Le 13 janvier 2026, la formation restreinte de la CNIL a prononcé une amende de 27 millions d’euros à l’encontre de la société Free Mobile et une amende de 15 millions d’euros à l’encontre de la société Free, en raison de mesures de sécurité jugées inadaptées après une compromission massive de données d’abonnés. D’après le communiqué de la CNIL publié le 14 janvier 2026, un attaquant était parvenu, en octobre 2024, à s’infiltrer dans le système d’information des deux sociétés et à accéder à des données personnelles concernant 24 millions de contrats d’abonnés, dont des IBAN lorsque les personnes étaient clientes des deux sociétés. Plus de 2 500 plaintes de personnes concernées avaient été adressées à la CNIL à la date de la sanction. Quelques mois plus tôt, le 23 avril 2025, la CNIL avait publié une fiche consacrée aux compromissions de données chez les sous-traitants, inspirée d’incidents réels qui lui sont notifiés : une plateforme logistique hameçonnée, un accès direct sans protection aux bases des entreprises clientes, plusieurs millions de lignes aspirées puis publiées sur le dark web. Le scénario n’est donc pas théorique : quand c’est votre hébergeur, votre logiciel de paie, votre routeur de courriels ou votre prestataire logistique qui est compromis, ce sont vos données clients qui partent, et c’est à vous, entreprise cliente, que la CNIL, les clients et parfois la presse demandent des comptes. Les développements qui suivent décrivent la méthode applicable à toute entreprise cliente d’un prestataire compromis, à partir des textes et des décisions citées ; ils ne décrivent la situation d’aucune entreprise en particulier, et toute qualification de votre propre dossier relève de vos contrats et, en cas de litige, du juge.
I. Violation de données chez votre prestataire : notifier la CNIL et informer sans aggraver votre situation
A. Prestataire piraté, qui notifie la CNIL et dans quel délai de 72 heures
Le premier réflexe consiste à déterminer qui est quoi. La CNIL définit le sous-traitant comme la personne, l’entreprise ou l’organisme public qui traite des données pour le compte d’un autre organisme, le responsable de traitement, dans le cadre d’un service ou d’une prestation. Votre hébergeur, votre éditeur de logiciel en mode SaaS, votre prestataire de paie externalisée ou votre routeur de campagnes sont le plus souvent des sous-traitants ; vous restez le responsable du traitement des données de vos clients et de vos salariés. Cette qualification commande tout le reste : le responsable du traitement supporte l’obligation de notification à la CNIL, tandis que le sous-traitant doit l’alerter sans délai pour qu’il puisse notifier. L’article 28, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 impose d’ailleurs au responsable du traitement de ne choisir que des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à ce que le traitement reste conforme au règlement et protège les droits des personnes concernées. Autrement dit, le choix d’un prestataire sans garanties documentées constitue déjà, en soi, un premier manquement qui vous sera reproché.
Le délai est brutal : En cas de violation de données à caractère personnel, le responsable du traitement doit notifier cette violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation ne risque pas d’engendrer un risque pour les droits et libertés des personnes physiques. Tel est l’article 33, paragraphe 1, du RGPD. Son paragraphe 2 impose au sous-traitant d’alerter le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Concrètement, dès que votre prestataire vous annonce un incident, ou dès que vos propres équipes constatent des signes anormaux (bases inaccessibles, exports massifs, messages de rançon, clients qui signalent des hameçonnages ciblés reprenant leurs références de commande), le compteur tourne. Lorsque la notification n’intervient pas dans les 72 heures, elle doit être accompagnée des motifs du retard, précise le même article 33. Un retard non justifié devient un grief autonome lors du contrôle.
La notification doit décrire au minimum la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, communiquer le nom et les coordonnées du délégué à la protection des données, décrire les conséquences probables et les mesures prises ou envisagées. L’expérience des dossiers montre que la première notification, même incomplète, vaut mieux que le silence : le règlement autorise une notification par étapes, à condition de ne pas attendre la fin de l’enquête du prestataire. Exigez donc du prestataire, par écrit et dès le premier appel, un horodatage précis (date et heure de découverte, périmètre concerné, catégories de données, mesures de confinement), puis complétez votre notification au fil des informations reçues. L’arrêt rendu le 4 juin 2026 par la cour d’appel de Douai dans l’affaire de l’incendie des datacentres de Strasbourg illustre ce réflexe : l’association cliente, dont l’application de gestion était hébergée sur un serveur privé virtuel parti en fumée dans la nuit du 9 au 10 mars 2021, « a procédé à une notification auprès de la Commission nationale de l’informatique et des libertés (la CNIL) au titre d’une violation des données personnelles stockées sur son VPS, en qualité de responsable de traitement », dès le 1er avril 2021. Le client sérieux notifie en son propre nom, même quand la faute technique vient du prestataire.
La seconde obligation vise les personnes concernées. Lorsque la violation risque d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement doit communiquer cette violation à la personne concernée dans les meilleurs délais, dispose l’article 34, paragraphe 1, du RGPD. Cette communication s’apprécie au cas par cas : des IBAN, des mots de passe en clair, des données de santé ou des pièces d’identité exigent une information directe et rapide, avec les mesures de protection à prendre ; des adresses électroniques seules appellent une réponse plus mesurée. La sanction prononcée contre Free et Free Mobile le montre : la CNIL a constaté que les sociétés avaient procédé à l’information des personnes par une communication à deux niveaux, et a retenu un manquement à l’obligation de communiquer auprès des personnes concernées. Le message est net : une information diluée, tardive ou réservée à une partie des victimes expose à une sanction distincte de celle qui frappe le défaut de sécurité. Préparez donc, avec votre délégué à la protection des données, deux modèles de courriers : une information individuelle directe pour les cas à risque élevé, et une information graduée pour les autres, sans jamais minimiser par écrit la portée de l’incident.
B. Quelles preuves conserver après la fuite et comment les faire constater sans violer le RGPD
Le deuxième chantier, mené en parallèle de la notification, est probatoire. Dans un contentieux contre le prestataire comme devant la CNIL, tout se joue sur les traces : journaux de connexion, tickets d’assistance, courriels du prestataire, captures des écrans d’erreur, relevés des exports anormaux, attestations des salariés qui ont découvert l’incident. L’article 145 du code de procédure civile vise exactement ce cas : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé ». Le constat par commissaire de justice, dressé dans les premières heures sur vos postes et serveurs, fige l’indisponibilité, les messages d’erreur et les volumes de données exposés ; la mesure ordonnée sur requête permet, elle, de faire visiter les locaux du prestataire ou de placer sous séquestre des journaux qu’il pourrait écraser par rotation. Dans l’affaire tranchée à Douai, la cliente avait assigné son hébergeur le 26 août 2022 après une demande d’indemnisation de 456 000 euros restée sans suite ; l’arrêt du 4 juin 2026 montre que le juge a examiné, pièce par pièce, les manquements reprochés au prestataire et la réalité des préjudices, avant de juger que la société d’hébergement « a déjà intégralement indemnisé » sa cliente « du seul préjudice subi par cette dernière du fait du manquement imputable » à cette société. Sans pièces horodatées, cette discussion sur le périmètre exact du manquement et du préjudice est perdue d’avance.
La collecte des preuves doit elle-même respecter le droit des données personnelles, y compris quand elle sert votre défense. Par un arrêt du 3 octobre 2024 (pourvoi n° 21-20.979), la deuxième chambre civile de la Cour de cassation a rappelé, au visa de l’article 6 du RGPD, que « Selon l’article 6, § 1, du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données ou RGPD), le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie », et a soumis la production en justice de données personnelles à un contrôle de proportionnalité et de minimisation : le juge doit « prendre en compte, le cas échéant d’office, les intérêts des personnes concernées et les pondérer en fonction des circonstances de cette espèce, de ce type de procédure, et en tenant compte des exigences résultant du principe de proportionnalité ainsi que, en particulier, de celles résultant du principe de la minimisation des données visé à l’article 5, § 1, sous c), de ce règlement ». Concrètement, ne versez aux débats que les extraits strictement nécessaires (quelques lignes de journaux, pas la base entière), occultez les données des tiers non concernés par le litige, et faites constater par le commissaire de justice plutôt que de manipuler vous-même les fichiers du prestataire. Trois interdits complètent le tableau : ne tentez jamais de vous introduire dans le système du prestataire pour « vérifier » l’étendue de la fuite, ne diffusez jamais les données compromises même pour alerter, et ne promettez jamais par écrit aux clients une indemnisation ou une prise en charge avant d’avoir fait qualifier le périmètre avec votre conseil.
Le réflexe disciplinaire vaut aussi pour vos propres équipes. La CNIL l’enseigne dans sa fiche du 23 avril 2025 : l’attaque y commence par un courriel d’hameçonnage adressé à un salarié de la plateforme, qui s’authentifie machinalement avec un identifiant et un mot de passe partagés au sein de l’équipe, ouvrant à l’attaquant un accès direct aux bases des entreprises clientes. Identifiants partagés, absence de double authentification, postes sans verrouillage, exports massifs sans alerte : chaque négligence interne documentée par le prestataire adverse réduira votre indemnisation au titre du partage de responsabilité. Faites donc inventorier dès le premier jour les comptes à privilèges, les accès du prestataire à votre système (infogérance, maintenance, API), révoquez les jetons compromis, imposez la double authentification et consignez ces mesures dans un journal de crise : elles démontreront à la CNIL votre diligence et, face au prestataire, que l’aggravation du dommage ne vient pas de vous.
II. Faire payer le prestataire défaillant et verrouiller vos contrats : responsabilité, clauses et réflexes à Paris
A. Recours contre l’hébergeur ou le sous-traitant : contrat, RGPD et juge, comment obtenir réparation
Le fondement contractuel vient en premier. « Aux termes des articles 1103 et 1104 du code civil, les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. Ils doivent être négociés, formés et exécutés de bonne foi », rappelle la cour d’appel de Douai dans son arrêt du 4 juin 2026, avant d’ajouter : En vertu de l’article 1231-1 du code civil, « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». Votre contrat de prestation, avec son engagement de disponibilité, son plan de reprise d’activité et ses délais de rétablissement, constitue donc la première loi du litige. L’article 1217 du code civil offre ensuite la palette des sanctions : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution », ces sanctions pouvant être cumulées quand elles ne sont pas incompatibles. En pratique, la mise en demeure adressée au prestataire doit exiger le rétablissement sous un délai bref, chiffrer le préjudice journalier (perte de chiffre d’affaires, coûts de reconstitution, pénalités dues à vos propres clients, renforts d’équipes) et réserver expressément tous les autres chefs de préjudice.
Le RGPD ajoute un fondement autonome, redoutable pour le prestataire. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant, dispose l’article 82, paragraphe 1, du RGPD. Son paragraphe 2 limite la responsabilité du sous-traitant aux cas où il a méconnu les obligations que le règlement impose spécifiquement aux sous-traitants, ou bien où il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. Vos clients victimes d’usurpation d’identité ou d’hameçonnage ciblé après la fuite peuvent donc agir directement contre le prestataire, et vous pouvez exercer votre propre action pour le trouble commercial, l’atteinte à votre réputation et les coûts de gestion de crise. L’article 32, paragraphe 1 fixe l’étalon de la faute : Compte tenu de l’état des connaissances, des coûts, de la nature et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque : chiffrement, garantie de confidentialité et d’intégrité, et procédures de test et d’évaluation réguliers de l’efficacité de ces mesures. La CNIL a appliqué exactement ce raisonnement aux sociétés Free : elle a relevé que la procédure d’authentification pour se connecter au VPN « n’était pas suffisamment robuste » et que les dispositifs déployés par les deux sociétés pour détecter les comportements anormaux sur leur système d’information étaient jugés inefficaces, compte tenu du nombre et de la nature des données traitées. Face à votre prestataire, la question se pose dans les mêmes termes : double authentification, cloisonnement des bases par client, journalisation, détection des exports massifs, tests d’intrusion réguliers.
Deux moyens de défense classiques du prestataire doivent être anticipés. D’abord la force majeure : l’incendie, la cyberattaque massive ou la défaillance d’un tiers ne suffisent pas. Aux termes de l’article 1218 du code civil, « il y a force majeure en matière contractuelle lorsqu’un évènement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur », rappelle la cour de Douai, qui a rejeté la force majeure invoquée par l’hébergeur après l’incendie de Strasbourg : un hébergeur professionnel, dont le métier est précisément de garantir la continuité et la sauvegarde, pouvait prévoir un sinistre et devait s’en prémunir par la redondance géographique et des sauvegardes externalisées. Ensuite les clauses limitatives de responsabilité : elles sont fréquentes dans les contrats d’hébergement et de SaaS, mais leur portée a des bornes. Aux termes de l’article 1170 du code civil, « toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite ». Le même garde-fou existe en matière de contrats d’adhésion : « Dans un contrat d’adhésion, toute clause non négociable, déterminée à l’avance par l’une des parties, qui crée un déséquilibre significatif entre les droits et obligations des parties au contrat est réputée non écrite. » (article 1171 du code civil). Dans l’affaire jugée à Douai, la cliente demandait que soient réputées non écrites la clause de force majeure et les clauses de limitation ou d’évaluation forfaitaire ; la cour a rejeté cette demande tout en retenant un manquement du prestataire, mais en limitant la réparation au « seul préjudice subi par cette dernière du fait du manquement imputable » à l’hébergeur, déjà intégralement indemnisé. La leçon est double : une clause qui plafonne la réparation à quelques mois d’abonnement peut être combattue quand l’obligation de sécurité constituait le cœur de la prestation, mais le juge ne répare que le préjudice prouvé et rattaché au manquement, jamais l’intégralité des difficultés commerciales de la cliente. Chiffrez donc chaque poste séparément et reliez-le, pièce par pièce, à une obligation précise du contrat.
La procédure doit être choisie sans attendre. L’article 835 du code de procédure civile permet au président du tribunal judiciaire, « même en présence d’une contestation sérieuse », de prescrire « en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », et, « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier ». Le référé-provision finance la reconstitution de votre système pendant que le fond suit son cours ; le référé conservatoire fait ordonner au prestataire la remise des sauvegardes, des journaux ou des clés de chiffrement qu’il retient. Sur le plan pénal, l’article 226-17 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée » : la plainte, notamment quand l’attaque vise aussi vos propres systèmes, déclenche des investigations techniques dont les constatations serviront au civil. Enfin, quand la défaillance du prestataire révèle une gestion gravement fautive de ses propres dirigeants, la mise en cause personnelle de ces derniers reste exceptionnelle : « Il résulte de l’article L. 225-251 du code de commerce que la responsabilité personnelle d’un dirigeant à l’égard des tiers ne peut être retenue que s’il a commis une faute détachable de ses fonctions et qu’il en est ainsi lorsque le dirigeant commet intentionnellement une faute d’une particulière gravité, incompatible avec l’exercice normal des fonctions sociales », a jugé la chambre commerciale de la Cour de cassation le 2 avril 2025 (pourvoi n° 23-22.728). Réservez cette arme aux dossiers où le dirigeant a sciemment laissé perdurer une faille documentée.
B. Clauses du contrat de sous-traitance et réflexes à Paris et en Île-de-France : ce que l’entreprise doit verrouiller
Le contrat de sous-traitance est votre assurance-vie, à condition de l’avoir négocié avant l’incident. L’article 28, paragraphe 3, du RGPD exige que ce contrat définisse l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, et qu’il oblige le sous-traitant à ne traiter que sur vos instructions documentées, à garantir la confidentialité de son personnel, à vous assister pour les notifications et les analyses d’impact, et à vous restituer ou détruire les données en fin de contrat. Vérifiez chacun de ces points dans vos contrats en cours : un contrat qui ne dit rien de l’assistance en cas de violation, des délais d’alerte, des audits et du sort des données à la sortie vous laisse seul face à la CNIL. Exigez un délai contractuel d’alerte du prestataire inférieur à 48 heures, un droit d’audit annuel avec accès aux rapports de tests d’intrusion, l’interdiction de toute sous-traitance en chaîne sans votre autorisation écrite préalable, la localisation précise des hébergements et une clause de réversibilité avec format des données restituées. La leçon de l’incendie de Strasbourg est ici concrète : la cliente avait loué un serveur privé virtuel sans sauvegarde externalisée à la charge de l’hébergeur ; après le sinistre, l’hébergeur lui a « annoncé la reconstruction de son VPS à partir d’une ancienne sauvegarde », puis proposé six mois de services à titre commercial, quand elle chiffrait son préjudice à 456 000 euros. Qui sauvegarde quoi, où, à quelle fréquence et avec quel délai de restauration : quatre réponses qui doivent figurer noir sur blanc, faute de quoi le juge imputera à chacune des parties sa part de négligence. Les lecteurs confrontés à la situation symétrique, celle d’un salarié parti avec les fichiers clients vers un concurrent, trouveront la méthode probatoire complémentaire dans notre analyse des recours contre le détournement de fichiers clients. Et pour replacer cet incident dans la vie du contrat commercial dans son ensemble, de la rupture anticipée à la contestation du solde, notre dossier sur la rupture du contrat commercial avant son terme détaille les réflexes de mise en demeure et de chiffrage valables face à tout cocontractant défaillant.
À Paris et en Île-de-France, où sont établis la plupart des prestataires critiques et où siège la CNIL, la procédure se joue vite. La notification à la CNIL s’effectue en ligne, depuis son service dédié, et la plainte des personnes concernées peut être adressée par le même canal : désignez un pilote unique, le plus souvent votre délégué à la protection des données, et centralisez chez lui les échanges avec le prestataire. Au judiciaire, le président du tribunal judiciaire de Paris statue en référé sur les demandes de provision, de remise des données et de mesures d’instruction, à condition de démontrer l’urgence et le fondement contractuel ; quand le prestataire est établi dans un autre ressort, la juridiction dans le ressort de laquelle la mesure doit être exécutée peut être saisie sur le fondement de l’article 145. Préparez un dossier de pièces standard : contrat et ses annexes de sécurité, échanges horodatés avec le prestataire, notification CNIL et ses compléments, constats de commissaire de justice, chiffrage poste par poste avec factures, attestations conformes aux exigences de forme. Les entreprises parisiennes soumises à des obligations sectorielles (établissements de santé, prestataires de services de paiement, opérateurs d’importance vitale) ajoutent les notifications propres à leur régulateur, sans que l’une dispense de l’autre. Pour un cadrage d’ensemble de vos contentieux commerciaux devant les juridictions franciliennes, notre page consacrée au contentieux des affaires à Paris et en Île-de-France présente les circuits procéduraux habituels.
Conclusion
Prestataire compromis ne signifie pas entreprise condamnée, à condition d’agir dans l’ordre : qualifier la relation de sous-traitance, exiger du prestataire une alerte écrite et horodatée, notifier la CNIL dans les 72 heures même incomplètement, informer les personnes exposées à un risque élevé, faire constater les traces par commissaire de justice sans manipuler les systèmes du prestataire, puis chiffrer chaque poste de préjudice en le rattachant à une obligation précise du contrat. Les décisions récentes donnent le cap : la CNIL sanctionne séparément le défaut de sécurité et le défaut d’information, comme l’illustrent les amendes de 27 et 15 millions d’euros prononcées le 13 janvier 2026 d’après son communiqué du 14 janvier 2026 ; le juge judiciaire rejette la force majeure de principe invoquée par les prestataires dont le métier est la continuité, encadre les clauses limitatives par les articles 1170 et 1171 du code civil, et ne répare que le préjudice prouvé et imputable au manquement, comme l’a jugé la cour d’appel de Douai le 4 juin 2026. Au-delà de ce que vos sources établissent, toute qualification de la défaillance de votre prestataire s’écrit au conditionnel, vos contrats signés priment sur toute analyse générale, et seul le juge tranche en cas de litige.