Début octobre 2026, les mises à jour des téléphones Android occupent le haut des recherches en France, et la vague porte un nom précis dans les suggestions de saisie : « mise à jour Android 17 ». Selon le site spécialisé Malwarebytes, dans un article du 7 octobre 2026, Google a diffusé ses correctifs de sécurité Android du mois en détaillant qui peut les recevoir et comment les installer. Selon le site PhoneArena, le 10 octobre 2026, une mise à jour corrige un drainage anormal de la batterie sur les téléphones Pixel. Selon le site 9to5Google, une nouvelle version bêta apporte son lot d’évolutions. Autrement dit, l’éditeur publie, puis le déploiement suit son chemin entre fabricants, opérateurs et appareils, avec des calendriers qui varient. Pour l’acheteur d’un téléphone vendu en France, la question devient très concrète : une mise à jour de sécurité promise mais jamais reçue laisse l’appareil exposé aux failles que les correctifs du mois sont censés boucher. Que peut exiger l’acheteur du vendeur quand la mise à jour n’arrive pas ? Et si une faille est ensuite exploitée, que des comptes sont vidés ou que des données personnelles sont volées, qui répond du dommage et comment agir pour être indemnisé ? Cet article décrit le droit applicable en France à ces deux situations, avec les textes, la jurisprudence et les réflexes de preuve qui permettent d’agir vite et utilement.

I. Mise à jour Android 17 non proposée : ce que l’acheteur peut exiger du vendeur

A. Version Android promise, mises à jour attendues et information due par le vendeur

Un téléphone intelligent n’est pas un bien ordinaire : c’est un bien comportant des éléments numériques, et le droit français de la conformité en tient compte depuis l’ordonnance du 6 octobre 2021 qui a transposé les directives européennes sur la vente de biens et la fourniture de contenus numériques. Quand un vendeur professionnel vend en France un téléphone fonctionnant sous Android, il répond de la conformité du bien au contrat et aux critères objectifs fixés par la loi. Parmi ces critères figure, d’abord, la version livrée : le bien doit posséder, le cas échéant, les éléments numériques fournis selon la version la plus récente disponible au moment de la conclusion du contrat, sauf accord contraire des parties. Le texte de l’article L. 217-5 du code de la consommation retient aussi que le bien, le cas échéant, « il est fourni avec les mises à jour que le consommateur peut légitimement attendre, conformément aux dispositions de l’article L. 217-19 ». La formule « version Android promise » doit donc se lire contrat en main : fiche produit, publicité, argumentaire du vendeur et bons de commande déterminent ce qui a été promis, puis la loi ajoute ce que l’acheteur peut légitimement attendre d’un téléphone de même type.

Le principe se prolonge dans la durée grâce à l’article L. 217-19 du code de la consommation, qui est le texte central des mises à jour. Son premier paragraphe dispose que « Le vendeur veille à ce que le consommateur soit informé et reçoive les mises à jour nécessaires au maintien de la conformité des biens ». La durée de cette obligation dépend du montage contractuel : pendant une période à laquelle le consommateur peut légitimement s’attendre eu égard au type et à la finalité des biens, en cas de fourniture unique ; pendant deux ans à compter de la délivrance quand le contrat prévoit une fourniture continue sur une certaine période ; et pendant toute la durée de fourniture continue prévue quand elle dépasse deux ans. En pratique, pour un téléphone acheté avec un système d’exploitation suivi par l’éditeur, l’acheteur peut légitimement attendre les correctifs de sécurité pendant une période cohérente avec la durée de vie et le positionnement de l’appareil : un modèle récent haut de gamme suivi plusieurs années par son fabricant n’est pas comparable à un modèle d’entrée de gamme en fin de suivi. Les engagements publics du fabricant sur la durée de suivi, les mentions portées sur la fiche produit et les déclarations faites au moment de la vente servent de références pour apprécier cette attente légitime.

Le contrat reste la première source d’obligations. L’article L. 217-4 du code de la consommation prévoit que le bien est conforme au contrat s’il répond, le cas échéant, au critère suivant : « Il est mis à jour conformément au contrat. » Quand le vendeur a promis des mises à jour pendant une durée déterminée, ou quand il a vendu l’appareil avec l’argument d’une version précise puis des correctifs réguliers, cette promesse entre dans le champ contractuel de la conformité. Pour les contenus et services numériques pris isolément, la logique est la même : l’article L. 224-25-14 du code de la consommation dispose que le contenu ou le service « Il est fourni selon la version la plus récente qui est disponible au moment de la conclusion du contrat, sauf si les parties en conviennent autrement ». Vérifier la version installée à la livraison, conserver une capture des paramètres et garder la fiche produit du jour de l’achat permet de figer ce point de départ, qui servira ensuite à démontrer l’écart entre ce qui était dû et ce qui a été reçu.

L’obligation d’information pèse aussi sur le vendeur après la vente. Le second paragraphe de l’article L. 217-19 organise le cas où l’acheteur n’installe pas une mise à jour dans un délai raisonnable : le vendeur n’est alors exonéré des défauts résultant de cette seule non-installation que s’il a informé le consommateur, d’une part, de la disponibilité des mises à jour et, d’autre part, des conséquences de leur non-installation. Le texte exige exactement que le vendeur ait informé le consommateur tant de la disponibilité des mises à jour que des conséquences de leur non-installation, et que la mauvaise installation ne provienne pas d’instructions lacunaires. Concrètement, un vendeur ou un fabricant qui se contente de laisser une mise à jour disponible sans notification claire, ou qui diffuse des instructions d’installation défaillantes, remplit mal cette condition et reste exposé. Pour l’acheteur, le réflexe symétrique consiste à installer sans tarder les mises à jour proposées, à conserver les notifications reçues et à documenter toute impossibilité d’installation : message d’erreur, espace insuffisant imposé par une surcouche, mise à jour qui échoue en boucle ou qui n’apparaît jamais dans les paramètres. Ces pièces feront la différence entre une non-installation imputable à l’utilisateur et un défaut de fourniture ou d’information imputable au professionnel.

Une précision s’impose sur les rôles respectifs de l’éditeur du système, du fabricant du téléphone et du vendeur. En droit français de la consommation, l’interlocuteur direct de l’acheteur reste le vendeur, même quand le correctif manquant est publié par l’éditeur et que son déploiement dépend du fabricant ou de l’opérateur. Le fait que Google publie chaque mois des correctifs de sécurité, comme le rapporte la presse spécialisée en octobre 2026, ne transfère pas l’action de l’acheteur vers l’éditeur : l’acheteur agit contre son vendeur sur le fondement de la garantie légale de conformité, et c’est ensuite au vendeur de se retourner dans la chaîne des contrats contre le fabricant ou son fournisseur. Cette architecture protège l’acheteur, qui n’a pas à reconstituer la chaîne technique du déploiement, et elle explique pourquoi la première lettre doit partir vers le vendeur, avec une description précise du manquement : version installée, version attendue, correctifs annoncés et jamais reçus, date des vérifications et captures d’écran.

B. Mise à jour Android jamais reçue : réparation, remplacement, réduction du prix ou résolution du contrat

Quand la mise à jour de sécurité attendue n’arrive pas, l’acheteur dispose d’abord d’un droit à la mise en conformité du bien. L’article L. 217-9 du code de la consommation ouvre ce droit en des termes directs : « Le consommateur est en droit d’exiger la mise en conformité du bien aux critères énoncés dans la sous-section 1 de la présente section. » L’acheteur choisit alors entre la réparation et le remplacement du bien, et le vendeur ne peut écarter le choix exprimé que si la solution demandée est impossible ou entraîne des coûts disproportionnés au regard de la valeur du bien et de l’importance du défaut. Pour un téléphone dont le système ne reçoit plus les correctifs, la mise en conformité prend le plus souvent la forme d’une mise à jour poussée par le vendeur ou le fabricant, d’une réinstallation du système dans une version suivie ou, quand aucune correction logicielle n’est possible, d’un remplacement de l’appareil par un modèle équivalent suivi. La mise en conformité s’exécute sans frais pour l’acheteur : l’article L. 217-11 du code de la consommation dispose que « La mise en conformité du bien a lieu sans aucun frais pour le consommateur. » Ni frais de diagnostic, ni frais d’envoi, ni facturation d’une intervention logicielle ne peuvent être mis à la charge de l’acheteur quand le défaut de conformité est établi.

Si le vendeur refuse toute mise en conformité, s’il laisse passer un délai de trente jours après la demande ou si la tentative de correction impose à l’acheteur un inconvénient majeur, l’acheteur change de registre et accède aux remèdes du second niveau. L’article L. 217-14 du code de la consommation dispose que « Le consommateur a droit à une réduction du prix du bien ou à la résolution du contrat dans les cas suivants », au nombre desquels figure le cas où « le professionnel refuse toute mise en conformité ». La réduction du prix reste proportionnelle à l’écart entre la valeur du bien délivré et celle du bien sans défaut, tandis que la résolution du contrat emporte restitution de l’appareil au vendeur à ses frais et remboursement du prix payé. Pour un téléphone devenu vulnérable faute de correctifs, la résolution se discute sérieusement quand l’appareil, privé de ses mises à jour de sécurité, ne remplit plus l’usage auquel l’acheteur pouvait légitimement s’attendre : un téléphone qui expose les comptes bancaires, la messagerie professionnelle et les données personnelles de son propriétaire à des failles connues et corrigées chez les autres utilisateurs ne rend plus le service attendu d’un téléphone de même type. Le choix entre réduction et résolution appartient à l’acheteur, qui informe le vendeur de sa décision, et chaque option suppose un dossier chiffré : prix payé, date d’achat, durée d’utilisation sans correctif, devis ou factures de remplacement, et évaluation de la décote d’un appareil abandonné par son fabricant.

Le délai d’action doit être lu avec attention. L’article L. 217-3 du code de la consommation pose que le vendeur répond des défauts de conformité existant au moment de la délivrance et qui apparaissent dans un délai de deux ans à compter de celle-ci. Quand le défaut apparaît dans les vingt-quatre mois de la délivrance, y compris pour un bien comportant des éléments numériques, la loi présume, sauf preuve contraire, que le défaut existait au moment de la délivrance : c’est au vendeur de démontrer l’inverse, par exemple en prouvant que les mises à jour ont bien été fournies et que seule la négligence de l’utilisateur explique la situation. Passé ce délai de deux ans, l’action reste possible dans la limite de la prescription, mais la charge de la preuve bascule et l’acheteur doit démontrer l’antériorité du défaut, ce qui suppose une documentation technique solide : historique des versions, dates de fin de suivi annoncées par le fabricant, bulletins de sécurité de l’éditeur et journaux de mise à jour de l’appareil. La lettre de mise en demeure adressée au vendeur doit donc partir tôt, décrire précisément le défaut, rappeler le choix entre réparation et remplacement, puis, en cas d’échec, basculer vers la réduction du prix ou la résolution dans les formes prévues par les textes.

À côté de la garantie légale de conformité, la garantie des vices cachés offre une voie complémentaire, souvent utile quand le téléphone présente, dès l’origine, une vulnérabilité structurelle que l’acheteur ne pouvait déceler. L’article 1641 du code civil dispose que « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine, ou qui diminuent tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus. » Une faille de sécurité grave, présente dès la conception et rendant l’appareil impropre à un usage connecté sûr, entre dans cette définition quand elle était cachée au jour de la vente et qu’elle diminue fortement l’usage attendu. Surtout, la jurisprudence alourdit la position du vendeur professionnel : dans un arrêt du 3 septembre 2025, la première chambre civile de la Cour de cassation juge que « le vendeur professionnel est présumé connaître le vice qui affecte l’usage de la chose vendue et que cette présomption est irréfragable » (Cass. 1re civ., 3 sept. 2025, n° 24-11.383, publié au Bulletin). Un vendeur professionnel ne peut donc pas répondre qu’il ignorait la vulnérabilité du modèle vendu : la connaissance du vice est présumée de façon irréfragable, et l’action en garantie des vices cachés, qui accompagne la chose comme son accessoire, peut remonter jusqu’au vendeur d’origine. En pratique, les deux garanties se combinent : la conformité pour obtenir rapidement la mise à jour ou le remplacement, les vices cachés pour fonder une résolution avec dommages-intérêts quand le vice initial a causé un préjudice distinct, comme la perte de données ou le coût d’un remplacement urgent.

La méthode de réclamation suit un ordre simple et doit être documentée à chaque étape. D’abord, vérifier et figer : version installée, dernière vérification de mise à jour, messages du fabricant, fiche produit du jour de l’achat et engagements de durée de suivi. Ensuite, écrire au vendeur en recommandé ou sur support durable : description du défaut, rappel de la version promise et des correctifs manquants, demande de mise en conformité avec choix entre réparation et remplacement, et délai de trente jours. En cas de refus ou de silence, notifier le passage à la réduction du prix ou à la résolution, chiffrer la demande et joindre les pièces. Quand le vendeur oppose la faute de l’utilisateur, répondre par les notifications conservées et les preuves d’échec d’installation. Quand le vendeur renvoie vers le fabricant ou l’opérateur, rappeler que l’action en garantie s’exerce contre le vendeur et que la répartition des responsabilités dans la chaîne de distribution ne regarde pas l’acheteur. Ce formalisme n’est pas une coquetterie : chaque courrier manqué ou chaque délai laissé passer affaiblit la démonstration du refus du professionnel, qui conditionne l’accès à la réduction du prix et à la résolution.

II. Faille exploitée et données volées sur un téléphone Android : qui répond et comment agir

A. Téléphone rendu dangereux par une faille non corrigée : sécurité attendue et recours contre le vendeur et le producteur

Quand la faille redoutée est exploitée, le dossier change de nature : il ne s’agit plus seulement d’obtenir une mise à jour, mais de réparer un dommage. Comptes bancaires accédés sans autorisation, messagerie détournée pour piéger des proches, usurpation d’identité, photos et documents exfiltrés, téléphone rendu inutilisable par un logiciel malveillant : ces préjudices appellent des responsables, et le droit français en désigne deux cercles. Le premier cercle est contractuel : le vendeur qui a livré un bien non conforme et qui n’a pas fourni les mises à jour dues répond des conséquences de ce manquement sur le fondement de la garantie, avec dommages-intérêts quand le manquement a causé un préjudice distinct de la simple non-conformité. Le second cercle est délictuel et vise le producteur : le régime des produits défectueux permet d’agir contre celui qui a mis sur le marché un produit n’offrant pas la sécurité attendue, sans avoir à démontrer une faute de sa part. Les deux actions peuvent coexister et se compléter, et le choix entre elles dépend des preuves disponibles, des délais et de la solvabilité des défendeurs.

Le régime des produits défectueux repose sur une idée simple : un produit doit offrir la sécurité à laquelle on peut légitimement s’attendre. L’article 1245-3 du code civil dispose qu’« Un produit est défectueux au sens du présent chapitre lorsqu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre. » L’appréciation tient compte de toutes les circonstances, notamment de la présentation du produit, de l’usage qui peut en être raisonnablement attendu et du moment de sa mise en circulation. Un téléphone vendu pour un usage bancaire, professionnel et administratif courant, puis laissé sans correctif face à des failles critiques documentées par l’éditeur, s’éloigne de la sécurité légitimement attendue d’un téléphone de même type : l’utilisateur qui installe ses applications depuis les canaux officiels, qui applique les mises à jour proposées et qui utilise son appareil normalement peut légitimement attendre que cet appareil ne livre pas ses données au premier attaquant venu. La conséquence est posée par l’article 1245 du code civil : « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime. » La victime n’a donc pas besoin d’un contrat avec le fabricant pour agir contre lui, et elle n’a pas à prouver une faute : elle doit établir le défaut, le dommage et le lien entre les deux.

La jurisprudence récente éclaire l’articulation entre ces responsabilités quand plusieurs acteurs se renvoient la charge du dommage. Dans un arrêt du 18 février 2026, la première chambre civile de la Cour de cassation juge, à propos d’un produit défectueux à l’origine d’un dommage, que le professionnel qui a engagé sa responsabilité envers la victime peut, en l’absence de toute faute dans l’utilisation du produit, se retourner intégralement contre le producteur : la Cour retient qu’il « peut solliciter du producteur le remboursement de l’intégralité des sommes versées à la victime, en l’absence de toute faute dans l’utilisation du produit » (Cass. 1re civ., 18 févr. 2026, n° 24-19.881, publié au Bulletin). Transposée au téléphone vulnérable, la solution signifie que le vendeur condamné envers l’acheteur ne supporte pas seul le coût quand le défaut vient du produit lui-même et qu’aucune faute d’utilisation n’est établie : il dispose d’un recours intégral contre le producteur. Pour la victime, l’enseignement est double : agir contre le vendeur, interlocuteur direct et souvent solvable, n’épuise pas les recours, et le vendeur ne peut pas se retrancher derrière le fabricant pour refuser d’indemniser, puisque c’est ensuite à lui d’exercer son propre recours en amont. La démonstration repose sur trois piliers : un défaut caractérisé par l’écart entre la sécurité promise et la sécurité effectivement fournie, un dommage documenté et chiffré, et un lien entre les deux établi par l’exploitation avérée de la faille, par exemple au moyen d’un rapport d’expertise, de journaux de connexion ou d’attestations de l’établissement bancaire.

La responsabilité pour faute complète le dispositif quand un comportement précis est reproché à un acteur identifié. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Un vendeur qui a promis un suivi de sécurité puis a cessé toute fourniture sans information, un reconditionneur qui a vendu comme suivi un modèle notoirement abandonné, ou un réparateur dont l’intervention a désactivé les mises à jour automatiques engagent leur responsabilité délictuelle ou contractuelle selon leur lien avec la victime. La prudence commande toutefois de ne pas transformer toute faille en faute du fabricant ou de l’éditeur : le fait qu’un correctif mensuel existe, comme ceux de l’automne 2026 rapportés par la presse spécialisée, montre un éditeur qui publie, et le retard de déploiement peut tenir à la chaîne de validation du fabricant ou de l’opérateur.Qualifier ces situations exige donc de distinguer ce qui est établi par les sources — la publication des correctifs, les dates de déploiement, les modèles concernés — de ce qui reste à démontrer — la négligence d’un acteur précis et son rôle causal dans le dommage. Les affirmations générales sur la responsabilité d’un acteur nommé, sans décision de justice ni constat d’une autorité, n’ont pas leur place dans un dossier sérieux : elles fragilisent la demande au lieu de la renforcer.

La preuve technique conditionne l’issue du litige et doit être organisée dès les premiers signes d’exploitation. Conserver l’appareil en l’état autant que possible, photographier les messages et les comportements anormaux, exporter les journaux quand c’est possible, garder les relevés bancaires faisant apparaître les opérations contestées, les notifications de connexion inhabituelles et les échanges avec le vendeur et le fabricant : cet ensemble constitue le socle sans lequel ni le défaut, ni le dommage, ni le lien entre eux ne peuvent être discutés utilement. Une expertise privée, sollicitée tôt auprès d’un technicien indépendant, fige la version installée, l’absence de correctifs et, parfois, la trace de l’intrusion, avant toute réinitialisation. La réinitialisation d’usine, souvent conseillée en urgence pour stopper l’hémorragie, efface aussi des preuves : elle ne doit intervenir qu’après sauvegarde et constat, et après changement des mots de passe depuis un autre appareil sain. Les frais d’expertise, de remplacement urgent et de sécurisation des comptes se chiffrent et se conservent, car ils formeront le préjudice matériel réclamé en plus du dommage principal.

B. Données personnelles volées après la faille : plainte pénale, preuves et indemnisation du préjudice

Quand l’exploitation de la faille débouche sur un accès non autorisé aux données du téléphone, le dossier prend une dimension pénale et une dimension de protection des données qui marchent ensemble. Sur le plan pénal, l’intrusion dans un téléphone constitue une infraction même quand l’attaquant n’a fait que consulter des données : l’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Quand l’intrusion s’accompagne d’une suppression ou d’une modification de données, ou d’une altération du fonctionnement du système, les peines sont aggravées. Le dépôt de plainte n’est donc pas une formalité : il fait constater l’infraction par l’autorité, il ouvre la possibilité d’investigations techniques sur l’origine de l’attaque et il crée une pièce officielle qui servira dans tous les autres volets du dossier, y compris devant le juge civil et devant la banque pour la contestation des opérations frauduleuses. La plainte se dépose dans tout commissariat ou toute brigade de gendarmerie, avec l’appareil, les captures, les relevés et la chronologie des faits, et elle peut être préparée par une pré-plainte en ligne. Quand des opérations bancaires ont été passées à l’insu du titulaire, la contestation auprès de la banque doit partir sans délai, par écrit, avec copie du dépôt de plainte et relevé des opérations contestées, car les délais de contestation conditionnent le remboursement.

Sur le plan des données personnelles, la victime dispose de droits propres qu’elle exerce parallèlement. Le règlement européen sur la protection des données ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. La chambre sociale de la Cour de cassation rappelle ce principe dans un arrêt du 24 juin 2026 en visant le texte européen : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (Cass. soc., 24 juin 2026, n° 24-22.792, publié au Bulletin). Mais le même arrêt pose aussitôt la limite qui structure tout le contentieux indemnitaire : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ». Autrement dit, démontrer qu’une faille a exposé des données ne suffit pas ; la victime doit établir un dommage réel — opérations bancaires frauduleuses, usurpation d’identité avérée, inscription abusive, perte de chance professionnelle documentée, trouble moral caractérisé par des éléments concrets — et le lien entre la violation et ce dommage. Les juges appliquent ensuite leurs règles internes pour fixer le montant, sans seuil de gravité imposé, mais sans automaticité non plus. Cette exigence explique pourquoi la constitution du dossier de préjudice commence dès le premier jour : chaque opération contestée, chaque démarche de régularisation, chaque heure passée à sécuriser les comptes et chaque conséquence mesurable se note, se date et se chiffre.

Le droit de la consommation fait le pont entre les deux volets quand un traitement de données accompagne le contrat de vente. L’article L. 217-6 du code de la consommation prévoit que le manquement du professionnel à ses obligations issues du règlement européen sur les données personnelles et de la loi du 6 janvier 1978 peut, à certaines conditions, caractériser un défaut de conformité du bien. Un téléphone dont le système expose les données de l’acheteur parce que le professionnel a manqué à ses obligations de sécurité ou de mise à jour cumule ainsi les qualifications : bien non conforme et traitement de données défaillant. Cette articulation autorise l’acheteur à brancher sa demande indemnitaire sur la garantie due par le vendeur, sans attendre l’issue de l’enquête pénale ni l’identification de l’attaquant, qui reste le plus souvent inconnu. Elle ne dispense pas de prouver le dommage, mais elle désigne un débiteur solvable et identifié — le vendeur — au lieu d’un attaquant introuvable. Pour les professionnels qui utilisent un téléphone Android dans leur activité, le réflexe supplémentaire consiste à vérifier leurs propres obligations : un dirigeant dont le téléphone de fonction contenait des données de clients ou de salariés doit évaluer si l’incident constitue une violation de données à notifier à l’autorité et à communiquer aux personnes concernées, avec l’aide de son délégué à la protection des données quand il en a désigné un.

À Paris et en Île-de-France, quelques particularités pratiques méritent d’être signalées sans changer le fond du droit. Les dépôts de plainte pour accès frauduleux et escroquerie en ligne peuvent être préparés depuis le domicile puis finalisés au commissariat, et les victimes domiciliées dans la capitale disposent d’un accès rapide aux services d’enquête spécialisés quand le préjudice est important ou sériel. Les actions civiles se portent devant le tribunal judiciaire, et les litiges de consommation de faible montant relèvent de procédures simplifiées qui permettent d’agir sans frais disproportionnés. Les délais parisiens d’audiencement, souvent longs, renforcent l’intérêt des mises en demeure précoces et des demandes écrites : un dossier complet, chiffré et notifié tôt aboutit plus souvent à une transaction qu’un dossier arrivé nu à l’audience. Conserver les échanges avec le vendeur, le fabricant, l’opérateur et la banque dans un classeur unique, avec un tableau chronologique des versions, des correctifs et des incidents, donne à l’avocat comme au juge une lecture immédiate du litige et accélère chaque étape.

Quatre réflexes résument la conduite à tenir quand les données ont été volées. D’abord, sécuriser : changer les mots de passe depuis un appareil sain, révoquer les sessions actives, prévenir la banque et faire opposition si des opérations sont en cours. Ensuite, constater : plainte pénale avec pièces, signalement sur la plateforme dédiée aux arnaques en ligne, contestation écrite des opérations bancaires et conservation de l’appareil avant toute réinitialisation. Puis, notifier : écrire au vendeur pour la garantie et au responsable du traitement concerné pour les droits sur les données, en demandant par écrit ce qui a été fait des données et quelles mesures ont été prises. Enfin, chiffrer : additionner les sommes détournées, les frais de remplacement et d’expertise, les pertes de revenus documentées et le trouble subi, pièce par pièce, car l’indemnisation se gagne à la preuve et non à l’affirmation. Un dossier qui suit cet ordre présente au juge une victime diligente, un dommage mesuré et des débiteurs identifiés : c’est exactement ce que les textes exigent et ce que la jurisprudence indemnise.

Conclusion

La vague de recherches sur la mise à jour Android de l’automne 2026 raconte une attente simple : un téléphone vendu en France doit rester sûr pendant une durée cohérente avec sa gamme et sa fiche produit, et quand l’éditeur publie des correctifs — comme ceux d’octobre 2026 rapportés par la presse spécialisée — l’acheteur peut légitimement attendre qu’ils lui parviennent. Le droit français donne à cette attente des moyens précis : le vendeur fournit les mises à jour nécessaires au maintien de la conformité et informe l’acheteur de leur disponibilité, la mise en conformité s’obtient sans frais au choix entre réparation et remplacement, et le refus du professionnel ouvre la réduction du prix ou la résolution du contrat. Quand la faille est exploitée, le producteur répond du défaut de sécurité de son produit sans que la victime ait à prouver une faute, le vendeur professionnel reste présumé connaître le vice de la chose vendue, et l’auteur de l’intrusion s’expose aux peines de l’accès frauduleux. Quand des données personnelles sont volées, la réparation suppose un dommage réel et démontré, jamais la seule existence d’une violation. Pour l’acheteur comme pour le professionnel dont le téléphone contient des données de tiers, la règle d’or tient en peu de mots : figer les versions et les preuves, écrire tôt au vendeur, déposer plainte sans attendre et chiffrer chaque poste de préjudice. Les textes et les arrêts cités dans cet article balisent ce parcours ; chaque situation appelle ensuite une analyse de son contrat, de sa version et de ses pièces, car c’est sur ces éléments concrets que se gagnent la mise à jour, le remplacement ou l’indemnisation.