Dans la nuit du dimanche 12 au lundi 13 octobre 2026 selon la presse, des installations frigorifiques de plusieurs centaines de magasins de la grande distribution auraient été compromises à distance : un dégivrage forcé et continu aurait fait grimper les températures, jusqu’à 50 °C dans certains meubles selon les informations révélées par BFM Business, détruire des tonnes de produits frais et surgelés et provoquer des départs de feu. Le journal Sud Ouest, s’appuyant sur l’AFP, décrit des pirates ayant pris le contrôle à distance des ordinateurs gérant le froid commercial, en ciblant des équipements d’un équipementier du froid pilotés par logiciel.
Ces faits sont rapportés par la presse et n’ont, à la date de rédaction du présent article, été confirmés par aucune source officielle : aucun acte d’autorité, aucune décision de justice publiée et aucune communication d’entreprise vérifiée n’établit les causes exactes de l’incident, l’existence d’une intrusion dans un système particulier ni une quelconque responsabilité. Ce que la presse ne dit pas est écrit ici au conditionnel ou n’est pas écrit. Toute qualification juridique formulée dans cet article l’est au conditionnel lorsqu’elle porte sur ces faits non établis. Les contrats signés entre les magasins, leurs prestataires de supervision et les éditeurs des logiciels de pilotage priment sur toute analyse générale — les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits —, et seul le juge, saisi des pièces du dossier, pourrait trancher les responsabilités.
La question intéresse pourtant directement le droit du numérique et des données personnelles : un magasin dont le froid est piloté à distance dépend d’une chaîne de contrats informatiques — supervision, maintenance, logiciel embarqué, accès distant — et traite, sur les mêmes réseaux parfois, des données personnelles de clients et de salariés. Quand la régulation thermique tombe aux mains d’un tiers, le dirigeant doit traiter trois urgences en parallèle : comprendre ce qui a été touché, notifier ce que la loi impose de notifier, et préserver ses recours contre le prestataire. Cet article décrit cette méthode, de portée générale, applicable à tout commerce équipé d’installations connectées supervisées par un tiers.
I. Qualifier l’incident avant d’agir : traitements, rôles et contrat
A. Identifier les traitements concernés et le rôle de chacun
Le premier réflexe consiste à séparer deux objets que l’urgence pousse à confondre : la compromission d’un système industriel de production de froid, d’une part, et une éventuelle violation de données personnelles, d’autre part. Une armoire frigorifique qui chauffe au lieu de refroidir constitue un incident d’exploitation grave ; elle ne devient une violation de données personnelles que si des données personnelles ont été détruites, perdues, altérées, divulguées sans autorisation ou soumises à un accès non autorisé. Le règlement européen sur la protection des données définit la violation comme couvrant ces hypothèses, et toute la suite du raisonnement dépend de cette qualification : sans atteinte à des données personnelles, les articles 33 et 34 du règlement ne s’appliquent pas, même si l’incident est spectaculaire.
Concrètement, le magasin doit donc inventorier, avec son prestataire informatique, ce que le système compromis héberge ou relaie : le logiciel de supervision du froid traite-t-il uniquement des consignes de température et des journaux techniques, ou véhicule-t-il aussi des données personnelles — comptes d’accès des techniciens, historiques d’intervention nominatifs, images de vidéosurveillance transitant par le même réseau, données de caisse ou de fidélité des clients si les réseaux ne sont pas segmentés ? Les journaux de connexion et d’administration, horodatés et conservés, permettent de vérifier si un tiers a accédé à des espaces contenant des données personnelles, copié des bases ou créé des comptes. Tant que cette vérification n’est pas menée, la prudence commande de parler d’incident en cours de qualification, et non de fuite de données avérée.
Vient ensuite la cartographie des rôles, car elle détermine qui doit notifier et qui répond de quoi. Le magasin ou l’enseigne, qui détermine les finalités et les moyens des traitements de son activité — gestion des clients, vidéosurveillance, paie des salariés — est responsable de traitement pour ces traitements. Le prestataire qui supervise le froid à distance et accède aux installations pour le compte du magasin agit comme sous-traitant dès lors qu’il traite des données personnelles sur instruction du magasin. Et si ce prestataire recourt lui-même à l’éditeur du logiciel de pilotage ou à un mainteneur pour des opérations de traitement spécifiques, cet éditeur ou ce mainteneur devient sous-traitant ultérieur. Le règlement encadre strictement cette chaîne : le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement, et lorsqu’un sous-traitant en recrute un autre, les mêmes obligations en matière de protection de données que celles fixées dans le contrat entre le responsable et le premier sous-traitant doivent être imposées à cet autre sous-traitant, le premier demeurant pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations. La Commission nationale de l’informatique et des libertés illustre ce schéma dans son pas-à-pas consacré à la compromission de données chez un sous-traitant : le responsable du traitement dispose de 72 heures depuis la découverte de l’incident pour notifier, après avoir consolidé les informations collectées auprès de son prestataire et documenté l’incident.
B. Relire le contrat de supervision comme un contrat informatique
Une fois les rôles posés, le sort du litige se joue dans les clauses du contrat de supervision, de maintenance ou de logiciel qui lie le magasin à son prestataire. Ces conventions cumulent souvent trois objets — fourniture d’un logiciel ou d’un accès à une plateforme, maintenance corrective et évolutive, supervision à distance avec accès permanent aux équipements — et chacun appelle des vérifications distinctes. Le règlement impose d’ailleurs un contenu minimal au contrat de sous-traitance : objet et durée du traitement, nature et finalité, type de données et catégories de personnes concernées, obligations et droits du responsable. Il prévoit notamment que le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, qu’il prend toutes les mesures requises en vertu de l’article 32, qu’il aide le responsable à garantir le respect des obligations prévues aux articles 32 à 36, qu’il restitue ou supprime les données au terme de la prestation et qu’il met à disposition toutes les informations nécessaires aux audits. Un contrat de supervision du froid qui ne contient aucune de ces stipulations alors que des données personnelles transitent par le système supervisé expose déjà le responsable du traitement, indépendamment de toute cyberattaque.
Sur le plan de la sécurité, l’article 32 du règlement exige que le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, en tenant compte de l’état des connaissances, des coûts, de la nature et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes. Appliquée à une supervision à distance, cette exigence se traduit par des questions très concrètes : l’accès distant au froid s’effectue-t-il par un réseau privé virtuel avec double authentification ou par une simple connexion accessible depuis l’internet ? Les comptes génériques partagés entre techniciens sont-ils proscrits ? Les correctifs de sécurité de l’éditeur sont-ils appliqués dans un délai contractuel défini, et qui en a la charge — le mainteneur, l’éditeur ou le magasin ? Les journaux d’accès sont-ils conservés, intègres et accessibles au client pour audit ? La segmentation entre le réseau bureautique, le réseau de caisse et le réseau des automates de froid est-elle documentée ? Chacune de ces questions renvoie à une clause : description des mesures de sécurité en annexe, engagements de délais d’application des correctifs, droit d’audit du client, obligation d’alerte du prestataire en cas de vulnérabilité connue. En cas de litige, le juge confrontera les mesures promises aux mesures effectivement déployées, et l’absence d’annexe sécurité pèsera lourd.
Le contrat doit aussi être lu sous l’angle des niveaux de service et de la réversibilité. Un engagement de disponibilité ou de temps de rétablissement, assorti de pénalités, donne la mesure de l’inexécution : un froid resté à 50 °C pendant des heures parle de lui-même dès lors qu’un seuil contractuel existe. Les clauses de résiliation — résiliation pour manquement grave après mise en demeure restée infructueuse, clause résolutoire de plein droit, sort des abonnements payés d’avance — conditionnent la sortie du contrat. La clause de réversibilité et de restitution des données, prévue par le règlement au terme de la prestation, prend ici une importance particulière : configurations des régulateurs, historiques de température nécessaires aux déclarations d’assurance et aux contrôles sanitaires, journaux de supervision. Le magasin qui résilie dans la colère sans sécuriser ces éléments se prive de ses propres preuves. Enfin, les clauses de limitation de responsabilité, de plafonnement et d’assurance doivent être rapprochées du montant réel des pertes — stocks détruits, fermeture temporaire, dépollution, voire intoxications alléguées — car un plafond dérisoire au regard d’un risque industriel connu pourra être discuté devant le juge. Pour une analyse détaillée de la mise en cause d’un prestataire informatique après compromission, avec notification en 72 heures et preuve des pertes, le lecteur peut se reporter à l’analyse du cabinet consacrée au prestataire informatique piraté : notifier en 72 heures, prouver les pertes et obtenir réparation, qui décrit la même méthode appliquée aux systèmes d’information des entreprises.
II. Agir dans les délais : notifier, prouver, mettre en cause
A. Notifications, documentation et préservation des preuves
Si la qualification fait apparaître une violation de données personnelles, le temps devient une obligation juridique. Le règlement dispose qu’en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, le retard devant alors être motivé. Symétriquement, le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Dans une chaîne de supervision, cela signifie que le prestataire qui détecte l’intrusion doit alerter le magasin sans attendre, avec les éléments permettant au magasin d’apprécier le risque : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou envisagées. Tout retard du sous-traitant à alerter peut engager sa responsabilité propre et priver le responsable du moyen de respecter son propre délai de 72 heures. La notification s’effectue en ligne sur le téléservice de la notification d’une violation de données personnelles de la Commission, qui précise les règles à suivre en cas de violation ; une notification incomplète peut être complétée de manière échelonnée, sans retard indu.
Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable doit en outre la communiquer aux personnes concernées dans les meilleurs délais, en des termes clairs et simples, avec la nature de la violation et les mesures prises. Le règlement dispose ainsi que lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. Cette communication n’est pas nécessaire si les données affectées avaient été rendues incompréhensibles par chiffrement, si des mesures ultérieures ont écarté le risque élevé, ou si elle exigerait des efforts disproportionnés — auquel cas une communication publique d’efficacité équivalente est organisée. Pour un magasin, les personnes concernées peuvent être des clients du programme de fidélité, des salariés filmés ou badgés, ou des techniciens dont les identifiants ont été compromis ; chacun de ces cas appelle une appréciation distincte du risque, documentée par écrit. À défaut de communication spontanée, l’autorité de contrôle peut l’exiger après examen du risque.
La documentation constitue la troisième obligation, souvent négligée, et la plus utile en cas de contrôle ou de procès. Le responsable doit documenter toute violation en indiquant les faits, ses effets et les mesures prises, de manière à permettre à l’autorité de vérifier le respect de l’article 33. Un registre des violations tenu au jour le jour — date et heure de découverte, qui a découvert quoi, périmètre confirmé puis étendu, décisions de notification, copies des notifications, mesures de confinement — vaut à la fois preuve de diligence devant la Commission et pièce maîtresse du recours contre le prestataire. Les journaux techniques du système de supervision, les tickets d’incident, les échanges avec le prestataire et l’éditeur, les constats dressés par un commissaire de justice (relevés de température, captures des interfaces d’administration, états des stocks détruits) et les rapports d’expertise doivent être préservés avec leur intégrité : exports horodatés, hachage, chaîne de conservation décrite. En droit français, celui qui réclame l’exécution d’une obligation doit la prouver ; le magasin qui réclamera réparation devra démontrer le manquement du prestataire, et le prestataire qui prétendra avoir tout mis en œuvre devra justifier ses diligences. Sans journaux intègres, les deux démonstrations échouent.
Le volet pénal et assurantiel ne doit pas être oublié. L’accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni par le code pénal, qui dispose que le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende, la peine étant portée à cinq ans et 150 000 euros lorsqu’il en est résulté une altération du fonctionnement du système. Un dépôt de plainte rapide, avec les éléments techniques préservés, ouvre la voie à des investigations — réquisitions, expertises — dont les résultats serviront aussi au civil. Parallèlement, l’assureur cyber ou multirisque doit être déclaré dans les délais du contrat, avec un état chiffré et provisoire des pertes : stocks détruits, coût de remise en service, perte d’exploitation, frais d’expertise et de notification. Si des denrées restées au chaud ont pu être vendues avant la découverte de l’incident, la question d’une information des consommateurs et d’un retrait ou rappel se posera en outre au regard du droit de la sécurité sanitaire des aliments ; elle relève d’un régime distinct du RGPD et doit être traitée avec les autorités compétentes, sans se confondre avec la notification à la Commission.
B. Mettre en cause le prestataire et remonter la chaîne des responsabilités
Le recours contractuel commence par une mise en demeure précise, qui fera foi de la date à partir de laquelle le prestataire ne peut plus prétendre découvrir le problème. Elle doit décrire les faits constatés — dates, équipements, relevés, captures —, viser les clauses méconnues — sécurité, délais d’intervention, continuité de supervision —, exiger des mesures immédiates — coupure des accès distants compromis, fourniture des journaux, application des correctifs — et impartir un délai. Le code civil offre alors au créancier une palette de sanctions cumulables : la partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut refuser ou suspendre sa propre exécution, poursuivre l’exécution forcée, obtenir une réduction de prix, provoquer la résolution et demander réparation. La suspension du paiement des redevances de supervision pendant la panne peut ainsi être envisagée, à condition d’être notifiée et proportionnée, car une suspension abusive exposerait le magasin à son tour. La résolution, elle, résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice : un froid piloté devenu four pendant des heures, avec destruction massive de stocks, caractériserait une inexécution grave dans la plupart des contrats de supervision, mais cette appréciation appartiendra au juge au vu des clauses et des circonstances. Quant aux dommages et intérêts, le code civil dispose que le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. Or une cyberattaque ne constitue pas automatiquement un cas de force majeure exonératoire pour le prestataire : le caractère imprévisible et irrésistible s’apprécie au regard des mesures de sécurité promises et de l’état des menaces connues, et un défaut de correctif ou d’authentification forte rendra l’argument fragile, le code civil n’admettant la force majeure qu’en présence d’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées.
La mise en cause ne s’arrête pas au prestataire direct : la chaîne des responsabilités doit être remontée jusqu’à l’origine technique de la défaillance. Si l’intrusion a exploité une vulnérabilité du logiciel de pilotage, l’éditeur de ce logiciel peut être recherché, soit par le magasin sur le fondement de la garantie ou de la responsabilité délictuelle s’il n’est pas son cocontractant, soit par le prestataire en garantie contre l’éditeur. Les contentieux informatiques jugés en France illustrent ces mises en cause en chaîne. La cour d’appel de Paris, le 3 juin 2022 (RG 20/09351, Ouest Gestion Informatique contre Acta et Cegid), a statué dans un litige opposant un client à son intégrateur de solution de gestion et à l’éditeur du progiciel, confirmant le jugement et condamnant l’intégrateur aux dépens ainsi qu’à des indemnités de procédure au profit du client et de l’éditeur : l’intégrateur, qui promet une solution adaptée au besoin du client, répond de son choix et de sa mise en œuvre, même lorsque le progiciel est édité par un tiers. La cour d’appel de Lyon, le 2 juillet 2026 (RG 22/05916, Val Software contre auto-école et sa filiale), saisie d’un litige portant sur l’acquisition, la mise en œuvre et la maintenance du progiciel AMMON ERP formation, a confirmé la décision des premiers juges et condamné in solidum les sociétés clientes à supporter les dépens et à verser 4 000 euros à l’éditeur : le client qui refuse de payer la maintenance doit démontrer le manquement qu’il allègue, faute de quoi il succombe. Le tribunal de commerce de Toulouse, le 1er septembre 2026 (RG 2025025413, AMC Informatique contre Services 82), a pareillement condamné une société cliente à payer les factures de son prestataire informatique, avec intérêts et indemnité forfaitaire de recouvrement, en la déboutant de l’ensemble de ses demandes : contester des factures sans prouver l’inexécution ne suffit pas. Dans ces espèces, des indemnités de procédure ont en outre été allouées sur le fondement de l’article 700 du code de procédure civile, en vertu duquel le juge condamne la partie tenue aux dépens ou qui perd son procès à payer les frais exposés non compris dans les dépens. Ces décisions, lues ensemble, fixent la discipline du recours : au magasin de prouver, pièces à l’appui, les manquements précis du prestataire — défaut de correctif, accès non sécurisé, délais non tenus — et de chiffrer chaque poste de préjudice, sans se contenter d’invoquer la panne.
Un autre enseignement mérite l’attention des commerçants : la vigilance face aux messages reçus pendant la crise. Le tribunal judiciaire de Nice, le 18 novembre 2025 (RG 22/03193), a jugé une affaire où un locataire avait modifié son virement permanent au profit d’un compte frauduleux après deux courriels reçus depuis l’adresse de son interlocuteur habituel annonçant un changement de coordonnées bancaires. En période de cyberattaque médiatisée, les fraudeurs profitent de la confusion pour adresser aux magasins de faux messages de leur prestataire — nouvelles coordonnées bancaires, liens de mise à jour urgente, pièces jointes de correctif. Vérifier l’identité de l’émetteur par un canal distinct avant tout paiement ou toute manipulation sensible n’est pas une coquetterie : c’est une condition de la discussion ultérieure sur le partage des responsabilités.
Les personnes concernées par une violation avérée disposent enfin d’une action propre. Le règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, avec une responsabilité de chaque acteur pour sa part et une exonération possible pour celui qui prouve que le fait dommageable ne lui est nullement imputable. La Cour de justice de l’Union européenne, le 4 mai 2023 (affaire C-300/21, Österreichische Post, relative au préjudice moral lié au traitement de données personnelles, repérée sur le rôle de la Cour), a précisé les conditions de cette réparation : un dommage doit être démontré, sans seuil de gravité exigé. Un client dont les données de fidélité auraient été exfiltrées lors de la compromission du réseau du magasin devrait donc établir son préjudice — démarches, crainte avérée, usurpation — et non se prévaloir de la seule violation. Pour le magasin, cette perspective renforce l’intérêt d’une notification et d’une documentation rigoureuses : elles limitent le risque autant qu’elles préparent la défense.
En pratique, la feuille de route des premières 72 heures tient en sept gestes : isoler et couper les accès distants compromis sans détruire les journaux ; faire constater les faits et les températures par commissaire de justice ; exiger du prestataire, par écrit, les journaux, la chronologie et les mesures prises ; qualifier avec lui l’existence ou non d’une violation de données personnelles ; notifier la Commission dans les 72 heures si une violation à risque est confirmée, et informer les personnes en cas de risque élevé ; déposer plainte et déclarer le sinistre à l’assureur ; adresser au prestataire une mise en demeure visant les clauses méconnues. Chacun de ces gestes produit une pièce ; ensemble, ils forment le dossier qui permettra, ensuite, de négocier ou de plaider la résiliation, la restitution des données et la réparation.
Conclusion
Un système de froid piloté à distance qui se retourne contre son propriétaire concentre, en un seul incident, tout le droit des contrats informatiques et de la protection des données : identifier les traitements réellement touchés, vérifier les rôles de responsable, de sous-traitant et de sous-traitant ultérieur, relire les clauses de sécurité, d’audit et de niveaux de service, notifier la violation à l’autorité dans les 72 heures et aux personnes en cas de risque élevé, documenter chaque fait, déposer plainte, déclarer l’assureur, puis mettre en demeure et remonter la chaîne des responsabilités avec des preuves, non des impressions. La jurisprudence des contentieux de progiciels et de maintenance le rappelle : le juge donne raison au dossier documenté, pas à la colère du lendemain de panne.
À la date de rédaction, rappelons-le, aucune source officielle n’a établi les causes exactes de l’incident rapporté par la presse dans la grande distribution, l’existence d’une violation de données personnelles à cette occasion ni aucune responsabilité d’un acteur identifié. Les développements qui précèdent décrivent la méthode applicable à toute situation comparable. Les contrats signés priment sur toute analyse générale, et seul le juge, au vu des pièces versées aux débats, pourrait dire qui doit réparer quoi.