Le 10 octobre 2026, un site spécialisé qui recense les annonces de fuites de données a relayé la revendication d’une base d’environ 61 000 fiches contacts attribuée à un prestataire français d’accueil téléphonique et de gestion de rendez-vous pour professionnels. Selon ce site, les données revendiquées comprendraient des noms, prénoms, numéros de téléphone, adresses postales, dates de naissance et informations liées aux rendez-vous. Le 11 octobre, toujours selon le même site, l’entreprise aurait indiqué qu’il s’agissait d’un accès frauduleux au compte de l’un de ses clients, obtenu avec des identifiants valides sur un compte sans double authentification, sans compromettre son infrastructure ; un seul client serait concerné et aucune donnée médicale ou bancaire n’aurait été extraite. À la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décidera en cas de litige.
La réponse tient donc en trois constats. Pour l’entreprise cliente dont les fiches ont été extraites, le compteur de la notification à la CNIL tourne : le responsable du traitement doit notifier la violation à l’autorité de contrôle « dans les meilleurs délais » et, si possible, « 72 heures au plus tard » après en avoir pris connaissance, sauf absence de risque pour les droits et libertés des personnes (article 33, paragraphe 1, du règlement (UE) 2016/679). Pour le prestataire, l’obligation est miroir : le sous-traitant doit notifier toute violation au responsable du traitement « après en avoir pris connaissance », sans tarder (article 33, paragraphe 2, du règlement (UE) 2016/679). Pour les personnes dont les coordonnées et les rendez-vous circuleraient, le droit à réparation existe mais se prouve : toute personne ayant subi un dommage du fait d’une violation du règlement peut en obtenir réparation, encore faut-il démontrer le dommage et le lien avec la violation. Chaque destinataire de cette chaîne doit donc agir vite, écrire ce qu’il fait et conserver ce qui prouve.
I. L’entreprise cliente au centre de la chaîne : notifier, informer, prouver
L’entreprise dont les fiches contacts ont été extraites cumule deux casquettes : cliente du prestataire au titre du contrat de permanence téléphonique, et responsable du traitement au sens du règlement européen dès lors que c’est elle qui détermine pourquoi et comment les données de ses propres clients ou patients sont collectées lors des appels et des prises de rendez-vous. C’est cette seconde casquette qui déclenche les délais les plus courts.
A. Notifier la CNIL et informer les personnes sans attendre la certitude complète
Le premier réflexe consiste à qualifier la violation avec ce que l’on sait, sans attendre une certitude inaccessible. Le règlement autorise une notification en plusieurs temps : les informations peuvent être communiquées de manière échelonnée « sans autre retard indu » (article 33, paragraphe 4, du règlement (UE) 2016/679). Concrètement, l’entreprise cliente déclare en ligne ce qu’elle sait — nature des données, volume approximatif, point de contact — puis complète. La CNIL met à disposition un téléservice dédié pour notifier une violation de données personnelles, et rappelle que les organismes devraient anticiper : La CNIL recommande pour cela aux organismes de prévoir des procédures internes couvrant la détection, l’endiguement, l’analyse des risques et la notification (CNIL, les règles à suivre en cas de violation).
En parallèle, l’entreprise tient son registre interne, car le responsable du traitement « documente toute violation » en indiquant les faits, ses effets et les mesures prises pour y remédier (article 33, paragraphe 5, du règlement (UE) 2016/679). Ce registre servira deux fois : devant la CNIL, qui peut contrôler, et devant le juge, pour dater la diligence. La même page de la CNIL le confirme en pratique : en cas de violation, l’organisme doit tenir en interne un « registre des violations » (CNIL, les règles à suivre en cas de violation).
Reste la question des 61 000 personnes. L’information individuelle devient obligatoire quand le risque est élevé : l’information individuelle devient obligatoire en cas de « risque élevé » pour les droits et libertés d’une personne physique : le responsable du traitement communique alors la violation à la personne concernée dans les meilleurs délais (article 34, paragraphe 1, du règlement (UE) 2016/679). Des noms associés à des numéros de téléphone, des adresses et des données de rendez-vous exposent typiquement à l’hameçonnage ciblé et à l’usurpation : le risque élevé se discute sérieusement, et l’entreprise a intérêt à le présumer plutôt qu’à parier sur l’indulgence du contrôle. Le règlement prévoit des exceptions — données rendues incompréhensibles par chiffrement, mesures neutralisant le risque, efforts disproportionnés remplacés par une communication publique — mais chacune doit pouvoir être démontrée. Ici, selon les éléments relayés, les données circuleraient en clair et concerneraient des coordonnées directement exploitables : l’exception du chiffrement semble difficile à soutenir, ce qui renforce l’option d’une information diligente et tracée.
Le calendrier se résume donc ainsi pour l’entreprise cliente : jour zéro, qualifier et figer les faits ; dans les meilleurs délais, exiger du prestataire la notification détaillée prévue par le contrat ; sous 72 heures au plus tard après connaissance, notifier la CNIL quitte à compléter ensuite ; sans retard, informer les personnes si le risque élevé est retenu ; à chaque étape, consigner par écrit. Tout retard devra être motivé, puisque lorsque la notification n’a pas lieu dans les 72 heures, « elle est accompagnée des motifs du retard ».
B. Conserver la preuve quand les journaux sont chez le prestataire
La difficulté propre à l’effet domino tient à la répartition des preuves : les journaux de connexion, les horodatages, les adresses IP et les traces de l’accès frauduleux se trouvent dans les systèmes du prestataire, pas dans ceux de l’entreprise cliente. Or c’est l’entreprise cliente qui devra justifier devant la CNIL et, le cas échéant, devant le juge, qu’elle a choisi un sous-traitant offrant des garanties, qu’elle a réagi vite et que son préjudice vient bien de cet incident. Le règlement lui donne un levier contractuel : le sous-traitant le sous-traitant doit mettre à disposition du responsable du traitement les informations nécessaires pour démontrer le respect de ses obligations et permettre « des audits, y compris des inspections », par le responsable ou un auditeur mandaté (article 28, paragraphe 3, point h), du règlement (UE) 2016/679). L’entreprise cliente doit donc activer ce droit immédiatement et par écrit : demande de communication des journaux, du périmètre exact des fiches extraites, des mesures de confinement et du rapport d’analyse, puis audit ou contre-expertise si le doute persiste.
La jurisprudence récente montre que le juge tranche ces dossiers sur pièces techniques, et que l’impréparation se paie. Dans un arrêt du 28 avril 2026, la cour d’appel de Reims a retenu contre un prestataire informatique, sur le fondement d’une expertise judiciaire, que le système avait été déployé « avec des paramètres par défaut », et jugé que le prestataire avait manqué à « son obligation de conseil », engageant ainsi sa responsabilité contractuelle (CA Reims, ch. civile et com., 28 avril 2026, RG 24/01502). La cour a toutefois partagé la responsabilité par moitié avec le client, dont les propres négligences avaient concouru au dommage, et alloué « 12 097,59 euros » à titre d’indemnisation, soit la moitié des dépenses retenues. Trois enseignements pour notre chaîne : l’expertise judiciaire fait la décision, de sorte que l’entreprise cliente doit la préparer dès maintenant en faisant constater l’état des lieux par un auditeur indépendant ; le défaut de paramétrage élémentaire — ici l’absence alléguée de double authentification sur le compte compromis — sera scruté des deux côtés, car le client qui néglige ses propres comptes partage la faute ; et le préjudice indemnisé se limite aux dépenses démontrées par factures et attestations, la cour ayant écarté les postes non justifiés.
Le second enseignement vient d’un jugement du tribunal judiciaire de Metz du 28 mai 2026, qui retient le principe de « l’indemnisation intégrale des dommages » à la charge du prestataire pour les pertes de données causées par ses prestations, tout en déboutant le demandeur de ses demandes au titre du préjudice économique et du préjudice moral faute de preuve, et en ne retenant que 5 000 euros pour la reconstitution des fichiers et 2 600 euros pour le préjudice de jouissance (TJ Metz, 1re ch. civ., 28 mai 2026, RG 23/01633). Autrement dit, le principe de la responsabilité du prestataire peut être acquis tandis que l’indemnité reste maigre si le client ne chiffre rien : l’entreprise cliente doit donc, dès la première semaine, faire établir par son expert-comptable la perte d’exploitation, conserver les factures de remise en état et d’audit, et journaliser le temps passé. Le même jugement illustre l’utilité de l’assurance : l’assureur du prestataire y est condamné à garantir les condamnations « la somme de 6840 » euros, dans la limite de la garantie, au titre des dommages matériels. Pour l’entreprise cliente, cela signifie identifier tôt l’assureur cyber du prestataire et l’inviter à la table, car le plafond de garantie conditionne la stratégie de recouvrement.
Sur le terrain contractuel, l’article 1217 du code civil ouvre l’éventail : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution » (article 1217 du code civil). Et l’article 1231-1 ajoute : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil). La résolution elle-même obéit à un régime strict : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice » (article 1224 du code civil), et « La résolution met fin au contrat » avec effet, selon les cas, à la date prévue par la clause, à la réception de la notification ou à la date fixée par le juge (article 1229 du code civil). Avant de brandir la résolution, l’entreprise cliente vérifie son contrat : clause de sécurité et d’authentification forte, niveaux de service, obligation de notification du sous-traitant, droit d’audit, réversibilité et sort des données. Une suspension précipitée du paiement des redevances peut se retourner contre elle si le manquement du prestataire n’est pas établi ; à l’inverse, une mise en demeure précise, qui liste les manquements et impartit un délai de remédiation, préserve toutes les options. Cette mise en demeure est d’ailleurs un préalable à l’indemnisation : « A moins que l’inexécution soit définitive, les dommages et intérêts ne sont dus que si le débiteur a préalablement été mis en demeure de s’exécuter dans un délai raisonnable » (article 1231 du code civil). Et sur la preuve, la règle est symétrique : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation » (article 1353 du code civil) — l’entreprise cliente prouve le manquement du prestataire, le prestataire qui se dit libéré prouve la cause étrangère, y compris la résolution du contrat de prestation de services et la demande de dommages-intérêts devant le juge compétent en matière de contentieux commercial entre un prestataire et son client professionnel.
II. Le prestataire et les personnes concernées : contenir, réparer, exercer ses droits
Le prestataire n’est pas un simple témoin de l’incident : en tant que sous-traitant, il porte des obligations propres, et sa réaction des premiers jours conditionne sa responsabilité comme celle de son client. Les personnes dont les données circuleraient, elles, disposent d’un droit à réparation qui ne s’exerce utilement qu’avec des preuves datées.
A. Côté prestataire : notifier son client, démontrer la sécurité, assumer la part qui lui revient
La première obligation du prestataire est d’informer son client vite et complètement, puisque le sous-traitant notifie toute violation « après en avoir pris connaissance », sans tarder. Dans les faits relayés, l’entreprise aurait communiqué rapidement sur le périmètre — un seul client touché, infrastructure saine, pas de données médicales ou bancaires — et c’est exactement ce que le droit attend : une notification qui permet au client de notifier à son tour la CNIL dans ses propres 72 heures. Tout retard ou minimisation expose le client à un dépassement de délai dont le prestataire répondra ensuite.
La deuxième obligation porte sur la sécurité elle-même. Le règlement impose aux deux maillons de la chaîne de « des mesures techniques et organisationnelles appropriées » afin de garantir un niveau de sécurité adapté au risque, y compris des moyens garantissant « la confidentialité, l’intégrité, la disponibilité » constantes des systèmes (article 32, paragraphe 1, du règlement (UE) 2016/679). L’évaluation tient compte en tenant compte notamment des risques de destruction, perte, altération, divulgation non autorisée ou « accès non autorisé » aux données, de manière accidentelle ou illicite (article 32, paragraphe 2, du règlement (UE) 2016/679). Un accès obtenu avec de simples identifiants valides, sans double authentification, sur un compte ouvrant l’accès à des dizaines de milliers de fiches, interroge directement ce niveau de sécurité : l’authentification forte, la limitation des droits par compte et la journalisation des exports massifs font partie des mesures de base qu’un prestataire professionnel doit pouvoir démontrer. Le contrat de sous-traitance doit en outre l’y aider : il prévoit que le sous-traitant applique les mesures de sécurité requises et aide le responsable du traitement à garantir le respect de ses propres obligations, compte tenu de la nature du traitement et des informations dont il dispose (article 28, paragraphe 3, points c) et f), du règlement (UE) 2016/679).
Sur la responsabilité, le partage est la règle pratique, pas l’exception. D’un côté, un sous-traitant n’est tenu pour responsable que s’il a méconnu ses obligations propres ou s’il a agi « en-dehors des instructions licites » du responsable du traitement (article 82, paragraphe 2, du règlement (UE) 2016/679). De l’autre, chacun peut être tenu pour le tout envers la personne concernée afin de lui garantir une réparation effective, avec ensuite un recours entre coresponsables à proportion des parts respectives. L’arrêt de Reims illustre ce partage à parts égales entre prestataire défaillant sur la sécurité et cliente négligente dans l’expression de ses besoins, et le jugement de Metz montre que l’assureur du prestataire peut être appelé en garantie dans la limite de son plafond. Le prestataire qui connaît l’existence et l’étendue de la faille ne peut pas la garder pour lui : « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant » (article 1112-1 du code civil), et « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public » (article 1104 du code civil). Pour le prestataire, la conduite à tenir se déduit : déclarer son sinistre cyber sans délai, ne pas détruire les journaux, faire réaliser sa propre analyse forensique par un tiers indépendant, proposer au client un plan de remédiation écrit — réinitialisation des accès, généralisation de la double authentification, cloisonnement des comptes — et préparer, avec son assureur, la discussion sur les préjudices chiffrés plutôt que de contester en bloc une responsabilité que l’expertise établira de toute façon.
B. Côté personnes concernées : surveiller, signaler, chiffrer un préjudice réel
Les 61 000 personnes dont les coordonnées et les rendez-vous figureraient dans la base revendiquée ne sont pas des spectatrices : ce sont elles qui subiront l’hameçonnage, les appels frauduleux et, pour les données de rendez-vous, des tentatives d’ingénierie sociale ciblées — un appelant qui connaît la date de votre rendez-vous inspire confiance. La première mesure est pratique : vigilance renforcée sur les appels et messages faisant référence à un rendez-vous réel, vérification par un canal indépendant avant tout paiement ou toute transmission d’information, changement des mots de passe partagés avec l’adresse exposée, activation de la double authentification partout où c’est possible. Chacune de ces démarches, si elle engendre un coût ou une perte de temps significative, doit être notée et conservée : c’est la matière première du préjudice.
Juridiquement, toute personne ayant subi un dommage du fait d’une violation du règlement a le droit d’en obtenir « réparation du préjudice subi » auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du règlement (UE) 2016/679). En dehors même du contrat, « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). L’action peut viser le responsable du traitement, le sous-traitant ou les deux, et l’exonération suppose que le défendeur prouve que le fait dommageable « ne lui est nullement imputable » (article 82, paragraphe 3, du règlement (UE) 2016/679). Mais le jugement de Metz rappelle la contrepartie : le demandeur débouté de son préjudice économique et moral n’avait pas rapporté la preuve de ces postes, et seuls les frais de reconstitution documentés ont été indemnisés. Pour une personne concernée, cela signifie constituer dès maintenant un dossier : copie de la notification reçue, captures des messages frauduleux reçus après l’incident, relevés d’opérations contestées, attestations, factures. L’exercice des droits d’accès et d’information auprès de l’entreprise cliente et du prestataire — quelles données détenues, à quelles fins, communiquées à qui — complète le tableau et peut révéler l’ampleur réelle de l’exposition. Les plaintes auprès de la CNIL restent possibles en parallèle d’une action en réparation, l’une ne fermant pas l’autre.
Conclusion
Un accès frauduleux au compte d’un client chez un prestataire téléphonique ne s’arrête pas au prestataire : il traverse le contrat de sous-traitance, frappe l’entreprise cliente dans ses obligations de responsable du traitement, puis atteint des dizaines de milliers de personnes exposées à la fraude. La carte des décisions tient en quatre points. L’entreprise cliente notifie la CNIL sous 72 heures, documente dans son registre, informe les personnes si le risque élevé est retenu, et exige du prestataire journaux, périmètre et audit en activant son droit contractuel. Le prestataire notifie son client sans délai, démontre ses mesures de sécurité, déclare son sinistre et prépare la discussion chiffrée avec son assureur. Les personnes concernées se protègent activement et conservent chaque preuve de préjudice. Et chacun relit son contrat avant d’agir, car ce sont les clauses de sécurité, de notification et d’audit qui décideront, devant le juge, qui paie quoi. À la date de rédaction, les faits rapportés restent ceux relayés par un site spécialisé à partir d’une revendication non confirmée par une source officielle, assortie de la position de l’entreprise selon laquelle un seul client serait touché : aucune intrusion ni aucun dommage n’est constaté par une source officielle, aucune responsabilité n’est établie, et seul le juge tranchera les litiges nés de cette chaîne.