Dans la nuit du 11 au 12 octobre 2026, les systèmes de régulation frigorifique d’un fabricant européen équipant de nombreux supermarchés français ont été pris pour cible par des pirates, selon BFMTV. Les assaillants auraient détourné à distance la fonction de dégivrage des installations en imposant une consigne de température de 50 degrés pendant plusieurs heures, toujours selon BFMTV qui cite une source du secteur évoquant une vague de chaleur à l’ouverture des meubles froids. Un groupement d’enseignes de grande distribution a fait état de 300 magasins affectés, une coopérative de distribution de moins d’une centaine de points de vente touchés, et un autre groupe de distribution a confirmé des répercussions sur le fonctionnement des équipements de froid dans plusieurs magasins, selon ce même article de BFMTV publié le 12 octobre 2026. TF1 évoque de son côté au moins 150 magasins touchés dans plusieurs enseignes.
À la date de rédaction du présent article, aucune source officielle n’a constaté qu’une intrusion avait compromis des données personnelles de clients, aucun dommage relatif à des données n’a été établi par une autorité, et aucune responsabilité n’a été retenue contre l’une ou l’autre des entreprises concernées. Les développements qui suivent décrivent les vérifications utiles dans toute situation comparable où une cyberattaque transitant par un prestataire technique pourrait exposer des données de clients, et seul le juge décide des responsabilités. Les contrats signés entre les enseignes, leurs prestataires et leurs clients priment sur toute analyse générale.
La question que se posent les clients est concrète : mes données de carte de fidélité, de paiement ou de compte en ligne ont-elles été exposées, que dois-je vérifier, quels droits puis-je exercer, et contre qui. La question que se posent les enseignes et leurs prestataires l’est tout autant : qui doit notifier la violation à la CNIL dans le délai de 72 heures, qui doit prévenir les clients, et qui répond du préjudice. Cet article répond aux deux versants, en distinguant les obligations de protection des données, les obligations contractuelles et les voies de recours.
I. Client d’une enseigne touchée : vérifier son exposition et exercer ses droits
A. Vérifier si vos données sont concernées et figer les preuves
Le premier réflexe consiste à déterminer si l’incident technique a pu exposer des données vous concernant. Une attaque contre des systèmes frigorifiques pilotés à distance ne compromet pas, par elle-même, des données de clients : les journaux de supervision, les sondes et les automates traitent des mesures de température, pas des fichiers de clientèle. L’exposition de données personnelles ne devient plausible que si les mêmes réseaux, les mêmes serveurs ou les mêmes accès distants hébergent aussi des traitements de données de clients, comme la base des cartes de fidélité, les historiques d’achats, les comptes Drive ou les données de paiement. Cette vérification ne peut pas être menée seul : elle suppose de demander à l’enseigne quelles données elle détient sur vous et si elles figurent parmi les données affectées.
Concrètement, conservez tout message reçu de l’enseigne : notification d’incident, courriel d’information, SMS d’alerte, message sur l’application de fidélité. Notez les dates, les heures et l’expéditeur exact de chaque message. Si vous recevez dans les jours qui suivent des SMS ou des courriels frauduleux se réclamant de l’enseigne, ne cliquez sur aucun lien, ne communiquez aucune donnée et conservez ces messages avec leurs en-têtes, car ils peuvent constituer des indices d’une exploitation des données et servir de preuve. Les captures d’écran datées de votre compte client, de vos relevés d’opérations et de vos échanges avec le service client complètent ce dossier. En cas de prélèvement inconnu ou d’utilisation frauduleuse d’un moyen de paiement, faites opposition sans délai auprès de votre banque et conservez l’attestation d’opposition.
Surveillez ensuite vos comptes : relevés bancaires, compte de fidélité, points et avantages, courriels de confirmation de commandes que vous n’avez pas passées. Toute anomalie doit être signalée par écrit à l’enseigne, par lettre recommandée avec accusé de réception ou par courriel conservé, en décrivant les faits, les dates et les montants. Ce courrier écrit interrompt toute discussion ultérieure sur le point de savoir si l’enseigne avait été informée, et il fixe le point de départ des délais de réponse que le droit applicable impose au responsable du traitement.
Lorsque les enjeux sont significatifs, le recours à un commissaire de justice pour dresser un constat des messages frauduleux, des anomalies du compte client ou des contenus publiés à partir des données détournées renforce la force probante du dossier. Le constat décrit l’environnement technique, les adresses des expéditeurs, les horodatages et les liens, sans que la partie adverse puisse ensuite contester l’existence ou le contenu des éléments. Son coût reste à la charge du demandeur dans un premier temps, mais il peut être intégré aux frais dont le remboursement est sollicité devant le juge. Pour les professionnels comme pour les particuliers, ce niveau de preuve fait souvent la différence entre une demande accueillie et une demande rejetée pour défaut de justification.
Si vous êtes salarié d’un magasin touché, la même vigilance s’applique à vos données professionnelles : plannings, badgeages, relevés d’heures ou enregistrements de vidéosurveillance transitant par des systèmes connectés. Les règles propres au contrôle des salariés par l’employeur relèvent d’un régime distinct, mais vos droits d’accès et de rectification restent entiers.
Pour une analyse détaillée de la marche à suivre après le piratage des données d’un grand organisme, avec les modèles de démarches auprès de la CNIL et du juge, vous pouvez lire ce que doivent faire les victimes d’une fuite de données massive : plainte, CNIL et indemnisation.
B. Exercer vos droits d’accès, d’effacement et d’opposition, puis saisir la CNIL
Le règlement général sur la protection des données reconnaît à toute personne concernée un droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées, et l’accès à ces données avec les informations sur les finalités, les catégories, les destinataires et la durée de conservation. La demande s’adresse à l’enseigne, en sa qualité de responsable du traitement de son fichier clients, par le canal qu’elle indique dans sa politique de confidentialité, en joignant un justificatif d’identité si l’enseigne le demande pour vérifier votre identité. L’enseigne doit répondre dans un délai d’un mois, délai qui peut être prolongé de deux mois en cas de complexité, à charge pour elle de vous en informer.
Le droit d’accès permet de vérifier quelles données l’enseigne détient : identité, coordonnées, historique d’achats, données de fidélité, enregistrements du service client. Si des données sont inexactes, le droit de rectification permet d’en exiger la correction. Si des données ne sont plus nécessaires, si vous retirez votre consentement ou si vous vous opposez au traitement, le droit à l’effacement permet d’en demander la suppression, sous réserve des obligations légales de conservation qui pèsent sur l’enseigne, notamment en matière comptable et fiscale. Le respect de la vie privée fonde ces démarches : « Chacun a droit au respect de sa vie privée », selon l’article 9 du code civil. Le droit d’opposition permet de refuser à tout moment la prospection commerciale, et l’enseigne doit alors cesser tout envoi sans délai ni justification à fournir.
Lorsque l’enseigne ne répond pas, répond de façon incomplète ou refuse sans motif valable, la plainte auprès de la Commission nationale de l’informatique et des libertés constitue la voie naturelle. La plainte se dépose en ligne sur le site de la CNIL, après avoir exercé vos droits auprès de l’organisme : la CNIL exige en principe cette démarche préalable, sauf si vous n’avez reçu aucune réponse dans le délai applicable ou si l’organisme est injoignable. Joignez à la plainte la copie de votre demande de droits, la preuve de son envoi, la réponse éventuelle de l’enseigne et tout élément sur l’incident. La CNIL peut contrôler l’organisme, le mettre en demeure et prononcer des sanctions, dont des amendes administratives, mais elle n’indemnise pas les victimes : la réparation du préjudice relève du juge.
La jurisprudence illustre l’effectivité de ces droits. Par ordonnance du 28 mai 2026, le juge des référés du tribunal judiciaire d’Arras a statué sur la demande d’un particulier qui contestait son inscription dans un fichier d’incidents de paiement après une usurpation d’identité, et qui sollicitait notamment la limitation du traitement de ses données sur le fondement de l’article 18 du règlement général sur la protection des données. Cette décision montre que le juge des référés peut être saisi rapidement lorsque l’exercice des droits se heurte à l’inertie de l’organisme. De même, par jugement du 18 décembre 2024, le tribunal judiciaire de Paris a statué sur l’action de groupe engagée par une association de consommateurs contre deux sociétés du groupe Google à propos du traitement des données des utilisateurs, ce qui illustre la voie collective ouverte aux consommateurs lorsque de nombreuses personnes sont affectées par un même manquement.
II. Quand l’attaque transite par le prestataire : notifications, responsabilités et réparation
A. Responsable du traitement et sous-traitant : qui notifie la CNIL et qui prévient les clients
La répartition des rôles conditionne toutes les obligations. L’enseigne qui constitue le fichier de ses clients et détermine les finalités du traitement, comme la gestion du programme de fidélité ou des commandes en ligne, est responsable du traitement. Le prestataire qui héberge les données, supervise les systèmes connectés ou assure la maintenance à distance agit comme sous-traitant lorsqu’il traite des données pour le compte de l’enseigne et sur ses instructions. Le règlement impose au responsable du traitement de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes : « des garanties suffisantes », selon l’article 28 du règlement général sur la protection des données, disponible sur EUR-Lex, règlement (UE) 2016/679, article 28. Le contrat entre l’enseigne et son prestataire doit encadrer l’objet, la durée, la nature et les finalités du traitement, ainsi que les mesures de sécurité.
En cas de violation de données personnelles, le partage des tâches est fixé par les articles 33 et 34 du règlement. Le sous-traitant qui découvre l’incident doit alerter le responsable du traitement : « dans les meilleurs délais », selon l’article 33, paragraphe 2, du règlement (UE) 2016/679. Le responsable du traitement notifie ensuite la violation à la CNIL « si possible, 72 heures au plus tard » après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, selon l’article 33, paragraphe 1, du même règlement. Lorsque la notification intervient après ce délai, elle doit exposer les motifs du retard, et toute violation doit être documentée en interne avec ses effets et les mesures prises.
L’information des clients obéit à un seuil distinct. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement doit la communiquer à la personne concernée dans les meilleurs délais : « dans les meilleurs délais », selon l’article 34, paragraphe 1, du règlement (UE) 2016/679. Cette communication s’effectue en des termes clairs et simples et décrit la nature de la violation, ses conséquences probables et les mesures prises. Elle n’est pas exigée si les données étaient rendues incompréhensibles par un chiffrement adéquat, si des mesures ultérieures ont écarté le risque élevé, ou si elle exigerait des efforts disproportionnés, auquel cas une communication publique équivalente doit y suppléer.
Dans l’affaire des systèmes frigorifiques d’octobre 2026, ces règles signifient que le fabricant des systèmes de régulation et les sociétés de maintenance, s’ils traitent des données pour le compte des enseignes, pourraient être regardés comme des sous-traitants tenus d’alerter chaque enseigne dans les meilleurs délais, tandis que chaque enseigne, responsable de son fichier clients, arbitrerait la notification à la CNIL dans le délai de 72 heures et l’information de ses clients en cas de risque élevé. Cette articulation reste conditionnelle : elle dépend des contrats conclus, des traitements réellement affectés et des constatations techniques, que seul l’examen des pièces permet d’établir.
Le responsable du traitement doit également tenir un registre des violations, documentant les faits, les effets et les mesures correctives, que la CNIL peut exiger lors d’un contrôle même lorsque la violation n’a pas été notifiée faute de risque caractérisé. La désignation d’un délégué à la protection des données, obligatoire pour les organismes dont les activités de base consistent en des traitements à grande échelle, facilite l’arbitrage des notifications et constitue l’interlocuteur naturel de la CNIL. Dans les groupes de distribution, où le fichier clients peut être partagé entre la tête de réseau et les magasins adhérents, la qualification de responsable conjoint du traitement doit être examinée : l’accord entre coresponsables doit alors définir leurs obligations respectives, notamment pour l’exercice des droits et l’information des personnes, et son contenu essentiel doit être mis à la disposition de celles-ci.
Côté technique, le règlement impose à chaque acteur des mesures de sécurité appropriées au risque, incluant la pseudonymisation et le chiffrement, la résilience des systèmes, la sauvegarde et des procédures d’évaluation régulière de l’efficacité des mesures. Un accès distant de maintenance sans authentification robuste, une segmentation insuffisante entre les réseaux industriels et les systèmes d’information clients, ou l’absence de journalisation des accès constituent des points que la CNIL examine systématiquement lors de ses contrôles. La CNIL rappelle sur sa page consacrée aux violations de données personnelles : obligations de notification et démarches les critères d’appréciation du risque et le contenu attendu des notifications, et sa page sur les droits pour maîtriser vos données personnelles détaille les démarches ouvertes aux particuliers.
B. Obtenir réparation : action en responsabilité, référé et plainte pénale
Toute personne qui estime avoir subi un préjudice du fait d’une violation du règlement peut agir en « réparation du préjudice subi » contre le responsable du traitement ou le sous-traitant, selon l’article 82, paragraphe 1, du règlement (UE) 2016/679. Le préjudice peut être matériel, comme des achats frauduleux, des frais d’opposition ou une perte de points de fidélité, ou moral, comme l’angoisse liée à l’exposition de ses données ou le temps consacré aux démarches. Le sous-traitant ne répond que s’il a méconnu les obligations qui lui incombent spécifiquement ou s’il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci, et chaque acteur s’exonère en prouvant que le fait à l’origine du dommage ne lui est pas imputable.
La preuve du préjudice et du lien avec la violation repose sur la victime, d’où l’importance du dossier constitué dès les premiers jours : messages de l’enseigne, relevés bancaires, attestations d’opposition, constats d’huissier ou captures certifiées des messages frauduleux, échanges avec le service client, dépôt de plainte. La Cour de justice de l’Union européenne a jugé que la seule violation du règlement ne suffit pas à caractériser un dommage moral et que la personne concernée doit démontrer un préjudice réel, même s’il peut être minime, ce qui exclut toute indemnisation automatique. Le droit commun de la responsabilité conforte cette action : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », selon l’article 1240 du code civil. Le chiffrage doit donc être précis : additionnez les sommes détournées, les frais exposés et justifiez chaque poste, y compris le trouble moral, par des éléments concrets comme la durée d’exposition, la sensibilité des données et les démarches accomplies.
En cas d’urgence, le juge des référés peut être saisi pour obtenir rapidement des mesures conservatoires ou de remise en état : le président du tribunal judiciaire peut « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », selon l’article 835 du code de procédure civile. Cette voie permet par exemple de faire ordonner sous astreinte la communication des données détenues, la suspension d’un traitement ou la conservation de journaux techniques menacés d’effacement. L’ordonnance du tribunal judiciaire d’Arras du 28 mai 2026, rendue dans un litige de fichier bancaire après une usurpation d’identité (RG 26/00024), et le jugement du tribunal judiciaire de Paris du 18 décembre 2024 sur l’action de groupe dirigée contre deux sociétés du groupe Google (RG 19/08151) montrent que les juges examinent concrètement les manquements allégués aux obligations issues du règlement, sans jamais présumer la responsabilité.
Lorsque de nombreux clients sont affectés par un même manquement, l’action de groupe prévue par le code de la consommation permet à une association agréée d’agir en cessation du manquement et en réparation des préjudices individuels, après une mise en demeure restée vaine. Seules les associations agréées de défense des consommateurs peuvent exercer cette voie, conformément à l’article L. 621-1 du code de la consommation, qui réserve l’action aux « Les associations régulièrement déclarées […] agréées à cette fin ». Le jugement du tribunal judiciaire de Paris du 18 décembre 2024, qui a déclaré irrecevable l’action de groupe engagée contre deux sociétés du groupe Google, rappelle toutefois que cette voie obéit à des conditions strictes de recevabilité et de définition du groupe, que l’association doit établir avec précision. L’action individuelle devant le tribunal judiciaire du domicile reste dans tous les cas ouverte, et le juge peut allouer des dommages et intérêts en réparation du préjudice matériel comme du préjudice moral dûment justifiés.
Le volet pénal complète le dispositif. La collecte de données par un moyen frauduleux, déloyal ou illicite est réprimée : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-18 du code pénal. Le traitement mis en œuvre sans respect des formalités préalables prévues par la loi est puni des mêmes peines, y compris par négligence : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-16 du code pénal. La divulgation non autorisée de données portant atteinte à la considération de la personne ou à l’intimité de sa vie privée relève quant à elle de l’article 226-22 du code pénal. Les actions en réparation se prescrivent par cinq ans : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer », selon l’article 2224 du code civil. Le dépôt de plainte, notamment après des usages frauduleux, permet à la victime de se constituer partie civile et de demander réparation dans le cadre du procès pénal.
À la date de rédaction, les enseignes concernées par l’incident des systèmes frigorifiques ont décrit un incident technique affectant la chaîne du froid, sans qu’aucune autorité ait constaté une compromission de données de clients ni retenu une responsabilité. Les clients qui s’interrogent doivent donc vérifier les faits les concernant, exercer leurs droits par écrit et conserver leurs preuves, sans présumer ni l’exposition de leurs données ni la responsabilité d’un acteur. Les contrats conclus entre chaque enseigne et ses prestataires priment pour déterminer qui répond de quoi, et seul le juge, saisi des pièces et des constatations techniques, décide des responsabilités et des réparations.