Selon la page du site spécialisé qui recense l’annonce, publiée le 27 septembre 2026, une base présentée comme provenant d’une solution professionnelle d’états des lieux immobiliers serait mise en vente sur un forum cybercriminel : l’auteur de l’annonce revendique 118 995 enregistrements liés à des lots immobiliers, concernant 96 274 personnes, avec 72 799 numéros de téléphone, 69 855 adresses électroniques, 45 199 propriétaires identifiés comme tels et 1 856 digicodes, pour environ 76 Mo de données au format JSON. L’échantillon examiné par le site montrerait des dossiers structurés autour de lots auxquels sont associés un logement précisément identifié, son propriétaire, son locataire et le professionnel chargé de sa gestion. D’emblée, quatre réserves encadrent tout ce qui suit : à la date de rédaction, aucun accident, aucune intrusion ni aucun dommage n’est constaté par une source officielle, car l’annonce n’est qu’une revendication non confirmée ; aucune responsabilité d’un acteur de la chaîne n’est établie ; les contrats signés entre les parties priment sur toute analyse générale ; seul le juge, saisi d’un litige précis, décidera. La réponse pratique tient en une phrase : quand une solution d’états des lieux utilisée par des professionnels de l’immobilier fait l’objet d’une telle annonce, l’agence ou l’administrateur qui s’en sert doit figer ses preuves et vérifier son contrat de sous-traitance, le bailleur mandant doit exiger d’être informé et faire vérifier les accès physiques de ses immeubles, et chacun doit documenter ses décisions au cas où l’annonce serait confirmée, car tout le contentieux éventuel se jouera sur les écrits conservés.

I. Une annonce de mise en vente et deux maillons professionnels : ce que la source dit et ce qu’elle ne dit pas

A. Des volumes revendiqués, un échantillon anonymisé et des limites explicites

La page du site spécialisé, publiée le 27 septembre 2026 et consultée le 28 septembre 2026, décrit une annonce datée du 27 septembre 2026 par laquelle un inconnu affirme vendre une base issue d’une solution d’états des lieux exploitée par un prestataire expert. Selon les statistiques publiées par l’auteur de l’annonce, la base comprendrait 118 995 enregistrements, 96 274 personnes, 72 799 numéros de téléphone, 69 855 adresses électroniques et 45 199 propriétaires, ainsi que 1 856 digicodes. Ces catégories se recoupent et ne doivent pas être additionnées pour déterminer le nombre total de personnes concernées. L’échantillon présenté montrerait, pour chaque dossier, l’identité du propriétaire, le nom et le prénom du locataire, son adresse électronique et son numéro de téléphone, l’identité du gestionnaire immobilier avec ses coordonnées professionnelles, l’adresse complète du logement avec le code postal, la ville, le nom de la résidence, le bâtiment et l’étage, la surface, des numéros de mandat, d’immeuble et de lot, des références de garage, de parking, de cave ou de box lorsqu’elles sont renseignées, le type de chauffage et de lot, des informations complémentaires relatives au logement, et un champ consacré au digicode.

Trois limites, dites par la source elle-même, jouent en faveur du prestataire et doivent être rappelées avec la même netteté que les chiffres. D’abord, le décompte de 96 274 personnes correspond à celui de l’auteur de l’annonce et n’a été confirmé indépendamment ni par l’éditeur de la solution ni par son exploitant. Ensuite, le site spécialisé a volontairement anonymisé l’échantillon et ne reproduit aucun nom, numéro de téléphone, adresse électronique, adresse postale, digicode ou identifiant permettant d’identifier les personnes et les logements concernés. Enfin, si le champ digicode est effectivement présent dans la structure de l’échantillon examiné, il n’est pas renseigné dans l’exemple dont dispose le site, et la capture ne permet pas de déterminer combien des 1 856 codes revendiqués seraient encore actifs, à quel type d’accès ils correspondraient ni depuis quand les données auraient été enregistrées. Autrement dit, ce qui est établi à ce stade, c’est l’existence d’une annonce chiffrée et d’un échantillon structuré, pas une intrusion démontrée, pas un volume vérifié et pas des codes exploitables.

Cette prudence n’est pas de pure forme : elle commande toute la suite. Une agence qui traiterait l’annonce comme une compromission certaine et qui résilierait son contrat de solution dans la précipitation commettrait peut-être une faute contractuelle plus grave que le risque qu’elle cherche à fuir. Inversement, une agence qui ignorerait l’annonce au motif qu’elle n’est pas confirmée se priverait des écrits qui, si l’annonce était un jour corroborée, prouveraient qu’elle a agi en gestionnaire diligent. La bonne position est donc intermédiaire et documentée : prendre l’annonce au sérieux comme un signal, sans en tirer des conclusions définitives sur quiconque, et consigner chaque vérification. C’est cette logique de précaution tracée qui irrigue les décisions des deux maillons professionnels de la chaîne.

B. Le prestataire d’un côté, les agences et les bailleurs de l’autre

La chaîne compte au moins deux acteurs professionnels distincts, liés par des contrats dont le contenu décidera de presque tout. En amont, le prestataire qui édite ou exploite la solution d’états des lieux : c’est lui qui héberge ou traite les dossiers, qui définit les mesures de sécurité et qui, si une compromission était avérée, détiendrait les journaux techniques permettant de dater et de mesurer l’événement. En aval, les agences immobilières et les administrateurs de biens qui utilisent la solution au quotidien pour établir les états des lieux d’entrée et de sortie de leurs mandants : ce sont eux qui ont confié au prestataire les données de leurs clients et qui répondent vis-à-vis de ces derniers. À leurs côtés, en bout de chaîne, les bailleurs qui ont donné mandat de gérer : propriétaires de lots dont l’adresse, les occupants et parfois les codes d’accès figureraient dans la base revendiquée.

Chacun de ces acteurs détient une pièce différente du puzzle et aucune ne suffit seule. Le prestataire détient les journaux de connexion, les versions logicielles, les sauvegardes et les éventuelles alertes internes : sans lui, impossible de savoir si l’annonce correspond à une extraction réelle, à des données anciennes ou à un assemblage composite. L’agence détient le contrat de sous-traitance, les mandats de gestion, les habilitations de ses collaborateurs et la liste des lots traités avec la solution : sans elle, impossible de mesurer l’exposition de son portefeuille. Le bailleur détient le mandat signé, la correspondance avec son gestionnaire et, souvent, le pouvoir de faire changer les digicodes via le syndic de copropriété : sans lui, aucune décision sur les accès physiques ne peut être exécutée dans les parties communes. La carte des conséquences s’écrit donc à trois mains, et la première décision de chacun consiste à écrire à l’autre pour figer ce qu’il sait, ce qu’il ignore et ce qu’il attend.

C’est ici que le droit des contrats entre professionnels prend le relais du simple signalement. L’agence qui a confié des données personnelles à un prestataire est, au sens du règlement européen, le responsable du traitement, tandis que le prestataire qui les traite pour son compte serait susceptible d’être regardé comme son sous-traitant ; cette qualification, qui dépend du contrat réel et des instructions réellement données, conditionnerait les obligations de notification et d’assistance en cas de violation avérée. Le bailleur, lui, est le mandant de l’agence : l’article 1991 du code civil dispose que « Le mandataire est tenu d’accomplir le mandat tant qu’il en demeure chargé, et répond des dommages-intérêts qui pourraient résulter de son inexécution », et l’article 1992 du même code ajoute que « Le mandataire répond non seulement du dol, mais encore des fautes qu’il commet dans sa gestion ». Une agence qui laisserait sans réponse l’inquiétude légitime de son mandant sur des digicodes potentiellement exposés prendrait donc un risque propre, distinct de celui du prestataire. Pour cadrer ces relations de mandat et de sous-traitance avant qu’elles ne deviennent contentieuses, les professionnels concernés peuvent se reporter à l’accompagnement des entreprises en droit des affaires à Paris, qui décrit les interventions du cabinet sur les contrats et les litiges entre professionnels.

II. Preuves et recours en chaîne : qui détient quoi et quelle décision prendre

A. Figer, tracer, sécuriser les accès : les décisions des premiers jours

La première semaine suivant la découverte de l’annonce conditionne tout le reste, car les preuves techniques sont volatiles et les délais de notification courent vite. Côté agence et administrateur, quatre gestes s’imposent sans attendre et sans présumer d’une faute de quiconque. Premièrement, horodater la découverte : conserver une copie de la page du site spécialisé telle que consultée, noter la date et l’heure de consultation, et archiver toute alerte interne, car c’est ce point de départ qui fera courir les délais d’analyse. Deuxièmement, interroger par écrit le prestataire : demander s’il confirme ou infirme un incident, quelles investigations il mène, quels lots et quelles périodes seraient concernés si l’annonce était fondée, et quelles mesures conservatoires il recommande ; la réponse, ou son absence, deviendra une pièce du dossier. Troisièmement, inventorier en interne les usages de la solution : quels collaborateurs y accèdent, avec quels droits, pour quels mandats et quels lots, afin de circonscrire le périmètre potentiellement exposé. Quatrièmement, préserver les journaux et les exports existants sans les altérer, et faire constater par un professionnel assermenté ce qui doit l’être, car une base revendiquée sur un forum ne prouve rien à elle seule et seule une chaîne de conservation rigoureuse donnera du poids aux pièces produites plus tard. L’article 1353 du code civil fixe en effet la règle du jeu probatoire : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’agence qui réclamera demain des dommages-intérêts à son prestataire devra donc prouver l’inexécution ; le prestataire qui se prétendra libéré devra justifier ses diligences.

Côté accès physiques, la prudence doit être opérationnelle sans être disproportionnée. Les 1 856 digicodes revendiqués ne sont ni vérifiés ni datés, et leur validité actuelle est inconnue ; faire changer l’ensemble des codes de toutes les résidences gérées serait coûteux et anxiogène, tandis que ne rien faire exposerait l’agence au reproche d’inertie si un incident survenait. La voie médiane consiste à identifier, avec chaque bailleur et chaque syndic concernés, les accès les plus sensibles — halls donnant sur des caves, locaux techniques, résidences déjà signalées comme fragiles — et à proposer par écrit le changement des codes correspondants, en laissant au mandant et au syndic, seuls décisionnaires sur les parties communes, le soin de trancher. Chaque proposition, chaque accord et chaque refus doivent être consignés : en cas de litige ultérieur, ces écrits prouveront que l’agence a alerté et proposé, ce qui est l’exact contraire d’une faute d’abstention.

Côté données personnelles, le cadre officiel est précis et doit être appliqué à la lettre si une violation venait à être confirmée. La page de la CNIL sur les violations de données personnelles explique que, lorsque les conditions sont réunies, le responsable du traitement avise la CNIL au plus tôt, et au plus tard dans les soixante-douze heures. Le texte européen, reproduit sur le chapitre 4 publié par la CNIL, précise à son article 33 que le responsable du traitement avise l’autorité de contrôle dans les meilleurs délais et, si possible, dans les soixante-douze heures après en avoir pris connaissance, sauf si la violation ne risque pas d’affecter les droits et libertés des personnes, tout retard devant être motivé. Le même article prévoit que le sous-traitant alerte le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Si le risque pour les personnes était élevé — ce que la combinaison d’adresses précises, de numéros de téléphone et de codes d’accès physiques pourrait faire envisager — l’article 34 du même chapitre prévoit une information des personnes concernées dans les meilleurs délais quand la violation peut exposer leurs droits et libertés à un risque élevé. Enfin, le responsable du traitement consigne chaque violation en décrivant les faits, leurs effets et les mesures prises pour y remédier. En pratique, cela signifie pour l’agence : ouvrir dès maintenant un registre d’incident interne, même si la notification formelle n’est due qu’en cas de violation confirmée, et relire son contrat de sous-traitance au regard des indications de la CNIL sur le sous-traitant pour vérifier les clauses d’alerte, d’assistance et d’audit.

La jurisprudence récente illustre ce que les juges attendent des professionnels qui détiennent des données dans un contexte immobilier et de mandat. Le tribunal judiciaire d’Aix-en-Provence, par jugement du 5 août 2025 (RG 22/03891), a enjoint à une société immobilière de procéder à l’effacement de données personnelles, y compris des données de santé et des identités de tiers, de l’ensemble de ses fichiers dans un délai de deux mois, sous astreinte provisoire, et de notifier cet effacement aux copropriétaires concernés : la décision montre qu’un professionnel de l’immobilier peut se voir ordonner des mesures concrètes et vérifiables sur ses fichiers, avec des sanctions financières par jour de retard. De son côté, le tribunal judiciaire de Paris, par jugement du 7 mars 2024 (RG 22/10085), a condamné un mandataire en gestion de patrimoine à indemniser son mandant pour les défaillances constatées dans l’exécution de sa mission, rappelant que le recours à un mandataire est censé éviter au mandant démarches et tracasseries : transposée à notre situation, cette solution suggère qu’une agence qui laisserait son mandant découvrir seul l’annonce et gérer seul l’inquiétude de ses locataires s’exposerait à un grief comparable. Ces décisions ne tranchent évidemment pas le cas présent, mais elles dessinent l’étalon judiciaire : diligences documentées, information du mandant, mesures proportionnées.

B. Contrats en chaîne : suspendre, résoudre ou poursuivre sans commettre l’irréparable

Une fois les mesures conservatoires prises, vient le temps des décisions contractuelles, et c’est le moment le plus dangereux pour les deux maillons professionnels. L’article 1217 du code civil ouvre à « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement » un éventail de sanctions : « – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » Mais cet éventail n’est pas un libre-service : chaque sanction suppose démontrée une inexécution, et une annonce non confirmée n’en est pas une. L’agence qui suspendrait ses paiements au prestataire ou qui résilierait son abonnement sur le seul fondement de la revendication du 27 septembre 2026 prendrait le risque d’être elle-même jugée inexécutante.

L’article 1224 du code civil encadre strictement la sortie : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Il faut donc une inexécution suffisamment grave, ou une clause résolutoire dont les conditions sont réunies, avec les mises en demeure et les délais que le contrat et la loi imposent. La cour d’appel d’Aix-en-Provence, par arrêt du 11 juin 2026 (RG 25/12413), l’a rappelé dans un litige entre une société cliente et son prestataire informatique : faute de preuve des paiements dus et face à des échéances contractuelles dont le calcul n’était pas contesté, la résiliation à l’initiative du client a été jugée injustifiée et le client condamné au paiement des sommes dues jusqu’au terme, avec des frais irrépétibles. La leçon est symétrique et vaut pour notre chaîne : le client mécontent qui rompt trop vite peut devenir le débiteur condamné, et le prestataire mis en cause qui refuse toute transparence alimente le grief qui fondera peut-être la résolution de demain.

Reste l’indemnisation, qui se prépare dès aujourd’hui même si elle ne se jouera que demain. L’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Pour l’agence, le préjudice potentiel comprendrait le coût des changements de digicodes, des constats, des notifications, du temps de gestion de crise et, le cas échéant, des condamnations prononcées à son profit au bénéfice de bailleurs ou d’occupants ; pour le bailleur, il s’agirait des frais exposés et de la perte de confiance locative. Mais chacun de ces postes devra être prouvé, chiffré et relié à une faute établie, et non à une simple annonce : d’où l’importance des devis conservés, des factures acquittées et des correspondances datées. Et si des occupants ou des bailleurs faisaient valoir un dommage matériel ou moral lié à l’exposition de leurs données, l’article 1240 du code civil rappellerait le fondement de droit commun : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Encore faudrait-il établir la faute, le dommage et le lien entre les deux, ce qu’une annonce non confirmée ne permet pas à elle seule. Le mandat, défini par l’article 1984 du code civil comme « un acte par lequel une personne donne à une autre le pouvoir de faire quelque chose pour le mandant et en son nom », impose en miroir au mandant de mettre son mandataire en mesure d’agir : le bailleur qui refuserait systématiquement les changements de codes proposés puis reprocherait à l’agence son inaction se heurterait à sa propre contradiction.

En synthèse opérationnelle, la carte des décisions se lit ainsi. Le prestataire, s’il veut préserver ses contrats, aurait intérêt à communiquer vite et précisément : confirmer ou infirmer l’incident, décrire les investigations, proposer des mesures et assister ses clients dans leurs propres notifications, car le silence contractuel est la matière première des résolutions judiciaires. L’agence et l’administrateur doivent tenir trois registres en parallèle : le registre technique (preuves, inventaires, constats), le registre contractuel (mises en demeure, réponses, propositions) et le registre des personnes (analyses de risque, notifications éventuelles, informations aux mandants et occupants). Le bailleur doit exiger d’être informé par écrit, se prononcer par écrit sur les changements d’accès proposés et conserver ses mandats à jour, en vérifiant que son contrat de gestion couvre bien la gestion de crise. Aucune de ces diligences ne préjuge d’une responsabilité ; toutes préservent des droits.

À la date de rédaction, rappelons-le pour finir comme au commencement : aucune intrusion, aucun dommage ni aucune responsabilité ne sont constatés par une source officielle, l’annonce reste une revendication dont les volumes et les codes ne sont pas vérifiés, et les faits qu’elle allègue pourraient aussi bien relever de données anciennes, partielles ou composites. Les contrats signés entre le prestataire, les agences et les bailleurs priment sur toute analyse générale, et seul le juge, saisi d’un litige précis avec des preuves contradictoirement débattues, décidera si un manquement a été commis et par qui. Ce que l’annonce du 27 septembre 2026 impose en revanche dès aujourd’hui aux professionnels de la chaîne, c’est une discipline d’écrits : figer, alerter, proposer, chiffrer et conserver, afin que, confirmation ou démenti, chaque acteur puisse démontrer qu’il a agi en professionnel diligent pour protéger les logements, les occupants et les mandants qui lui sont confiés.