Selon Le Monde du 12 octobre 2026, plusieurs centaines de supermarchés ont été victimes d’une cyberattaque visant leurs installations frigorifiques. Les recherches d’internautes mesurées le même jour portent sur la supervision du froid, la température et la cyberattaque visant les supermarchés. À la date de rédaction, aucune source officielle, décision de justice, acte d’une autorité ou communication d’entreprise, n’a établi les causes exactes de l’incident, confirmé une intrusion, constaté un dommage aux données des clients ni établi une responsabilité. Les développements qui suivent sont de portée générale : ils décrivent la méthode applicable à toute supervision à distance compromise, les contrats signés priment sur toute analyse générale, et seul le juge tranche les responsabilités. Cet article explique quels journaux conserver dès les premières heures, comment déterminer si l’incident constitue une violation de données personnelles au sens du règlement européen sur la protection des données, qui notifier et dans quel délai, puis comment organiser le recours contre le prestataire de supervision.

I. Qualifier l’incident et conserver les traces qui feront la preuve

A. Conserver les journaux d’accès et documenter l’incident dès les premières heures

La première urgence, après avoir isolé les accès distants compromis, consiste à figer les traces : journaux de connexion à la plateforme de supervision, relevés de température et d’alertes, tickets d’intervention du prestataire, échanges écrits avec l’équipementier et le mainteneur, copies des sauvegardes. Ces éléments serviront trois fois : pour comprendre la chronologie de l’incident, pour remplir l’obligation de documentation interne en cas de violation de données personnelles, et pour prouver les manquements du prestataire devant le juge. La Commission nationale de l’informatique et des libertés demande aux organismes, dans tous les cas, de documenter en interne l’incident en déterminant la nature de la violation, si possible les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées (CNIL, notifier une violation). Le document récapitulatif de la notification adressée à la Commission peut ensuite répondre à cette obligation de documentation interne.

Les journaux de supervision contiennent eux-mêmes des données personnelles : identifiants des techniciens, adresses IP, horodatages de connexion, parfois enregistrements des interventions. Leur conservation doit donc respecter les principes du règlement européen : finalité déterminée, minimisation et durée limitée. Concrètement, le responsable du traitement distingue deux jeux de traces. D’un côté, les journaux courants d’exploitation, conservés le temps court nécessaire à l’administration du système. De l’autre, les traces figées à titre de preuve après l’incident, conservées pour la durée des délais de prescription et des contentieux prévisibles, avec un accès restreint aux seuls enquêteurs internes, au conseil et, le cas échéant, aux enquêteurs de police. Cette seconde conservation repose sur l’intérêt légitime à établir la preuve d’un droit en justice, et elle doit être tracée dans le registre des activités de traitement avec sa finalité propre. Toute extraction à des fins disciplinaires contre un salarié, par exemple à l’encontre d’un technicien soupçonné d’avoir ouvert l’accès, obéit en outre aux règles de la surveillance des salariés : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L. 1222-4 du code du travail).

Le contrat de supervision doit organiser cette journalisation avant la crise. Les clauses utiles sont connues : obligation pour le prestataire de fournir des journaux d’accès horodatés et infalsifiables, conservation minimale des logs, droit d’audit du client, interdiction des accès distants permanents sans authentification forte, segmentation entre le réseau de supervision et le système d’information du magasin, et procédure écrite de réponse à incident avec délais d’alerte. Quand ces clauses existent, leur inexécution se prouve par les pièces du dossier : absence de journaux, accès distant sans double authentification, alerte tardive. Quand elles manquent, le débat se déplace sur l’obligation générale de sécurité et sur les règles de l’art, ce qui rend la preuve plus difficile et le contentieux plus long. Le constat par commissaire de justice, dressé dans les heures qui suivent la découverte, complète utilement les journaux : relevés de température affichés, messages d’erreur de la plateforme, état des accès distants encore ouverts, bons de destruction des denrées. Ce constat fige des faits volatils que les journaux ne montrent pas toujours, comme l’affichage réel en magasin ou l’impossibilité de reprendre la main sur les automates. Son coût reste modeste au regard de son utilité devant l’assureur, la Commission et le juge, à condition de mandater l’officier ministériel avant toute remise en service qui effacerait les traces.

D’où la première vérification à mener dès le lendemain de l’incident : relire le contrat de supervision, le contrat de maintenance des installations frigorifiques et leurs annexes de sécurité, avant toute réunion avec le prestataire.

B. Dire si l’incident constitue une violation de données personnelles au sens du RGPD

Toute cyberattaque contre une supervision à distance ne constitue pas automatiquement une violation de données personnelles. Le règlement européen définit la violation comme une atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à ces données (article 4, point 12). La Commission reprend cette définition et précise que la violation suppose deux conditions réunies : un traitement de données personnelles mis en oeuvre par l’organisme, et une atteinte à la disponibilité, à l’intégrité ou à la confidentialité de ces données (CNIL, définition). Un dérèglement des températures piloté à distance, sans accès ni exfiltration de données de clients ou de salariés, pourrait donc relever du seul incident de sécurité industrielle, sans constituer une violation de données personnelles. À l’inverse, dès que l’attaquant a pu lire des bases clients, aspirer des listes de diffusion, consulter des comptes de techniciens ou chiffrer des fichiers comportant des données personnelles, la qualification de violation s’impose et tout le régime des articles 33 et 34 s’applique.

Trois faisceaux d’indices permettent de trancher dans les premiers jours. Le premier est technique : les journaux d’accès montrent-ils une lecture, une copie ou un chiffrement de fichiers contenant des données personnelles, ou seulement une prise de contrôle des automates de froid. Le deuxième est contractuel : le prestataire de supervision traite-t-il des données pour le compte du magasin, auquel cas il agit comme sous-traitant au sens de l’article 28 du règlement, avec l’obligation d’alerter son client de toute violation et de l’aider à remplir ses propres obligations (article 28). La Commission insiste sur ce point dans sa publication consacrée aux cyberattaques passant par le sous-traitant, qui se trouve régulièrement au centre de la crise : le contrat doit prévoir la notification, l’assistance et l’audit, et le responsable de traitement reste tenu de vérifier que son sous-traitant présente des garanties suffisantes (CNIL, le sous-traitant au centre de la crise). Le troisième faisceau est organisationnel : les données concernées relèvent-elles de traitements identifiés au registre, avec des mesures de sécurité proportionnées au risque, comme l’exige l’article 32 du règlement (article 32). Une compromission chez le sous-traitant expose le responsable de traitement à un double risque, la sanction administrative et les demandes d’indemnisation, même quand la faille initiale vient du prestataire (CNIL, compromission chez un sous-traitant).

En pratique, le magasin procède donc en trois temps. Il cartographie les traitements potentiellement atteints : fichiers clients et programmes de fidélité, vidéosurveillance, badges et plannings des salariés, journaux de la supervision elle-même. Il demande par écrit au prestataire l’attestation précise du périmètre compromis, des données lues ou exfiltrées et des mesures de confinement, car le sous-traitant doit notifier son client dans les meilleurs délais. Puis il consigne ses conclusions dans la documentation interne de l’incident, qui conditionne l’arbitrage des notifications. Cette discipline protège contre deux erreurs symétriques : minimiser l’incident pour éviter de notifier, ce qui aggrave ensuite la sanction, ou notifier à tort un incident purement industriel comme une violation massive, ce qui déclenche des obligations inutiles et affaiblit la crédibilité de l’enseigne.

II. Arbitrer les notifications puis organiser le recours contre le prestataire

A. CNIL, personnes concernées, police, assureur : qui notifier et dans quel délai

Lorsque l’analyse conclut à une violation présentant un risque pour les droits et libertés des personnes, la notification à la Commission s’impose dans les soixante-douze heures au plus tard après en avoir pris connaissance (article 33). La Commission l’énonce sans détour : dès que l’incident constitue un « risque au regard de la vie privée » des personnes concernées, il doit lui être notifié (CNIL, notifier une violation). Quand le risque est élevé, par exemple après l’exfiltration de données bancaires, de mots de passe ou de données de santé, les personnes concernées doivent en outre être informées directement, dans un langage clair, avec la nature de la violation, ses conséquences probables et les mesures prises en cas de « risque élevé » (CNIL, notifier une violation). Et dans le doute, la prudence commande de saisir la Commission, qui indique s’il faut informer les personnes : « En cas de doute », la Commission invite les organismes à la saisir, et elle indique alors s’il faut informer les personnes (CNIL, notifier une violation).

Le délai de soixante-douze heures court à partir de la prise de connaissance de la violation, c’est-à-dire du moment où le responsable dispose d’un degré raisonnable de certitude que des données personnelles sont atteintes, et non du premier signal d’alerte technique. Une enseigne qui découvre un dérèglement du froid un lundi, puis établit le mercredi, grâce aux journaux du prestataire, que des fichiers clients ont été lus, notifie à compter du mercredi. Toute notification tardive doit être motivée. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises. Si toutes les informations ne sont pas disponibles dans les soixante-douze heures, une notification en deux temps reste possible, à condition d’expliquer le retard et de compléter sans retard indu.

La plainte pénale accompagne utilement la notification administrative. Après une cyberattaque, la Commission conseille expressément de « déposer plainte » au commissariat de police ou à la gendarmerie la plus proche et de « tenir à disposition des enquêteurs » tous les éléments de preuves techniques (CNIL, notifier une violation). Le dépôt de plainte fige la qualité de victime, ouvre l’enquête technique et préserve les recours contre les auteurs. Sur le plan pénal, l’accès ou le maintien frauduleux dans un système de traitement automatisé de données reste puni de trois ans d’emprisonnement et de 100 000 euros d’amende : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal). La Cour de cassation applique ces textes avec constance, y compris quand l’auteur disposait de droits d’accès détournés de leur finalité : elle a ainsi rejeté le pourvoi d’un greffier condamné pour suppression de données après un accès frauduleux au système du greffe (Cass. crim., 8 juin 2021, n° 20-85.853). Le dérèglement d’automates pilotés à distance peut en outre caractériser l’entrave ou la falsification du fonctionnement d’un système, punie de cinq ans d’emprisonnement et de 150 000 euros d’amende (article 323-2 du code pénal). Les extractions, suppressions ou modifications frauduleuses de données relèvent en outre de l’article 323-3 du code pénal.

L’assureur cyber, quand une police existe, doit recevoir l’avis du sinistre dans le délai contractuel, souvent de quelques jours, l’assuré étant tenu de déclarer tout sinistre de nature à entraîner la garantie (article L. 113-2 du code des assurances). La déclaration s’appuie sur la même chronologie que la notification CNIL : date de découverte, périmètre, mesures de confinement, chiffrage provisoire des pertes, dont les denrées détruites par la rupture de la chaîne du froid. Les enseignes parisiennes et franciliennes suivent le même régime national, avec deux repères pratiques : la Commission siège à Paris et reçoit les notifications par son téléservice national, tandis que le dépôt de plainte s’effectue au commissariat ou à la gendarmerie du lieu de l’établissement atteint, et que le contentieux contractuel contre un prestataire relève en principe du tribunal judiciaire du lieu d’exécution ou du domicile du défendeur selon les clauses du contrat. La plateforme nationale d’assistance aux victimes d’actes de cybermalveillance, relayée par la Commission, oriente en outre les entreprises vers des prestataires de réponse à incident de proximité (cybermalveillance.gouv.fr).

Enfin, l’information des clients va au-delà du seul article 34. Quand l’incident a détruit des denrées ou interrompu un service de retrait des commandes, l’enseigne doit gérer, à côté de la notification aux personnes concernées par la violation, l’information commerciale sur le rappel ou la rupture de produits, selon les règles sanitaires et consuméristes applicables. Les deux communications doivent rester cohérentes sans se confondre : la notification de violation décrit un risque pour les données, l’information commerciale décrit un risque pour les produits. Mélanger les deux brouille le message et complique la preuve de bonne foi devant la Commission.

B. Faire jouer le contrat de supervision et engager les responsabilités

Le recours contre le prestataire de supervision se prépare dès la phase de confinement. La mise en demeure, adressée par écrit avec accusé de réception, récapitule les faits datés, vise les clauses méconnues et fixe un délai de remédiation : rétablir un accès sécurisé, livrer les journaux complets, corriger la faille, fournir l’attestation de périmètre. Cette lettre interrompt toute discussion orale et fait courir les délais contractuels de pénalités. En parallèle, l’enseigne chiffre ses préjudices : denrées détruites avec bons de destruction, coût des interventions d’urgence, perte de marge pendant l’interruption, coût de la notification et de l’assistance aux personnes, honoraires d’expertise. Chaque poste doit être justifié pièce par pièce, car le juge n’indemnise que le préjudice prouvé dans son existence comme dans son montant.

Sur le fondement juridique, la voie principale reste la responsabilité contractuelle : le débiteur répond de l’inexécution de son obligation de sécurité, du défaut de surveillance des accès distants et du manquement à son devoir d’alerte et d’assistance (article 1231-1 du code civil). Les clauses limitatives de responsabilité, fréquentes dans les contrats informatiques, seront examinées de près : un plafond dérisoire ou une exclusion des atteintes aux données peuvent être contestés, sans garantie de succès, et seule la lecture exacte de la clause permet de mesurer les chances. La résiliation pour manquement grave suppose une inexécution suffisamment sérieuse et, sauf clause résolutoire, une mise en demeure restée vaine. Les enseignes confrontées à un prestataire informatique piraté : résilier et obtenir réparation suivent la même méthode : mise en demeure, suspension des paiements dans les limites du contrat, résiliation puis chiffrage. La responsabilité délictuelle contre l’équipementier ou un sous-traitant en chaîne reste possible, puisque tout fait de l’homme qui cause à autrui un dommage oblige son auteur à le réparer (article 1240 du code civil), mais elle exige la preuve d’une faute, d’un dommage et d’un lien causal, sans le secours du contrat.

Le volet indemnitaire mérite une attention particulière quand des clients ou des salariés demandent réparation. L’article 82 du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation du responsable de traitement ou du sous-traitant (article 82). La Cour de justice de l’Union européenne a toutefois précisé que la simple violation du règlement ne suffit pas à ouvrir droit à réparation, même si elle s’oppose à une exigence nationale de gravité minimale du préjudice moral (CJUE, 4 mai 2023, aff. C-300/21, Österreichische Post, CURIA). La chambre sociale de la Cour de cassation en a tiré les conséquences en 2026 : le salarié qui invoque un manquement au règlement doit démontrer l’existence et l’étendue de son préjudice, faute de quoi sa demande est rejetée (Cass. soc., 24 juin 2026, n° 24-22.792). Pour l’enseigne comme pour les victimes, la leçon est symétrique : la crainte abstraite d’une fuite ne s’indemnise pas, tandis que le préjudice documenté, temps passé aux démarches, frais de surveillance bancaire, perte avérée de denrées ou de chiffre d’affaires, ouvre la voie à une réparation mesurée aux pièces produites.

Face à une vague de demandes, l’enseigne organise donc la preuve en miroir : registre des violations tenu à jour, notifications horodatées, attestations du prestataire, constats d’huissier des dérèglements et des destructions, comptabilité séparée des coûts de crise. Cette organisation sert devant la Commission, qui apprécie la coopération et les mesures correctrices au moment de sanctionner, comme devant le juge judiciaire, qui n’accorde que ce qui est prouvé. Elle sert aussi contre le prestataire, par l’action récursoire : le responsable de traitement qui a indemnisé des personnes concernées peut se retourner contre le sous-traitant dont la faute est à l’origine de la violation, dans la limite des clauses du contrat et des règles de partage de responsabilité du règlement.

Quand les causes techniques restent disputées entre l’enseigne, le superviseur et l’équipementier, l’expertise judiciaire, ordonnée en référé dès avant tout procès dès qu’il existe un motif légitime de conserver ou d’établir la preuve (article 145 du code de procédure civile), permet de trancher : l’expert examine les journaux, reconstitue la chronologie de l’intrusion et dit si les règles de l’art, segmentation, authentification forte, correctifs de sécurité, ont été respectées. La demande d’expertise suppose un motif légitime et se forme devant le juge des référés du lieu de l’incident, avant que toute remise en état ne rende l’analyse impossible. Les conclusions de l’expert orientent ensuite la mise en cause : prestataire de supervision, mainteneur des installations, éditeur de la plateforme ou hébergeur, selon la part de chacun dans la chaîne de l’accès distant.

Deux erreurs reviennent dans presque tous les dossiers et doivent être évitées. La première consiste à couper les accès et à réinstaller les systèmes avant d’avoir figé les journaux, ce qui détruit la preuve de l’intrusion et prive l’enquête comme le contentieux de leur matière première. La seconde consiste à laisser le prestataire piloter seul la communication de crise, y compris la notification à la Commission, alors que la qualité de responsable de traitement et la décision de notifier appartiennent au magasin. Le prestataire assiste, documente et atteste ; le responsable qualifie, notifie et décide. Inverser ces rôles expose l’enseigne à une notification tardive ou inexacte dont elle répondra seule devant la Commission.

En conclusion, une supervision à distance compromise après une cyberattaque en supermarché appelle une réponse ordonnée : figer les journaux et documenter l’incident, vérifier avec le prestataire si des données personnelles ont été atteintes, notifier la Commission dans les soixante-douze heures en cas de risque et informer les personnes en cas de risque élevé, déposer plainte en préservant les preuves techniques, déclarer l’assureur, puis mettre en demeure le prestataire et chiffrer chaque préjudice avant d’agir en responsabilité. À la date de rédaction, aucune source officielle n’a établi les causes de l’incident évoqué par la presse du 12 octobre 2026, constaté une atteinte aux données des clients ni engagé une responsabilité ; les contrats signés priment sur toute analyse générale, et seul le juge, saisi des pièces du dossier, tranchera les manquements et leur réparation.