Selon Le HuffPost du 7 octobre 2026, qui cite Le Canard enchaîné, le numéro de téléphone du chef du gouvernement circulerait aujourd’hui en ligne après le piratage informatique subi en 2024 par une marque française de textile, dont les fichiers de près d’un million et demi de clients auraient été touchés. Le même article indique que vingt-cinq membres du gouvernement, sur trente-six, verraient des informations personnelles circuler sur internet du fait de cyberattaques diverses, visant tour à tour un opticien, un réseau social ou un réparateur d’électroménager. Ces informations viennent de la presse : à la date de rédaction, les articles cités ne font état d’aucune décision de justice ni d’aucune sanction prononcée dans ce dossier, aucune responsabilité n’est établie, et les conditions générales des contrats signés avec chaque site priment sur toute analyse générale. Retenons l’essentiel pour le client d’un site marchand : quand vos nom, adresse, numéro de téléphone ou coordonnées bancaires partiellement exposées circulent après le piratage d’une enseigne, que faire dans les premières heures, qui alerter, et comment obtenir ensuite sanction et réparation ? La réponse tient en deux temps, les réflexes immédiats puis les voies juridiques, que la jurisprudence récente éclaire d’un jour très concret.
I. Fuite de données personnelles : que faire dans les premières heures
A. Vérifier si vous êtes concerné et couper l’hémorragie sur vos comptes
La première question est factuelle : mes données circulent-elles vraiment ? Quand une enseigne est piratée, le responsable du site prévient en général ses clients par courrier électronique, et la presse s’en fait l’écho, comme dans le dossier de la marque de textile dont les fichiers clients de 2024 refont parler d’eux à l’automne 2026. Vérifiez donc votre messagerie, y compris les courriers indésirables, et ne cliquez sur aucun lien contenu dans un message qui vous annonce la fuite : rendez-vous directement sur le site marchand en tapant vous-même son adresse, puis connectez-vous à votre compte pour contrôler vos informations et vos dernières commandes. Les escrocs profitent de chaque fuite médiatisée pour envoyer de faux courriels de « sécurisation du compte » qui volent à leur tour les mots de passe : un message qui réclame vos identifiants ou vos coordonnées bancaires sous prétexte de la fuite serait susceptible de constituer une tentative d’hameçonnage distincte du piratage initial.
Si vous aviez réutilisé sur le site marchand le même mot de passe que sur votre messagerie, votre banque ou vos réseaux sociaux, changez-le partout sans attendre, en commençant par la messagerie, car celui qui contrôle une boîte de courriels peut réinitialiser presque tous les autres accès. Activez la double authentification partout où elle existe, en particulier sur la messagerie et l’espace bancaire. Surveillez ensuite vos relevés bancaires ligne par ligne pendant plusieurs semaines : un petit prélèvement inconnu de quelques euros précède souvent des débits plus importants, car les acheteurs de bases volées testent la validité des moyens de paiement avant de les exploiter. Conservez enfin toutes les preuves dès maintenant, sans trier : captures d’écran du compte client, courriels reçus de l’enseigne, relevés bancaires, messages suspects avec leurs numéros d’expéditeur et leurs dates. Ces pièces feront plus tard la différence entre une crainte vague et un préjudice démontré, comme l’illustre la jurisprudence sur l’indemnisation.
Le numéro de téléphone qui circule appelle une vigilance particulière. Il expose aux appels et messages frauduleux, au démarchage agressif et à l’usurpation d’identité par recomposition de votre profil à partir de morceaux d’informations. Ne rappelez jamais un numéro inconnu qui vous a laissé un message alarmant, ne communiquez aucun code reçu par SMS, et prévenez votre entourage âgé ou vulnérable, souvent visé en second. Si des appels malveillants se répètent, notez les numéros, les heures et le contenu, et déposez ces éléments dans le dossier de preuves : ils documenteront le trouble subi. À ce stade, aucune qualification pénale ne peut être posée sur le sort exact de vos données, que les sources ne décrivent pas, et tout ce qui suit suppose que la fuite vous concernant soit avérée, ce que seul le recoupement des informations reçues de l’enseigne et de vos propres constatations permettra d’établir.
B. Alerter et faire constater : la CNIL, la police et le responsable du site
Le deuxième réflexe est administratif : saisir la CNIL, l’autorité chargée de contrôler la protection des données personnelles. Chacun peut adresser une plainte à la CNIL en ligne, en décrivant les faits, l’organisme concerné et les démarches déjà accomplies auprès de lui. La plainte ne déclenche pas automatiquement un contrôle, et la CNIL ne verse aucune indemnité, puisqu’elle l’écrit elle-même : en cas de violation des données, l’indemnisation éventuelle relève du juge, pas d’elle. Mais la plainte laisse une trace officielle, nourrit les contrôles et peut déboucher sur une mise en demeure ou une sanction publique du responsable, ce qui pèse ensuite dans un procès en réparation. Joignez à votre plainte les pièces conservées : courriel d’information de l’enseigne, captures, relevés. Si le site marchand ne vous a rien notifié alors que des éléments concrets montrent que vos données circulent, dites-le expressément : le silence du responsable après une violation grave serait susceptible d’être regardé comme un indice de manquement à ses obligations d’information.
Le troisième réflexe est pénal : déposer plainte pour les infractions informatiques. Le piratage d’un site marchand recouvre en général au moins deux délits du code pénal. D’une part, l’accès frauduleux : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », selon l’article 323-1 du code pénal, la peine montant à cinq ans et 150 000 euros quand il en est résulté une altération du système ou des données. D’autre part, l’extraction et la détention frauduleuses : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende », selon l’article 323-3 du code pénal. Vous pouvez déposer plainte dans n’importe quel commissariat ou brigade de gendarmerie, ou écrire directement au procureur de la République, en visant ces textes et en joignant votre dossier de preuves. La plainte vise les auteurs inconnus du piratage, pas l’enseigne elle-même, qui est d’abord victime de l’attaque, comme le montre le dossier de la marque de textile de 2024 : ne confondez pas l’attaquant et le responsable du site, dont la responsabilité obéit à d’autres règles.
Le quatrième réflexe s’adresse au responsable du site : exercez vos droits par écrit. Demandez la communication des données qu’il détient sur vous, leur rectification si elles sont inexactes, et leur effacement quand la conservation n’est plus justifiée, par exemple après la suppression de votre compte client. Exigez aussi de savoir quelles catégories de données ont été exposées, quand la violation a été découverte et quelles mesures ont été prises : ces réponses écrites constitueront des aveux ou des contradictions utiles. Envoyez ce courrier en recommandé avec accusé de réception, ou par le canal que les conditions générales prévoient, et gardez-en copie. Si l’enseigne ne répond pas dans un délai raisonnable, cette inertie alimentera à la fois votre plainte à la CNIL et votre future demande au juge. À Paris comme ailleurs en Île-de-France, ces démarches se font intégralement en ligne ou par courrier : aucun déplacement au siège de l’entreprise n’est nécessaire, et les délais de réponse se calculent à partir de la réception de vos écrits, d’où l’importance des accusés de réception.
II. Sanction du responsable et réparation de la victime : qui décide quoi
A. La CNIL sanctionne le manquement à la sécurité, le juge pénal punit le défaut de protection
Une fois l’alerte donnée, deux autorités peuvent frapper le responsable négligent, et aucune des deux n’est le client lui-même. La première est la CNIL, qui sanctionne les manquements au règlement européen sur la protection des données, notamment à son article 32 sur la sécurité. Le Conseil d’État vient d’en donner une illustration limpide dans une décision du 22 juillet 2022 qui fait aujourd’hui référence : un praticien conservait plus de cinq mille trois cents images médicales, assorties des nom, prénom et date de naissance des patients, sur un serveur accessible librement sur internet, faute d’avoir limité les flux de sa « box » et chiffré son disque dur. La CNIL lui avait infligé 3 000 euros d’amende, et le Conseil d’État a confirmé le manquement tout en ramenant la sanction à 2 500 euros. Lisez le Conseil d’État, 22 juillet 2022, n° 449694 : « eu égard à la sensibilité particulière de ces données de nature médicale », le juge estime « qu’un manquement aux exigences élémentaires en matière de sécurité informatique qui incombe à tout responsable de traitement était constitué », la formation restreinte « n’a pas fait une inexacte application des dispositions de l’article 32 du RGPD ». Le texte européen cité est directif : « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins », au nombre desquels le chiffrement et la pseudonymisation des données.
Transposée à un site marchand, cette grille de lecture serait susceptible de peser lourd : mots de passe stockés sans chiffrement, absence de double authentification pour l’administration, correctifs de sécurité non appliqués depuis des mois, journalisation inexistante des accès, prestataire d’hébergement choisi au seul critère du prix. Chacun de ces faits, s’il était établi par un contrôle, pourrait être regardé comme un manquement aux exigences élémentaires de sécurité. Le Conseil d’État rappelle aussi que les amendes doivent être « effectives, proportionnées et dissuasives », en tenant compte de la nature et de la gravité de la violation, du nombre de personnes touchées, de la négligence, des mesures prises pour atténuer le dommage et de la coopération avec l’autorité. D’où l’intérêt, pour l’enseigne, de coopérer vite et de colmater la faille, et pour le client, de conserver la preuve de l’ampleur de l’exposition : un fichier d’un million et demi de clients, comme celui évoqué par la presse dans le dossier de 2024, ne se sanctionne pas comme un incident de quelques centaines de comptes.
Le même arrêt tranche une question pratique qui intéressera les clients en attente d’une notification : le responsable doit prévenir la CNIL, car « en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques » (Conseil d’État, 22 juillet 2022, n° 449694). Mais le Conseil d’État ajoute une exception remarquée : quand c’est la CNIL elle-même qui a informé le responsable de la violation et engagé son contrôle sur cette base, l’obligation de notification « ne s’impose pas au responsable du traitement ». Autrement dit, l’inaction de l’enseigne ne se juge pas sur la seule absence de notification à l’autorité : tout dépend de qui savait quoi et quand. Notez enfin que la décision ordonne la publication sur le site de la CNIL et sur Légifrance « sans identifier le responsable de traitement » : même sanctionné, le professionnel reste anonymisé dans la publication, ce qui montre que le droit des données protège aussi le sanctionné contre l’opprobre excessive.
La seconde autorité est le juge pénal, qui peut punir le responsable du site lui-même quand sa négligence informatique confine au délit. L’article 226-17 du code pénal dispose : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Un site marchand qui traiterait les données de ses clients sans aucune mesure de sécurité prévue par l’article 32 du règlement européen serait donc susceptible de tomber sous le coup de ce texte, indépendamment de la sanction administrative de la CNIL. Dans la même logique, l’article 226-16 du code pénal punit des mêmes peines de cinq ans d’emprisonnement et de 300 000 euros d’amende les traitements mis en œuvre, même par négligence, sans respecter les formalités préalables prévues par la loi. Ces poursuites restent rares contre des enseignes victimes d’attaques, car il faut démontrer une négligence caractérisée et non une simple faille exploitée par des professionnels du piratage, mais leur existence explique pourquoi les entreprises sérieuses investissent dans la sécurité et notifient vite : la coopération et les mesures correctives atténuent à la fois la sanction administrative et le risque pénal.
B. Le juge indemnise le préjudice prouvé, pas la simple violation du règlement
Reste la question que tout client exposé se pose : combien vaut mon préjudice, et comment l’obtenir ? La réponse de la Cour de cassation, dans un arrêt du 24 juin 2026 promis à une large diffusion, tient en une règle : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». Lisez le Cass. soc., 24 juin 2026, n° 24-22.792 : un salarié avait obtenu 5 000 euros de dommages et intérêts parce que son employeur, la société Natixis, avait utilisé contre lui des preuves issues d’un traitement de données contraire au règlement européen ; la cour d’appel avait jugé que ce non-respect « a nécessairement causé un préjudice au salarié ». Cassation partielle : la violation du règlement ne suffisant pas à elle seule, il appartenait aux juges d’apprécier si le salarié établissait que la violation constatée lui avait causé un dommage matériel ou moral.
L’arrêt cite mot pour mot la Cour de justice de l’Union européenne, et ces trois apports concernent directement les victimes de fuites. D’abord, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » (CJUE, 4 mai 2023, n° C-300/21, Österreichische Post). Ensuite, les juges nationaux ne peuvent pas exiger que le dommage moral atteigne « un certain degré de gravité » : une anxiété réelle, même modérée, peut suffire si elle est prouvée. Enfin, la réparation « doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive », et le demandeur doit établir « non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral » (CJUE, 25 janvier 2024, n° C-687/21), formules reprises dans l’arrêt de la chambre sociale du 24 juin 2026 qui les applique au litige. Le texte européen lui-même, visé par la Cour, dispose que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Moralité pour le client d’un site piraté : inutile d’invoquer la fuite en général, il faut démontrer sa violation personnelle, son dommage personnel et le lien entre les deux.
Le tribunal judiciaire de Paris montre comment cette démonstration se gagne ou se perd, dans un jugement du 9 octobre 2025 qui a condamné un éditeur de base de données juridiques à verser 5 000 euros pour préjudice moral. Lisez le TJ Paris, 9 octobre 2025, RG 24/03844 : la société avait publié en ligne deux décisions de justice comportant les nom, prénom et adresse d’un demandeur, sans son consentement et sans autre fondement légitime, dans le seul but de faire connaître la jurisprudence à ses abonnés, objectif qui pouvait « parfaitement être atteint » sans publier ces coordonnées. Le tribunal rappelle d’abord la règle de l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », ce qui suppose la preuve rapportée « de l’existence d’une faute commise par cette personne, d’un préjudice et d’un lien de causalité entre l’un et l’autre ». Puis il retient que la divulgation des nom, prénom et adresse a « nécessairement laissé craindre des représailles » et causé « un préjudice d’anxiété », aggravé par une atteinte à la réputation, et indemnise le préjudice moral à hauteur de 5 000 euros. En revanche, le préjudice économique invoqué, une difficulté à trouver du travail, « n’est pas établi » et se trouve rejeté, tandis que le retrait des décisions six jours après leur publication est relevé sans pour autant effacer la faute.
Transposez ce raisonnement au client dont le numéro de téléphone et l’adresse circulent après le piratage d’un site marchand : l’anxiété documentée par des appels frauduleux répétés, le temps passé à sécuriser les comptes, les frais bancaires de remplacement de carte, voire une usurpation d’identité avérée par des débits ou des contrats souscrits à votre nom, constituent des préjudices indemnisables s’ils sont prouvés pièce par pièce. En revanche, la simple appartenance au fichier volé, sans aucun incident concret, ne vaudra au mieux qu’une indemnisation symbolique, et au pire un rejet, depuis l’arrêt du 24 juin 2026. C’est pourquoi le dossier de preuves constitué dans les premières heures conditionne tout : chaque appel noté, chaque relevé annoté, chaque courrier conservé transforme une crainte en dommage établi. L’action en réparation se porte devant le tribunal judiciaire du domicile ou du lieu du fait dommageable, sur le fondement cumulé de l’article 1240 du code civil et du droit européen à réparation, en visant le responsable du traitement, c’est-à-dire l’enseigne, et non les pirates inconnus. Et retenez l’avertissement de la CNIL elle-même : l’indemnisation éventuelle relève du juge, pas de l’autorité de contrôle ; la plainte à l’autorité et le procès en réparation sont deux voies complémentaires, jamais interchangeables.
Conclusion
Le piratage d’un site marchand ne fait pas de chaque client une victime indemnisée d’office, mais il ouvre à chacun une méthode éprouvée : vérifier et sécuriser ses comptes, conserver chaque preuve, saisir la CNIL, déposer plainte sur le fondement des articles 323-1 et 323-3 du code pénal, écrire au responsable du site pour exercer ses droits, puis, si un dommage concret est survenu, demander au juge réparation sur le fondement de l’article 1240 du code civil et du droit européen, en prouvant la faute, le préjudice et le lien qui les unit. La jurisprudence récente durcit le contrôle des responsables négligents, comme l’enseigne la sanction confirmée par le Conseil d’État en 2022 pour défaut de chiffrement, mais elle exige des victimes une démonstration rigoureuse, comme l’enseignent la Cour de cassation en 2026 et le tribunal de Paris en 2025. Dans le dossier de la marque de textile piratée en 2024, aucune responsabilité n’est établie à ce jour par les sources citées, l’enseigne est elle-même victime de l’attaque selon la presse, les contrats et conditions générales signés par chaque client priment sur toute analyse générale, et seuls la CNIL et le juge, chacun dans son rôle, trancheront les manquements et les réparations.