Un moteur de recherche accessible à tout un chacun rassemblerait plus de 14 milliards de données issues de fuites, interrogeables par nom, adresse, numéro de téléphone, numéro de sécurité sociale ou coordonnées bancaires, avec une suppression proposée moyennant paiement : c’est ce que décrit Ouest-France dans son article du 5 octobre 2026. Le même jour, selon Ouest-France et Le Figaro, la ministre déléguée au Numérique, Anne Le Hénanff, a annoncé saisir la justice par un signalement au titre de l’article 40 du code de procédure pénale adressé au procureur de Paris, la ministre y affirme qu’aucune plateforme n’est au-dessus des lois, que ceux qui font commerce des données devront répondre de leurs actes, et invite les personnes concernées à ne jamais payer pour faire retirer leurs données. Une enquête de Franceinfo datée du 29 septembre 2026 ajoute que des données de personnalités publiques figureraient parmi celles d’anonymes. À la date de rédaction, aucun accident, aucune intrusion ni aucun dommage n’est constaté par une source officielle à l’égard d’une entreprise déterminée, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide. Les développements qui suivent sont de portée générale : ils décrivent les vérifications et les démarches utiles pour toute entreprise dont les données de clients ou de salariés circuleraient sur un tel service, et ne décrivent la situation d’aucune entreprise en particulier, sur laquelle cet article ne formule aucun constat.
Pour le dirigeant qui découvre que des données de sa clientèle circulent en ligne, deux chantiers s’ouvrent en parallèle. D’un côté, le chantier réglementaire : documenter la violation, apprécier le risque, notifier la Commission nationale de l’informatique et des libertés (CNIL) dans les délais et informer les personnes quand le risque est élevé. De l’autre, le chantier répressif et indemnitaire : signaler et porter plainte contre l’exploitation de ces données, puis chiffrer et réclamer la réparation des préjudices subis par l’entreprise. La première partie expose la méthode de conformité face à la CNIL et aux clients ; la seconde expose les poursuites envisageables et la réparation.
I. Fuite de données personnelles : notification à la CNIL dans les 72 heures et information de vos clients
La découverte fortuite de données de clients sur un service en ligne ne dispense pas l’entreprise du régime des violations de données : dès lors que des données qu’elle traite ont été exposées, elle doit qualifier l’événement, le tracer et, selon le risque, le notifier puis en informer les personnes concernées.
A. Registre interne et notification : ce que l’entreprise documente dès la découverte de la fuite de données personnelles
La CNIL définit la violation de données comme toute destruction, perte, altération, divulgation non autorisée ou tout accès non autorisé à des données à caractère personnel, qu’elles soient transmises, conservées ou traitées d’une autre manière. La circulation de données de clients sur un moteur de recherche alimenté par des fuites entre dans cette définition dès lors que l’entreprise identifie que des données issues de ses traitements sont concernées : fichiers clients, prospects, abonnés, salariés ou anciens salariés. La première mesure consiste à figer la situation : captures datées des occurrences constatées, identification des catégories de données (identité, coordonnées, identifiants bancaires, numéros de sécurité sociale), estimation du nombre de personnes concernées, repérage du traitement d’origine et de sa base documentaire (registre des traitements, analyses d’impact, contrats de sous-traitance).
Le guide de la CNIL sur les violations de données personnelles pose ensuite une gradation claire. Si la violation n’entraîne pas de risque pour les droits et libertés des personnes, l’entreprise doit la documenter dans son registre interne des violations, sans notification ni information. Si elle entraîne un risque, elle doit notifier cette violation à la CNIL au plus tôt et dans un délai maximal de 72 heures, en plus de la documentation interne. Si le risque est élevé, s’ajoute l’information des personnes concernées au plus tôt. Autrement dit, le délai de 72 heures court dès la connaissance de la violation présentant un risque, et non à l’issue des investigations : une notification initiale, même incomplète, peut être complétée ensuite. Le registre interne, que la CNIL peut contrôler, doit consigner les faits, les effets et les mesures prises.
En pratique, l’entreprise saisit son délégué à la protection des données, vérifie ses journaux de sécurité pour dater l’exposition et mesurer son périmètre, et interroge ses prestataires : hébergeur, sous-traitant infogérant, éditeur de logiciel, prestataire de paiement. Chacun de ces acteurs est susceptible d’être responsable du traitement ou sous-traitant, et la notification incombe au responsable du traitement. Les contrats de sous-traitance doivent prévoir l’alerte sans retard injustifié du sous-traitant vers le responsable ; à défaut de clause, l’entreprise exige sans attendre les journaux, les attestations et la chronologie. Elle préserve les preuves (journaux, sauvegardes, échanges avec le prestataire) et évite toute destruction ou modification qui compliquerait l’expertise ultérieure. Elle examine aussi ses garanties d’assurance cyber : frais de notification, d’expertise et d’assistance juridique sont fréquemment couverts, et la déclaration de sinistre doit intervenir dans les délais du contrat.
Le volet pénal interne ne doit pas être négligé dès ce stade. Le fait, « y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-16 du code pénal. L’entreprise vérifie donc que ses traitements étaient déclarés et documentés conformément à la loi n° 78-17 du 6 janvier 1978 et au règlement européen, car une faille de conformité fragilise sa position face à la CNIL comme face aux demandes d’indemnisation. La documentation méthodique de ces premières heures conditionne toute la suite : une notification tardive ou un registre lacunaire se paient en sanction administrative comme en contentieux civil.
B. Fuites de données personnelles et usurpation d’identité : quand et comment informer vos clients
L’information des personnes concernées devient obligatoire quand la violation présente un risque élevé pour leurs droits et libertés. Des coordonnées bancaires, des numéros de sécurité sociale ou des pièces d’identité exposés et interrogeables par de simples nom et prénom caractérisent typiquement ce risque élevé, en raison du danger d’usurpation d’identité, d’escroquerie et de hameçonnage ciblé. La communication doit intervenir au plus tôt, dans un langage clair, en décrivant la nature de la violation, les catégories de données concernées, les mesures prises et les précautions recommandées : surveillance des relevés bancaires, opposition en cas d’opération suspecte, vigilance face aux appels et messages se réclamant de l’entreprise, dépôt de plainte en cas d’usage frauduleux avéré, signalement sur les plateformes officielles. L’entreprise met en place un canal dédié (adresse électronique, page d’information, ligne d’assistance) et prépare des réponses écrites homogènes pour éviter les versions contradictoires.
La CNIL admet des exceptions à l’information individuelle : données rendues incompréhensibles par des mesures de protection appropriées (chiffrement à l’état de l’art dont la clé n’est pas compromise), mesures ultérieures garantissant que le risque élevé ne se matérialisera plus, ou efforts disproportionnés pour contacter les personnes. Dans ce dernier cas, une communication publique d’efficacité équivalente doit être réalisée. L’entreprise ne s’exonère donc pas par une simple affirmation : elle documente la mesure technique ou organisationnelle qui justifie l’exception, avec l’avis de son délégué et, si besoin, d’un expert indépendant. Lorsque les salariés figurent parmi les personnes exposées, elle informe également les représentants du personnel selon les règles applicables et coordonne avec la médecine du travail si des données de santé sont en cause, sans mélanger les canaux clients et internes.
La gestion de la relation clients conditionne le risque contentieux autant que la réputation. Une information rapide, précise et accompagnée de mesures concrètes (renouvellement des identifiants, surveillance renforcée, prise en charge d’un suivi) réduit les demandes individuelles et démontre la diligence de l’entreprise devant la CNIL comme devant le juge civil. À l’inverse, l’apprentissage par la presse ou par un proche que ses données circulent nourrit le ressentiment et les actions en réparation. Les lecteurs qui s’intéressent au parcours des victimes après une cyberattaque de grande ampleur peuvent utilement consulter l’analyse consacrée aux données personnelles piratées et aux démarches des victimes après la cyberattaque visant l’Afpa, qui décrit le pendant individuel de cette gestion de crise. Pour l’entreprise, chaque courrier client, chaque appel et chaque mesure proposée doivent être tracés : ce dossier de diligence servira devant l’autorité de contrôle comme devant le tribunal.
Lorsque les données des salariés sont elles aussi exposées, l’entreprise applique la même gradation avec des adaptations : information individuelle des salariés concernés en cas de risque élevé, coordination avec les ressources humaines pour le renouvellement des identifiants professionnels, et traçabilité des mesures proposées. Les données de paie, les relevés d’identité bancaire utilisés pour les salaires et les documents d’identité conservés dans les dossiers du personnel appellent la même vigilance que les données clients, car l’usurpation d’identité frappe indifféremment. Le comité social et économique est informé et consulté selon ses attributions, et les échanges avec les salariés font l’objet d’écrits datés versés au registre de la violation.
II. Données revendues sur un moteur de recherche : poursuites envisageables et réparation du préjudice de l’entreprise
Une fois la conformité d’urgence engagée, l’entreprise n’est pas condamnée à subir : l’exploitation de données issues de fuites, leur indexation et leur monétisation entrent dans le champ de plusieurs incriminations pénales, et les préjudices subis par l’entreprise comme par ses clients ouvrent un droit à réparation à condition de prouver un dommage concret.
A. Signalement au procureur, plainte pénale et blocage : détournement, divulgation, extraction frauduleuse et recel de données
Le traitement judiciaire de ce type d’affaires commence fréquemment par un signalement. L’article 40 du code de procédure pénale dispose : « Toute autorité constituée, tout officier public ou fonctionnaire qui, dans l’exercice de ses fonctions, acquiert la connaissance d’un crime ou d’un délit est tenu d’en donner avis sans délai au procureur de la République et de transmettre à ce magistrat tous les renseignements, procès-verbaux et actes qui y sont relatifs. » C’est sur ce fondement que la ministre déléguée au Numérique a annoncé saisir le procureur de Paris, selon Ouest-France. Pour l’entreprise, la voie parallèle est la plainte : plainte simple auprès du procureur territorialement compétent ou plainte avec constitution de partie civile pour déclencher une information judiciaire, avec un dossier documenté (constats d’huissier ou constats numériques, captures, registre de violation, notification CNIL, échanges avec le prestataire).
Plusieurs incriminations du code pénal sont susceptibles de s’appliquer aux faits, sous l’appréciation souveraine du juge et du parquet. L’article 226-21 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en oeuvre de ce traitement ». L’article 226-22 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir », la peine étant de trois ans et 100 000 euros en cas d’imprudence ou de négligence. La Cour de cassation vient de rappeler la portée de ces textes : « En se déterminant ainsi, sans rechercher si, en l’espèce, les données personnelles relatives à M. [W] avaient fait l’objet d’un traitement automatisé, de sorte que les articles 226-21 et 226-22 du code pénal étaient applicables, ou d’un traitement manuel, l’article 226-22 étant alors seul applicable, la chambre de l’instruction n’a pas justifié sa décision » (Cass. crim., 13 janv. 2026, n° 25-80.474, publié au Bulletin, cassation). Dans cette affaire, la chambre criminelle a cassé l’arrêt qui confirmait une ordonnance de refus d’informer sans que cette recherche ait été menée. L’enseignement vaut pour l’entreprise plaignante : qualifier précisément le traitement d’origine et démontrer l’absence d’autorisation des personnes concernées.
Le volet des atteintes aux systèmes complète l’arsenal. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », avec aggravation en cas de suppression, modification ou altération du fonctionnement. L’article 323-3 du code pénal punit de cinq ans d’emprisonnement et de 150 000 euros d’amende « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». L’extraction et la détention frauduleuses visent directement la constitution de bases issues de fuites. Enfin, l’article 321-1 du code pénal définit le recel comme « le fait de dissimuler, de détenir ou de transmettre une chose, ou de faire office d’intermédiaire afin de la transmettre, en sachant que cette chose provient d’un crime ou d’un délit », puni de cinq ans d’emprisonnement et de 375 000 euros d’amende. La monétisation de l’accès ou de la suppression des données, si elle est établie, relèverait de l’appréciation du juge au regard de ces qualifications, qui s’écrivent au conditionnel tant qu’aucune décision n’est intervenue.
À Paris et en Île-de-France, le réflexe procédural présente des spécificités utiles. Le signalement ministériel ayant été adressé au procureur de Paris, les plaintes des entreprises franciliennes ont vocation à rejoindre le ressort parisien, dont le parquet et les services d’enquête sont habitués aux affaires cyber. L’entreprise peut demander au juge, notamment en référé, le retrait des contenus et le blocage de l’accès au service litigieux, en visant précisément les adresses et les occurrences constatées par ses constats. Elle sollicite en parallèle la déréférencement auprès des moteurs généralistes pour les pages qui exposent ses clients, et conserve les réponses des intermédiaires : un refus documenté pèse dans la suite du contentieux. Chaque démarche — plainte, signalement à la plateforme d’harmonisation et de recoupement, demande de retrait — est horodatée et versée au dossier pénal comme au dossier civil.
B. Préjudice de l’entreprise et de ses clients : prouver le dommage et chiffrer la réparation après une fuite de données personnelles
Le droit commun de la responsabilité s’applique : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». L’entreprise dont l’activité est perturbée par l’exposition des données de sa clientèle peut réclamer la réparation de ses préjudices propres : coûts de gestion de crise et d’expertise, notification et information, assistance aux clients, perte d’exploitation liée à la suspension de services, atteinte à l’image et perte de clientèle. Chacun de ces postes doit être justifié par pièces : factures d’experts et de conseils, journaux d’incidents, statistiques de désinscription, baisses de chiffre d’affaires documentées, constats de la diffusion. Le préjudice d’image, souvent invoqué et rarement chiffré, gagne à être objectivé par des mesures d’audience, des coupures de presse et des attestations de partenaires.
Le régime européen de la réparation éclaire aussi les demandes des clients, dont l’entreprise répondra potentiellement avant de se retourner contre les auteurs et ses prestataires. L’article 82, paragraphe 1, du règlement (UE) 2016/679 prévoit que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». La chambre sociale de la Cour de cassation en a tiré récemment les conséquences : « alors que la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation et qu’il lui appartenait d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral » (Cass. soc., 24 juin 2026, n° 24-22.792, cassation partielle). Transposé à la situation des clients exposés, cet enseignement est double : l’existence d’une fuite ne suffit pas, mais le client qui démontre une usurpation d’identité, des opérations frauduleuses, des démarches anxieuses documentées ou un temps contraint peut obtenir réparation sans seuil de gravité prédéfini. L’entreprise anticipe donc ces demandes en proposant un traitement amiable structuré et provisionne le risque, tout en préparant ses recours contre le prestataire fautif et contre les exploitants du service litigieux.
Le chiffrage final combine ces couches. L’entreprise additionne les coûts directs de crise, les indemnisations amiables versées aux clients sur justificatifs, les provisions pour actions individuelles et, le cas échéant, les condamnations qu’elle supporterait comme responsable du traitement, puis elle exerce ses recours : garantie du sous-traitant défaillant sur le fondement du contrat et du droit commun, action contre les auteurs et complices de l’extraction et de l’exploitation sur le fondement des articles précités. Elle vérifie la prescription applicable à chaque action, met en demeure avant d’assigner et privilégie les mesures d’instruction (constats, expertises judiciaires) avant que les traces ne disparaissent. Les pièces contractuelles priment ici encore : clauses de sécurité, niveaux de service, audits, répartition des rôles entre responsable et sous-traitant déterminent largement l’issue des recours entre professionnels.
Enfin, l’entreprise organise la preuve de ses diligences dès le premier jour : main courante interne des décisions, conservation des journaux pendant les durées légales, archivage des notifications adressées à la CNIL et aux personnes, et suivi des retraits obtenus. Ce dossier de conformité, tenu par le délégué à la protection des données avec l’appui des conseils, constitue la meilleure défense contre une sanction comme contre une action en responsabilité : il démontre que l’entreprise a mesuré le risque, agi dans les délais et protégé les personnes avant ses propres intérêts contentieux.
Conclusion
Face à la circulation des données de ses clients sur un service alimenté par des fuites, l’entreprise diligente documente et notifie dans les 72 heures quand le risque l’exige, informe les personnes exposées à un risque élevé avec des mesures concrètes contre l’usurpation d’identité, porte plainte sur des qualifications précises et chiffre chaque poste de préjudice par pièces. Les textes et la jurisprudence récente encadrent chaque étape, de la notification à la réparation, sans automatisme : ni la violation ni la sanction ne se présument. À la date de rédaction, aucune responsabilité d’une entreprise déterminée n’est établie par une source officielle, les contrats et garanties souscrits priment sur toute analyse générale, et seul le juge, saisi des faits et des pièces, tranchera les responsabilités et les montants.