Répar’stores a informé ses clients, le 4 septembre 2026, qu’un accès non autorisé avait touché l’un de ses environnements informatiques. Selon la notification relayée par plusieurs médias spécialisés, les données susceptibles d’avoir été consultées comprennent les noms, coordonnées, adresses, devis, factures et commentaires associés. L’entreprise indique que les données bancaires et les mots de passe ne sont pas concernés, qu’elle a déclaré l’incident à la CNIL et qu’elle a déposé plainte. Un site consacré aux fuites évoque 1,8 million de clients, mais cette estimation, attribuée à l’auteur présumé de l’attaque, n’est pas confirmée par l’entreprise. Elle ne doit donc pas être tenue pour acquise.

L’incident soulève une question plus large que la seule sécurité du serveur. Répar’stores fonctionne comme un réseau de franchise comptant plusieurs centaines d’agences. Lorsqu’un fichier, un logiciel métier ou un parcours client est partagé, le franchiseur, chaque franchisé et leurs prestataires n’occupent pas nécessairement la même place au regard du RGPD. Le nom de l’enseigne ne suffit pas à désigner celui qui doit notifier, répondre au client, conserver les preuves ou indemniser. Il faut reconstituer les décisions prises sur le traitement, les accès réels au système et les obligations contractuelles de chacun.

I. Cyberattaque d’un réseau de franchise : qui doit notifier la CNIL et répondre aux clients ?

A. Franchiseur, franchisé ou prestataire : comment identifier le responsable des données ?

Le premier travail consiste à cartographier le traitement affecté. La facture a-t-elle été émise par le franchisé local ou par la tête de réseau ? Le devis a-t-il été saisi dans un logiciel imposé par l’enseigne ? Qui décide des catégories de données collectées, de leur durée de conservation et des usages commerciaux ? Qui choisit l’hébergeur, administre les comptes et autorise les accès ? Les réponses peuvent conduire à désigner un responsable de traitement unique, plusieurs responsables conjoints, ou un responsable assisté d’un sous-traitant.

L’article 26 du RGPD vise les responsables conjoints lorsque plusieurs acteurs déterminent ensemble les finalités et les moyens du traitement. Le texte précise : « Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du présent règlement ». Il ajoute que la personne concernée peut exercer ses droits « à l’égard de et contre chacun des responsables du traitement », indépendamment de l’accord interne. Cette règle empêche un réseau de renvoyer indéfiniment le client de l’agence vers l’enseigne, puis de l’enseigne vers l’éditeur du logiciel.

La responsabilité conjointe n’est pourtant pas automatique dans toute franchise. Un franchisé peut décider seul de certaines opérations, par exemple la gestion d’un fichier local de prospection. À l’inverse, la tête de réseau peut fixer le formulaire, le logiciel, les durées et les campagnes menées sur une base nationale. Il faut examiner le contrat de franchise, la politique de confidentialité communiquée au client, le registre des traitements, les conditions d’utilisation du logiciel, les conventions de partage et les habilitations techniques. La qualification découle des décisions réellement prises, non de l’étiquette placée sur un contrat.

Le prestataire informatique est souvent un sous-traitant au sens du RGPD lorsqu’il traite les données pour le compte d’un responsable et selon ses instructions. L’article 28 impose alors de ne choisir que des prestataires présentant « des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Le contrat doit définir le traitement, imposer la confidentialité, organiser la sécurité, prévoir l’assistance en cas d’incident et permettre des audits. Le sous-traitant doit aussi signaler au responsable toute violation « dans les meilleurs délais après en avoir pris connaissance ».

Une clause désignant le prestataire comme seul responsable de la sécurité ne libère pas la tête de réseau ou le franchisé qui décide du traitement. Le Conseil d’État l’a rappelé dans une affaire où une attaque avait touché près de 200 000 clients. Il a retenu que « la vulnérabilité du système informatique à l’origine de la violation […] est la conséquence directe de l’absence de mise en œuvre par la société […] d’un contrôle régulier sur les mesures techniques et organisationnelles prises par son sous-traitant » (CE, 26 avril 2022, n° 449284). L’entreprise avait pourtant confié la sécurité de son site à un tiers.

Cette décision fournit un contrôle concret pour les réseaux de franchise. Il faut pouvoir produire les rapports de mise à jour, audits, tests d’intrusion, règles de mot de passe, journaux d’administration, revues d’habilitations et alertes contractuelles. Une facture d’hébergement ou une attestation générale ne démontre pas le suivi des mesures pendant la durée du contrat. Dans la même décision, le Conseil d’État a relevé qu’aucun document ne justifiait la mise à jour régulière des composants logiciels et que la faiblesse de la politique de mots de passe avait accru le risque d’attaque.

L’article 32 du RGPD exige un niveau de sécurité adapté aux risques. Il cite la confidentialité, l’intégrité, la disponibilité, la résilience, la restauration des données et « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité » des mesures adoptées. Pour un réseau qui centralise devis, factures et commentaires, le dossier de conformité doit donc expliquer le cloisonnement entre agences, les droits d’un compte franchisé, les accès de la tête de réseau, les comptes techniques du prestataire, l’authentification renforcée, la durée des journaux et le traitement des départs de collaborateurs.

Le responsable ne doit pas attendre de connaître toutes les causes techniques pour répartir les tâches. Une cellule de crise peut documenter provisoirement les acteurs concernés, désigner un pilote, geler les suppressions automatiques, préserver les journaux et réserver les qualifications juridiques. Cette organisation évite deux erreurs fréquentes : une notification tardive parce que les responsabilités internes restent discutées, puis une perte de preuve parce que chaque intervenant suppose que l’autre conserve les traces.

B. Notification sous 72 heures, information des clients et preuves : que faire immédiatement ?

Le délai de notification à la CNIL commence lorsque le responsable a connaissance d’une violation présentant un risque pour les droits et libertés. L’article 33 du RGPD impose une notification « dans les meilleurs délais et, si possible, 72 heures au plus tard ». Une première notification peut être complétée progressivement lorsque l’enquête n’est pas terminée. Le texte exige toutefois de décrire la nature de l’incident, les catégories et volumes approximatifs, les conséquences probables, le point de contact ainsi que les mesures prises ou envisagées.

Le mot important est « documente ». Le responsable doit conserver les faits, les effets et les mesures correctrices, y compris lorsque l’incident n’est finalement pas notifié. Le dossier doit dater la première alerte crédible, l’ouverture de l’enquête, la confirmation de l’accès, les décisions de confinement, la notification du prestataire, l’analyse du risque, les communications et les raisons d’un éventuel dépassement du délai. Une chronologie reconstruite plusieurs semaines plus tard sera moins utile qu’un journal ouvert dès les premières heures.

Dans l’affaire Optical Center de 2019, des factures contenant des données personnelles étaient accessibles sans authentification. Le Conseil d’État a constaté que le défaut avait été corrigé rapidement, mais a néanmoins retenu le manquement de sécurité : « le manquement aux obligations de sécurité […] avait cessé et n’était dès lors plus susceptible de faire l’objet d’une régularisation » (CE, 17 avril 2019, n° 422575). La correction technique ne fait donc pas disparaître le fait passé, ni le pouvoir de sanction.

La célérité conserve une portée. Dans ce même arrêt, le Conseil d’État a estimé que la CNIL devait tenir compte de la rapidité des mesures correctrices pour apprécier le montant de l’amende. Il a ramené la sanction de 250 000 à 200 000 euros après avoir relevé que l’entreprise avait remédié au défaut. La réaction après découverte ne neutralise pas la faute antérieure ; elle peut toutefois réduire les conséquences, protéger les clients et peser dans le contrôle de proportionnalité.

Lorsque la fuite est susceptible d’engendrer un risque élevé, l’article 34 du RGPD oblige aussi le responsable à informer les personnes concernées « dans les meilleurs délais ». Le message doit employer des termes clairs et simples. Il doit préciser la nature de la violation, les conséquences probables, le contact disponible et les mesures de protection. Une communication réduite à « restez vigilants » ne suffit pas lorsque des devis, factures et commentaires peuvent faciliter des fraudes ciblées.

Dans le cas rapporté de Répar’stores, la présence possible de devis et de factures appelle une consigne précise sur le risque de faux RIB, de fausse relance ou d’usurpation d’un artisan. Le client doit vérifier toute demande de paiement en rappelant l’agence au numéro qu’il utilisait déjà, sans employer le numéro contenu dans un courriel inattendu. Le réseau peut aussi préciser les domaines officiels, les canaux de paiement habituels et l’absence de demande légitime de communiquer un code bancaire. Ces indications réduisent le risque plus efficacement qu’une alerte abstraite.

La notification doit rester fidèle aux faits établis. Si le volume revendiqué par un attaquant n’est pas confirmé, il faut le distinguer du nombre de personnes effectivement identifiées. Si certaines données bancaires ne figurent pas dans le système touché, l’entreprise peut le dire, tout en expliquant pourquoi les factures et coordonnées restent exploitables pour une fraude. Une communication exacte protège mieux les clients et évite qu’une assurance prématurée soit ensuite utilisée contre l’entreprise.

Le contrôle de la CNIL ne suppose pas toujours une mise en demeure préalable. Dans l’affaire SERGIC, le Conseil d’État a jugé que « le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure » (CE, 4 novembre 2020, n° 433311). Attendre une demande formelle de l’autorité expose donc l’entreprise à perdre un temps utile.

Les franchisés doivent recevoir une instruction écrite cohérente. Elle doit leur dire quels messages envoyer, à qui remonter les signalements, quelles pièces conserver et comment traiter une demande d’accès. Elle doit aussi interdire toute suppression improvisée de compte ou de message susceptible d’altérer la preuve. Chaque agence demeure en contact direct avec ses clients ; elle peut identifier des tentatives de fraude que la tête de réseau ne voit pas encore. La circulation de ces alertes fait partie de la gestion de l’incident.

Les documents à préserver sont nombreux : notification initiale, courriel adressé aux personnes, journaux de connexion, empreintes des fichiers, liste des comptes actifs, contrats, annexes RGPD, tickets d’assistance, rapports d’audit, décisions de confinement, captures des messages frauduleux et factures des prestataires mobilisés. Cette conservation sert la CNIL, l’enquête pénale, les assureurs, les recours entre professionnels et les demandes individuelles.

II. Fuite de données chez Répar’stores : quels recours pour les clients, franchisés et partenaires ?

A. Un client peut-il obtenir réparation après la fuite de ses devis et factures ?

Le RGPD ouvre un droit à réparation, mais il ne crée pas une indemnité automatique pour toute irrégularité. L’article 82 énonce que toute personne ayant subi un dommage matériel ou moral du fait d’une violation peut obtenir réparation. Il distingue la responsabilité du responsable de traitement et celle du sous-traitant, puis prévoit qu’en cas de participation de plusieurs acteurs au même traitement, chacun peut être tenu du dommage dans sa totalité afin d’assurer une réparation effective.

La Cour de cassation a précisé le seuil probatoire en 2026 : « La violation du règlement […] n’ouvre pas, à elle seule, droit à réparation » (Cass. soc., 24 juin 2026, n° 24-22.792). La décision rappelle que la simple violation ne suffit pas, mais qu’un dommage moral ne peut pas davantage être soumis à un seuil minimal de gravité. Le demandeur doit établir une violation, un dommage concret et un lien de causalité.

Cette distinction change la manière de constituer le dossier. La réception du courriel d’information prouve que l’entreprise a identifié la personne dans le périmètre concerné ; elle ne prouve pas, à elle seule, que les données ont été utilisées contre elle. Le client victime d’un faux RIB doit conserver le message frauduleux avec ses en-têtes, la facture imitée, le numéro de téléphone utilisé, les coordonnées bancaires destinataires, la preuve du virement, le rappel de l’agence et les démarches bancaires. Il faut aussi montrer ce que l’auteur connaissait et qui ne pouvait raisonnablement provenir que du dossier compromis.

Les demandes possibles dépendent du dommage. Un paiement détourné peut constituer une perte matérielle. Des dépenses de sécurisation, un abonnement de surveillance ou des frais de conseil peuvent être discutés s’ils sont justifiés et proportionnés. Un trouble moral peut résulter d’une crainte fondée d’utilisation abusive, mais il doit être décrit par des éléments concrets. Une inquiétude générale, sans circonstance personnelle, sera plus difficile à chiffrer.

Le droit commun peut compléter l’article 82. L’article 1240 du Code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’article 1353 du Code civil ajoute : « Celui qui réclame l’exécution d’une obligation doit la prouver. » La qualification retenue dépendra de la relation entre la victime et l’acteur poursuivi.

Un client ne doit pas confondre l’action contre l’auteur de l’attaque, la plainte pénale et la demande adressée au professionnel. Le pirate reste responsable de ses actes. L’entreprise peut aussi répondre si ses propres obligations ont été méconnues et si cette faute a contribué au dommage. Le dépôt de plainte par l’entreprise ne suspend pas nécessairement les droits du client. Il fournit un cadre d’enquête, mais ne tranche ni la sécurité du système ni la réparation civile.

Le choix du défendeur doit suivre la chaîne du traitement. La facture et la politique de confidentialité peuvent identifier la société qui a collecté les données. Le courrier d’incident doit donner un point de contact. Le client peut demander quelles catégories le concernent, pendant quelle période, par quel canal elles ont été exposées et à qui elles étaient accessibles. Il n’a pas à reconstituer seul l’architecture complète du réseau, mais ses questions doivent rester ciblées.

La preuve judiciaire doit elle-même respecter la protection des données. Dans un avis rendu en 2024, la Cour de cassation a demandé au juge de rechercher si la communication de documents est nécessaire au droit à la preuve et proportionnée, puis de veiller à la minimisation et à l’occultation des données inutiles (Cass. 2e civ., 3 octobre 2024, n° 21-20.979). Un client ne peut donc pas exiger sans limite le fichier complet d’autres victimes. Il peut solliciter les éléments nécessaires à son propre dossier, avec des mesures de confidentialité.

La mise en demeure doit exposer les faits sans attribuer à l’entreprise ce qui n’est pas encore démontré. Elle peut rappeler la notification reçue, décrire l’utilisation frauduleuse, chiffrer les sommes et demander la conservation des journaux. Elle peut aussi solliciter l’identité juridique du responsable, les coordonnées du délégué à la protection des données, la confirmation des catégories exposées et la position de l’assureur. Une demande structurée facilite un règlement ou prépare une action.

Pour comprendre les démarches individuelles après un vol d’informations, notre analyse consacrée aux preuves, à la plainte et à la réparation après une fuite de données complète cette approche. Les données et l’auteur de l’incident diffèrent, mais la discipline probatoire demeure proche.

B. Franchiseur et franchisés peuvent-ils agir contre le prestataire ou se répartir le coût ?

À l’intérieur du réseau, le RGPD ne remplace pas les contrats. Il faut relire le contrat de franchise, la licence du logiciel, l’hébergement, l’infogérance, la maintenance, la cybersécurité, l’assurance et les annexes relatives aux données. Le dossier doit identifier les engagements de disponibilité, les exigences d’authentification, les sauvegardes, les délais d’alerte, l’assistance réglementaire, les plafonds d’indemnisation, les exclusions et la procédure de déclaration de sinistre.

L’article 1103 du Code civil dispose : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » L’article 1104 précise : « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public. » Une partie doit donc fonder sa demande sur la prestation réellement promise, non sur une sécurité absolue qui ne figure pas nécessairement au contrat.

La cour d’appel de Bordeaux a appliqué cette logique à un piratage d’un environnement Microsoft Azure. Elle a retenu que « le manquement au devoir de conseil est susceptible de donner lieu à indemnisation au titre de la perte de chance d’éviter le dommage survenu à l’occasion du piratage du compte administrateur » (CA Bordeaux, 5 mai 2026, n° 24/02155). La cour a toutefois ordonné la réouverture des débats pour permettre aux parties de discuter ce fondement. Le périmètre du contrat et la preuve de l’information fournie restent déterminants.

Dans un réseau, le franchiseur peut reprocher au prestataire un défaut de mise à jour, de cloisonnement, de détection ou d’alerte. Le prestataire peut répondre qu’il n’administrait pas les comptes, que le client a refusé une option, qu’un mot de passe a été compromis ou que l’incident relève d’un autre fournisseur. Le franchisé peut soutenir qu’il n’avait aucun choix sur l’outil et aucun accès aux réglages centraux. Ces positions ne se départagent pas par l’intitulé des contrats. Les annexes techniques, bons de commande, tickets et matrices d’habilitation sont décisifs.

L’article 1231-1 du Code civil prévoit que le débiteur peut être condamné à des dommages et intérêts à raison de l’inexécution ou du retard, sauf force majeure. L’article 1217 permet notamment de poursuivre l’exécution, réduire le prix, résoudre le contrat ou demander réparation des conséquences de l’inexécution. Ces sanctions doivent être articulées avec les clauses de responsabilité et avec la continuité indispensable du service pendant la crise.

La décision Bâti courtage contre OVH fournit un exemple proche d’un réseau de franchise dépendant d’un système central. Après l’incendie d’un centre de données, la cour a relevé une mobilisation des équipes du franchiseur et des franchisés pour rétablir les services. Elle a retenu que « la société Bâti courtage démontre avoir subi un préjudice » au titre de coûts salariaux et de certaines prestations externes, tout en appliquant un plafond contractuel d’indemnisation (CA Douai, 24 avril 2025, n° 23/00858).

Cet arrêt montre aussi ce qui échoue faute de preuve. La cour a écarté plusieurs factures parce que rien ne permettait de les rattacher au dysfonctionnement. Elle a refusé des pertes ou baisses d’activité insuffisamment établies et a appliqué les exclusions de dommages indirects. Un réseau touché doit donc ouvrir une comptabilité de crise distincte : date, intervenant, temps passé, tâche accomplie, facture, paiement, incident correspondant et résultat obtenu. Une estimation globale produite après coup risque d’être rejetée.

Le coût d’une communication client, d’un centre d’appel, d’un audit forensique ou d’une surveillance renforcée peut être direct et documentable. Une atteinte générale à l’image, une perte future de clientèle ou un ralentissement commercial exigent des éléments plus précis. Les statistiques antérieures, les annulations identifiées, les réclamations et les périodes de comparaison doivent être conservées. Le demandeur doit aussi éviter de présenter deux fois la même conséquence sous des intitulés différents.

Les clauses limitatives ne règlent pas tout. Leur validité et leur portée dépendent du contrat, de la faute invoquée et de l’obligation essentielle. Elles n’effacent pas les droits propres des personnes concernées issus du RGPD. L’article 82 organise en outre un recours entre responsables et sous-traitants lorsqu’un acteur a réparé la totalité du dommage : il peut réclamer aux autres la part correspondant à leur responsabilité. L’accord interne ne peut pas réduire le droit de la victime à une réparation effective.

Le franchiseur et les franchisés ont donc intérêt à conclure un protocole de gestion de crise avant de se renvoyer la faute. Ce document peut réserver les droits de chacun, organiser le partage des informations, centraliser les réponses aux clients, répartir les coûts provisoires et préserver les recours contre les prestataires. Il ne doit pas contenir de reconnaissance prématurée ni empêcher une agence de satisfaire ses propres obligations légales.

Pour les entreprises qui doivent revoir leurs contrats après un incident, notre page sur la rédaction des contrats commerciaux présente les points d’intervention du cabinet. Les litiges déjà ouverts relèvent aussi du contentieux commercial. Une vue d’ensemble est disponible sur la page consacrée au droit des affaires.

Conclusion

La fuite rapportée chez Répar’stores ne permet pas, à ce stade, d’attribuer une faute à un acteur précis ni de confirmer le volume revendiqué par l’auteur présumé. Elle montre néanmoins le risque propre aux réseaux de franchise : les données sont collectées au contact du client local, traitées dans un outil commun, administrées par plusieurs intervenants et protégées par une chaîne de contrats techniques.

La réponse doit commencer par une cartographie factuelle. Qui décide du traitement ? Qui administre les accès ? Qui a détecté l’incident ? Qui dispose des journaux ? Le réseau peut ensuite répartir les notifications, informer les clients, préserver les preuves et engager les mesures correctrices. Le délai de 72 heures impose d’avancer avec des informations provisoires clairement identifiées, puis de compléter la notification.

Pour les clients, une violation ne donne pas automatiquement droit à une indemnité. La demande doit relier les données exposées à un dommage concret, notamment une fraude, des frais ou un trouble établi. Pour le franchiseur, les franchisés et les prestataires, le contentieux se gagnera surtout sur le périmètre des missions, les mesures effectivement contrôlées, les clauses de responsabilité et la preuve détaillée des coûts.

La priorité demeure pratique : sécuriser les comptes, authentifier toute demande de paiement, conserver les messages et ouvrir une chronologie commune. La discussion sur la responsabilité vient ensuite, à partir des contrats et des traces.