Le 30 septembre 2026, l’enseigne Carrefour a informé ses clients par courriel d’un incident de sécurité ayant touché l’un de ses prestataires. Selon l’article que Capital a consacré le 30 septembre 2026 à l’incident de sécurité chez un prestataire de l’enseigne, article qui se réfère au site spécialisé qui recense l’annonce et au courriel adressé aux clients, les prénoms, les noms, les adresses électroniques et les numéros de téléphone seraient susceptibles d’avoir été compromis. D’après ce même article, l’enseigne indique dans son courriel que ses propres systèmes informatiques ne seraient pas directement concernés et qu’aucun élément porté à sa connaissance n’indiquerait une compromission des comptes de ses clients, qu’aucune coordonnée bancaire n’aurait été exposée, et le nombre exact de personnes concernées n’a pas été communiqué. Selon le même article, d’autres enseignes utilisatrices de la même plateforme auraient à leur tour informé leurs clients de faits similaires.
La réponse tient en une phrase : quand l’incident se situe chez un prestataire commun à plusieurs enseignes, chaque enseigne cliente demeure responsable de ses propres traitements et doit qualifier l’incident, le notifier à l’autorité dans les meilleurs délais et, si possible, dans les 72 heures, prévenir les personnes exposées à un risque élevé, figer ses preuves et se retourner contre le prestataire sur le fondement du contrat ; le prestataire, de son côté, doit alerter ses clients sans retard, documenter l’incident et démontrer ses mesures de sécurité. L’entreprise qui attend, qui notifie hors délai ou qui rompt son contrat sans mise en demeure pour un manquement non établi s’expose à payer deux fois : la sanction ou la perte de confiance d’un côté, le prix du contrat et des dommages-intérêts de l’autre.
Trois réserves s’imposent avant d’aller plus loin, et elles ferment aussi cet article. D’abord, les faits sont connus par la presse et par le courriel cité : aucun accident, aucune intrusion ni aucun dommage n’est constaté par une source officielle à la date de rédaction, la date exacte de l’intrusion n’est pas publique, et ce que la source ne dit pas est écrit ici au conditionnel. Ensuite, aucune responsabilité n’est établie : le prestataire pourrait être regardé comme sous-traitant et serait susceptible d’engager sa responsabilité contractuelle, mais les contrats signés entre le prestataire, les enseignes et leurs propres fournisseurs priment sur toute analyse générale, et seul le juge décide. Enfin, ce qui joue en faveur des entreprises concernées doit être dit : l’enseigne a informé ses clients, ses propres systèmes ne seraient pas directement concernés selon les éléments portés à sa connaissance, et aucune coordonnée bancaire n’aurait été exposée.
I. L’incident côté enseignes et prestataire : qualifier et notifier sans se tromper de rôle
A. Les enseignes clientes : responsables de leurs traitements, même quand la faille est ailleurs
Le premier réflexe d’une enseigne dont le prestataire est touché consiste à vérifier son propre rôle dans le traitement des données. En règle générale, l’enseigne qui collecte les coordonnées de ses clients pour ses commandes, ses livraisons et sa prospection est responsable du traitement, tandis que le prestataire qui héberge, route ou traite ces données pour son compte pourrait être regardé comme sous-traitant. Cette qualification ne se devine pas : elle se lit dans le contrat, dans le registre des traitements et dans la réalité des instructions données. Le règlement européen est explicite sur le choix du partenaire : « Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée ». L’enseigne qui ne retrouve ni ces garanties ni le contrat écrit qui encadre le traitement découvre sa première vulnérabilité, juridique cette fois, au moment même où elle devrait agir vite.
Le deuxième réflexe est la qualification de l’incident au regard de la violation de données. La page de la CNIL consacrée aux règles à suivre rappelle qu’une violation se caractérise notamment par la divulgation non autorisée ou l’accès non autorisé à des données transmises, conservées ou traitées d’une autre manière. Des noms associés à des adresses électroniques et à des numéros de téléphone, entre les mains de tiers inconnus, exposent les clients à des tentatives de fraude ciblée : de faux messages se faisant passer pour l’enseigne, un transporteur ou un service de livraison, proposant de saisir des coordonnées bancaires ou de payer une somme. C’est précisément le risque décrit par la presse dans le cas présent. Si l’analyse conclut à un risque pour les droits et libertés des personnes, le responsable du traitement doit notifier : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ». Lorsque la notification n’a pas lieu dans les 72 heures, elle doit être accompagnée des motifs du retard, et la notification doit au minimum décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées, le point de contact, les conséquences probables et les mesures prises ou envisagées.
Le troisième réflexe concerne l’information des clients eux-mêmes. Quand la violation serait susceptible d’engendrer un risque élevé pour leurs droits et libertés, le responsable du traitement doit les prévenir directement : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais », en des termes clairs et simples, avec la nature de la violation, un point de contact, les conséquences probables et les mesures proposées. Le courriel adressé par l’enseigne à ses clients le 30 septembre 2026 correspond à cette logique : informer vite, dire ce qui serait touché et ce qui ne le serait pas, et mettre en garde contre les messages frauduleux. Cette communication rapide joue en faveur de l’enseigne, car elle démontre une réaction diligente, même si elle ne préjuge ni de l’ampleur exacte ni des responsabilités. À l’inverse, l’enseigne qui attendrait que la presse l’interroge ou que les plaintes de clients affluent commettrait une seconde faute, celle-là purement la sienne. La documentation n’est pas une option : « Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier », et cette documentation permet à l’autorité de vérifier le respect de ces obligations. Concrètement, l’enseigne fige les journaux, conserve le contrat et ses avenants, horodate chaque décision et dépose sa notification via le téléservice de notification de la CNIL.
Le quatrième réflexe est souvent oublié : regarder vers l’aval, c’est-à-dire vers les fournisseurs, les transporteurs et les entreprises partenaires dont les noms circulent dans les mêmes messages frauduleux. Selon l’article de Capital, les escrocs pourraient se faire passer pour un transporteur de colis ou un service de livraison, ce qui expose des entreprises qui n’ont pourtant rien à voir avec l’incident initial. Chaque enseigne concernée doit donc prévenir ses propres partenaires, leur transmettre sa communication officielle pour qu’ils puissent rassurer leurs clients, et leur demander de signaler les messages suspects sur SignalConso ou la plateforme PHAROS. Selon le même article de presse, d’autres enseignes utilisatrices de la même plateforme auraient déjà informé leurs clients de faits similaires, avec des catégories de données comparables : si cette information se confirmait, elle démontrerait que l’incident ne vise pas une enseigne isolée mais un maillon partagé de la chaîne, et chaque enseigne aurait intérêt à vérifier auprès du prestataire si ses propres jeux de données sont concernés plutôt que d’attendre que ses clients l’apprennent par la presse.
B. Le prestataire : alerter sans retard, démontrer sa sécurité, préparer sa défense
Du côté du prestataire, l’obligation première est d’alerter. Le règlement impose une notification en cascade : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance ». La page de la CNIL consacrée aux règles à suivre rappelle que cette alerte rapide permet au responsable du traitement de respecter ses propres obligations de notification, et elle conseille de prévoir au contrat une telle obligation de notification à la charge du sous-traitant (page de la CNIL consacrée aux règles à suivre). Le prestataire qui découvre l’intrusion un lundi et prévient ses clients le vendredi suivant ne pourra pas expliquer ce silence : pendant ces jours, les enseignes n’ont ni qualifié l’incident ni notifié l’autorité, et chaque heure perdue deviendra une ligne de leur recours contre lui. Le contrat devrait d’ailleurs organiser ce délai en heures, désigner les interlocuteurs des deux côtés et imposer un rapport d’incident écrit avec les journaux techniques.
L’obligation seconde est de démontrer la sécurité du traitement, car c’est sur ce terrain que la responsabilité du sous-traitant se jouera. Le règlement exige du responsable comme du sous-traitant des mesures proportionnées au risque : « Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », y compris la pseudonymisation et le chiffrement, la confidentialité, l’intégrité et la résilience des systèmes, le rétablissement rapide de la disponibilité et des tests réguliers d’efficacité. Le prestataire qui produit ses audits, ses tests d’intrusion, sa politique de correctifs et ses registres d’accès se place en position de prouver qu’il avait mis en œuvre le niveau requis ; celui qui n’a que des affirmations commerciales devra expliquer pourquoi. La page de la CNIL consacrée au travail avec un sous-traitant rappelle d’ailleurs que les traitements confiés doivent être encadrés par un contrat avec le responsable de traitement, éventuellement fondé sur des clauses contractuelles types : sans ce contrat écrit, le prestataire perd à la fois son bouclier et son épée.
L’obligation troisième est de comprendre le régime de responsabilité avant de promettre ou de contester quoi que ce soit. Le règlement distingue les rôles : « Un sous-traitant n’est tenu pour responsable du dommage causé par le traitement que s’il n’a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu’il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci ». Autrement dit, le prestataire qui aurait respecté ses obligations propres et agi sur instructions licites disposerait d’une ligne de défense, puisque le règlement exonère le responsable ou le sous-traitant qui prouve que le fait à l’origine du dommage ne lui est nullement imputable ; celui qui aurait négligé les correctifs, conservé des accès excessifs ou tardé à alerter s’exposerait à répondre du dommage dans sa totalité aux côtés des responsables, quitte à se retourner ensuite contre les autres participants au même traitement pour leur part. Sur le plan pénal, l’accès frauduleux à un système pourrait, selon les constatations de l’enquête, être regardé comme relevant de l’article 323-1 du code pénal, aux termes duquel « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » : seule l’enquête dira si des poursuites sont envisageables, et le prestataire comme les enseignes ont intérêt à déposer plainte avec des pièces horodatées plutôt qu’à commenter publiquement l’attaque. Ce qui joue en faveur du prestataire doit être relevé avec la même prudence : une notification rapide à ses clients, une coopération documentée avec les autorités et des mesures de remédiation immédiates pèseront dans l’appréciation de son comportement, sans jamais établir à elles seules l’absence de manquement.
II. Les décisions en chaîne : contrats, preuve et recours
A. Le contrat d’abord : ce que les juges font des ruptures improvisées
Quand l’incident frappe, la tentation est grande pour une enseigne de suspendre ses paiements, de résilier le contrat du prestataire sur-le-champ ou de changer de plateforme dans la semaine. Le droit des contrats commande l’inverse : lire le contrat avant d’agir, car « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits ». Les clauses qui comptent en pareille situation sont connues : définition des niveaux de sécurité et des correctifs, droit d’audit et restitution des journaux, procédure de notification d’incident avec délais en heures, réversibilité et restitution des données en fin de contrat, sort des données à la résiliation, plafonds de responsabilité et assurance. L’enseigne qui découvre ces clauses le jour de la crise comprend trop tard que la qualité de sa réaction dépend d’un contrat négocié des mois plus tôt ; celle qui les a fait écrire dispose d’un plan d’action déjà signé. Et l’éventail des réponses est large : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution ».
La résolution unilatérale sans précaution est l’erreur la plus coûteuse. Le code civil autorise le créancier à résoudre le contrat par notification, mais à ses risques et périls : « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. La mise en demeure mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat. Lorsque l’inexécution persiste, le créancier notifie au débiteur la résolution du contrat et les raisons qui la motivent. Le débiteur peut à tout moment saisir le juge pour contester la résolution. Le créancier doit alors prouver la gravité de l’inexécution ». La cour d’appel d’Aix-en-Provence l’a rappelé le 11 juin 2026 dans un litige entre un fabricant et son prestataire informatique, où le client avait résilié l’ensemble de ses contrats de maintenance au motif que le prestataire retiendrait abusivement ses codes d’accès : la cour juge qu’il appartient au client qui résilie unilatéralement de rapporter la preuve d’une inexécution suffisamment grave de son cocontractant, constate que le contrat confiait expressément au prestataire la maîtrise de l’administration et prévoyait une procédure de réversibilité, et en déduit l’absence de manquement. Le jugement du tribunal de commerce de Nice du 6 octobre 2025 est donc confirmé dans toutes ses dispositions, et le client mal fondé paie les factures impayées, l’indemnité de résiliation et les frais. Transposée à un incident de sécurité, la leçon est directe : l’enseigne qui résilie son prestataire au seul motif de l’incident, sans mise en demeure, sans démontrer une inexécution suffisamment grave et sans vérifier ce que le contrat prévoit, s’expose à devoir le prix jusqu’à l’échéance, outre des dommages-intérêts sur le fondement duquel « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ».
La preuve, enfin, se prépare pendant la crise et non devant le juge. La cour d’appel de Paris l’a démontré le 9 avril 2026 dans un litige où un fabricant, après avoir changé de prestataire d’infogérance, réclamait plus de deux millions d’euros pour la perte de mille huit cent vingt-deux dossiers et demandait une expertise en référé : les conditions générales prévoyaient d’un côté que le client pouvait récupérer ses données à tout moment, le contrat stipulant d’un côté que le prestataire restituerait les fichiers présents sur ses serveurs ou ceux de son sous-traitant dans l’état où le client les avait envoyés, sauf effacement volontaire ou omission de la liste de sauvegarde, et de l’autre, pour l’après-résiliation, la suppression définitive et immédiate des données hébergées, sans qu’aucune copie puisse être demandée. Informé pendant plusieurs mois de la suppression à venir et libre de migrer ses données via son nouveau prestataire, le client n’avait pas sécurisé ses fichiers ; la cour en conclut que l’action en responsabilité contractuelle envisagée contre le prestataire était vouée à l’échec, déboute la demande d’expertise et confirme l’ordonnance. Pour les enseignes et les prestataires d’aujourd’hui, le message est pratique : exiger et conserver les journaux d’accès, les rapports d’incident et les échanges écrits dès les premières heures, organiser la migration avant de résilier, et ne demander une expertise que sur un motif légitime documenté, faute de quoi la procédure se retournera contre son auteur en dépens et en frais irrépétibles. Le fondement de cette exigence est général : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation », tandis qu’« A l’égard des commerçants, les actes de commerce peuvent se prouver par tous moyens à moins qu’il n’en soit autrement disposé par la loi », ce qui autorise journaux horodatés, constats et rapports d’audit à condition qu’ils soient loyaux et conservés dans leur intégrité.
B. Chiffrer le préjudice et agir : clients, fournisseurs et entreprises partenaires
Une fois l’incident contenu, chaque acteur doit chiffrer son préjudice avec des pièces, car la violation du règlement ne vaut pas, à elle seule, indemnisation. Le principe général demeure : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », et le règlement européen ouvre l’action en ces termes : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Mais la Cour de cassation a fermé la porte aux demandes automatiques : dans un arrêt de la chambre sociale du 24 juin 2026, publié au Bulletin, statuant sur le pourvoi n° V 24-22.792, elle rappelle que la seule violation du règlement ne suffit pas à ouvrir droit à réparation, que le droit européen s’oppose à subordonner la réparation du dommage moral à un seuil de gravité, et que la réparation doit compenser intégralement le préjudice concrètement subi, sans fonction punitive. Surtout, la personne qui demande réparation doit établir non seulement la violation, mais aussi le dommage matériel ou moral que cette violation lui a causé : la cour d’appel qui avait alloué 5 000 euros au seul motif que la violation aurait nécessairement causé un préjudice est censurée, et l’affaire est renvoyée. Pour une enseigne, cela signifie qu’il ne suffit pas d’invoquer l’incident du prestataire : il faut produire les factures d’audit et de remédiation, les coûts de notification et d’assistance aux clients, les pertes de commandes documentées, les constats d’huissier des messages frauduleux et, le cas échéant, l’expertise qui établit le lien entre la faille et le dommage. Pour un fournisseur ou une entreprise partenaire dont l’image est utilisée dans des messages frauduleux sans qu’aucune de ses données n’ait fuité, le chemin passe plus souvent par la faute prouvée et le préjudice commercialement établi que par le règlement européen.
Le recours se construit ensuite en cascade, miroir de la chaîne des contrats. L’enseigne qui a indemnisé ses clients ou exposé des frais de crise se retourne contre le prestataire sur le fondement du contrat : inexécution de l’obligation de sécurité, retard dans la notification, manquement au devoir de coopération, avec les factures et l’indemnité contractuelle à la clé. Le règlement organise d’ailleurs la contribution entre coresponsables : « Lorsqu’un responsable du traitement ou un sous-traitant a, conformément au paragraphe 4, réparé totalement le dommage subi, il est en droit de réclamer auprès des autres responsables du traitement ou sous-traitants ayant participé au même traitement la part de la réparation correspondant à leur part de responsabilité dans le dommage ». En pratique, cela suppose une mise en demeure chiffrée et motivée avant toute résolution, une tentative de règlement amiable tracée, puis, à défaut, une action devant la juridiction compétente avec l’ensemble des pièces et des journaux techniques. Les entreprises établies à Paris et en Île-de-France concentrent ici leurs démarches : notification à la CNIL dont le siège est parisien, dépôt de plainte auprès du tribunal judiciaire de Paris avec pièces horodatées, action contractuelle devant le tribunal des activités économiques de Paris lorsque le contrat l’attribue à cette juridiction, et conservation des constats et rapports d’audit réalisés par des prestataires franciliens mobilisables rapidement. Pour auditer cette chaîne contractuelle, organiser la preuve et chiffrer le recours avant d’agir, les directions juridiques s’appuient sur l’accompagnement d’un avocat en droit des affaires à Paris pour sécuriser les contrats et les recours entre partenaires, dont l’intervention commence par la lecture des clauses de sécurité, de notification et de réversibilité déjà signées.
Conclusion
La carte des décisions tient en six réflexes. Vérifier son rôle exact dans le traitement et relire le contrat avant tout geste. Qualifier l’incident par écrit et notifier l’autorité dans les meilleurs délais, si possible dans les 72 heures, avec les motifs de tout retard. Prévenir les clients exposés à un risque élevé en termes clairs, sans minimiser ni dramatiser. Figer les journaux, les échanges et les décisions horodatées dès les premières heures. Prévenir les fournisseurs et partenaires dont les noms circulent dans les messages frauduleux et leur transmettre la communication officielle. Enfin, ne résoudre le contrat du prestataire qu’après mise en demeure et démonstration d’une inexécution suffisamment grave, puis chiffrer le préjudice pièce par pièce avant de réclamer.
Deux garde-fous ferment cette carte, qui sont aussi les réserves de son ouverture. Aucun accident, aucune intrusion ni aucun dommage n’est constaté par une source officielle à la date de rédaction, et aucune responsabilité n’est établie : le prestataire pourrait être regardé comme sous-traitant et serait susceptible de répondre de ses manquements, mais les contrats signés priment sur toute analyse générale et seul le juge décide. Et aucune analyse générale ne remplace l’examen concret des flux, des journaux et des stipulations : en cas de doute sur la cause d’un blocage, sur l’étendue d’une exposition ou sur le partage des responsabilités entre le prestataire, les enseignes et leurs partenaires, c’est ce dossier précis qui départagera les parties.