Il y a quelques semaines, plusieurs enseignes de supermarchés françaises ont été la cible d’une cyberattaque d’un genre inédit pour la grande distribution : des installations frigorifiques prises en main à distance, des températures qui montent, des denrées jetées par tonnes. Selon CNews, qui a révélé le 25 octobre 2026 l’ampleur de l’enquête, les attaquants ont réussi à prendre le contrôle à distance des équipements, faisant monter la température, et les distributeurs se sont vus contraints de jeter une grande quantité d’aliments. L’affaire est prise au sérieux au plus haut niveau : l’enquête française est confiée à l’Office anti-cybercriminalité (OFAC) et le service d’enquête criminelle du ministère américain de la Défense collabore avec les autorités françaises, car des installations comparables situées sur des bases militaires américaines ont subi des défaillances similaires. Le 21 octobre 2026, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a attribué le piratage à des vulnérabilités classiques, évoquant une exposition directe des équipements frigorifiques sur Internet, une administration sans sécurisation particulière et des mots de passe faibles. D’après Ouest-France, les frigoristes eux-mêmes, prestataires chargés de la maintenance de ces installations, n’auraient jamais été informés de l’attaque qui traversait leurs propres équipements.
Pour le magasin dont les bacs ont été vidés, l’urgence visible porte sur les denrées et les preuves : ce volet pratique, du constat d’huissier à la remontée vers l’équipementier et l’assureur, est traité en détail dans notre analyse consacrée à ce que le magasin, la tête de réseau et le fournisseur doivent décider après la cyberattaque du 12 octobre 2026. Le présent article traite l’autre versant, moins visible mais tout aussi contraignant : dès lors que les systèmes connectés du magasin ont été pénétrés, le commerçant doit se demander si des données personnelles ont été touchées. Cartes de fidélité, vidéosurveillance, caisses connectées, réseau wifi proposé aux clients : un magasin moderne traite en permanence des données de ses clients et de ses salariés. Si la cyberattaque a exposé ces données, le commerçant devient, au sens du droit des données personnelles, un responsable de traitement confronté à une violation, avec un délai de soixante-douze heures pour prévenir la CNIL et une obligation d’informer les clients en cas de risque élevé. La première partie explique comment qualifier l’incident et le notifier dans les règles ; la seconde expose la responsabilité qui demeure malgré l’attaque et les recours à préparer, vers le prestataire informatique comme devant le juge pénal.
I. Qualifier l’incident et le notifier : le commerçant face à une possible violation de données
A. Des frigos piratés aux fichiers clients : vérifier si des données personnelles sont touchées
La cyberattaque rapportée par la presse visait les installations de production de froid : prise de contrôle à distance, températures relevées bien au-delà des seuils sanitaires, la presse faisant état d’une consigne poussée jusqu’à 50 °C via le détournement de la fonction de dégivrage. À première vue, il s’agit d’une atteinte à un outil industriel, pas d’un vol de fichiers clients. Mais l’attaque a transité par des équipements exposés directement sur Internet et administrés, selon l’ANSSI, sans sécurisation particulière. Or un équipement connecté au réseau du magasin partage, dans bien des configurations, l’infrastructure qui fait transiter les données de caisse, de vidéosurveillance, de fidélisation et parfois de géolocalisation wifi. La question n’est donc pas seulement de savoir ce que les attaquants ont déréglé, mais aussi ce qu’ils ont pu voir, copier ou extraire en traversant le système d’information du point de vente.
La première vérification est technique et doit être immédiate : cartographier les systèmes touchés, isoler les segments compromis, préserver les journaux de connexion et faire constater l’état des installations. Les journaux, les comptes d’accès et la traçabilité des connexions serviront deux fois : à comprendre l’intrusion et, plus tard, à prouver devant la CNIL, l’assureur ou le juge que le commerçant a réagi avec diligence. La Commission nationale de l’informatique et des libertés l’a rappelé dans une délibération du 19 décembre 2024, Seuls des comptes individuels, avec un identifiant et un mot de passe propres à chaque utilisateur, le mot de passe devant demeurer secret, permettent une traçabilité fiable des accès et des actions ; les comptes partagés compliquent l’imputabilité d’une action et le travail d’investigation en cas d’incident. Quand l’ANSSI déplore publiquement des mots de passe faibles et des équipements exposés sur Internet, le parallèle avec ces exigences élémentaires est direct : le commerçant qui découvre que ses accès partagés ou ses mots de passe d’administration n’ont jamais été individualisés doit le corriger sans délai, car cette négligence pèsera dans l’appréciation ultérieure de sa responsabilité.
La deuxième vérification est juridique : les faits constituent-ils une violation de données à caractère personnel au sens du règlement européen ? Le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, s’applique à tout traitement de données personnelles, y compris ceux d’un simple commerce de détail. Le droit pénal français renvoie d’ailleurs expressément à ses exigences de sécurité : l’article 226-17 du code pénal dispose : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Autrement dit, l’obligation de sécuriser les données des clients n’est pas une simple bonne pratique : son mépris caractérisé expose le commerçant à des poursuites pénales, indépendamment de toute plainte de client. Si l’investigation établit qu’aucune donnée personnelle n’a été affectée et que l’attaque est restée cantonnée aux automates de froid, il n’y a pas de violation à notifier ; cette conclusion doit elle-même être documentée, car c’est elle qui justifiera, en cas de contrôle ultérieur, l’absence de notification. Si au contraire des fichiers clients ou salariés ont été accessibles, copiés ou altérés, ou si le doute raisonnable subsiste après investigation, le commerçant entre dans le régime de la notification.
B. Notifier la CNIL sous soixante-douze heures et informer les clients exposés
Lorsque la violation est établie ou ne peut être exclue, le délai court vite. L’article 33, paragraphe 1, du RGPD impose au responsable du traitement de notifier la violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, et d’assortir toute notification tardive des motifs du retard Trois enseignements pour le commerçant : le point de départ est la prise de connaissance, pas la découverte de l’intrusion elle-même, ce qui suppose de dater précisément le moment où l’équipe a compris que des données personnelles pouvaient être concernées ; l’exception pour risque inexistant doit être motivée et documentée, elle ne se présume pas ; le retard se justifie par écrit, il ne s’efface pas. La notification décrit au minimum la nature de la violation, les catégories et le nombre approximatif de personnes concernées, le point de contact dédié, les conséquences probables et les mesures prises pour y remédier. En pratique, la notification s’effectue par le téléservice de la CNIL, et le dossier constitué à cette occasion, avec la chronologie des constats et des décisions prises, servira de pièce maîtresse en cas de contrôle.
Le sous-traitant n’est pas exonéré par sa position d’exécutant. L’article 33, paragraphe 2, du RGPD oblige pour sa part le sous-traitant à alerter le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel. Pour un magasin, cela vise le prestataire informatique, l’infogéreur, l’éditeur du logiciel de caisse ou de fidélisation et, dans le cas d’espèce, le mainteneur des installations connectées : chacun doit alerter le commerçant sans attendre. Le fait que, selon Ouest-France, les frigoristes n’aient jamais été informés de l’attaque traversant leurs propres équipements illustre le risque inverse, celui d’une chaîne d’alerte rompue des deux côtés : le contrat de maintenance devrait imposer au prestataire une obligation d’alerte et de coopération en cas d’incident, avec des délais chiffrés, car le retard du sous-traitant reporte mécaniquement le point de départ du commerçant sans pour autant le décharger.
Au-delà de la CNIL, les clients eux-mêmes doivent être informés lorsque l’enjeu est sérieux. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, l’article 34, paragraphe 1, du RGPD impose au responsable du traitement de la communiquer à la personne concernée dans les meilleurs délais. L’information se fait en termes clairs et simples et reprend le contenu essentiel de la notification. Trois dispenses seulement sont admises, et elles sont étroites : des mesures de protection appropriées déjà appliquées aux données affectées, notamment un chiffrement qui les rend incompréhensibles à toute personne non autorisée, ou des mesures ultérieures qui écartent le risque élevé, ou encore des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente s’impose. Pour un supermarché, le chiffrement des bases de fidélité et la segmentation des réseaux entre froid industriel et systèmes de caisse sont les deux mesures qui, si elles existent et fonctionnent, peuvent éviter l’information individuelle ; si elles n’existent pas, leur absence devra être expliquée à la CNIL.
Le prix du silence ou de la désorganisation est connu et mesurable. Le 19 juin 2020, le Conseil d’État a rejeté le recours formé contre la sanction de 50 millions d’euros infligée pour des manquements aux obligations d’information et de consentement : la formation restreinte de la CNIL avait, selon l’arrêt, « prononcé à son encontre une sanction pécuniaire d’un montant de 50 000 000 d’euros », et le Conseil d’État juge : « Article 2 : La requête de la société Google LLC est rejetée. » Le Conseil d’État contrôle la motivation et la mesure des sanctions : il rappelle que « Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). », et juge, au regard notamment « aux plafonds prévus par le 4 de l’article 83 du RGPD », que « la sanction pécuniaire de 50 000 000 d’euros prononcée à l’encontre de la société Google ne revêt pas un caractère disproportionné » (CE, 19 juin 2020, n° 430810). Sur la sécurité elle-même, l’exigence est celle de mesures appropriées au risque : l’article 226-17 du code pénal vise les mesures prescrites par les articles 24, 25, 30 et 32 du RGPD, et la CNIL a déjà retenu, dans une délibération du 19 décembre 2024, un manquement à l’obligation d’assurer la sécurité des données à raison d’un compte administrateur partagé entre plusieurs utilisateurs avec un même mot de passe. Un réseau de froid administré sans comptes individuels ni mots de passe robustes, exposé directement sur Internet, entre difficilement dans cette définition. Enfin, la décision sanctionnée reste contestable : l’article R. 421-1 du code de justice administrative dispose que « La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée. », ce qui impose au commerçant sanctionné de réagir vite et de faire auditer la décision avant de la payer sans discussion.
II. Assumer la responsabilité et préparer les recours : le commerçant après la notification
A. Responsable du traitement même attaqué : réparer le préjudice des clients et prouver sa diligence
Subir une cyberattaque ne suspend ni les contrats ni les obligations de sécurité. Le commerçant dont les systèmes ont servi de porte d’entrée reste le responsable du traitement vis-à-vis de ses clients et de ses salariés, et l’attaque, aussi sophistiquée soit-elle, ne vaut pas force majeure dès lors que des mesures élémentaires faisaient défaut. C’est précisément l’appréciation que la CNIL porte lorsqu’elle constate des comptes partagés et des mots de passe non individuels : des manquements constitués pour le passé, même après correction. Le commerçant doit donc partir du principe que l’ANSSI et la CNIL liront l’incident à la lumière de l’état de ses systèmes avant l’attaque, et non de ses efforts après. Conserver les journaux de connexion, les rapports d’audit antérieurs, les contrats de maintenance et les échanges avec le prestataire n’est pas une option : c’est ce dossier qui permettra de démontrer que le niveau de sécurité était adapté au risque, ou au contraire qui révélera les failles à corriger avant le contrôle.
Les clients dont les données ont été exposées disposent d’une action en réparation contre le commerçant, indépendamment de la sanction administrative. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le client devra établir la faute, le dommage et le lien de causalité : une négligence de sécurité documentée par l’enquête, une usurpation d’identité ou un démarchage frauduleux postérieur à la violation, et une chronologie cohérente. La charge de la preuve suit les règles ordinaires : l’article 1353 du code civil dispose : « Celui qui réclame l’exécution d’une obligation doit la prouver. » Et : « Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Concrètement, le commerçant qui prétend avoir tout mis en œuvre devra produire ses audits, ses politiques de mots de passe, ses mises à jour et ses tests d’intrusion ; le client qui réclame réparation devra produire les utilisations frauduleuses de ses données et leur rattachement à la violation. Les juges répressifs admettent au demeurant que la victime d’une atteinte informatique obtienne réparation devant eux : dans l’affaire du keylogger posé sur les ordinateurs d’un centre hospitalier, la Cour de cassation a confirmé la condamnation et précisé qu’elle avait « prononcé sur les intérêts civils », avant de fixer « à 2 000 euros chacun la somme que M. Y… devra payer à Mme E… et M. C… en application de l’article 618-1 du code de procédure pénale » (Cass. crim., 16 janvier 2018, n° 16-87.168). La constitution de partie civile du commerçant lui-même, en tant que victime de l’intrusion, suit la même logique et fige le cadre des investigations.
Le volet pénal de l’attaque concerne d’abord ses auteurs, encore non identifiés selon les sources officielles à la date de rédaction. Les qualifications applicables sont écrites pour ce type d’intrusion. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » La prise de contrôle à distance d’installations frigorifiques, avec modification des consignes de température et altération du fonctionnement, entre dans le second alinéa dès lors que l’accès initial était frauduleux. La jurisprudence donne à ce texte une portée large : se maintient frauduleusement dans un système celui qui, après s’y être introduit à la suite d’une défaillance technique, exploite cette présence au lieu de se retirer, comme l’a jugé la chambre criminelle le 20 mai 2015 (n° 14-81.336), qui relève que l’intéressé « s’est maintenu dans un système de traitement automatisé après avoir découvert que celui-ci était protégé et a soustrait des données qu’il a utilisées sans le consentement de leur propriétaire », puis « REJETTE le pourvoi ». De même, l’article 323-3 du code pénal dispose : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La Cour de cassation a confirmé sur ce fondement la condamnation d’un associé qui avait supprimé des données après un accès frauduleux au système du greffe, la cour d’appel l’ayant déclaré « coupable du délit de suppression frauduleuse de données contenues dans un système de traitement automatisé », pour des faits de « suppression de données résultant d’un accès frauduleux à un système de traitement automatisé de données (STAD) », avec une peine de 15 000 euros d’amende et six mois d’interdiction professionnelle (Cass. crim., 8 juin 2021, n° 20-85.853). Pour le commerçant victime, déposer plainte rapidement auprès de l’OFAC ou du procureur, avec les journaux et le constat technique, permet de faire constater l’intrusion par l’autorité publique, de préserver les preuves et de réclamer réparation comme partie civile, sans attendre l’identification des attaquants.
B. Remonter vers le prestataire informatique et sécuriser durablement les installations
Une fois les clients informés et la CNIL notifiée, le commerçant se tourne vers ceux qui conçoivent, installent et maintiennent ses systèmes. Le réflexe doit être contractuel avant d’être judiciaire : relire le contrat d’infogérance, le contrat de maintenance frigorifique et les conditions générales de l’éditeur du logiciel de caisse ou de fidélisation, en cherchant quatre clauses, l’obligation de sécurité et de mise à jour, l’obligation d’alerte et de coopération en cas d’incident avec des délais chiffrés, la clause d’audit et d’accès aux journaux, et le plafond de responsabilité. L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le prestataire qui n’a ni alerté, ni mis à jour, ni cloisonné les accès alors que son contrat le lui imposait répond de cette inexécution, et la cyberattaque d’un tiers ne constitue une force majeure exonératoire que si elle était à la fois imprévisible et irrésistible, ce qui se discute mal quand l’ANSSI dénonce des vulnérabilités classiques et des recommandations laissées sans suite.
Les sanctions de l’inexécution se cumulent utilement. L’article 1217 du code civil dispose : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : », et ouvre à la partie victime de l’inexécution un éventail de réponses : refuser ou suspendre l’exécution de sa propre obligation, exiger l’exécution forcée en nature, obtenir une réduction du prix, provoquer la résolution du contrat ou demander réparation des conséquences de l’inexécution. Le texte précise : « Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » En pratique, le commerçant met en demeure le prestataire de sécuriser et de mettre à jour les installations sous astreinte, suspend les paiements échus dans la mesure permise par le contrat, chiffre le préjudice, denrées détruites, perte d’exploitation, coût de la notification et de l’information des clients, frais d’audit et de remise en état, puis négocie ou assigne. La mise en demeure doit être envoyée avant toute résiliation, et chaque manquement invoqué doit être rattaché à une stipulation précise du contrat : un juge ne sanctionne ni une attente vague de sécurité absolue ni une obligation que le contrat ne contenait pas.
La remontée ne s’arrête pas au mainteneur local. Si l’intrusion a transité par une vulnérabilité du logiciel de supervision lui-même, identifiée par l’ANSSI dans un logiciel fourni par un éditeur étranger selon l’entourage du Premier ministre cité par la presse, la question de la responsabilité de l’éditeur se pose dans les termes du contrat de licence et, pour les équipements, du régime des produits défectueux. Ce volet, avec ses conditions propres et ses délais spécifiques, est exposé dans l’analyse consacrée à la chaîne contractuelle du froid piraté : le lecteur y trouvera la méthode de la contre-expertise et de l’action récursoire. Devant la CNIL en revanche, l’argument du logiciel tiers n’exonère pas : le responsable du traitement répond de la sécurité des données qu’il traite, y compris lorsque la faille vient d’un outil qu’il a choisi, et c’est à lui, ensuite, de se retourner contre son fournisseur.
Reste l’assurance. Le contrat d’assurance cyber, lorsqu’il existe, doit être déclaré dans les délais qu’il stipule, souvent brefs, avec le rapport d’incident et la notification CNIL en pièces jointes. Le commerçant vérifie la définition contractuelle de l’événement garanti, les exclusions, notamment celles liées à l’obsolescence des systèmes ou au défaut d’application des mises à jour, le plafond par sinistre et par année, et la prise en charge des frais de notification, d’information des clients et d’expertise. Si l’assureur oppose une exclusion pour défaut de maintenance, la discussion portera sur les mêmes pièces que le dossier CNIL : journaux, contrats de maintenance, historique des mises à jour. Et si aucun contrat cyber n’existe, la perte d’exploitation et la responsabilité civile professionnelle sont à interroger sans tarder, avant que la prescription ne vienne éteindre des droits que l’urgence du moment fait oublier.
Conclusion
La cyberattaque des frigos de supermarchés n’est pas seulement une panne spectaculaire : dès lors qu’elle a traversé le système d’information du magasin, elle oblige le commerçant à se comporter en responsable de traitement diligent. Vérifier sans délai si des données personnelles sont concernées, notifier la CNIL dans les soixante-douze heures avec les motifs d’un éventuel retard, informer les clients en termes clairs en cas de risque élevé, conserver chaque journal et chaque contrat pour prouver sa diligence, déposer plainte pour faire constater l’intrusion, puis remonter vers le prestataire sur le fondement du contrat et déclarer le sinistre à l’assureur : telle est la séquence qui protège à la fois les clients et l’entreprise. À la date de rédaction, l’origine et les auteurs de l’attaque ne sont établis par aucune source officielle, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge tranchera les responsabilités. Les denrées détruites, les constats sanitaires et la remontée vers l’équipementier et les mainteneurs relèvent du volet matériel, traité dans l’analyse dédiée au magasin, à la tête de réseau et au fournisseur ; le volet données personnelles, lui, ne souffre aucun retard, car le délai de soixante-douze heures court dès la prise de connaissance.