et de défense.
La communication publique doit rester cohérente avec les informations adressées aux clients et à la CNIL. Il faut éviter de désigner un prestataire comme responsable avant expertise, de minimiser un risque encore en cours d’analyse ou de confirmer l’absence d’une catégorie de données sans base technique suffisante. Une première communication peut dire ce qui est établi, ce qui est en cours de vérification et les mesures immédiates proposées. Toute correction ultérieure doit être assumée et datée ; elle vaut mieux qu’un silence prolongé suivi d’une contradiction.
II. Quelle responsabilité et quels recours après la cyberattaque d’une entreprise ?
A. Comment répartir la responsabilité entre l’enseigne, le prestataire informatique et l’assureur ?
Après la phase d’urgence, le dossier change de nature. L’entreprise doit répondre aux demandes de la CNIL, aux réclamations de clients, aux questions de son assureur et, parfois, à une mise en cause de son prestataire informatique. La répartition ne se fait pas à partir de la seule personne qui a découvert la faille. Elle dépend des rôles réellement exercés, des instructions données, des mesures contractuellement prévues, de la maîtrise des systèmes et du lien entre la faute alléguée et le dommage.
Le responsable de traitement détermine les finalités et les moyens essentiels du traitement. Le sous-traitant agit pour le compte de ce responsable et doit respecter les obligations prévues par le RGPD et le contrat. Une même société peut être responsable pour son fichier de fidélité et sous-traitante pour un service qu’elle opère pour une autre entreprise. Le contrat ne suffit pas à imposer une qualification contraire aux faits. Il faut examiner les annexes de sécurité, la matrice des habilitations, les niveaux de service, les comptes rendus de comité, les audits et les instructions concernant les sauvegardes ou l’accès distant.
L’article 82 du RGPD prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation peut demander réparation au responsable de traitement ou au sous-traitant. Le même article distingue les situations : le sous-traitant répond notamment lorsqu’il n’a pas respecté les obligations qui lui sont propres ou lorsqu’il a agi en dehors des instructions licites. Une enseigne ne peut donc pas se décharger mécaniquement sur son hébergeur, pas plus qu’un prestataire ne peut être condamné du seul fait qu’une attaque a réussi.
Sur le terrain contractuel, l’article 1217 du Code civil ouvre plusieurs sanctions lorsque l’engagement n’a pas été exécuté ou l’a été imparfaitement : suspension, exécution forcée, réduction du prix, résolution et réparation. Le texte permet de « demander réparation des conséquences de l’inexécution ». L’article 1231-1 du Code civil prévoit que le débiteur peut être condamné à des dommages et intérêts pour inexécution ou retard, sauf force majeure. L’entreprise qui réclame le coût d’un incident doit donc identifier l’obligation violée, le dommage imputable et le lien de causalité.
La jurisprudence récente sur les attaques informatiques montre l’importance du périmètre contractuel. Dans l’arrêt de la cour d’appel de Reims, RG n° 24/01502, la société MISA avait subi un ransomware et reprochait à son prestataire des manquements d’information et de conseil. La décision rappelle qu’un professionnel informatique ne peut pas toujours opposer l’absence d’un cahier des charges parfaitement formalisé à un client non averti lorsque les risques de cyberattaque devaient être pris en compte. La cour relève que le prestataire devait, selon les circonstances, « informer le client non averti » sur les besoins propres de l’entreprise. Cette décision n’établit pas une responsabilité automatique : elle invite à comparer les compétences du client, le contenu de la mission, les alertes émises et les choix finalement validés.
Dans l’arrêt de la cour d’appel de Rennes du 19 novembre 2024, RG n° 23/04627, une entreprise victime d’un rançongiciel invoquait le chiffrement de son système, de ses sauvegardes, de données économiques et de données personnelles. Le débat portait notamment sur l’architecture des sauvegardes, la configuration du contrôleur de domaine, la mission réellement confiée au prestataire et le coût de la remise en état. La cour présente le sinistre comme une attaque ayant entraîné un arrêt d’activité et des dépenses de restauration. La leçon pratique est directe : les factures de crise ne suffisent pas ; elles doivent être reliées à une défaillance contractuelle précise et à une mesure raisonnable de remédiation.
Une autre décision de la cour d’appel de Lyon, RG n° 22/00548, examine une cyberattaque au regard des défaillances alléguées d’un logiciel de maintenance à distance et de la gestion des accès d’un prestataire. Les éléments de preuve doivent permettre de relier la porte d’entrée de l’attaque à une obligation de sécurité, à une configuration défectueuse ou à une absence d’alerte. La simple coexistence entre une prestation informatique et une attaque ne suffit pas à établir la faute. Le contrat, les journaux, les audits antérieurs et les mesures recommandées après l’incident doivent être confrontés.
Le contrat avec le prestataire mérite une revue immédiate. Il faut rechercher la clause de notification d’incident, le délai d’alerte, les obligations d’assistance, la liste des sous-traitants ultérieurs, la localisation des données, les règles de conservation des journaux, les engagements de sauvegarde, les niveaux de service, les exclusions et les plafonds d’indemnisation. Il faut aussi vérifier si une clause vide de sa substance l’obligation essentielle du prestataire ou si elle peut être opposée au regard de la gravité du manquement. Une mise en demeure bien documentée peut préserver les droits sans empêcher la coopération technique nécessaire.
L’assureur doit recevoir une déclaration conforme au contrat, accompagnée d’une présentation factuelle. La société ne doit pas lui transmettre un rapport qui confond faits établis et hypothèses, ni reconnaître une faute avant d’avoir sécurisé sa position. Les postes de préjudice peuvent inclure l’expertise, la restauration, la notification, l’assistance aux clients, l’interruption d’activité, la perte de marge, la surveillance renforcée, la communication de crise et les frais de défense. Chaque poste doit être daté, justifié et relié à l’incident. Les garanties d’atteinte aux données, de responsabilité civile, de perte d’exploitation et de frais de réponse peuvent obéir à des conditions différentes.
B. Comment indemniser le préjudice et organiser la défense à Paris et en Île-de-France ?
Les clients dont les données ont été exposées disposent de plusieurs voies : exercice de leurs droits auprès de l’entreprise, réclamation à la CNIL, plainte pénale lorsque les faits le justifient et action en réparation si un dommage est établi. Une fuite ne produit pas automatiquement un montant forfaitaire. Le droit à réparation suppose une violation, un dommage matériel ou moral et un lien de causalité. La Cour de justice de l’Union européenne rappelle, dans l’arrêt Natsionalna agentsia za prihodite, C-340/21, que la crainte d’un usage frauduleux peut constituer un élément à apprécier, mais que le juge doit examiner concrètement le dommage invoqué et les mesures prises pour y répondre.
Pour une personne concernée, les pièces utiles sont le message reçu de l’entreprise, la preuve de la relation commerciale, les courriels ou appels suspects, les dépenses engagées, les démarches d’opposition, les pertes subies et les éléments permettant d’identifier le lien avec la fuite. Une simple affirmation de réception d’un message frauduleux ne suffit pas toujours à établir que ce message provient de la base compromise. À l’inverse, une série de données reprises dans une campagne ciblée, un accès indu à un compte ou un préjudice financier documenté peuvent renforcer le dossier.
L’article 1240 du Code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage » oblige celui par la faute duquel il est arrivé à le réparer. En matière de données, ce texte peut compléter le régime du RGPD selon la nature de l’action et des parties. L’entreprise doit éviter de promettre une indemnisation identique à tous les clients avant d’avoir analysé les situations individuelles. Elle peut organiser un point de contact, une procédure de réclamation et une réponse graduée sans reconnaître pour autant l’existence de chaque préjudice allégué.
Le recours contre un prestataire suit une logique différente. L’entreprise doit demander la communication des éléments nécessaires à l’analyse : journaux, comptes administrateurs, alertes, versions des logiciels, tickets d’intervention, rapports de sauvegarde, preuves de tests, certificats, audits, recommandations et échanges relatifs aux risques. Une mesure d’instruction peut être envisagée lorsque l’accès à la preuve est déséquilibré ou lorsque les supports risquent de disparaître. La demande doit rester ciblée : un audit général sans périmètre ni question technique précise peut retarder la résolution et augmenter le coût du litige.
Le contentieux doit distinguer les demandes contre l’auteur de l’attaque et celles dirigées contre l’entreprise ou son prestataire. L’article 323-1 du Code pénal vise l’accès frauduleux ; l’article 323-3 du Code pénal vise l’extraction ou la transmission frauduleuse des données. Ces infractions concernent l’auteur de la soustraction. Elles ne dispensent pas l’entreprise d’examiner sa propre obligation de sécurité et sa responsabilité civile, mais elles empêchent de confondre l’attaque criminelle avec la faute éventuelle du responsable de traitement.
La cour d’appel de Paris, dans une décision publiée sous le RG n° 21/09283, a rappelé que l’employeur responsable de traitement devait prendre les précautions nécessaires pour préserver la sécurité des données des salariés, tout en mettant en balance cette obligation avec le droit à la preuve. La formulation de la cour invite à raisonner sur la nécessité, la proportionnalité et la traçabilité des accès. Dans un dossier d’enseigne, les mêmes exigences concernent les extractions, les investigations internes, les communications aux clients et les documents communiqués à un expert.
Le tribunal judiciaire de Paris, dans une décision publiée sous le RG n° 20/12149, a également exposé la distinction entre responsable de traitement et sous-traitant dans le cadre d’une demande fondée sur l’article 82 du RGPD. Cette distinction doit être traitée avant toute assignation. Une entreprise qui demande réparation à son prestataire doit démontrer le rôle de celui-ci, l’obligation qui lui incombait et l’incidence de son comportement. Un client qui agit contre l’enseigne doit, de son côté, identifier le traitement concerné et le dommage personnel qu’il invoque.
À Paris et en Île-de-France, la juridiction compétente dépendra de la qualité des parties, de la nature du contrat et des clauses de compétence. Un différend entre sociétés commerciales peut relever du tribunal des activités économiques lorsque les conditions sont réunies. Une demande d’un consommateur, une action liée à un contrat particulier ou une procédure pénale obéissent à d’autres règles. Le siège social, le lieu du dommage, le domicile du demandeur et les clauses contractuelles ne doivent pas être analysés séparément. L’assignation doit aussi préserver les éléments confidentiels : secrets d’affaires, architecture réseau, données de clients et rapports d’expertise.
La défense de l’entreprise peut être structurée autour d’un dossier en six ensembles :
- la chronologie de l’incident et les décisions prises heure par heure ;
- la cartographie des traitements, des données et des personnes concernées ;
- la notification CNIL, ses compléments et le registre interne de violation ;
- les courriers aux clients, les réponses aux réclamations et les signalements de fraude ;
- les contrats, annexes de sécurité, audits, alertes et rapports du prestataire ;
- les dépenses, pertes d’exploitation, remboursements, frais de crise et demandes d’indemnisation.
Ce dossier doit être conservé avec des droits d’accès limités et un historique des versions. Les documents techniques bruts ne doivent pas être diffusés à l’ensemble des équipes ou joints à une communication commerciale. Les copies destinées à l’autorité, aux enquêteurs, à l’assureur et à l’avocat peuvent être différentes, à condition de rester cohérentes sur les faits. La confidentialité ne doit pas devenir un prétexte pour empêcher la personne concernée de recevoir une information utile, ni un motif pour effacer les éléments nécessaires au contrôle.
Une entreprise qui réagit correctement ne cherche pas à faire disparaître l’incident. Elle montre ce qu’elle savait, à quel moment elle l’a su, ce qu’elle a fait immédiatement, ce qu’elle a corrigé et ce qu’elle met en place pour éviter une répétition. Cette démarche réduit le risque de contradiction entre l’analyse technique, la notification, les messages aux clients et les écritures judiciaires. Elle permet également de discuter avec l’assureur ou le prestataire sur la base de faits vérifiables plutôt que d’allégations générales.
Conclusion
La cyberattaque d’Intermarché rappelle le double impératif qui pèse sur toute entreprise détenant un fichier clients : protéger les personnes et préserver ses droits. Dans les 72 heures, la priorité est de qualifier la violation, conserver les preuves, notifier la CNIL lorsque le risque le justifie, informer les clients exposés, déposer plainte et déclarer le sinistre à l’assureur. Ensuite, l’entreprise doit répartir les responsabilités entre ses équipes, son prestataire, son hébergeur, son assureur et l’auteur de l’intrusion.
Le dossier le plus solide est celui qui relie chaque obligation à une pièce : contrat, journal, rapport, décision, dépense, notification ou message envoyé. La responsabilité ne se déduit ni de la seule médiatisation de l’attaque ni de la seule qualité de prestataire informatique. Elle se démontre à partir des rôles, des engagements, des mesures de sécurité, du dommage et du lien de causalité. Une réaction rapide, documentée et proportionnée protège à la fois les clients et la défense de l’entreprise.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Envoyez les premiers éléments de la cyberattaque, de la notification ou de la réclamation pour préparer les mesures utiles.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.
Le cabinet accompagne les entreprises à Paris et en Île-de-France dans les dossiers de responsabilité, de données personnelles, de contrats informatiques et de contentieux commercial. Pour approfondir la situation d’un prestataire informatique, consultez également notre article sur la cyberattaque chez un sous-traitant RGPD et les obligations du client. Retrouvez la page Droit des affaires du cabinet.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.