D’après le site d’information BFM, dans un article mis en ligne le 13 octobre 2026, la cyberattaque qui vise les installations frigorifiques de supermarchés français pourrait être plus étendue qu’initialement décrite : un magasin supplémentaire aurait été contraint de jeter des produits frais ce même 13 octobre, alors que ses équipements relèveraient, toujours selon cet article, d’un autre fabricant que celui jusqu’ici évoqué dans la couverture de cette affaire. Selon le même article, la liste des magasins touchés continuerait de s’allonger. Ces faits sont rapportés ici strictement d’après cette source de presse, qui ne constitue ni un acte officiel ni la parole des entreprises concernées. À la date de rédaction, aucun accident, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité n’est établie, les contrats signés entre les enseignes, leurs prestataires et leurs clients priment sur toute analyse générale, et seul le juge décide en cas de litige. Ce que la source ne dit pas est écrit au conditionnel dans cet article, et toute qualification juridique est elle aussi formulée au conditionnel. La question pratique pour les clients est simple : quand un magasin indique que ses frigos sont d’une autre marque et que tout irait bien pour les données, faut-il le croire et s’abstenir d’agir ? Cet article décrit la méthode pour vérifier votre exposition réelle, exercer vos droits sur vos données de client et, le cas échéant, obtenir réparation, indépendamment de la marque des équipements de froid. Chaque affirmation déterminante renvoie au texte applicable ou à une source officielle lue intégralement, avec le lien officiel.

I. Comprendre ce que l’extension à un second système change pour vos données personnelles

A. Le froid et le fichier clients sont deux systèmes distincts : la marque du frigo ne dit pas si vos données ont fui

Un supermarché traite vos données dans plusieurs systèmes qui n’ont pas la même fonction ni le même hébergement. D’un côté, la supervision des meubles froids relève d’un pilotage industriel : sondes, automates, supervision à distance, alertes de température, maintenance confiée à un équipementier ou à un prestataire de froid. De l’autre, la relation client repose sur des traitements commerciaux et comptables : carte de fidélité, compte en ligne, historique d’achats, tickets dématérialisés, prospection par SMS ou courriel, paiement, vidéosurveillance des locaux. Ces deux ensembles peuvent être fournis, hébergés et supervisés par des prestataires différents, sur des réseaux différents, avec des bases de données différentes. Il serait donc inexact de déduire de la seule marque d’un meuble froid que le fichier clients serait intact, comme il serait inexact d’affirmer l’inverse. Selon la source de presse précitée, le fait qu’un magasin supplémentaire soit touché avec des équipements relevant d’un autre fabricant suggèrerait, au conditionnel, une attaque plus large ou plusieurs vecteurs, mais cette source ne décrit ni les systèmes de données clients concernés, ni les catégories de données exfiltrées, ni le nombre de personnes touchées. En droit des données, seule la qualification précise du traitement en cause permet de raisonner : identifier le traitement, les parties, les rôles et le contrat avant de choisir l’action.

Le règlement européen sur la protection des données du 27 avril 2016, dont la CNIL présente le chapitre 4 consacré aux responsables et sous-traitants définit la violation de données personnelles comme une faille de sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles. La marque du réfrigérateur n’entre pas dans cette définition. Ce qui compte, c’est de savoir si des données qui permettent de vous identifier, directement ou indirectement, ont été exposées : nom, coordonnées, numéro de carte de fidélité associé à un compte nominatif, historique d’achats lié à une personne, images permettant une identification, identifiants de compte en ligne. Des journaux techniques de température anonymisés ne sont pas des données personnelles, tandis qu’un export de base fidélité l’est. Cette distinction explique pourquoi deux clients du même magasin peuvent se trouver dans des situations différentes : l’un n’a utilisé qu’un paiement en espèces sans carte ni compte et ne laisse que peu de traces nominatives, l’autre cumule carte de fidélité, application, drive et tickets dématérialisés et concentre son exposition dans le système commercial, indépendamment du prestataire de froid. La CNIL rappelle que les violations peuvent prendre des formes variées et que les obligations dépendent du risque pour les personnes.

La répartition des rôles entre l’enseigne et ses prestataires est décisive et ne se présume pas. Le même règlement prévoit que le traitement effectué pour le compte d’un responsable doit être encadré par un contrat de sous-traitance qui en définit l’objet, la durée, la nature et la finalité. En pratique, l’enseigne qui exploite le magasin est le plus souvent responsable du traitement des données clients, tandis que l’équipementier de froid, l’hébergeur du programme de fidélité, l’éditeur de l’application ou le prestataire de paiement seraient susceptibles, au conditionnel, d’être qualifiés de sous-traitants pour les traitements qu’ils effectuent pour son compte, chacun dans son périmètre. Le même chapitre précise que le sous-traitant doit avertir le responsable de toute violation dans les meilleurs délais après en avoir eu connaissance. Concrètement, si la faille initiale touche la supervision du froid, le prestataire de froid devrait alerter l’enseigne sans retard, mais cette alerte ne dit rien, à elle seule, sur l’état du fichier fidélité hébergé ailleurs. Inversement, si l’attaque a emprunté le réseau du magasin pour rebondir vers le système commercial, seule une investigation technique permet de l’établir. Dans les deux cas, une déclaration publique centrée sur les frigos ne remplace ni l’analyse du périmètre de la violation ni, le cas échéant, les notifications dues au titre des données personnelles. Les développements qui décrivent les obligations des enseignes et de leurs prestataires dans la suite de cet article sont de portée générale et ne visent aucune entreprise en particulier.

La sécurité attendue du responsable de traitement et de son sous-traitant est une obligation de moyens renforcés, appréciée au regard du risque. Le règlement impose au responsable et à son sous-traitant de mettre en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment la pseudonymisation et le chiffrement, la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, ainsi que des procédures de test et d’évaluation régulières. La CNIL détaille les notifications attendues et le registre des violations à tenir. L’existence d’une cyberattaque ne suffit pas, à elle seule, à caractériser un manquement : le juge et l’autorité vérifient les mesures réellement déployées avant et après les faits, la segmentation des réseaux entre l’industriel et le commercial, la gestion des accès distants des mainteneurs, la journalisation, les sauvegardes et la rapidité de réaction. Une enseigne dont un magasin utilise des équipements d’une autre marque que ceux initialement évoqués ne serait pas, au conditionnel, exonérée par ce seul fait, pas plus qu’elle ne serait présumée fautive : tout dépend des mesures et des contrats, que le client ne connaît pas et que l’enseigne doit documenter. Pour le lecteur, la conséquence est claire : ne pas s’arrêter à l’argument de la marque, et vérifier son exposition personnelle dans le système commercial, qui est le seul où ses droits s’exercent utilement. Ce point est développé dans la démarche de vérification qui suit, puis dans la méthode d’exercice des droits. Les lecteurs qui souhaitent replacer cette affaire dans la méthode générale applicable à toute fuite de données d’enseigne peuvent consulter le guide consacré aux données personnelles piratées après une cyberattaque et aux réflexes de plainte et d’indemnisation.

B. Vérifier votre exposition réelle quand le magasin dit que tout va bien : tickets, fidélité, compte en ligne et messages reçus

Une cyberattaque qui touche les frigos ne prouve pas que votre compte fidélité a fui, et un communiqué rassurant sur les frigos ne prouve pas le contraire. La vérification repose sur des pièces personnelles, pas sur des déclarations générales. Commencez par établir votre lien avec l’enseigne concernée au cours des derniers mois : carte de fidélité physique ou dématérialisée, compte en ligne ou application, commandes drive ou livraison, tickets de caisse conservés, relevés bancaires faisant apparaître le magasin, inscriptions à des lettres d’information. Conservez les originaux et faites des copies horodatées : captures d’écran du compte montrant le nom, le magasin de rattachement et l’historique, courriels de confirmation, SMS de l’enseigne. Notez par écrit les dates de vos derniers passages et les services utilisés. Ce dossier personnel servira pour toute demande d’accès et, le cas échéant, pour établir le lien entre l’incident et votre situation. Si vous n’avez aucun compte et avez payé en espèces sans fidélité, votre exposition dans le fichier clients est vraisemblablement faible, ce qui n’exclut pas d’autres traces comme des images de vidéosurveillance si vous vous êtes rendu sur place.

Interrogez ensuite les canaux officiels de l’enseigne, sans vous contenter d’une phrase entendue en magasin. Recherchez sur le site de l’enseigne une page d’information sur l’incident, une foire aux questions, une adresse dédiée aux droits sur les données et les coordonnées du délégué à la protection des données. Vérifiez votre boîte de réception, y compris les courriers indésirables, pour détecter une notification individuelle : le règlement prévoit que, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne, le responsable doit l’en informer dans les meilleurs délais, en des termes clairs et simples. La CNIL précise quand cette information individuelle est due et ce qu’elle doit contenir. L’absence de message reçu à ce stade ne signifie pas que vous n’êtes pas concerné : l’investigation peut être en cours, l’enseigne peut avoir considéré à tort que le risque n’est pas élevé, ou vos coordonnées peuvent être obsolètes. À l’inverse, la réception d’un message vous invitant à changer votre mot de passe ou à rester vigilant ne démontre pas, à elle seule, l’étendue de la fuite. Dans les deux cas, notez les dates, conservez les messages avec leurs en-têtes et ne cliquez sur aucun lien douteux.

Surveillez enfin les signaux faibles d’utilisation détournée de vos données, sans les surinterpréter. Une recrudescence de SMS ou de courriels frauduleux citant l’enseigne, votre nom ou votre carte de fidélité, des tentatives de connexion inhabituelles à votre compte, des achats que vous n’avez pas passés ou des appels se réclamant du service clients doivent être conservés avec leurs captures, dates et numéros d’expéditeurs. Ces éléments ne prouvent pas, à eux seuls, que telle attaque précise est la cause de tel message, car vos données peuvent provenir d’autres fuites, mais ils documentent un risque et un préjudice d’angoisse éventuel, et ils justifient de passer à l’exercice actif de vos droits décrit dans la seconde partie. Déposez sans tarder un signalement sur la plateforme officielle contre les messages frauduleux et, si un message vous a causé un préjudice financier, conservez la preuve du débit et des démarches auprès de votre banque. Ne publiez pas vos données sur les réseaux sociaux pour demander de l’aide, ne transmettez vos pièces d’identité qu’aux interlocuteurs vérifiés, et changez les mots de passe réutilisés entre l’enseigne et d’autres services, en activant la double authentification lorsque c’est possible. Cette hygiène limite le risque pendant que l’enquête se poursuit. Les recommandations officielles de la CNIL en cas de violation de données détaillent ces réflexes.

Un cas particulier mérite attention : le magasin qui affirme que ses équipements relèvent d’un autre système et que ses clients ne seraient pas concernés. D’après la source de presse précitée, un magasin supplémentaire relèverait d’un autre fabricant que celui jusqu’ici évoqué, sans que cette source ne décrive les systèmes de données clients. Une telle affirmation, si elle est tenue en magasin ou dans un message local, devrait être regardée, au conditionnel, comme une simple déclaration commerciale tant qu’elle n’est pas accompagnée d’informations précises : quel traitement est visé, quelles catégories de données sont exclues et sur quelle investigation cette exclusion repose. En droit, le responsable de traitement ne peut s’exonérer par une pétition de principe sur une marque : il doit documenter le périmètre, notifier à l’autorité lorsque les conditions sont réunies et informer les personnes lorsque le risque est élevé. Pour le client, la bonne réponse à une fin de non-recevoir orale est donc une demande écrite d’accès et d’information, qui oblige à une réponse écrite, motivée et vérifiable, comme expliqué ci-après. Si vous êtes client de plusieurs enseignes ou si vous utilisez aussi un compte en ligne national commun à tout un réseau, renouvelez la vérification pour chaque compte, car un fichier centralisé peut exposer des clients de magasins dont les frigos n’ont jamais été touchés.

II. Exercer vos droits et obtenir réparation même quand l’enseigne minimise

A. Accès, effacement, opposition et plainte à la CNIL : la méthode complète quand on vous répond que vous n’êtes pas concerné

Le droit d’accès permet d’obtenir la confirmation qu’un responsable traite ou non vos données et, dans l’affirmative, d’en obtenir une copie et des explications. La CNIL décrit les droits d’accès, de rectification, d’effacement et d’opposition ainsi que leurs modalités. Écrivez au délégué à la protection des données de l’enseigne, de préférence par lettre recommandée ou par le formulaire officiel lorsqu’il existe, en joignant une copie de votre pièce d’identité strictement limitée à ce qui est nécessaire et en précisant votre demande : confirmation du traitement, copie des données détenues sur votre compte fidélité et votre compte en ligne, catégories de données concernées par l’incident, destinataires auxquels elles ont été communiquées, durée de conservation et mesures prises depuis l’incident. Demandez si une violation vous concernant a été notifiée à la CNIL et si vous auriez dû être informé individuellement. Le responsable doit vous répondre dans un délai d’un mois, prorogeable de deux mois en cas de complexité, et motiver tout refus. Conservez la preuve de l’envoi et de la réponse. Si la réponse se borne à indiquer que les frigos du magasin sont d’une autre marque, sans répondre sur le fichier clients, renouvelez la demande en visant explicitement le fichier clients et non le système de froid, et demandez la communication du registre des violations pour ce qui vous concerne.

Le droit à l’effacement et le droit d’opposition complètent utilement l’accès lorsque la confiance est rompue. Vous pouvez demander l’effacement de votre compte fidélité et de la prospection associée lorsque les données ne sont plus nécessaires, lorsque vous retirez votre consentement ou lorsque vous vous opposez au traitement, sous réserve des obligations légales de conservation comme la comptabilité. Vous pouvez vous opposer à tout moment à la prospection, et demander la limitation du traitement pendant l’instruction de votre contestation. Ces demandes doivent être écrites, précises et conservées avec leurs preuves d’envoi. Elles n’effacent pas rétroactivement une fuite déjà survenue, mais elles limitent l’exposition future et démontrent votre diligence. Pour les lecteurs qui cumulent carte de fidélité, drive et historique d’achats, la méthode détaillée de copie, d’arrêt de la prospection et d’effacement est décrite dans l’analyse consacrée à la carte de fidélité et au compte drive exposés après une fuite de données. L’articulation entre ces demandes et la plainte à l’autorité est chronologique : d’abord la demande au responsable, puis, en cas d’absence de réponse, de réponse incomplète ou de refus non motivé, la saisine de l’autorité.

La plainte auprès de la CNIL suppose d’avoir au préalable exercé vos droits auprès du responsable, sauf urgence particulière. La CNIL explique comment adresser une plainte et quelles pièces joindre. Joignez vos demandes écrites, les réponses reçues, les notifications éventuelles de l’enseigne, vos captures de messages frauduleux et votre chronologie. Décrivez les faits sans les qualifier pénalement : dates de vos comptes, date de l’incident telle que rapportée par la source de presse, contenu de la réponse du magasin, absence ou contenu de la notification individuelle, démarches effectuées. La CNIL ne verse pas d’indemnisation : elle contrôle, met en demeure et, le cas échéant, sanctionne. Son intervention reste néanmoins utile pour faire compléter une information, obtenir une réponse et faire constater un manquement, ce qui servira ensuite au juge civil. Parallèlement, le responsable de traitement est tenu de notifier à l’autorité dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir eu connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque. La CNIL détaille le téléservice de notification et les informations attendues. Si l’enseigne n’a pas notifié alors que des clients reçoivent des messages frauduleux ciblés, ce décalage fera partie des points soumis à l’autorité.

À Paris et en Île-de-France, où siègent de nombreuses directions juridiques d’enseignes et où la CNIL reçoit les plaintes en ligne pour tout le territoire, la méthode ne change pas mais les délais pratiques comptent double. Les enseignes franciliennes traitent souvent les demandes relatives à la fidélité au niveau national et non au niveau du magasin : adressez votre demande au délégué national plutôt qu’au seul gérant du point de vente, tout en conservant une copie de votre passage en magasin. En cas de litige judiciaire ultérieur, le tribunal judiciaire de Paris est fréquemment compétent pour les demandes fondées sur le règlement européen lorsque le défendeur y est établi ou lorsque le dommage y est subi dans des conditions que le juge apprécie, sans que cette indication ne préjuge de la juridiction compétente dans votre dossier, que seul l’examen de votre contrat et de votre situation permet de déterminer. Les pièces à préparer sont les mêmes qu’ailleurs, avec une attention particulière aux preuves électroniques : conservez les en-têtes complets des courriels, les constats de compte avant toute demande d’effacement qui ferait disparaître des éléments, et, si nécessaire, faites établir un constat par un commissaire de justice pour les contenus éphémères. Le canal procédural reste gradué : demande écrite, plainte à la CNIL, puis action en réparation devant le juge, sans confondre ces voies.

B. Prouver le préjudice et obtenir réparation : plainte pénale, action civile et ce que le juge vérifie vraiment

La réparation d’une fuite de données suppose de démontrer trois éléments distincts : une violation du règlement, un dommage et un lien entre les deux. Le texte applicable ouvre à toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Il serait inexact d’affirmer que toute personne fichée dans une base visée par une attaque aurait automatiquement droit à une somme : le juge vérifie le manquement, la réalité du dommage et l’imputabilité. La CNIL précise dans quels cas une indemnisation peut être demandée et devant quel juge. Le dommage matériel regroupe les débits frauduleux, les frais de renouvellement de documents, les frais de sécurisation et les pertes de temps valorisables lorsqu’ils sont justifiés. Le dommage moral recouvre l’angoisse, la perte de contrôle sur ses données et la crainte d’un usage abusif, à condition qu’elle soit établie dans votre situation concrète. La Cour de justice de l’Union européenne a jugé le 14 décembre 2023, dans l’affaire C-340/21, que la crainte d’un usage abusif futur peut constituer un préjudice moral indemnisable sans exiger la preuve d’un usage frauduleux déjà consommé, tout en imposant au juge de vérifier que cette crainte est fondée au regard des circonstances propres à la personne (arrêt C-340/21 du 14 décembre 2023, consultable sur le site de la Cour). Cette solution ne crée ni barème ni indemnité automatique : elle ouvre la réparation à l’angoisse caractérisée et ferme la porte aux demandes purement abstraites.

La preuve se construit dès les premiers jours, même quand l’enseigne minimise. Conservez dans un dossier chronologique vos contrats et conditions du programme de fidélité, vos demandes d’accès et les réponses, les notifications reçues ou l’attestation de leur absence vérifiée dans vos archives, vos relevés montrant les débits contestés, vos dépôts de plainte et signalements, vos attestations de temps passé et vos justificatifs de frais. Faites cesser les hémorragies : opposition bancaire en cas d’usage frauduleux d’un moyen de paiement, changement des mots de passe, surveillance renforcée de vos comptes pendant plusieurs mois. Sur le plan pénal, déposez plainte pour les infractions que les faits caractérisent selon vous, sans les qualifier vous-même de manière définitive. L’accès frauduleux relève de l’article 323-1 du code pénal, qui punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de « trois ans d’emprisonnement et de 100 000 € d’amende », tandis que l’article 323-3 du code pénal vise l’introduction et l’extraction frauduleuses de données. Lorsque des données personnelles détournées sont ensuite détenues ou utilisées, l’article 226-18 du code pénal et l’article 226-22 du code pénal peuvent être encourus selon les faits, et l’article 226-17 du code pénal sanctionne l’absence des mesures de sécurité prescrites. Votre plainte fige la chronologie et permet l’enquête. Cette plainte pénale ne remplace ni la demande d’accès ni la plainte à la CNIL : les trois voies sont complémentaires, l’une vise les auteurs, l’autre le contrôle de l’enseigne, la troisième la réparation de votre préjudice. Les contrats que vous avez signés, notamment les conditions du programme de fidélité et les conditions d’utilisation du compte en ligne, priment pour déterminer les engagements de l’enseigne envers vous et doivent être relus avant toute action.

Le chiffrage doit rester sobre, individualisé et justifié. Listez chaque poste avec sa pièce : sommes détournées avec relevés, frais avec factures, temps passé avec décompte raisonnable, préjudice moral avec éléments concrets comme la nature des données exposées, la réception de messages ciblés, les démarches imposées et la durée d’exposition. Évitez les forfaits par donnée ou les multiplications automatiques trouvées en ligne, que le juge écarte. Tenez compte des mesures prises par l’enseigne lorsqu’elles sont établies : information rapide et claire des clients, réinitialisation des accès, renforcement de la sécurité, coopération avec l’autorité. Dire ce qui joue en faveur de l’entreprise quand la source le dit fait partie de la loyauté de l’analyse, et le juge en tient compte dans l’appréciation des responsabilités et des montants. À l’inverse, l’absence de notification individuelle alors que le risque était élevé, l’absence de réponse à une demande d’accès ou une réponse limitée à la marque des frigos sans examen du fichier clients pèsent en votre faveur pour établir le manquement. L’action en réparation se porte devant le juge judiciaire, qui peut ordonner la communication des données, l’effacement, la cessation d’un traitement illicite et des dommages et intérêts, sur le fondement de l’article 1240 du code civil, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », et de l’article 9 du code civil pour la protection de la vie privée. Lorsque l’enseigne est elle-même assurée, sa déclaration de sinistre obéit à l’article L113-2 du code des assurances, ce qui ne modifie ni vos droits ni ses obligations envers vous. Seul ce juge décide, au vu des preuves, si la violation est établie, si le dommage est prouvé et si le montant demandé est justifié.

En pratique, lorsque le magasin oppose l’argument d’une autre marque d’équipements, la réponse utile tient en trois phrases écrites : je suis client identifié par tel compte, je demande la confirmation et la copie de mes données dans le fichier clients ainsi que les informations sur l’incident me concernant, et je me réserve l’ensemble de mes droits en cas d’absence de réponse. Cette formulation évite toute polémique sur la technique du froid, replace le débat sur le seul terrain vérifiable du fichier clients et crée la trace écrite que la CNIL puis le juge examineront. Si la réponse confirme que vos données ont été exposées, complétez la notification individuelle reçue par vos propres pièces et saisissez la CNIL en cas de manquement persistant, puis chiffrez votre préjudice avant d’agir en réparation. Si la réponse établit précisément, pièces à l’appui, que votre compte n’est pas concerné, conservez-la avec vos vérifications et maintenez une vigilance raisonnable sans engager une procédure vouée à l’échec. Dans tous les cas, ne déduisez ni d’un article de presse ni d’une déclaration en magasin une certitude sur l’intrusion, son périmètre ou ses auteurs. À la date de rédaction, d’après les sources officielles disponibles, aucun accident, aucune intrusion ni aucun dommage n’a été officiellement constaté au-delà de ce que rapporte la source de presse citée, aucune responsabilité n’est établie dans cette affaire, les contrats signés priment sur toute analyse générale, et seul le juge, saisi d’un dossier complet, tranchera sur le manquement, le préjudice et la réparation.