Le 4 octobre 2026, un site spécialisé qui recense les annonces de fuites de données a publié une fiche consacrée à un fournisseur français de solutions informatiques pour entreprises : selon cette fiche, l’auteur d’une annonce parue sur un forum cybercriminel affirme avoir extrait une base de données de ce prestataire, comprenant une centaine de comptes de clients professionnels, des commandes et des adresses de livraison, au moyen d’une faille d’injection SQL qui resterait à démontrer. Aucune intrusion, aucun vol de données ni aucun dommage n’a été constaté par une source officielle à la date de rédaction du présent article, aucune responsabilité n’est établie, et seul le juge pourrait la trancher. Les contrats signés entre le prestataire, ses clients, leurs sous-traitants et leurs fournisseurs priment sur toute analyse générale.

La réponse tient en une phrase : une entreprise cliente qui apprend que son prestataire informatique est visé par une telle annonce doit traiter l’information comme un risque à instruire, pas comme une faute prouvée. Elle vérifie son contrat, elle fige ses preuves, elle applique ses obligations de notification lorsqu’elles sont déclenchées, et elle ne cesse ni de payer ni d’exécuter sur la seule foi d’une annonce. Le fournisseur du prestataire et le sous-traitant de l’entreprise cliente, eux, doivent mesurer l’effet de ricochet : commandes suspendues, données croisées, délais de déclaration. C’est cette carte des conséquences et des décisions, acteur par acteur, que dresse le présent article, à partir des textes applicables et de décisions lues intégralement.

I. Une annonce de fuite chez le prestataire : ce qu’elle déclenche, et ce qu’elle ne prouve pas

A. Entreprise cliente : qualifier la relation et enclencher les bons délais

La première question n’est pas de savoir si l’attaquant dit vrai. Elle est de savoir qui est quoi. Lorsqu’une entreprise confie à un prestataire informatique un traitement de données pour son compte — hébergement, maintenance, sauvegarde, messagerie, logiciel de gestion —, le droit européen des données personnelles répartit les rôles : l’entreprise cliente est en général responsable du traitement, le prestataire est son sous-traitant. Cette répartition commande tout le reste, car c’est elle qui désigne qui doit notifier, qui doit informer, et qui doit prouver.

Le règlement européen impose au responsable du traitement de ne faire appel qu’à des sous-traitants offrant des garanties. L’article 28, paragraphe 1, du règlement (UE) 2016/679 impose au responsable du traitement de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon que le traitement réponde aux exigences du règlement et protège les droits des personnes concernées. Le contrat qui lie les deux parties doit verrouiller ce point, et la fiche du 4 octobre 2026 invite chaque entreprise cliente à relire le sien : objet et durée du traitement, nature et finalité, type de données, catégories de personnes concernées, et surtout les engagements du prestataire en matière de sécurité, d’assistance et d’audit. Lorsque ce contrat existe et qu’il est précis, il devient la boussole des jours suivants ; lorsqu’il est vague ou absent sur la sécurité, l’entreprise cliente découvre sa propre exposition.

Le même contrat doit prévoir que le sous-traitant aide le responsable du traitement à respecter ses obligations. L’article 28, paragraphe 3, point f), du même règlement prévoit que le sous-traitant aide le responsable du traitement à respecter ses obligations en matière de sécurité et de gestion des violations, compte tenu de la nature du traitement et des informations dont il dispose. Concrètement, l’entreprise cliente est fondée à exiger du prestataire visé par l’annonce : la description technique de l’incident allégué, les catégories de données potentiellement concernées, le nombre approximatif de personnes et d’enregistrements, les mesures déjà prises et celles proposées. Si le prestataire se tait ou répond de façon évasive, ce silence nourrit le dossier, sans pour autant établir à lui seul une faute.

Vient ensuite le calendrier, qui ne pardonne pas l’attentisme. L’article 33, paragraphe 1, du règlement impose au responsable du traitement de notifier toute violation de données à caractère personnel à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, tout retard devant alors être motivé. Le point de départ de ce délai n’est pas la date de la fiche du site spécialisé, mais le moment où l’entreprise cliente a elle-même connaissance d’une violation affectant des données dont elle est responsable. Une annonce non vérifiée ne déclenche pas mécaniquement la notification, mais elle déclenche l’instruction : l’entreprise doit déterminer, dans les heures qui suivent, si des données personnelles qu’elle a confiées au prestataire sont plausiblement concernées, et documenter cette analyse. Si la réponse est affirmative, le délai de soixante-douze heures court, et tout retard devra être motivé.

Symétriquement, l’article 33, paragraphe 2, impose au sous-traitant de notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. L’entreprise cliente doit donc mettre le prestataire en demeure, par écrit, de lui notifier sans délai toute violation avérée, avec le contenu attendu : nature de la violation, catégories et nombre approximatif de personnes concernées, point de contact, conséquences probables et mesures prises ou proposées. Cette mise en demeure n’est pas une accusation ; c’est l’activation d’une obligation contractuelle et réglementaire, et elle protège l’entreprise cliente contre le reproche ultérieur d’avoir dormi sur une information disponible.

Enfin, l’entreprise cliente doit constituer dès le premier jour le dossier que l’autorité de contrôle pourrait lui demander. L’article 33, paragraphe 5, impose au responsable du traitement de documenter toute violation, en consignant les faits, leurs effets et les mesures prises pour y remédier, afin de permettre à l’autorité de contrôle de vérifier le respect de ces obligations. Un registre daté — capture de l’annonce avec son horodatage, courriers au prestataire, réponses reçues, analyse interne du risque, décisions prises — vaut mieux qu’une reconstitution tardive. Si l’incident allégué s’avère sans consistance, ce registre établit que l’entreprise a agi avec diligence ; s’il se confirme, il devient la colonne vertébrale de la notification.

Reste la question des personnes à informer. L’article 34, paragraphe 1, impose au responsable du traitement de communiquer la violation aux personnes concernées, dans les meilleurs délais et en termes clairs, lorsqu’elle est susceptible d’engendrer un risque élevé pour leurs droits et libertés. Pour une entreprise cliente dont les salariés, les prospects ou les contacts commerciaux figureraient dans la base du prestataire, l’évaluation du risque élevé dépend du contenu réel des données : de simples adresses électroniques professionnelles n’appellent pas la même réponse que des mots de passe, même chiffrés, ou des informations de commande détaillées. La fiche du 4 octobre 2026 évoque des mots de passe hachés et des données de commande ; si ces éléments se confirmaient, ils pèseraient dans l’analyse, sans dispenser de la vérification. Informer trop tôt, sur une base incertaine, alarme sans protéger ; informer trop tard expose au grief d’avoir tu un risque connu. D’où l’importance d’une analyse écrite, datée et révisée au fil des informations obtenues du prestataire.

B. Prouver plutôt qu’affirmer : la leçon d’un litige entre un prestataire et sa cliente

L’erreur la plus coûteuse, pour une entreprise cliente, serait de transformer l’annonce en certitude et d’agir comme si la faute du prestataire était acquise : cesser de payer la maintenance, résilier à effet immédiat, imputer publiquement l’incident au fournisseur. Un arrêt récent montre ce que le juge fait d’un tel raisonnement lorsqu’il n’est pas étayé. Par arrêt du 12 juin 2025 (cour d’appel de Lyon, 3e chambre A, n° RG 22/00548), la cour a tranché un litige opposant une société de conseil en systèmes informatiques à sa cliente, une entreprise du secteur du paysage, liée par un contrat de maintenance et un contrat de sauvegarde. Après une attaque virale subie le 19 janvier 2020, la cliente avait cessé de payer, imputant l’incident aux manquements de son prestataire en matière de prévention et de sauvegarde, et réclamait 50 000 euros de dommages et intérêts.

La cour a rejeté cette demande et confirmé la condamnation de la cliente au paiement des sommes contractuelles. Sur la preuve du manquement, les motifs sont nets : « Si l’appelante produit à l’appui de sa demande une expertise d’assurance, il est relevé que celle-ci n’est pas contradictoire mais surtout qu’elle ne reprend que les dires de l’appelante et à aucun moment n’indique de manière certaine que la cyber-attaque trouve son origine dans une défaillance de l’intimée. » Une expertise établie sur les seules déclarations de celui qui l’invoque, sans analyse indépendante ni débat contradictoire, ne prouve pas l’origine d’une attaque. L’entreprise cliente qui, aujourd’hui, ferait établir un constat unilatéral reprenant sa propre version des faits s’exposerait au même sort.

Deuxième enseignement : « Par ailleurs, il est constant que les deux parties n’avaient pas signé de contrat relatif à la protection contre des cyberattaques. » Le contrat de maintenance et le contrat de sauvegarde ne valaient pas contrat de cybersécurité. L’entreprise qui attend de son prestataire une protection contre les intrusions doit vérifier que cette mission figure dans les documents signés, avec son contenu et ses limites. À défaut, imputer au prestataire une obligation qu’aucune clause ne stipule, c’est plaider contre son propre dossier.

Troisième enseignement : « En outre, il n’est pas contesté par la société Terideal Tarvel qu’elle a eu recours aux sauvegardes de données réalisées par la société Xefi [Localité 5] suite à l’attaque subie et qu’elle a pu reprendre son activité. » Le prestataire avait exécuté la sauvegarde jusqu’à la coupure d’accès, et la cliente avait pu redémarrer grâce à elle. D’où la conclusion de la cour : « Au regard de l’ensemble de ces éléments, c’est à bon droit que les premiers juges ont rejeté la demande indemnitaire reconventionnelle formée au titre de la responsabilité de la société Xefi [Localité 5] dans le cadre de l’attaque subie. » Et le dispositif : « Confirme la décision déférée sauf en ce qu’elle a fait application du taux d’intérêts visé à l’article L.441-6 du code de commerce sur la somme de 29.996,31 euros TTC, » puis « Condamne la SAS Terideal Tarvel à payer à la SAS Xefi [Localité 5] la somme de 29.996,31 euros TTC outre intérêts au taux d’intérêt du marché monétaire (T4M) majoré de 1 point à compter du 19 mars 2020 ».

La transposition à la situation du 4 octobre 2026 est directe. L’entreprise cliente qui suspendrait ses paiements de maintenance au motif que son prestataire serait à l’origine d’une exposition de données devrait démontrer, par des éléments contradictoires et vérifiables, le manquement précis du prestataire à une obligation précise de son contrat. À défaut, elle s’expose à devoir les échéances jusqu’au terme, assorties d’intérêts, et à voir la résiliation prononcée à ses propres torts. La cour lyonnaise rappelle aussi le cadre général que l’article 1231-1 du code civil énonce : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Or une attaque informatique n’est pas automatiquement une force majeure : l’article 1218 du code civil exige « un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées ». Des mesures de sauvegarde existantes et efficaces, comme dans l’affaire lyonnaise, font échec à l’argument ; des mesures inexistantes ou notoirement insuffisantes l’étayent. Tout est affaire de dossier, et le dossier se constitue maintenant : constats d’huissier contradictoires ou à tout le moins établis dans des conditions loyales, journaux techniques, échanges écrits avec le prestataire, attestations de tiers indépendants.

Un dernier point de preuve mérite l’attention des entreprises clientes : la charge de la preuve. L’article 1353 du code civil dispose : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’entreprise qui réclame du prestataire la réparation d’un préjudice lié à l’incident allégué doit prouver l’obligation, le manquement et le lien avec son dommage. L’entreprise qui cesse de payer doit justifier le fait libératoire qu’elle invoque. Dans les deux cas, l’annonce publiée sur un forum, rapportée par un site de recensement, ne suffit pas : c’est un point de départ d’investigation, pas une preuve.

II. La carte des décisions dans la chaîne : clients, fournisseurs et sous-traitants

A. L’entreprise cliente face à son contrat : payer, suspendre, résilier ou renégocier

Le contrat de maintenance ou d’infogérance est le premier document à ouvrir, avant toute lettre au prestataire. L’article 1103 du code civil dispose : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Les clauses qui comptent, dans l’ordre : la définition des prestations de sécurité et de sauvegarde, avec leurs indicateurs ; la clause de responsabilité et son plafond éventuel ; la clause résolutoire et ses formalités ; la durée, le renouvellement et l’indemnité de sortie anticipée ; la clause d’audit et le droit d’accès aux journaux ; le sort des données en fin de contrat, avec restitution ou destruction. Dans l’affaire jugée à Lyon, l’article 13 des contrats excluait la responsabilité du prestataire en cas de perte de données, clause acceptée à la signature, et chaque contrat rappelait au client l’obligation de souscrire une assurance couvrant la perte d’exploitation, notamment en cas de perte de données. Une entreprise cliente qui découvre de telles stipulations dans son propre contrat doit en tenir compte avant d’annoncer qu’elle « ne paiera plus rien » : le plafond convenu et l’obligation d’assurance pèseront sur toute négociation comme sur tout procès.

Quatre attitudes sont possibles, avec des risques très inégaux. Poursuivre l’exécution en documentant ses réserves est l’option la plus sûre à court terme : l’entreprise paie les échéances, exige par écrit les informations dues au titre de l’assistance du sous-traitant, diligente un audit contractuel et prépare, à froid, la sortie ou la renégociation. Suspendre ses propres paiements au titre de l’exception d’inexécution suppose de démontrer un manquement du prestataire suffisamment grave et contemporain de la suspension ; l’arrêt lyonnais montre que l’attaque subie par la cliente n’a pas suffi, faute de preuve d’un manquement du prestataire à ses obligations de sauvegarde, qui avaient au contraire permis la reprise d’activité. Résilier unilatéralement aux torts du prestataire suppose un manquement essentiel établi et, sauf clause résolutoire régulière, une mise en demeure restée vaine ; à défaut, c’est la cliente qui supporte l’indemnité de sortie et les échéances à échoir, comme les 29 996,31 euros confirmés par la cour. Renégocier, enfin, suppose un rapport de force : exiger un plan de remédiation chiffré et daté, un renforcement des mesures de sécurité, une révision du plafond de responsabilité pour l’avenir, voire une clause de sortie facilitée en cas de nouvel incident avéré. Cette voie suppose elle aussi un dossier solide, car un prestataire qui conteste toute intrusion n’accorde rien sans contrepartie.

Le cas particulier des données chiffrées mérite un mot. La fiche du 4 octobre 2026 évoque des mots de passe hachés avec un algorithme robuste. Si cette caractéristique se vérifiait, elle jouerait dans l’évaluation du risque au sens de l’article 34 : des données rendues incompréhensibles aux personnes non autorisées atténuent le risque pour les personnes concernées et peuvent dispenser de la communication individuelle. Elle ne dispenserait ni de l’analyse écrite, ni de la notification à l’autorité lorsque les conditions en sont réunies, ni de l’exigence de loyauté envers les personnes dont les données sont en jeu. Surtout, elle ne préjuge pas des autres catégories de données citées — adresses électroniques, informations d’entreprise, commandes — dont l’exposition garderait des conséquences commerciales directes : prospection détournée, usurpation de relations fournisseurs, exploitation des grilles tarifaires.

Pour les entreprises clientes établies à Paris et en Île-de-France, deux précisions pratiques s’ajoutent. D’une part, la notification éventuelle à l’autorité de contrôle s’effectue auprès de la Commission nationale de l’informatique et des libertés, dont le siège est à Paris, par son téléservice dédié aux violations de données ; le délai de soixante-douze heures s’apprécie en heures calendaires, week-end compris, ce qui donne à une annonce parue un samedi une importance immédiate pour l’organisation interne du lundi. D’autre part, le contentieux contractuel francilien relèvera, selon les montants et la qualité des parties, du tribunal judiciaire de Paris ou du tribunal des activités économiques de Paris, devant lesquels la qualité des pièces — contrat complet, échanges écrits, constats loyaux — fera la différence, comme elle l’a faite devant la cour d’appel de Lyon. Lorsqu’un accompagnement s’avère nécessaire pour auditer le contrat de maintenance et calibrer la stratégie de notification et de recours, les avocats en droit des affaires à Paris du cabinet interviennent sur ces questions de contrats et de contentieux entre professionnels.

B. Fournisseurs, sous-traitants et second rang : l’effet de ricochet et le volet pénal

La crise ne s’arrête pas à la relation entre le prestataire visé et ses clients directs. En amont, les fournisseurs du prestataire — éditeurs de logiciels, hébergeurs, prestataires de maintenance à distance — voient leurs outils cités dans l’annonce : la fiche du 4 octobre 2026 attribue l’intrusion alléguée à une faille d’injection SQL du système du prestataire. Si l’un de ces fournisseurs apprend que sa brique est mise en cause, il doit vérifier ses propres journaux, interroger ses correctifs publiés et, le cas échéant, alerter ses autres clients exposés à la même version. Sa responsabilité ne se présume pas : dans l’affaire lyonnaise, la cliente imputait l’attaque au logiciel d’intervention à distance installé par son prestataire, dont une faille serait restée sans correctif ; la cour a relevé qu’aucun élément probatoire ne corroborait ces allégations et que le prestataire n’était ni le créateur ni le développeur de ce logiciel, de sorte qu’il ne pouvait endosser une responsabilité liée à une éventuelle défaillance de celui-ci. Le fournisseur d’une brique technique n’est donc pas responsable par contagion ; il le deviendrait s’il était établi qu’il a manqué à ses propres obligations de sécurité ou d’information envers son client direct. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La faute, le dommage et le lien causal doivent être établis un par un, pour chaque maillon.

En aval, les sous-traitants des entreprises clientes — comptables, prestataires de paie, agences, transporteurs — traitent souvent des données reçues de l’entreprise cliente et hébergées chez le prestataire visé. Ils doivent être informés par l’entreprise cliente lorsque l’incident allégué les concerne, car leurs propres obligations de notification et de documentation peuvent se trouver déclenchées en cascade. Le règlement anticipe ces chaînes : le sous-traitant ne recourt à un autre sous-traitant qu’avec l’autorisation du responsable du traitement, et l’entreprise cliente a intérêt à cartographier ces rangs pour savoir qui prévenir et dans quel ordre. Un sous-traitant de second rang qui apprend l’annonce par la presse avant d’être informé par son donneur d’ordres est un contentieux en germe ; un donneur d’ordres qui informe par écrit, avec le niveau de certitude exact — annonce non vérifiée, vérifications en cours, mesures conservatoires listées — se constitue une preuve de diligence.

Le volet pénal, enfin, concerne toute la chaîne. Si une intrusion se confirmait, les faits allégués — accès sans autorisation, extraction et diffusion d’une base — seraient susceptibles de recevoir une qualification pénale. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » L’article 323-3 du même code dispose : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La fiche du 4 octobre 2026 évoque aussi la création de comptes et la modification d’un catalogue par l’auteur de l’annonce ; si de tels agissements étaient établis, la jurisprudence donne à ces qualifications une portée large : par arrêt du 8 juin 2021 (chambre criminelle, pourvoi n° 20-85.853, publié au Bulletin), la Cour de cassation énonce : « En revanche, des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification. »

Pour les entreprises de la chaîne, la plainte n’est pas un réflexe obligatoire, mais une décision à peser. Déposer plainte fige la qualité de partie lésée, permet de se constituer partie civile et donne accès, par l’enquête, à des constatations techniques qu’aucun audit privé ne fournira. Elle expose aussi l’entreprise à verser au dossier des éléments que l’adversaire civil exploitera. Le dépôt de plainte du prestataire lui-même, s’il intervient, est un signal que les entreprises clientes peuvent prendre en compte — sans le surinterpréter : une plainte relate des faits allégués par son auteur, elle ne vaut pas constatation officielle d’une intrusion.

Reste la question que chaque acteur se pose : à quelles conditions obtenir réparation du préjudice lié à l’incident allégué ? La réponse du droit européen des données est exigeante. Par arrêt du 24 juin 2026 (chambre sociale, pourvoi n° 24-22.792), rendu au visa de l’article 82, paragraphe 1, du règlement (UE) 2016/679, qui ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant, la Cour de cassation rappelle que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et que « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». L’entreprise cliente qui voudrait obtenir du prestataire la réparation d’un préjudice d’image, d’une perte de clientèle ou d’un surcoût de remédiation devra donc établir la violation, le dommage concret et le lien entre les deux, avec des pièces : factures de remédiation, constats de prospection détournée, attestations de clients perdus, bilans comparés. L’annonce du 4 octobre 2026, à elle seule, n’établit ni l’un ni l’autre.

Conclusion

Une annonce de fuite visant le prestataire informatique, comme celle recensée le 4 octobre 2026, ne constate ni intrusion, ni vol de données, ni responsabilité : elle impose une instruction. L’entreprise cliente qualifie sa relation contractuelle, exige par écrit les informations dues par son sous-traitant, documente son analyse du risque, notifie l’autorité de contrôle dans les soixante-douze heures lorsque les conditions sont réunies et informe les personnes concernées en cas de risque élevé. Elle conserve ses preuves — contrat complet, échanges écrits, journaux, constats établis loyalement — car le juge, comme la cour d’appel de Lyon le 12 juin 2025, écarte les expertises de complaisance et fait payer au client mal fondé les échéances jusqu’au terme. Les fournisseurs du prestataire vérifient leurs propres briques sans présumer leur faute ; les sous-traitants des entreprises clientes sont informés par écrit pour enclencher leurs propres diligences. La plainte pénale et la demande indemnitaire se préparent avec des pièces, pas avec des affirmations : la violation alléguée doit être établie, le dommage prouvé, le lien démontré.

Aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction. Aucune responsabilité n’est établie. Les contrats signés entre le prestataire, ses clients, leurs fournisseurs et leurs sous-traitants priment sur toute analyse générale, et seul le juge, saisi d’un dossier complet, pourrait trancher les responsabilités.