I. Dans les premières heures : isoler, qualifier et tracer avant de notifier
A. Isoler le système, figer les preuves et identifier les traitements touchés
La première heure suivant la découverte de l’incident conditionne tout ce qui suit, sur le plan technique comme sur le plan juridique. L’exploitant doit faire isoler le système affecté du reste de son réseau, sans l’éteindre brutalement si des journaux volatils peuvent encore être préservés, et demander par écrit à son prestataire informatique la suspension des accès distants litigieux. Chaque consigne doit être datée et conservée : en cas de litige ultérieur sur le contrat de maintenance ou de supervision, le juge examinera qui a fait quoi, à quel moment, et sur instruction de qui.
La seconde tâche consiste à figer les preuves. Les journaux de connexion, les historiques d’alertes de température, les relevés manuels effectués par les équipes du magasin, les tickets d’incident, les échanges avec le prestataire et, le cas échéant, les enregistrements du système de caisse pendant la période perturbée forment le socle probatoire du dossier. Ces éléments serviront à la fois à la notification à la CNIL, qui exige une description précise de la nature de la violation et de ses conséquences probables, à l’assureur, qui vérifiera le respect des obligations déclaratives de la police cyber, et au contentieux éventuel contre le prestataire, où l’exploitant devra démontrer l’inexécution alléguée. La conservation doit respecter les durées prévues par le registre des traitements et la politique interne, sans effacement sélectif qui pourrait être interprété comme une dissimulation.
La troisième tâche est la qualification des traitements concernés. L’exploitant doit recenser ce que le système compromis traite réellement : les comptes et identifiants des techniciens qui se connectent à distance, les journaux d’intervention, les données de paramétrage des installations, et, lorsque le prestataire héberge plusieurs services, les éventuels fichiers clients tels que les bases de fidélité ou les historiques d’achat. Cette cartographie détermine si l’incident constitue une violation de données à caractère personnel au sens du règlement européen, c’est-à-dire une destruction, une perte, une altération, une divulgation non autorisée ou un accès non autorisé à des données personnelles. Si seuls des paramètres techniques anonymes sont en cause, les obligations de notification décrites ci-après ne s’appliquent pas de la même manière, même si le préjudice commercial et le trouble d’exploitation demeurent entiers. À l’inverse, dès que des identifiants, des adresses électroniques, des numéros de téléphone ou des historiques nominatifs sont susceptibles d’avoir été consultés ou exfiltrés, le régime des articles 33 et 34 du règlement s’enclenche.
Cette qualification ne peut pas être déléguée aveuglément au prestataire mis en cause. Le contrat de sous-traitance doit prévoir que le sous-traitant notifie à l’exploitant toute violation dans les meilleurs délais, mais c’est à l’exploitant, responsable du traitement, qu’il revient d’apprécier le risque pour les droits et libertés des personnes et de décider de notifier l’autorité de contrôle. En pratique, l’exploitant exige du prestataire un rapport écrit circonstancié : périmètre affecté, chronologie, nature des données potentiellement exposées, mesures de confinement déjà prises. Si le prestataire reste silencieux ou se contente d’affirmations verbales, une mise en demeure écrite s’impose, car le délai de soixante-douze heures court à compter de la prise de connaissance et ne suspend pas son cours pendant les négociations commerciales.
Enfin, l’exploitant vérifie ses propres manquements éventuels avant d’imputer la faute au seul prestataire : comptes partagés entre salariés, mots de passe inchangés depuis des années, postes de supervision accessibles sans authentification renforcée, absence de segmentation entre le réseau bureautique et le réseau des équipements pilotés. Le règlement impose en effet au responsable du traitement comme au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins, la pseudonymisation et le chiffrement des données, des moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, des moyens de rétablir la disponibilité des données dans des délais appropriés, et une procédure de test régulier de l’efficacité de ces mesures. Un audit interne rapide, mené avec l’aide d’un prestataire indépendant du prestataire mis en cause, permet de mesurer la part respective des responsabilités et d’éviter que l’exploitant, en voulant accuser trop vite, ne découvre ensuite devant la CNIL ou devant le juge que sa propre configuration a facilité l’intrusion.
B. Notifier la CNIL en soixante-douze heures et décider d’informer les clients
Lorsque l’incident constitue une violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, le responsable du traitement doit la notifier à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, soixante-douze heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un tel risque. Lorsque la notification n’a pas lieu dans les soixante-douze heures, elle est accompagnée des motifs du retard. Ce délai court dès que l’exploitant dispose d’un degré raisonnable de certitude qu’une violation s’est produite, même si tous les détails ne sont pas encore connus : la notification peut être faite en plusieurs temps, puis complétée sans retard injustifié.
Le contenu de la notification est encadré. Elle doit décrire la nature de la violation, y compris si possible les catégories et le nombre approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d’enregistrements touchés, communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact, décrire les conséquences probables de la violation et décrire les mesures prises ou envisagées pour y remédier, y compris pour en atténuer les conséquences négatives. L’exploitant doit en outre documenter toute violation, en consignant les faits, ses effets et les mesures correctives, de manière à permettre à l’autorité de contrôle de vérifier le respect de ces obligations. En pratique, la notification s’effectue via le téléservice de la CNIL dédié aux violations, et le récépissé obtenu doit être versé au dossier, au même titre que le registre des violations tenu en interne.
L’appréciation du risque détermine la suite. Si la violation est peu susceptible d’engendrer un risque, par exemple parce que les données exposées étaient chiffrées avec un algorithme robuste dont la clé n’a pas été compromise, la notification à l’autorité peut ne pas être requise, mais l’analyse qui fonde cette conclusion doit être écrite et conservée, car la CNIL pourra la contrôler. Si le risque existe, la notification est obligatoire. Si le risque est élevé, par exemple en cas d’exposition de coordonnées bancaires, d’identifiants couplés à des mots de passe en clair, ou de données permettant une usurpation d’identité des clients du magasin, l’exploitant doit en outre communiquer la violation aux personnes concernées dans les meilleurs délais, en des termes clairs et simples, en indiquant la nature de l’incident, le point de contact, les conséquences probables et les mesures prises.
Trois exceptions dispensent de cette communication individuelle : le responsable du traitement avait appliqué aux données affectées des mesures de protection appropriées, telles que le chiffrement, qui les rendent incompréhensibles aux personnes non autorisées ; il a pris des mesures ultérieures garantissant que le risque élevé ne se matérialisera plus ; ou la communication exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente doit être organisée. Ces exceptions s’interprètent strictement et doivent être documentées avec le même soin que la notification elle-même. L’autorité de contrôle peut du reste ordonner à l’exploitant d’informer les personnes concernées s’il ne l’a pas fait alors que les conditions étaient réunies.
Du côté des clients du magasin, la communication doit être sobre, factuelle et utile : nature de l’incident, données potentiellement concernées, mesures de précaution recommandées telles que la vigilance face aux messages frauduleux se réclamant de l’enseigne, et coordonnées du point de contact. Les messages qui minimisent l’incident avant la fin des investigations ou qui promettent qu’aucune donnée n’a été compromise alors que l’analyse est en cours exposent l’exploitant à un redressement de la CNIL et à des actions en réparation. Les clients qui s’estiment lésés disposent de plusieurs voies : adresser une réclamation à la CNIL, saisir le juge judiciaire pour obtenir réparation sur le fondement de l’article 82 du règlement, et déposer plainte si des faits d’escroquerie, d’usurpation d’identité ou d’accès frauduleux sont caractérisés, sachant que le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende. Pour une présentation générale de ces démarches côté personnes concernées, la lecture du guide consacré aux suites d’une fuite de données personnelles reste utile : que faire après une fuite de données personnelles : plainte, CNIL et indemnisation.
Enfin, l’exploitant n’oublie pas les autres destinataires éventuels de notifications : son assureur cyber dans les délais stipulés au contrat, sa tête de réseau ou son franchiseur si le contrat de franchise ou de groupement l’exige, étant rappelé que toute personne qui met à la disposition d’une autre personne un nom commercial, une marque ou une enseigne, en exigeant d’elle un engagement d’exclusivité ou de quasi-exclusivité, est tenue de fournir à l’autre partie un document donnant des informations sincères, qui lui permette de s’engager en connaissance de cause, et, lorsque l’incident dépasse le seul champ des données personnelles, les autorités sectorielles compétentes. Chaque notification doit être cohérente avec les autres : des versions contradictoires adressées à la CNIL, à l’assureur et aux clients fragilisent l’ensemble du dossier.
II. Le contrat avec le prestataire et la réparation des préjudices
A. Faire jouer le contrat : sécurité promise, mise en demeure et issue du contrat
Le contrat qui lie l’exploitant à son prestataire de supervision ou d’infogérance est la pièce maîtresse du dossier, bien avant toute discussion sur les responsabilités au regard du règlement européen. Lorsque le prestataire traite des données à caractère personnel pour le compte de l’exploitant, il agit comme sous-traitant, et le traitement doit être régi par un contrat ou un autre acte juridique qui définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Ce contrat doit notamment prévoir que le sous-traitant ne traite les données que sur instruction documentée de l’exploitant, garantit la confidentialité des personnes autorisées, met en œuvre les mesures de sécurité requises, respecte les conditions de recours à un autre sous-traitant, aide l’exploitant à répondre aux demandes d’exercice des droits, l’assiste dans ses obligations de sécurité et de notification, et, au terme de la prestation, supprime ou restitue les données selon le choix de l’exploitant.
L’exploitant commence donc par relire ce contrat à la lumière des faits : périmètre exact de la supervision confiée, engagements de disponibilité et de temps de rétablissement, niveaux de service et pénalités, clauses de sécurité telles que le chiffrement, l’authentification renforcée, la journalisation et les tests d’intrusion, clause d’audit, clause de réversibilité, et répartition des rôles entre le prestataire principal et ses propres sous-traitants, par exemple l’hébergeur des serveurs de supervision. Si aucun contrat écrit de sous-traitance conforme n’existe, l’exploitant se trouve en situation de non-conformité à l’égard de la CNIL indépendamment même de l’incident, et il doit régulariser sans délai tout en sachant que cette régularisation tardive ne couvrira pas le passé.
La mise en demeure constitue l’acte suivant. Adressée par écrit au prestataire, elle décrit les dysfonctionnements constatés, vise les clauses méconnues, exige le rétablissement du service dans un délai déterminé, demande la communication du rapport d’incident complet et des journaux, et réserve l’ensemble des droits de l’exploitant, y compris la réparation des préjudices. Cette lettre interrompt toute discussion purement commerciale et fait courir les délais contractuels de remédiation. Elle doit rester mesurée : l’exploitant y expose des faits vérifiés et des exigences contractuelles, sans qualifier pénalement le comportement du prestataire, car une accusation excessive et non démontrée pourrait se retourner contre son auteur.
Sur le fondement de cette mise en demeure restée infructueuse, plusieurs issues contractuelles sont envisageables selon les stipulations du contrat et la gravité de l’inexécution. La suspension du paiement des redevances peut être admise dans les conditions prévues au contrat ou, à défaut, avec une prudence particulière, car une suspension injustifiée exposerait l’exploitant à une résiliation pour faute du prestataire. La résiliation pour manquement grave, lorsqu’elle est prévue, suppose le respect strict de la procédure contractuelle, notamment le délai de remédiation et la notification par le mode convenu. Au-delà du contrat, la résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice, et le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification, après avoir, sauf urgence, préalablement mis en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. La résiliation d’un contrat de supervision d’équipements critiques ne peut pas se décider à la légère : l’exploitant doit avoir organisé la continuité du service, par exemple en reprenant la supervision en interne ou en confiant la prestation à un nouveau prestataire avec une phase de transition, sous peine de voir son propre manquement à l’obligation de continuité d’exploitation invoqué contre lui par sa tête de réseau ou par ses clients.
En parallèle, l’exploitant chiffre son préjudice de manière rigoureuse : marchandises détruites ou déclassées avec les constats et les relevés de température, chiffre d’affaires perdu pendant la fermeture ou la désorganisation du point de vente, coûts de remise en service et de remplacement du matériel, surcoûts de personnel et d’intérim, frais d’expertise technique et d’audit de sécurité, frais juridiques, et, lorsque des données personnelles sont en cause, coûts des notifications, de l’assistance aux personnes concernées et des mesures de protection mises à disposition des personnes concernées. Chaque poste doit être justifié par des pièces : factures, attestations comptables, photographies datées, constats d’huissier, rapports d’expertise. Le débiteur est en effet condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, sauf s’il justifie que l’exécution a été empêchée par la force majeure, et c’est au créancier qui invoque l’inexécution d’en établir la réalité et l’étendue.
Lorsque le prestataire devient injoignable ou refuse d’intervenir, l’exploitant peut saisir le juge des référés pour obtenir sous astreinte la communication des informations nécessaires, la poursuite temporaire de la prestation ou toute mesure conservatoire utile, à charge de démontrer l’urgence et l’absence de contestation sérieuse ou l’existence d’un trouble manifestement illicite selon le fondement choisi, le juge des référés pouvant prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite. Cette voie rapide ne préjuge pas du fond du litige, mais elle permet de figer les preuves et d’éviter l’aggravation du dommage pendant que l’expertise ou le procès au fond s’organise.
B. Responsabilités et réparation : qui répond de quoi, et à quelles conditions
La réparation des préjudices suit deux voies distinctes qui ne doivent pas être confondues : la responsabilité contractuelle entre l’exploitant et son prestataire, et la responsabilité au titre du règlement européen à l’égard des personnes concernées par la violation de données.
Entre l’exploitant et le prestataire, le manquement aux obligations de sécurité et de disponibilité stipulées au contrat engage la responsabilité contractuelle du prestataire, dans les limites des clauses de limitation ou d’exclusion éventuellement prévues. Ces clauses, fréquentes dans les contrats informatiques, doivent avoir été acceptées et ne couvrent jamais le dol ni la faute lourde ; leur validité et leur portée s’apprécient clause par clause, au regard du déséquilibre éventuel et des dispositions d’ordre public. L’exploitant qui a lui-même contribué au dommage, par exemple en négligeant les mises à jour relevant de sa sphère ou en refusant les recommandations de sécurité du prestataire, verra sa propre part de responsabilité retenue contre lui et son indemnisation réduite à proportion.
À l’égard des personnes concernées, le régime applicable est celui de l’article 82 du règlement européen, selon lequel toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du règlement, tandis qu’un sous-traitant n’est tenu pour responsable que s’il n’a pas respecté les obligations qui incombent spécifiquement aux sous-traitants ou s’il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. Chacun peut s’exonérer en prouvant que le fait qui a provoqué le dommage ne lui est nullement imputable. Lorsque plusieurs acteurs participent au même traitement, chacun est tenu pour la totalité du dommage afin de garantir une réparation effective à la personne concernée, quitte à se retourner ensuite contre les autres participants à proportion de leurs parts respectives de responsabilité.
Ce droit à réparation ne découle pas automatiquement de la seule violation du règlement. La Cour de justice de l’Union européenne juge que la simple violation des dispositions du règlement ne suffit pas pour conférer un droit à réparation, et la Cour de cassation française reprend cette solution en exigeant de la personne qui demande réparation qu’elle établisse, outre la violation, l’existence d’un dommage matériel ou moral causé par cette violation. Dans un arrêt du 24 juin 2026, la chambre sociale a ainsi cassé une décision qui avait alloué des dommages et intérêts pour exécution déloyale au seul motif qu’un traitement contraire au règlement avait nécessairement causé un préjudice, alors que le salarié ne démontrait dans ses écritures ni l’existence ni l’étendue de son préjudice. Concrètement, le client d’un magasin qui invoque une violation de ses données devra prouver le préjudice qu’il allègue, par exemple des messages frauduleux reçus et le temps passé à sécuriser ses comptes, des opérations contestées, ou un préjudice moral caractérisé par une anxiété médicalement ou factuellement étayée, et non se contenter d’affirmer que ses données ont circulé.
Sur le plan répressif, le fait de mettre en œuvre un traitement de données sans les mesures de sécurité prescrites par le règlement européen et la loi du 6 janvier 1978 est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. Cette incrimination vise les manquements graves et répétés aux obligations de sécurité, et elle s’ajoute aux amendes administratives que la CNIL peut prononcer, dont le montant peut atteindre des niveaux très élevés pour les manquements aux principes de sécurité et de notification. L’exploitant comme le prestataire ont donc intérêt à démontrer qu’ils avaient mis en œuvre des mesures appropriées avant l’incident et qu’ils ont réagi avec diligence après sa découverte.
Enfin, l’exploitant organise la fin du dossier avec méthode : mise à jour du registre des traitements et du registre des violations, analyse d’impact mise à jour ou réalisée si le traitement des données de supervision présente un risque élevé qui n’avait pas été anticipé, révision du contrat de sous-traitance pour y intégrer les enseignements de l’incident tels que des délais de notification renforcés, des tests d’intrusion périodiques et des pénalités dissuasives, et information du délégué à la protection des données lorsque l’organisme en a désigné un. Les décisions de la CNIL publiées montrent que l’autorité contrôle avec attention la réalité des mesures de sécurité, la qualité de la documentation et la diligence des notifications, et qu’elle sanctionne aussi bien l’absence de mesures que la passivité après l’incident. Un dossier complet, cohérent et daté constitue dès lors la meilleure défense de l’exploitant, tant devant l’autorité de contrôle que devant le juge du contrat.
Conclusion
L’exploitant dont le prestataire informatique est piraté ne subit pas l’incident : il le gère, et cette gestion s’apprécie à chaque étape. Isoler et tracer dans les premières heures, qualifier les traitements réellement touchés, notifier la CNIL dans les soixante-douze heures lorsque les conditions sont réunies, informer les clients avec mesure lorsque le risque est élevé, mettre le prestataire en demeure sur des faits précis et chiffrer chaque poste de préjudice forment une chaîne dont aucun maillon ne peut être négligé. À la date de rédaction, aucune intrusion ni aucun dommage précis n’est constaté par une source officielle au-delà de ce que la presse rapporte, aucune responsabilité n’est établie, les contrats signés entre l’exploitant et son prestataire priment sur toute analyse générale, et seul le juge, saisi des pièces du dossier, tranchera les responsabilités et la réparation.