D’après le communiqué que la Région Hauts-de-France a diffusé le samedi 3 octobre 2026, deux de ses prestataires ont été victimes d’une cyberattaque ayant permis un accès non autorisé à des données personnelles traitées pour son compte (FranceInfo, 3 octobre 2026, 18h51). Selon ce communiqué, des noms, des prénoms et des adresses électroniques, ainsi que potentiellement des RIB et d’autres données d’identification, seraient susceptibles d’avoir été dérobés. Les deux plateformes concernées, l’une dédiée aux aides régionales et l’autre à un dispositif d’aide financière versée aux lycéens et aux apprentis, ont été fermées, les usagers concernés ont commencé à être informés et une plainte a été déposée auprès des autorités compétentes. Un site spécialisé dans le recensement des fuites de données affirme pour sa part avoir repéré la revendication de l’attaque sur un forum cybercriminel et évoque plus de 700 000 personnes concernées, un chiffre que la collectivité déclare ne pas être en mesure de confirmer, pas plus que les autres catégories de documents qui auraient été extraites (analyse juridique du 5 octobre 2026). Pour une entreprise qui confie ses données, celles de ses clients ou celles de ses salariés à un prestataire externe, la question n’est pas de savoir si ce scénario peut la toucher, mais de savoir ce qu’elle devra décider le jour où son propre sous-traitant l’appellera pour lui annoncer la même nouvelle. La réponse tient en quatre gestes : exiger sans délai du prestataire la notification complète et les preuves techniques de l’incident, notifier à son tour l’autorité de contrôle et documenter chaque étape, prévenir ses propres clients et fournisseurs exposés avec des mots mesurés, puis mettre en demeure le prestataire et chiffrer ses préjudices sur pièces.
Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de la Région Hauts-de-France, sur laquelle l’article ne formule aucun constat. Aucune intrusion, aucun vol de données ni aucun dommage au-delà de ce que le communiqué cité annonce n’est constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie par cet article, les contrats signés priment sur toute analyse générale, et seul le juge décide du sort de chaque obligation et de chaque préjudice.
I. La violation est née chez le sous-traitant : ce que l’entreprise cliente doit faire en premier
A. Relire le contrat de sous-traitance et verrouiller la notification
Le premier réflexe consiste à déterminer qui est quoi au regard du règlement européen sur la protection des données. L’entreprise qui confie un traitement à un prestataire demeure responsable de ce traitement, tandis que le prestataire n’agit que sur ses instructions. Le règlement européen impose sur ce point une exigence de départ : le responsable ne doit faire appel qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à ce que le traitement réponde aux exigences du texte et protège les droits des personnes (article 28, paragraphe 1, du règlement (UE) 2016/679). Autrement dit, le jour de l’incident, la première pièce à sortir du dossier est le contrat de sous-traitance lui-même : définit-il l’objet et la durée du traitement, la nature et la finalité, le type de données et les catégories de personnes concernées, comme le règlement l’exige, et organise-t-il concrètement l’alerte, l’assistance et l’audit en cas de violation.
Car le sous-traitant compromis n’a pas seulement une obligation morale d’avertir son client : il doit l’alerter dans les meilleurs délais après avoir pris connaissance de la violation. Le texte met à la charge du sous-traitant une alerte de son client dans les meilleurs délais après la prise de connaissance de toute violation (article 33, paragraphe 2, du règlement (UE) 2016/679). L’entreprise cliente devrait donc exiger par écrit, dès les premières heures, la notification complète du prestataire : nature de l’intrusion et mode opératoire constaté, catégories de données et nombre approximatif de personnes concernées, mesures de correction déjà engagées, et copie des constats techniques. Elle devrait également invoquer sans tarder la clause d’audit de son contrat, car le règlement prévoit que le contrat de sous-traitance organise la mise à disposition du client de toutes les informations nécessaires et la possibilité de réaliser des audits, y compris des inspections, directement ou par un auditeur mandaté, avec la contribution du sous-traitant (article 28, paragraphe 3, point h), du règlement (UE) 2016/679). Un prestataire qui annoncerait l’incident au téléphone mais tarderait à transmettre ces éléments exposerait son client à manquer ses propres délais, et chaque échange devrait être confirmé par écrit, daté et conservé.
Le deuxième délai à verrouiller est celui de la notification à l’autorité de contrôle. Le règlement impose au responsable de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes, tout retard devant être motivé (article 33, paragraphe 1, du règlement (UE) 2016/679). En France, cette autorité est la CNIL, saisie via son service de notification en ligne. Le point de départ du délai de soixante-douze heures est la prise de connaissance par l’entreprise cliente elle-même, et non la date de l’intrusion chez le prestataire : l’appel du sous-traitant fait donc courir le compte à rebours. Lorsque le périmètre exact reste inconnu, comme dans le cas du 3 octobre 2026 où la collectivité indique ne pas pouvoir confirmer le volume ni les catégories complètes de données extraites, le règlement autorise une notification par étapes lorsque toutes les informations ne peuvent pas être fournies en même temps, à condition de compléter sans retard indu (article 33, paragraphe 4, du règlement (UE) 2016/679). L’entreprise cliente aurait donc intérêt à notifier vite avec ce qu’elle sait, puis à compléter au fil des investigations, plutôt qu’à attendre une cartographie complète qui ne viendrait jamais. Parallèlement, elle devrait documenter chaque violation dans un registre interne, en indiquant les faits, les effets et les mesures prises, car ce registre sera la première pièce réclamée en cas de contrôle.
B. Prévenir ses propres clients et contenir la seconde vague
La troisième décision concerne les personnes dont les données ont été exposées : clients de l’entreprise, prospects, salariés, parfois fournisseurs personnes physiques. Lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés, l’entreprise cliente doit les en informer directement. Le règlement impose dans ce cas au responsable d’informer directement chaque personne concernée dans les meilleurs délais, dès lors que la violation est susceptible d’engendrer un risque élevé pour ses droits et libertés (article 34, paragraphe 1, du règlement (UE) 2016/679). La présence potentielle de RIB parmi les données concernées, comme dans le cas du 3 octobre 2026, change la nature du risque : un IBAN exposé peut nourrir un hameçonnage ciblé, une fraude au faux fournisseur ou une tentative de prélèvement frauduleux, et ce risque doit être expliqué simplement aux personnes avisées, avec les réflexes à adopter et un point de contact dédié.
Cette communication doit être rédigée avec un soin particulier, car elle sera lue par les clients, par leurs conseils et, en cas de litige, par le juge. Elle devrait décrire la nature de l’incident en des termes clairs et simples, indiquer les catégories de données concernées sans affirmer ce qui n’est pas établi, rappeler les mesures déjà prises et celles que chacun peut prendre, et donner les coordonnées d’un interlocuteur identifié. Ce que la source ne confirme pas devrait rester au conditionnel ou ne pas être écrit : les chiffres revendiqués sur un forum cybercriminel ne sont pas des faits constatés, et les reprendre comme des certitudes exposerait l’entreprise à des démentis ultérieurs et à des actions en responsabilité pour information trompeuse. À l’inverse, taire un risque connu et documenté exposerait tout autant. L’équilibre se trouve dans la formule du communiqué du 3 octobre 2026, qui distingue ce qui est annoncé de ce qui reste potentiel, et cette prudence rédactionnelle vaudrait pour toute entreprise avisant ses propres clients.
L’entreprise cliente devrait en outre anticiper la seconde vague, celle du contentieux indemnitaire. Le règlement ouvre à toute personne ayant subi un dommage du fait d’une violation le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du règlement (UE) 2016/679). Concrètement, les clients démarchés par des escrocs dans les semaines qui suivent la fuite, ou prélevés frauduleusement après l’exposition de leurs coordonnées bancaires, pourraient se retourner contre l’entreprise qui leur avait confié leurs données, quand bien même la faille se situerait chez son prestataire. D’où l’importance de conserver dès le premier jour l’ensemble des preuves : contrat de sous-traitance et ses avenants, notifications échangées avec le prestataire, journaux de connexion et rapports d’investigation, registre des violations, copies des informations adressées aux personnes et à l’autorité de contrôle, relevés des coûts engagés. C’est sur ces pièces, et non sur les déclarations publiques, que s’apprécieraient plus tard le respect des obligations de chacun et le lien entre la violation et chaque préjudice allégué. Le principe probatoire est constant : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » (article 1353 du code civil)
II. La carte des décisions avec les partenaires professionnels
A. Avec le prestataire compromis : mise en demeure, expertise et partage des responsabilités
Une fois l’urgence de la notification traitée, l’entreprise cliente devrait se tourner vers son prestataire avec une démarche contractuelle rigoureuse. La première étape est une mise en demeure écrite, adressée en recommandé ou par tout moyen conférant date certaine, qui exigerait la remise des éléments techniques, la correction des failles identifiées, la liste exacte des données concernées et l’engagement d’un calendrier de remédiation. Cette mise en demeure devrait viser précisément les stipulations du contrat : niveaux de service et délais de rétablissement promis, engagements de sauvegarde et de restauration, clause d’audit, obligation d’alerte. Elle interromprait toute discussion informelle qui effacerait les responsabilités et fixerait le point de départ des délais de remédiation, dont le non-respect ouvrirait la voie à la résiliation pour faute et à la demande de dommages et intérêts. Le code civil offre à l’entreprise cliente tout un éventail de réponses graduées : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » (article 1217 du code civil) La suspension du paiement des redevances pendant la période de défaillance, la réduction du prix pour service dégradé ou la résolution du contrat de maintenance devraient donc être envisagées comme des leviers alternatifs ou cumulés, et non comme une simple résiliation réflexe.
La jurisprudence récente des contentieux informatiques éclaire ce qui se joue ensuite devant le juge. Dans un arrêt du 19 mai 2022, la cour d’appel de Versailles a eu à trancher un litige opposant un intégrateur à un hébergeur après la perte des données comptables d’une association : l’hébergeur soutenait n’être tenu que d’une obligation de moyens limitée au matériel et invoquait une clause d’exclusion de responsabilité pour les incidents imputables aux logiciels du client, tandis que l’intégrateur lui reprochait de ne pas avoir rétabli les données dans le délai contractuel de quatre heures. La cour a confirmé que l’hébergeur était responsable de l’incident et l’a condamné à verser un peu moins de 8 500 euros de dommages et intérêts ainsi qu’à annuler une facture du même montant, retenant notamment que le compte rendu d’incident rédigé par l’hébergeur lui-même établissait que les sauvegardes réinstallées s’étaient révélées illisibles et que le service n’avait jamais été rétabli. L’enseignement pour l’entreprise cliente est double : les écrits techniques du prestataire, y compris ses propres comptes rendus d’incident, constituent des preuves décisives, et une clause d’exclusion rédigée en annexe ne suffit pas à effacer un manquement établi aux engagements de disponibilité et de rétablissement.
Un arrêt encore plus récent, rendu le 28 avril 2026 par la cour d’appel de Reims, précise comment le juge partage les responsabilités après une attaque par rançongiciel. Une société avait confié la maintenance de son système informatique à un prestataire ; après le chiffrement de ses fichiers et le paiement d’une rançon, elle lui réclamait l’intégralité de ses préjudices. L’expertise judiciaire avait relevé que la mise en place d’une sauvegarde n’était pas clairement définie dans les documents contractuels, devis et factures, et que l’absence de cahier des charges du client avait concouru au dommage. La cour a infirmé le jugement qui avait tout rejeté, a déclaré le prestataire responsable à hauteur de la moitié des dommages et l’a condamné à verser un peu plus de 12 000 euros couvrant la perte d’exploitation, la remise en état du système, le paramétrage des accès et jusqu’au montant de la rançon. L’entreprise cliente devrait en tirer une leçon pratique : sans expression écrite et précise de ses besoins en matière de sauvegarde, de restauration et de sécurité, elle risque de supporter une part du dommage même lorsque la défaillance technique vient du prestataire, et le coût de la rançon éventuellement payée pour redémarrer l’activité peut entrer dans l’assiette des préjudices réparables. Les juges ajoutent en outre régulièrement une somme au titre des frais du procès restés à la charge du gagnant : « Le juge condamne la partie tenue aux dépens ou qui perd son procès à payer : 1° A l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens ; » (article 700 du code de procédure civile)
Resterait la question que tout prestataire compromis soulève pour échapper à sa responsabilité : l’attaque, œuvre d’un tiers malveillant, constituerait-elle un cas de force majeure l’exonérant ? Le droit applicable est strict. Aux termes de l’article 1103 du code civil, « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits » (article 1103 du code civil), et l’article 1218 du même code dispose : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur » (article 1218 du code civil). Trois conditions cumulatives en résultent : un événement échappant au contrôle du débiteur, imprévisible lors de la conclusion du contrat, dont les effets irrésistibles empêchent véritablement l’exécution, et non pas seulement la rendent plus difficile ou plus coûteuse. Une cyberattaque ne serait donc pas automatiquement qualifiée de force majeure : le juge examinerait si des mesures appropriées, telles que les correctifs de sécurité, la segmentation du réseau, les sauvegardes testées ou la surveillance, auraient pu éviter l’intrusion ou ses effets, et une faille connue et non corrigée ferait obstacle à l’exonération. À défaut de force majeure établie, le débiteur défaillant répondrait de l’inexécution, car « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil). La Cour de cassation l’a rappelé le 8 mars 2023 dans une affaire où un client invoquait la crise sanitaire pour résoudre un contrat de location de salle : si le créancier ne peut pas obtenir la résolution en soutenant que la force majeure l’a empêché de profiter de la contrepartie, il peut en revanche se prévaloir de l’inexécution par le débiteur de son obligation contractuelle en raison de la force majeure, et le juge doit rechercher si l’obligation du débiteur, appréciée dans sa substance, est véritablement devenue impossible à exécuter. Transposée à la chaîne informatique, cette solution interdirait au prestataire de se retrancher derrière la sophistication de l’attaque pour refuser toute réparation, tout en imposant au client de démontrer en quoi la prestation promise est devenue impossible et non pas seulement dégradée.
B. Avec ses propres clients et fournisseurs : informer, renégocier et porter plainte sans attendre
L’entreprise cliente ne devrait pas limiter son action à son prestataire direct, car la crise se propage des deux côtés de sa propre activité. En aval, ses clients professionnels dont les données ont transité par le système compromis devraient être informés avec la même prudence que les personnes physiques : nature de l’incident, catégories de données potentiellement concernées, mesures prises, recommandations de vigilance contre le faux fournisseur et l’usurpation d’identité bancaire. Cette information contractuelle, même lorsqu’elle n’est pas imposée par un texte, sécuriserait la relation commerciale et priverait un client ultérieurement escroqué de l’argument du silence. En amont, ses autres fournisseurs devraient être interrogés sur leur propre exposition, car une attaque qui entre par un prestataire peut en révéler d’autres : l’entreprise cliente aurait intérêt à exiger de chacun de ses sous-traitants critiques une attestation de l’état de ses correctifs et de ses sauvegardes, et à vérifier que les autorisations de sous-traitance en cascade prévues au contrat ont bien été demandées et accordées par écrit.
C’est également le moment de renégocier les contrats pour l’avenir, quand le rapport de force rend le prestataire attentif. Les clauses à exiger ou à renforcer seraient les suivantes : une obligation de notification de toute suspicion d’incident dans un délai exprimé en heures et non plus seulement dans les meilleurs délais, avec un contenu minimal imposé ; un droit d’audit et d’inspection effectif, exercé par l’entreprise ou par un auditeur indépendant, avec accès aux journaux et aux rapports de tests d’intrusion ; des engagements chiffrés de disponibilité, de sauvegarde et de délai de restauration, assortis de pénalités dissuasives ; une interdiction de sous-traiter à son tour sans autorisation écrite préalable, avec la liste des sous-traitants ultérieurs annexée au contrat ; et une clause de réversibilité organisant la restitution ou la suppression des données au terme de la prestation. Chacune de ces stipulations reprendrait en langage contractuel les exigences que le règlement européen impose déjà, et leur absence, comme l’a montré l’arrêt de Reims sur le cahier des charges, se paierait le jour du litige par un partage de responsabilités.
Enfin, l’entreprise cliente ne devrait pas négliger le volet pénal et assurantiel. L’intrusion frauduleuse dans un système informatique constitue une infraction : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal), des peines aggravées étant prévues lorsque l’intrusion a entraîné la suppression ou la modification de données ou l’altération du fonctionnement du système. La loi réprime également l’atteinte aux données elles-mêmes : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal) Déposer plainte, comme l’a fait le donneur d’ordres visé le 3 octobre 2026, préserverait les droits de l’entreprise, permettrait la désignation d’un service d’enquête spécialisé et alimenterait le dossier civil par les procès-verbaux et les expertises ordonnées au pénal. La plainte devrait être accompagnée d’un constat technique précis, d’un inventaire des données potentiellement concernées et de la chronologie des alertes reçues et données, car la qualité de ce premier dépôt conditionnerait l’efficacité des investigations. Parallèlement, l’entreprise cliente devrait déclarer le sinistre à son assureur cyber lorsqu’elle en détient un, dans le délai stipulé à la police, et vérifier l’articulation entre la garantie de son propre contrat et celle, éventuelle, du prestataire. Les entreprises qui s’interrogent sur l’enchaînement de ces démarches, de la mise en demeure du prestataire jusqu’à la sécurisation de leurs relations commerciales, pourraient utilement se faire accompagner sur la défense de leurs contrats informatiques et de leurs contentieux commerciaux devant le tribunal de commerce de Paris, afin que chaque décision, de la notification à la renégociation, repose sur des pièces et des délais maîtrisés.
La carte des décisions se résumerait ainsi : face au prestataire compromis, exiger par écrit la notification complète et exercer le droit d’audit prévu au contrat, puis mettre en demeure sur les engagements précis de disponibilité, de sauvegarde et de restauration avant toute résiliation ; face à l’autorité de contrôle, notifier dans les soixante-douze heures de la prise de connaissance, au besoin par étapes, et tenir le registre des violations ; face à ses propres clients et fournisseurs, les informer en des termes clairs sans affirmer ce qui reste potentiel, et renégocier les clauses d’alerte, d’audit et de sous-traitance en cascade ; face au juge éventuel, conserver chaque pièce datée, déposer plainte et chiffrer chaque préjudice. C’est sur ces pièces, et non sur les annonces publiques, que s’apprécieraient plus tard le respect des obligations de chacun, le partage des responsabilités et la réparation des dommages nés d’une faille entrée par le maillon le plus exposé de la chaîne.