Selon le site spécialisé qui recense l’annonce, les données de clients du service Drive d’une enseigne de la grande distribution auraient été mises en vente après une cyberattaque attribuée à un pirate informatique, et la presse spécialisée du 6 octobre 2026 évoque près de 300 000 clients concernés. D’après le tableau publié par un institut de conformité, les données exposées comprendraient les noms et prénoms, les numéros de téléphone, les adresses postales, les numéros de carte de fidélité et un historique partiel des commandes en ligne, tandis que les coordonnées bancaires, les soldes des cagnottes de fidélité et les mots de passe n’auraient pas été consultés. Ces éléments restent, à ce stade, des informations rapportées par des sources non officielles : aucune intrusion, aucun dommage ni aucune responsabilité ne sont constatés par une source officielle à la date de rédaction, les contrats signés priment sur toute analyse générale, et seul le juge décide.

Pour le client d’un programme de fidélité couplé à un compte Drive, la question pratique dépasse la simple inquiétude. La carte de fidélité concentre l’identité, les coordonnées, l’historique d’achats et parfois des données de profilage utilisées pour la prospection commerciale. Quand ces données circulent hors de leur cadre, trois réflexes s’imposent dans l’ordre : obtenir la copie exacte de ce que l’organisme détient, exiger l’arrêt de la prospection et l’effacement de ce qui doit l’être, puis saisir la Commission nationale de l’informatique et des libertés (CNIL) et, si nécessaire, le juge. Cet article décrit cette méthode pas à pas, avec les textes, les délais et les décisions qui l’encadrent.

I. Savoir ce que l’enseigne détient sur vous et le faire geler

A. Exiger la copie complète, y compris l’origine des données

Le droit d’accès permet à chacun de vérifier ce qu’un organisme sait de lui. La CNIL explique que chacun peut interroger un organisme sur les données qu’il détient et en demander la communication pour vérifier leur contenu. Pour un compte Drive adossé à une carte de fidélité, la demande doit viser large : identité et coordonnées, numéro de carte de fidélité, historique des commandes, tickets et paniers, données de profilage et segments marketing, consentements et oppositions enregistrés, journaux de connexion au compte, destinataires des données et sous-traitants, ainsi que les zones de commentaires internes. Le règlement européen sur la protection des données pose le principe : « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées ». Et il ajoute l’essentiel pour le contrôle : « Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. »

La demande s’adresse d’abord à l’organisme, par écrit, de préférence par lettre recommandée avec accusé de réception ou par le canal que l’enseigne met à disposition pour l’exercice des droits, en joignant une pièce d’identité seulement si l’organisme ne peut pas identifier le demandeur autrement. Le service public rappelle la chronologie obligatoire : d’abord une réclamation écrite auprès de l’organisme qui détient les données, avant de saisir la CNIL en cas de difficulté ou d’absence de réponse. Le délai de réponse de droit commun est d’un mois à compter de la réception de la demande, avec une prolongation possible de deux mois pour les demandes complexes, à condition d’en informer la personne dans le premier mois. Passé ce délai sans réponse complète, la voie de la plainte à la CNIL s’ouvre, et le juge peut être saisi.

L’expérience des contentieux montre que l’accès ne se limite pas à un relevé d’identité. Dans une ordonnance du 28 mai 2026, le juge des référés du tribunal judiciaire d’Arras (RG 26/00024, M. [O] [G] contre SA Floa) a ordonné à un établissement de « communiquer à M. [O] [G] une copie, en langage clair, de l’ensemble des données à caractère personnel le concernant », y compris les zones de blocs-notes ou de commentaires et toute information disponible sur l’origine de ces données, sous astreinte de 100 euros par jour de retard passé un délai de huit jours à compter de la signification. Le juge rappelle que le responsable du traitement doit répondre dans le délai d’un mois prévu par le règlement, et que l’obligation n’est pas sérieusement contestable quand l’organisme, destinataire d’une mise en demeure restée vaine, ne justifie d’aucune transmission. Pour un client Drive, la leçon est directe : réclamer les commentaires internes, les motifs d’un éventuel blocage de compte, l’origine des données (formulaire d’adhésion, import, partenaire) et, le cas échéant, l’adresse électronique utilisée pour créer le compte ou passer commande.

Quand l’organisme répond partiellement, la réponse doit être exploitée ligne par ligne. Vérifier les finalités annoncées, les catégories de données, les destinataires, la durée de conservation et les droits mentionnés. Comparer l’historique d’achats communiqué avec les tickets réellement émis. Relever les mentions de profilage ou de décision automatisée, par exemple un score d’appétence ou un ciblage promotionnel, et demander la logique sous-jacente. Conserver chaque courrier, chaque accusé de réception et chaque capture du compte, car ces pièces conditionnent la suite : plainte à la CNIL, action en injonction et demande de réparation. Les lecteurs confrontés à un refus sec de copie trouveront la démarche détaillée dans notre analyse consacrée à la faculté d’agir contre le responsable du traitement après une cyberattaque chez un prestataire, qui décrit la mise en cause en chaîne du responsable et de son sous-traitant.

B. Faire limiter et conserver : le gel utile pendant l’enquête et le litige

Obtenir la copie ne suffit pas toujours. Quand l’exactitude des données est contestée, quand le traitement est contesté comme illicite, ou quand les données restent nécessaires pour constater, exercer ou défendre un droit en justice, le règlement ouvre un droit à la limitation, c’est-à-dire au gel de l’utilisation des données. Le texte pose : « La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque l’un des éléments suivants s’applique », en visant notamment le cas où l’exactitude est contestée pendant la vérification, celui où le traitement est illicite et où la personne s’oppose à l’effacement immédiat, celui où les données restent nécessaires pour un droit en justice, et celui de l’opposition pendant l’examen des motifs légitimes. Concrètement, le client d’un programme de fidélité peut demander que son historique d’achats et ses coordonnées ne soient plus utilisés à des fins commerciales ni transmis à des partenaires pendant l’instruction de sa réclamation, tout en étant conservés pour les besoins d’une éventuelle procédure.

L’ordonnance d’Arras du 28 mai 2026 illustre ce gel. Le juge y a ordonné à l’établissement « de justifier des mesures destinées à limiter le traitement des données à caractère personnel de M. [O] [G] aux seuls besoins de l’enquête pénale en cours », sous la même astreinte de 100 euros par jour de retard passé huit jours. L’enseignement vaut pour la fuite de données commerciales : demander par écrit la limitation, viser les traitements concernés (prospection, profilage, partage avec des partenaires, conservation au-delà du nécessaire), et exiger une confirmation écrite des mesures prises, avec la date et le périmètre du gel. Si l’organisme refuse ou garde le silence, cette demande écrite et sa preuve de réception deviennent le socle d’une injonction en référé. Du côté de l’organisme, la violation de données obéit à sa propre discipline : l’article 33 du règlement européen sur la protection des données impose au responsable du traitement de notifier la violation à la CNIL dans les meilleurs délais et, si possible, sous soixante-douze heures, tandis que l’article 34 organise la communication aux personnes concernées quand la violation engendre un risque élevé pour leurs droits (règlement (UE) 2016/679 du 27 avril 2016). Pour le client, la notification reçue par courriel ou affichée sur le site de l’enseigne doit être conservée telle quelle : sa date, son contenu et ses recommandations conditionnent l’appréciation ultérieure du comportement de l’organisme, et son absence, alors que les données circulent, constitue un grief supplémentaire dans la plainte.

Le fondement procédural de l’injonction mérite d’être compris. Devant le président du tribunal judiciaire statuant en référé, l’article 835 du code de procédure civile prévoit que le juge peut « même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent » pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite, et ordonner l’exécution d’une obligation non sérieusement contestable, même s’il s’agit d’une obligation de faire. En cas d’urgence, l’article 834 du même code permet de « ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ». Le refus persistant de communiquer la copie ou de geler un usage contesté entre dans ce cadre quand la demande a été formée par écrit et que le délai d’un mois a expiré. L’astreinte, dont la liquidation relève ensuite du juge de l’exécution, donne à l’injonction son effectivité : 100 euros par jour de retard dans l’affaire d’Arras, montant que le juge apprécie selon la résistance observée et les enjeux. Dans l’affaire d’Arras, l’établissement succombant a en outre été condamné aux dépens et à 1 000 euros au titre de l’article 700 du Code de procédure civile.

Parallèlement, la conservation des preuves incombe aux deux parties, mais la personne concernée doit organiser les siennes sans attendre. Télécharger l’historique de commandes accessible dans le compte, photographier les paramétrages de confidentialité et les consentements, archiver les courriels et SMS commerciaux reçus après la fuite avec leurs en-têtes, noter les appels suspects (date, heure, numéro, propos tenus, référence faite à une commande réelle), et déposer sans tarder un signalement sur la plateforme Cybermalveillance.gouv.fr en cas d’escroquerie ou de tentative. Quand un message frauduleux reprend le nom, l’adresse ou une commande exacte, ce détail doit être consigné par écrit : il caractérise le lien entre la fuite et le préjudice, lien que le juge exigera au stade de la réparation. Les relevés bancaires doivent être surveillés, les mots de passe réutilisés sur d’autres sites doivent être changés, et l’authentification renforcée doit être activée sur le compte Drive et la messagerie associée.

II. Stopper la prospection, faire effacer, puis saisir la CNIL et le juge

A. Opposition à la prospection et effacement du compte de fidélité

Le numéro de téléphone et l’adresse électronique issus d’un compte Drive ont une valeur immédiate pour les démarcheurs : ils permettent des campagnes de SMS et d’appels qui citent le nom, l’adresse ou une commande pour paraître crédibles. Le droit d’opposition donne un levier direct. La CNIL présente ce droit sur sa page dédiée, accessible depuis son guide des droits, et l’articule avec le droit au déréférencement et à la limitation selon les situations. Sur le terrain de la prospection électronique, l’article L. 34-5 du code des postes et des communications électroniques fixe une interdiction claire : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » L’exception dite des « produits ou services analogues » suppose des coordonnées recueillies dans le respect de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés à l’occasion d’une vente ou d’une prestation, une prospection portant sur des produits analogues du même fournisseur, et une possibilité effective de refus au moment de la collecte puis à chaque message.

En pratique, l’opposition doit être exercée à deux niveaux. D’abord auprès de l’enseigne : retirer le consentement dans les paramètres du compte, activer le refus de prospection et de partage avec les partenaires, et adresser une demande écrite d’opposition au traitement à des fins de prospection, en visant chaque canal (SMS, courriel, téléphone, courrier). Ensuite, message par message : répondre STOP aux SMS commerciaux, utiliser le lien de désinscription des courriels, signaler les appels au dispositif Bloctel quand ils sont prospectifs, et transférer les SMS suspects au numéro 33700 pour signalement. Chaque refus doit être conservé avec sa date, car la poursuite de la prospection après opposition caractérise un manquement distinct, indemnisable indépendamment de la fuite initiale.

L’effacement suit une logique voisine mais plus large. La personne peut demander la suppression de son compte de fidélité, de l’historique des commandes conservé au-delà du nécessaire, des données de profilage et des coordonnées transmises à des partenaires, en visant le fondement applicable : données non nécessaires, retrait du consentement, opposition au traitement, ou traitement jugé illicite. L’organisme doit répondre dans le même délai d’un mois et, quand il a rendu des données publiques ou les a transmises, prendre des mesures raisonnables pour informer les autres responsables. Le refus doit être motivé par écrit, en indiquant le fondement du maintien (obligation légale de conservation comptable ou fiscale, constatation ou défense d’un droit en justice, intérêt légitime prépondérant) et sa durée. Un refus générique, sans fondement ni durée, ouvre la voie de la plainte. Certains traitements survivent toutefois à la demande d’effacement, et le client doit savoir les identifier pour ne pas transformer un refus légitime en contentieux perdu d’avance. En application de l’article L. 123-22 du code de commerce, « Les documents comptables et les pièces justificatives sont conservés pendant dix ans. » Les factures liées aux achats restent donc conservées pendant dix ans, et les données nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice peuvent être archivées avec un accès restreint pendant la durée de la prescription applicable. L’organisme qui invoque ces fondements doit les viser précisément, indiquer la durée et le périmètre, et distinguer ce qu’il archive de ce qu’il continue d’exploiter : la conservation probatoire n’autorise ni la prospection ni le profilage.

Le cas des données déjà entre les mains de tiers mérite une attention particulière. Quand l’historique d’achats ou les coordonnées circulent sur des forums ou des canaux de revente, l’effacement auprès de l’enseigne ne les fait pas disparaître ailleurs, mais il produit trois effets : il stoppe l’alimentation, il crée une date opposable à partir de laquelle toute conservation devient fautive, et il fonde une demande d’effacement dérivée auprès des destinataires identifiés dans la réponse au droit d’accès. La lettre d’effacement doit donc demander la liste des destinataires et la preuve de leur information. Si l’enseigne indique que les coordonnées bancaires et les mots de passe n’ont pas été exposés, comme le rapporte l’institut de conformité dans le cas commenté, cette information doit figurer dans sa réponse écrite, car elle délimite le périmètre des mesures de vigilance que le client doit maintenir.

B. Plainte à la CNIL, action devant le juge et réparation du préjudice

Quand l’organisme ne répond pas, répond partiellement ou maintient un traitement contesté, la plainte à la CNIL devient l’étape suivante. Le service de plainte en ligne de l’autorité propose des formulaires adaptés à chaque situation, avec un compte de suivi permettant d’échanger avec l’agent chargé du dossier. Le dossier de plainte doit être complet : identité, qualité (client, adhérent du programme de fidélité), organisme visé, chronologie des demandes avec accusés de réception, copie des réponses reçues, description précise des manquements (absence de copie, refus d’effacement, prospection après opposition, défaut d’information sur la violation), et pièces sur le préjudice (messages frauduleux, relevés, attestations). La CNIL instruit, peut mettre en demeure, et peut sanctionner ; elle informe le plaignant de l’issue, sans que sa décision lie le juge judiciaire. Sur le plan pénal, le code pénal punit notamment le fait, « y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi », de cinq ans d’emprisonnement et de 300 000 euros d’amende.

L’articulation entre la sanction administrative et le procès civil doit être comprise tôt. Dans un jugement avant-dire droit du 4 mars 2025 (tribunal judiciaire de Paris, 4e chambre 1re section, RG 22/00774, M. [K] contre société Ledger), le tribunal a ordonné la réouverture des débats pour verser aux débats et discuter contradictoirement la décision non publique par laquelle la formation restreinte de la CNIL avait, le 10 octobre 2024, retenu des manquements à l’obligation de sécurité et prononcé une amende de 750 000 euros après deux cyberattaques subies en avril et juin 2020. Le tribunal rappelle que la délibération de la CNIL n’a pas autorité de chose jugée et ne lie pas les juridictions judiciaires, mais qu’elle constitue un élément utile quand l’autorité a mené des investigations sur les violations en cause et s’est prononcée sur un manquement également invoqué devant le juge. Pour le client d’un programme de fidélité, la méthode est transposable : signaler la plainte CNIL dans l’assignation, produire les échanges avec l’autorité, et demander au juge d’ordonner la communication des pièces utiles, sans attendre de la sanction administrative une victoire automatique.

Le droit au recours juridictionnel effectif est garanti par le règlement lui-même : « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés ». Devant le tribunal judiciaire, les demandes typiques après une fuite de données couplée à une fin de non-recevoir de l’enseigne sont l’injonction de communiquer la copie et l’origine des données, l’injonction d’effacer ou de limiter, l’interdiction de prospection sous astreinte, et la réparation du préjudice. En référé, l’article 835 du code de procédure civile permet d’obtenir rapidement ces mesures quand l’obligation n’est pas sérieusement contestable. Au fond, la responsabilité du responsable du traitement ou de son sous-traitant peut être recherchée sur le fondement du règlement et, en droit interne, de l’article 1240 du Code civil, aux termes duquel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »

La réparation obéit à une règle que la Cour de cassation a rappelée avec netteté le 24 juin 2026 (chambre sociale, pourvoi n° 24-22.792, arrêt n° 571 FS-B, M. [P] contre société Natixis). Le droit européen prévoit que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » La Cour juge que la simple violation du règlement ne suffit pas à ouvrir droit à réparation : la personne doit établir la violation, puis un dommage matériel ou moral causé par elle. Elle reprend l’apport de la Cour de justice de l’Union européenne du 4 mai 2023 (affaire C-300/21, Österreichische Post, accessible sur CURIA) : pas de seuil de gravité exigé pour le dommage moral, fonction compensatoire et non punitive de l’indemnisation, application des règles nationales de la réparation dans le respect de l’équivalence et de l’effectivité. Elle y ajoute l’arrêt du 25 janvier 2024 (affaire C-687/21, accessible sur CURIA), qui impose de démontrer le dommage en plus de la violation. En l’espèce, la cour d’appel de Paris avait déduit un préjudice nécessaire de la seule violation ; la cassation est intervenue parce que le salarié n’établissait ni l’existence ni l’étendue de son dommage.

Pour le client exposé par une fuite de données de fidélité et de Drive, cette exigence commande le dossier probatoire. La crainte abstraite ne suffit pas ; doivent être documentés l’usage frauduleux ou les tentatives (appels et messages reprenant des données exactes, courriels d’hameçonnage, commandes frauduleuses, ouvertures de comptes), le temps consacré aux démarches (courriers, signalements, opposition, surveillance des comptes), les frais engagés, et le retentissement (anxiété caractérisée par des attestations, troubles du sommeil constatés, refus de crédit lié à une usurpation). Le préjudice moral se prouve par écrit : attestations de proches, certificats, échanges avec l’enseigne, et, quand elle existe, la notification de violation adressée par le responsable du traitement. La plainte pénale pour usurpation d’identité ou escroquerie, déposée avec les pièces, renforce la crédibilité de l’ensemble sans s’y substituer.

Conclusion

Selon le site spécialisé qui recense l’annonce et la presse spécialisée du 6 octobre 2026, des données de fidélité et de Drive — noms, téléphones, adresses, numéros de carte et historique partiel de commandes — auraient circulé après une cyberattaque visant le système d’une enseigne de la grande distribution, sans que les coordonnées bancaires ni les mots de passe aient été consultés d’après l’institut de conformité cité. À la date de rédaction, aucune source officielle ne constate une intrusion, un dommage ou une responsabilité, les contrats signés priment sur toute analyse générale, et seul le juge décide. Dans ce cadre incertain, la méthode reste la même : demander par écrit la copie complète avec l’origine des données, exiger par écrit la limitation puis l’opposition et l’effacement, conserver chaque preuve, déposer une plainte complète à la CNIL après la réclamation préalable à l’organisme, et saisir le juge d’une injonction sous astreinte puis d’une réparation fondée sur un dommage démontré. La fuite ne se résorbe pas par l’attente ; elle se traite par des écrits, des délais et des pièces.