À la mi-octobre 2026, la presse a fait état d’une cyberattaque massive visant les systèmes de supervision des installations frigorifiques de supermarchés français, avec des magasins dont les meubles froids seraient montés à des températures anormales et des pertes chiffrées en millions d’euros par les journaux qui relatent l’événement depuis le 12 octobre 2026, relatée notamment par Le Monde du 12 octobre 2026. Pour le client qui fait ses courses dans une enseigne citée par ces articles, la question qui suit est immédiate et très concrète : mes données personnelles sont-elles concernées, alors même que je n’ai reçu aucune notification ? Carte de fidélité, compte drive, ticket dématérialisé, adresse électronique et numéro de téléphone servent chaque semaine à identifier le client ; si ces traitements ont été exposés lors de l’attaque, le droit européen impose au responsable du traitement des obligations précises d’alerte, et ouvre à la personne concernée des droits qu’elle peut exercer même en l’absence de toute notification spontanée. Cet article décrit la méthode complète : comprendre ce que le silence de l’enseigne signifie juridiquement, vérifier par soi-même si l’on est concerné, sécuriser ses comptes, conserver les preuves d’un éventuel hameçonnage, saisir la Commission nationale de l’informatique et des libertés puis, le cas échéant, demander réparation au juge. À la date de rédaction, aucune source officielle n’a constaté quelles données de clients auraient été compromises dans cet événement précis ni aucun dommage subi par une personne identifiée ; les développements qui suivent exposent donc le régime applicable à toute situation comparable, à partir des textes et des décisions vérifiés cités en liens.
I. Comprendre le silence de l’enseigne et vérifier si vos données sont concernées
A. Ce que l’enseigne doit faire après une violation : notifier la CNIL, parfois vous prévenir, toujours documenter
Le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données, organise la réaction à toute violation de données à caractère personnel en trois cercles concentriques. Le premier cercle vise l’autorité de contrôle : en cas de violation présentant un risque pour les droits et libertés des personnes physiques, le responsable du traitement doit la notifier à l’autorité compétente, en France la CNIL, dans les meilleurs délais et, si possible, dans les soixante-douze heures après en avoir pris connaissance. La page de la CNIL consacrée à la notification des violations le formule ainsi : une notification initiale dans les soixante-douze heures suivant la constatation de la violation, avec explication des motifs en cas de retard. Lorsque ce délai est dépassé, les motifs du retard doivent être expliqués lors de la notification. Le second cercle vise les personnes concernées elles-mêmes, mais seulement au-delà d’un seuil : l’information individuelle des personnes concernées n’est exigée qu’en cas de risque élevé, précise la même page de la CNIL. Autrement dit, l’absence de message individuel ne signifie pas nécessairement qu’aucune donnée n’a été touchée ; elle peut signifier que le responsable estime que le risque pour vos droits n’atteint pas le seuil élevé, ou qu’il s’appuie sur l’une des exceptions prévues par l’article 34 du règlement, par exemple des données rendues incompréhensibles par chiffrement ou des mesures ultérieures qui écartent le risque élevé. Ces appréciations appartiennent d’abord au responsable du traitement, mais elles sont contrôlables : la CNIL, destinataire de la notification, peut les discuter, et le juge saisi d’une demande indemnitaire les examine à son tour. Le troisième cercle est l’obligation de documenter en interne toute violation, y compris celles qui n’ont pas été notifiées, avec les faits, les effets et les mesures prises ; ce registre interne pourra être exigé en cas de contrôle et versé aux débats en cas de litige. Pour le client, la conséquence pratique est claire : ne jamais interpréter le silence comme une preuve d’innocuité, mais ne pas l’interpréter non plus comme la preuve d’une faute. Le silence est un point de départ, pas une conclusion. Il invite à vérifier, par les moyens du droit d’accès et des indices concrets, si vos traitements figurent parmi ceux qui ont été exposés, puis à exiger, si les conditions sont réunies, l’information individuelle à laquelle le risque élevé donne droit. Cette vérification personnelle est d’autant plus utile que les violations liées à une cyberattaque contre des systèmes techniques, comme la supervision d’installations frigorifiques, mêlent souvent des données purement opérationnelles et des données identifiantes : journaux de connexion, badges d’accès, adresses des destinataires de tickets dématérialisés, bases de fidélité hébergées sur les mêmes infrastructures. Seul l’exercice méthodique de vos droits permet de savoir de quel côté de la ligne vous vous situez.
B. Vos leviers pour savoir si vous êtes concerné : indices concrets et droit d’accès exercé par écrit
Avant tout courrier, rassemblez les indices qui rattachent vos données à l’enseigne visée par l’attaque. Détenez-vous une carte de fidélité, active ou ancienne, même inutilisée depuis des années ? Avez-vous créé un compte pour le drive, la livraison ou les tickets dématérialisés, avec adresse électronique, numéro de téléphone et adresse postale ? Recevez-vous des prospectus électroniques personnalisés ou des offres fondées sur votre historique d’achats ? Chaque réponse positive identifie un traitement susceptible d’avoir été exposé : gestion de la relation client, prospection, profilage d’achat. Ces traitements relèvent du même règlement européen, qui reconnaît à toute personne concernée un droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que, lorsqu’elles le sont, l’accès à ces données et à une série d’informations : finalités, catégories de données, destinataires, durée de conservation, droits disponibles et informations sur la source lorsque les données n’ont pas été collectées auprès de vous. Concrètement, écrivez au délégué à la protection des données de l’enseigne, dont les coordonnées figurent en principe dans la politique de confidentialité du site ou de l’application, ou à défaut au service client par un canal qui laisse une trace : lettre recommandée avec accusé de réception ou courriel conservé avec ses en-têtes. Joignez la copie d’un justificatif d’identité si l’enseigne ne peut pas vous identifier autrement, demandez expressément la confirmation du traitement, la copie des données vous concernant, les finalités et les destinataires, et ajoutez une question précise sur l’événement : des traitements me concernant ont-ils été affectés par la cyberattaque relatée par la presse à la mi-octobre 2026, et une notification à l’autorité de contrôle a-t-elle été effectuée ? Cette question écrite produit trois effets. Elle contraint l’enseigne à se positionner par écrit, dans le délai de réponse d’un mois prévu par le règlement, délai que la CNIL rappelle sur sa page des plaintes : l’organisme doit répondre dans les meilleurs délais, et au plus tard sous un mois, avec une prolongation possible de deux mois pour les demandes complexes. Elle fige une date, utile pour démontrer ensuite, devant la CNIL ou le juge, que vous avez agi avec diligence. Elle peut enfin provoquer la communication individuelle que l’enseigne n’avait pas adressée spontanément : un responsable sérieux, interrogé par écrit après une cyberattaque médiatisée, a tout intérêt à informer clairement la personne qui l’interroge plutôt qu’à laisser prospérer le doute. Si la réponse confirme que vos données figuraient parmi celles qui ont été exposées, conservez-la avec l’enveloppe ou les métadonnées d’envoi : c’est la pièce maîtresse de la suite. Si la réponse est évasive, tardive ou inexistante, cette carence devient elle-même un grief, distinct de la violation initiale, que la plainte à la CNIL pourra viser. Et si la réponse affirme qu’aucune de vos données n’a été affectée, conservez-la également : elle engage son auteur et pourra être confrontée aux révélations ultérieures, aux notifications publiées ou aux messages d’hameçonnage que vous recevriez dans les semaines suivantes. Dans tous les cas, notez dès maintenant, dans un document daté, les messages suspects reçus depuis l’attaque : expéditeur, date, heure, contenu, liens. Cette discipline de conservation transforme des désagréments épars en dossier probant.
II. Sécuriser vos comptes, signaler les usages frauduleux et obtenir sanction puis réparation
A. Premiers réflexes de sécurité et de preuve : comptes, mots de passe, hameçonnage et plainte pénale
Dès qu’une cyberattaque visant une enseigne que vous fréquentez est rendue publique, considérez que les couples identifiant et mot de passe que vous y utilisez peuvent circuler. Changez sans attendre le mot de passe du compte client concerné et, surtout, celui de tout autre service où vous employez le même, en commençant par votre messagerie, qui commande les réinitialisations de tous les autres. La page de service-public consacrée aux fuites de données recommande d’activer, chaque fois que c’est possible, la double authentification, et l’usage d’un gestionnaire de mots de passe pour éviter la réutilisation d’un même code sur plusieurs sites. Surveillez ensuite vos relevés bancaires et vos comptes en ligne pendant plusieurs semaines : toute opération inconnue, même d’un faible montant, mérite une opposition immédiate auprès de votre banque et un signalement. Le second réflexe concerne l’hameçonnage, qui suit presque mécaniquement les grandes fuites de données : des messages qui reprennent le nom de l’enseigne, votre nom ou vos habitudes d’achat pour vous soutirer des codes ou vous faire cliquer sur un lien piégé. La règle de tri est simple : ne cliquez jamais depuis le message, reconnectez-vous par vos propres moyens au site ou à l’application, et ne communiquez aucun code reçu par SMS. Chaque message suspect doit être conservé tel quel, sans le supprimer : la fiche officielle sur l’hameçonnage demande de conserver toutes les preuves de l’acte subi. Signalez les SMS frauduleux au dispositif 33700 décrit par service-public par transfert au numéro court, et les sites piégés sur la plateforme officielle de signalement dédiée, démarches que la même fiche décrit pas à pas. Ces signalements ne sont pas de simples formalités : ils horodatent l’exploitation de vos données et nourrissent la démonstration du préjudice que vous invoquerez ensuite. Le troisième réflexe est pénal. L’intrusion dans un système informatique et la collecte ou la divulgation frauduleuse de données sont des délits : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », dispose l’article 323-1 du code pénal ; « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », ajoute l’article 226-18 du même code ; l’introduction de données piégées comme l’extraction ou la modification frauduleuse de contenus relèvent quant à elles de l’article 323-3, qui punit de cinq ans d’emprisonnement et de 150 000 euros d’amende « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient » ; et la divulgation non autorisée de données portant atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée est punie par l’article 226-22, qui vise « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir ». Vous pouvez déposer plainte au commissariat ou à la brigade de gendarmerie de votre choix, ou écrire au procureur de la République, en joignant vos captures et vos relevés. La plainte pénale n’ouvre pas droit en elle-même à indemnisation, sauf constitution de partie civile, mais elle fait constater les faits par l’autorité publique, ce qui renforce l’ensemble du dossier, y compris l’action civile et la plainte à la CNIL.
B. Plainte à la CNIL puis action en réparation : la sanction administrative et l’indemnisation judiciaire
Lorsque l’enseigne ne vous a pas répondu de façon satisfaisante dans le délai d’un mois, la plainte devant la CNIL devient l’étape suivante. Le règlement européen reconnaît à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, et la procédure de plainte en ligne de la CNIL est accessible après cette démarche préalable auprès de l’organisme : joignez-y la copie de votre demande d’accès, la preuve de son envoi, la réponse reçue ou la preuve de l’absence de réponse, ainsi que les captures des messages suspects. la CNIL s’engage à informer le plaignant de l’avancement au moins dans les trois mois du dépôt, puis de l’issue de la plainte, et elle dispose de pouvoirs d’enquête et de sanction qui lui sont propres. Mais il faut comprendre exactement ce que la plainte peut et ne peut pas produire : elle peut conduire à un rappel à l’ordre, à une mise en demeure ou à une sanction pécuniaire contre l’organisme, elle ne vous alloue aucune indemnité. Surtout, le tribunal judiciaire de Paris l’a rappelé dans un litige né d’une fuite de données massive affectant les clients d’une société technologique : la position prise par la CNIL après ses investigations n’enchaîne pas le juge civil, même si elle peut éclairer la solution du litige. Autrement dit, une sanction ou une mise en demeure de la CNIL appuie votre démonstration, mais ne la remplace pas, et l’absence de sanction ne vous prive d’aucun droit. Autrement dit, une sanction ou une mise en demeure de la CNIL appuie votre démonstration, mais ne la remplace pas, et l’absence de sanction ne vous prive d’aucun droit. L’indemnisation relève du juge, sur le fondement de l’article 82 du règlement européen, qui ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Deux arrêts de la Cour de justice de l’Union européenne, rendus sur renvoi préjudiciel et applicables à tout litige français, en dessinent le régime avec précision. Dans son arrêt du 4 mai 2023, Österreichische Post, affaire C-300/21, la Cour a posé trois principes : la simple violation du règlement ne suffit pas à ouvrir droit à réparation, car un préjudice causé par cette violation doit être établi ; ensuite, le droit de l’Union refuse toute règle nationale qui subordonnerait la réparation du dommage moral à un seuil de gravité du préjudice ; enfin, le montant de la réparation relève des règles nationales, dans le respect des principes d’équivalence et d’effectivité. Dans son arrêt du 25 janvier 2024, affaire C-687/21, rendue à propos de données transmises par erreur à un tiers, la Cour a complété l’édifice : le droit à réparation couvrir intégralement le préjudice concrètement subi du fait de la violation, sans fonction punitive ; il ne requiert pas la prise en compte du degré de gravité de la violation commise par le responsable ; et le demandeur doit établir à la fois la violation des dispositions du règlement et le dommage matériel ou moral que cette violation lui a causé. Surtout, dans cette affaire où il était établi que le tiers n’avait pas pris connaissance des données, la Cour a jugé que la simple crainte d’une diffusion ne constitue pas à elle seule un dommage moral. Pour le client d’une enseigne cyberattaquée, la leçon est directe et exigeante : la crainte abstraite ne suffit pas, mais le préjudice concret se prouve. Conservez tout ce qui matérialise l’exploitation de vos données : messages d’hameçonnage personnalisés reprenant vos achats ou votre identité, signalements au 33700, oppositions bancaires et frais afférents, temps passé à sécuriser vos comptes, attestations de votre entourage sur l’inquiétude subie, voire constat d’huissier pour les contenus éphémères. Le considérant 85 du règlement, cité par la Cour, vise notamment la perte de contrôle sur ses données personnelles, et cette perte de contrôle, lorsqu’elle se traduit par des sollicitations frauduleuses avérées, des démarches imposées et une surveillance prolongée de vos comptes, constitue le socle d’une demande chiffrée et documentée. L’action peut être portée devant la juridiction civile de votre domicile, en application du droit au recours juridictionnel effectif reconnu par l’article 79 du règlement, sans attendre l’issue de la plainte à la CNIL ni celle de l’enquête pénale : les trois voies sont indépendantes et cumulables. Pour une vision d’ensemble du parcours des victimes de fuites massives, depuis la notification jusqu’à l’indemnisation, le guide consacré aux données personnelles piratées après la cyberattaque visant un organisme de formation et ses 1,7 million de victimes expose la même articulation entre droits d’accès, plainte et réparation, et les réflexes anti-hameçonnage détaillés après une attaque visant une enseigne, avec les modèles de conservation des preuves, sont repris dans l’analyse des SMS et courriels frauduleux reçus après la cyberattaque visant une enseigne. À Paris comme ailleurs en Île-de-France, la démarche est identique : la plainte à la CNIL, dont le siège est à Paris, se fait en ligne, et l’action indemnitaire se porte devant le tribunal judiciaire de votre domicile, y compris le tribunal judiciaire de Paris pour les Parisiens, qui connaît déjà de ce contentieux des fuites de données.
En définitive, l’absence de notification individuelle après la cyberattaque visant votre enseigne habituelle n’éteint aucun de vos droits : elle vous invite à les exercer vous-même, dans l’ordre qui rend chacun plus fort. Écrivez au délégué à la protection des données pour savoir si vos traitements ont été exposés ; sécurisez vos comptes et conservez chaque message suspect ; signalez l’hameçonnage et déposez plainte au pénal pour faire constater les faits ; saisissez la CNIL pour obtenir le contrôle de l’autorité et, le cas échéant, la sanction de l’organisme ; puis demandez au juge civil la réparation intégrale du préjudice que vous prouvez, sans qu’aucun seuil de gravité puisse vous être opposé, mais sans que la simple crainte, non matérialisée, suffise. C’est cette chaîne complète, de la demande d’accès documentée à l’indemnisation chiffrée, qui transforme l’inquiétude légitime née d’une cyberattaque en dossier juridiquement solide.
PLACEHOLDER règles de procédure conditionnent l’ensemble de la démarche et méritent d’être posées sans détour. D’abord, la plainte pénale ne peut pas vous être refusée au guichet : l’article 15-3 du code de procédure pénale dispose que « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents », la plainte étant ensuite transmise au service compétent. Si un service rechigne, rappelez ce texte et exigez le récépissé de dépôt. Ensuite, l’action indemnitaire se prescrit : fondées sur le droit commun de la responsabilité, l’article 1240 du code civil rappelant que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », les actions personnelles se prescrivent par cinq ans « à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer », selon l’article 2224 du même code. Concrètement, le point de départ court le plus souvent du jour où vous avez appris l’exposition de vos données, par exemple à la réception de la réponse à votre demande d’accès ou des premiers messages d’hameçonnage ciblés, et non du jour de l’attaque elle-même, que vous ignoriez. N’attendez donc pas la fin de l’enquête pénale ou de l’instruction de la CNIL pour agir au civil : ces procédures n’interrompent pas la prescription de votre action personnelle. Enfin, le choix du tribunal vous est favorable : en matière délictuelle, l’article 46 du code de procédure civile permet au demandeur de saisir, outre la juridiction du domicile du défendeur, « la juridiction du lieu du fait dommageable ou celle dans le ressort de laquelle le dommage a été subi ». Vous pouvez donc agir devant le tribunal judiciaire de votre domicile, là où vous avez reçu les messages frauduleux et subi le préjudice, sans vous déplacer au siège de l’enseigne. Cette option de compétence, combinée au droit au recours effectif devant la juridiction de votre État membre, fait de l’action en réparation une voie praticable pour un litige de quelques milliers d’euros, y compris sans avocat obligatoire devant certaines formations, même si l’assistance d’un conseil reste recommandée pour articuler violation, préjudice et lien de causalité comme l’exige la Cour de justice.