Une fuite de données apparaît souvent chez un prestataire qui héberge un logiciel, administre une base clients ou maintient une application. La personne concernée reçoit alors un message de l’entreprise qu’elle connaît, tandis que le contrat informatique désigne un autre acteur comme hébergeur, éditeur ou sous-traitant. Une question revient immédiatement : qui doit notifier la Commission nationale de l’informatique et des libertés (CNIL), qui doit informer les personnes et contre qui demander réparation ? La réponse ne dépend pas du seul nom donné au contrat. Elle suppose d’identifier les finalités du traitement, les moyens réellement décidés, les instructions reçues et les mesures de sécurité applicables.
Le règlement (UE) 2016/679 (RGPD) distingue le responsable du traitement, le sous-traitant et, dans certains cas, les responsables conjoints. Cette qualification organise la notification de la violation, les échanges avec la CNIL, les actions de la personne concernée et la répartition finale de la responsabilité. Elle n’empêche pas plusieurs démarches parallèles : une réclamation auprès de l’autorité de contrôle, une plainte pénale lorsqu’une infraction peut être caractérisée et une action juridictionnelle pour obtenir une réparation. Le présent article propose une méthode de qualification et un parcours de preuves pour éviter de demander à un mauvais acteur d’accomplir une formalité qui relève d’un autre.
I. Qualifier les acteurs avant de leur demander d’agir
A. Le responsable du traitement est celui qui décide du pourquoi et du comment
Le point de départ est la définition européenne. L’article 4, point 7, du RGPD qualifie de « responsable du traitement » la personne, l’autorité ou l’organisme qui définit les finalités et les moyens du traitement (article 4, point 7, du règlement (UE) 2016/679, version française du RGPD). Le responsable choisit donc l’objectif poursuivi, par exemple gérer les comptes d’un service, exécuter un contrat, suivre des demandes ou assurer la facturation. Il décide aussi, seul ou avec d’autres, les paramètres essentiels : catégories de données, personnes autorisées, durée de conservation et fonctions utilisées.
Un fournisseur ne devient pas automatiquement responsable parce qu’il possède les serveurs ou qu’il facture une prestation. L’éditeur d’un outil peut agir pour le compte de son client lorsqu’il applique des instructions documentées et ne décide pas des finalités. À l’inverse, il peut être responsable pour un traitement qu’il exploite pour ses propres objectifs, avec ses propres moyens, même si le contrat le présente comme un simple prestataire. La qualification se vérifie dans les faits : paramétrage, documentation, décisions prises lors du projet, politique de confidentialité, journaux d’accès et échanges entre les équipes.
L’article 24 du RGPD impose au responsable de mettre en œuvre des mesures techniques et organisationnelles appropriées et d’être en mesure de démontrer la conformité du traitement (article 24 du RGPD). Cette obligation de démonstration explique pourquoi le dossier d’incident doit contenir plus qu’un courriel annonçant une intrusion : il faut pouvoir reconstituer le traitement, le risque, les mesures existantes, les décisions prises et les raisons de la réponse apportée aux personnes.
Deux organismes peuvent aussi déterminer ensemble les finalités et les moyens. Ils sont alors responsables conjoints au sens de l’article 26 du RGPD. Ils doivent définir de façon transparente leurs obligations respectives, notamment pour l’information et l’exercice des droits, et mettre les grandes lignes de leur accord à la disposition des personnes concernées (article 26 du RGPD). L’accord interne ne peut pas priver une personne du droit d’exercer ses droits contre chacun des responsables conjoints : le paragraphe 3 de cet article le rappelle expressément. Une réponse qui renvoie la personne d’un organisme à l’autre sans point de contact identifiable peut donc révéler une organisation contractuelle insuffisante.
Cette qualification répond à la première question pratique : quel acteur doit porter la relation avec la CNIL et les personnes concernées ? En principe, c’est le responsable du traitement, parce qu’il a la maîtrise juridique des finalités et qu’il reçoit les informations de ses sous-traitants. Le contrat peut répartir le travail matériel, mais il ne change pas la qualité déterminée par les faits. Il faut donc conserver la version du contrat applicable à la date de la violation, ses annexes de sécurité, la liste des sous-traitants ultérieurs et les instructions transmises.
B. Le sous-traitant agit sur instruction, mais ses obligations restent vérifiables
L’article 4, point 8, du RGPD définit le sous-traitant comme l’organisme qui traite des données « pour le compte du responsable du traitement » (article 4, point 8, du RGPD). Le contrat prévu par l’article 28 doit décrire l’objet et la durée du traitement, sa nature et sa finalité, le type de données, les catégories de personnes et les droits et obligations du responsable. Il doit aussi prévoir des garanties suffisantes et les mesures exigées par le règlement (article 28, paragraphes 1 et 3, du RGPD).
La clause de sécurité n’est pas une formule abstraite. Le sous-traitant doit prendre les mesures de l’article 32, respecter la confidentialité, encadrer les personnes autorisées et aider le responsable à répondre aux demandes d’exercice des droits. Il doit également aider à respecter les obligations relatives à la sécurité et aux violations. Le paragraphe 3, point f), de l’article 28 vise précisément l’aide nécessaire pour les articles 32 à 36. Le dossier doit donc permettre de vérifier quand le sous-traitant a eu connaissance de l’incident, quelles informations il a transmises, quelles mesures de confinement ont été prises et quelles données étaient effectivement concernées.
L’article 32 impose au responsable et au sous-traitant un niveau de sécurité adapté au risque. Le texte cite notamment la pseudonymisation et le chiffrement, la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, les moyens de rétablissement ainsi qu’une procédure de test et d’évaluation régulière (article 32 du RGPD). Une fuite peut être une divulgation non autorisée, un accès frauduleux, une perte, une altération ou une indisponibilité. Le responsable doit conserver les éléments qui permettent de relier l’événement à l’une de ces catégories, sans transformer une hypothèse technique en fait établi.
Le sous-traitant ultérieur ne fait pas disparaître la responsabilité du premier prestataire à l’égard du responsable. L’article 28, paragraphe 4, prévoit que les mêmes obligations doivent être imposées au sous-traitant ultérieur et que le sous-traitant initial demeure pleinement responsable devant le responsable de l’exécution de ces obligations. Le registre des prestataires, les autorisations de recours à un sous-traitant ultérieur et les preuves d’audit deviennent donc des pièces centrales. Une simple mention « hébergement sécurisé » ne permet pas, à elle seule, de démontrer le respect de l’article 32.
Le RGPD distingue enfin la notification interne entre prestataire et client de la notification à l’autorité. Aux termes de l’article 33, paragraphe 2, le sous-traitant notifie au responsable du traitement toute violation dans les meilleurs délais après en avoir pris connaissance. Le paragraphe 1 impose au responsable de notifier la violation à l’autorité de contrôle compétente, si possible 72 heures au plus tard après en avoir pris connaissance, sauf absence de risque pour les droits et libertés ; une notification tardive doit être accompagnée des motifs du retard (article 33, paragraphes 1 et 2, du RGPD). Cette phrase contient une règle précise de point de départ et de temps : elle ne doit pas être remplacée par une estimation tirée d’un guide ou d’un contrat.
Le même article impose une documentation de toute violation, avec les faits, les effets et les mesures prises. La documentation permet à l’autorité de vérifier le respect de l’article 33, y compris lorsque la décision finale est de ne pas notifier parce qu’aucun risque n’est établi. Le responsable qui demande au sous-traitant de « régler le problème » sans exiger ces éléments se prive d’une preuve utile. Le sous-traitant qui ne conserve aucun horodatage ou qui ne transmet qu’une conclusion générale ne permet pas au responsable de justifier sa propre analyse.
II. Choisir la bonne démarche : CNIL, personnes concernées, police et juge
A. Notification à la CNIL et information des personnes : deux obligations différentes
La notification à la CNIL et l’information des personnes concernées ne répondent pas au même seuil. Le responsable notifie à l’autorité lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés, selon l’article 33. Lorsque la violation est susceptible d’engendrer un risque élevé, l’article 34 prévoit en plus une communication aux personnes concernées dans les meilleurs délais. Cette communication doit être claire et simple et décrire la nature de la violation ainsi que les coordonnées utiles, les conséquences probables et les mesures prises ou envisagées (articles 33 et 34 du RGPD).
Le risque s’apprécie à partir des données et du contexte, pas seulement du nombre de comptes. Une combinaison d’identité, d’adresse, d’identifiants, de données financières ou de données de santé peut exposer les personnes à des conséquences différentes. Le responsable doit décrire les catégories de personnes et d’enregistrements, les conséquences probables et les mesures d’atténuation. Une information qui se limite à « un incident a eu lieu » sans préciser la nature des données ni les mesures utiles ne permet pas aux personnes de protéger leurs comptes et de décider des démarches à engager.
La CNIL dispose de pouvoirs d’enquête et de mesures correctrices. L’article 58 du RGPD lui permet notamment de demander des informations, de mener des audits, d’obtenir l’accès aux données et aux locaux, d’ordonner la mise en conformité, d’exiger une communication aux personnes et d’imposer une limitation ou une amende administrative (article 58 du RGPD). La page officielle « Notifier une violation de données personnelles » de la CNIL rappelle que l’organisme doit documenter l’incident et qu’un responsable peut notifier en plusieurs temps lorsque toutes les informations ne sont pas encore disponibles, à condition de compléter la notification dès que les éléments sont réunis.
Une personne concernée ne remplit pas le téléservice de notification réservé au responsable. Elle peut en revanche adresser une réclamation à une autorité de contrôle. L’article 77 du RGPD reconnaît ce droit, notamment dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, sans supprimer les autres recours administratifs ou juridictionnels (article 77 du RGPD). La page CNIL dédiée aux plaintes demande d’identifier l’organisme visé, de décrire les faits et de joindre les échanges et pièces utiles. Elle précise aussi qu’une plainte auprès de la CNIL n’a pas valeur de dépôt de plainte pénale et n’en constitue pas un préalable.
La réclamation permet de demander un contrôle du traitement, une mise en conformité ou une mesure relevant des pouvoirs de la CNIL. Elle ne remplace pas une demande d’indemnisation. Le RGPD organise séparément le recours contre l’autorité de contrôle à l’article 78 et le recours contre le responsable ou le sous-traitant à l’article 79. Si une personne veut contester une décision juridiquement contraignante de l’autorité, ou l’absence de traitement de sa réclamation dans le délai de trois mois visé par l’article 78, elle doit utiliser la voie juridictionnelle prévue par ce texte, devant les juridictions de l’État où l’autorité est établie (article 78 du RGPD). Cette voie ne se confond pas avec l’action en réparation dirigée contre l’organisme qui traite les données.
Pour le responsable et le sous-traitant, la réponse utile consiste à établir une chaîne documentaire : fiche d’incident, qualification de la violation, analyse du risque, décision de notification, contenu transmis à la CNIL, information adressée aux personnes et échanges avec les prestataires. Pour la personne concernée, il faut conserver le message reçu, ses annexes, l’identité du responsable indiqué, les demandes adressées au DPO, les réponses et les indices d’usage frauduleux. Dans les deux cas, les pièces originales et leur date de conservation doivent être préservées.
B. Police, juge et indemnisation : réunir les preuves et viser le bon acteur
Une fuite peut comporter un volet pénal, mais l’existence d’une violation au sens du RGPD ne suffit pas à affirmer qu’une infraction est constituée. Lorsque des faits peuvent correspondre à un accès frauduleux, à une usurpation d’identité ou à un traitement réalisé sans les mesures prescrites, la plainte pénale décrit les faits et laisse aux enquêteurs et au juge la qualification exacte. L’article 15-3 du code de procédure pénale impose aux officiers et agents de police judiciaire de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, même lorsque le service saisi n’est pas territorialement compétent (article 15-3 du code de procédure pénale, version applicable au 28 octobre 2026).
La plainte doit décrire le système concerné, les comptes ou données accessibles, les circonstances de la découverte et les conséquences observées. L’accès frauduleux à un système de traitement automatisé de données est défini par l’article 323-1 du code pénal, qui vise le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un tel système (article 323-1 du code pénal). Si des données ont été utilisées pour troubler la tranquillité ou porter atteinte à une personne, l’article 226-4-1 du code pénal peut être examiné au regard des faits d’usurpation d’identité (article 226-4-1 du code pénal). Lorsque le traitement a été réalisé sans les mesures prescrites par les articles 24, 25, 30 et 32 du RGPD, l’article 226-17 du même code prévoit une incrimination spécifique, sous réserve de la réunion de ses conditions (article 226-17 du code pénal).
Selon les faits établis, une captation frauduleuse des informations peut aussi être examinée au regard de l’article 226-18 du code pénal, qui réprime la collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite (article 226-18 du code pénal). Si la divulgation a été utilisée pour tromper une personne et obtenir une remise de fonds ou un acte, les enquêteurs peuvent également examiner l’escroquerie définie par l’article 313-1 du code pénal (article 313-1 du code pénal). Ces qualifications sont conditionnelles : la plainte doit exposer les faits vérifiables, sans affirmer qu’une infraction est acquise avant l’enquête.
Un dommage qui ne relève pas exclusivement du traitement peut enfin appeler un examen du droit commun de la responsabilité. L’article 1240 du code civil oblige l’auteur d’un fait fautif qui cause un dommage à le réparer (article 1240 du code civil). Ce fondement ne remplace pas l’analyse de l’article 82 du RGPD : il peut concerner un fait distinct, par exemple une manœuvre frauduleuse ou une dépense qui ne se rattache pas directement à la violation du règlement. Les chefs de demande et les preuves doivent être séparés pour éviter un double comptage du même préjudice.
La plainte pénale ne détermine pas automatiquement qui indemnisera le préjudice. Pour obtenir réparation du dommage causé par un traitement contraire au RGPD, l’article 79 ouvre un recours juridictionnel contre le responsable ou le sous-traitant. L’action peut être portée devant les juridictions de l’État où l’acteur dispose d’un établissement ou, en principe, dans l’État de la résidence habituelle de la personne concernée. Le texte prévoit une exception lorsque le responsable est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique (article 79 du RGPD). La qualification de l’acteur et son établissement doivent donc être vérifiés avant de choisir la juridiction.
L’article 82 prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation a droit à réparation. Il distingue la responsabilité du responsable ayant participé au traitement et celle du sous-traitant qui a méconnu les obligations qui lui incombent spécifiquement ou qui a agi en dehors des instructions licites. Lorsque plusieurs acteurs sont responsables du même dommage, chacun peut être tenu de la totalité de la réparation afin d’assurer une réparation effective, avec un recours ultérieur entre eux selon leur part de responsabilité (article 82, paragraphes 1 à 5, du RGPD).
Cette règle ne dispense pas de prouver le dommage. Dans son arrêt du 24 juin 2026, publié au Bulletin, la chambre sociale de la Cour de cassation a jugé que la simple violation du RGPD n’ouvre pas, à elle seule, un droit à réparation. Elle a reproché à la cour d’appel d’avoir retenu un préjudice nécessaire sans rechercher si le salarié établissait un dommage matériel ou moral, puis a cassé la condamnation indemnitaire de 5 000 euros sur ce point (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792, texte intégral). La personne qui agit doit donc relier la violation à un dommage concret : frais engagés, usurpation, démarches imposées, perte financière, anxiété documentée ou autre atteinte effectivement démontrée. Le montant ne se déduit pas mécaniquement du nombre de personnes touchées.
La preuve doit suivre les trois niveaux de la demande. Pour la CNIL, conservez la notification ou l’absence d’information, les demandes adressées au responsable, les réponses et les documents montrant le rôle du prestataire. Pour la plainte pénale, conservez les captures, courriels, journaux de connexion disponibles, messages frauduleux, références de signalements et attestations. Pour l’action indemnitaire, ajoutez les relevés ou factures, les frais de sécurisation, les courriers, les certificats ou attestations utiles et une chronologie reliant chaque poste de dommage à l’incident.
Un responsable qui reçoit une alerte de son sous-traitant doit vérifier quatre points avant de répondre : la date et la source de la connaissance de l’incident, la nature exacte de la violation, les catégories de données et de personnes, puis les mesures déjà prises. Il doit ensuite distinguer ce qui relève de sa notification à la CNIL, de l’information des personnes, de la plainte éventuelle contre un auteur et de la discussion contractuelle avec le prestataire. Un sous-traitant qui reçoit une demande d’une personne doit la transmettre au responsable selon le contrat et aider à y répondre ; il ne peut pas se présenter comme le seul interlocuteur si le traitement est juridiquement décidé par son client.
Une personne qui reçoit une notification doit, de son côté, identifier le responsable et le sous-traitant mentionnés, demander quelles données sont concernées et conserver la réponse. Elle peut déposer une réclamation à la CNIL sans attendre l’issue d’une action judiciaire, et elle peut déposer une plainte pénale si des faits susceptibles d’infraction sont établis. Si elle recherche une indemnisation, elle doit préparer une demande séparée fondée sur l’article 82, en visant le ou les acteurs dont les obligations et le rôle correspondent aux faits prouvés. Le juge appréciera ensuite la violation, le dommage et le lien entre les deux.
La lecture du contrat doit être menée en parallèle de la qualification RGPD. Une clause qui prévoit que le prestataire « gère la sécurité » ne suffit pas à transférer toutes les obligations. Il faut rechercher les instructions documentées, la procédure d’alerte, les coordonnées du point de contact, les règles d’accès aux journaux, la coopération pour l’analyse du risque, l’assistance lors d’une notification et le sort des données à la fin de la prestation. L’article 28, paragraphe 3, points e) à h), impose notamment l’aide à l’exercice des droits, l’assistance pour les articles 32 à 36, la mise à disposition des informations nécessaires aux audits et la contribution à ces audits (article 28, paragraphe 3, du RGPD). Ces éléments permettent de vérifier si le comportement du prestataire est resté dans ses instructions et si la preuve technique est accessible.
Le contrat ne doit pas non plus confondre l’incident de sécurité et le manquement contractuel. Une indisponibilité peut relever d’une obligation de service, tandis qu’une divulgation non autorisée relève aussi de l’article 32 du RGPD. Une mauvaise configuration peut engager la discussion sur la sécurité, mais elle ne prouve pas par elle-même un dommage indemnisable au titre de l’article 82. Inversement, l’absence de dommage financier immédiat ne supprime pas l’obligation de documenter et d’analyser le risque. Le dossier gagne à séparer, dans des rubriques distinctes, les faits techniques, les obligations RGPD, les engagements contractuels et les préjudices allégués.
Lorsque le prestataire affirme qu’il n’a fait qu’exécuter une instruction, il faut vérifier si cette instruction déterminait réellement le traitement. L’article 28, paragraphe 10, prévoit que le sous-traitant qui détermine les finalités et les moyens en violation du règlement est considéré comme responsable du traitement pour ce traitement. Cette règle évite qu’une qualification contractuelle bloque l’examen des faits. Elle impose toutefois de documenter la décision prise par le prestataire : choix d’une finalité commerciale, réutilisation des données, conservation décidée pour son propre compte ou accès accordé à un partenaire non prévu.
La stratégie peut être résumée en quatre dossiers qui se répondent sans se confondre :
- Dossier CNIL : notification du responsable, analyse du risque, informations communiquées, demandes de contrôle et pièces montrant les rôles respectifs ;
- Dossier pénal : chronologie de l’accès ou de la divulgation, éléments techniques disponibles, messages frauduleux, comptes touchés et plainte reçue par la police ou la gendarmerie ;
- Dossier indemnitaire : violation invoquée, acteur visé au regard de l’article 82, dommage matériel ou moral, justificatifs et lien causal ;
- Dossier contractuel : contrat et annexes, instructions, audits, engagements de sécurité, sous-traitants ultérieurs, notifications internes et demandes de conservation des preuves.
Cette séparation évite deux erreurs fréquentes. La première consiste à croire qu’une notification à la CNIL établit automatiquement la faute et le montant d’une indemnité. La seconde consiste à demander au sous-traitant une réparation globale sans examiner ce que le contrat lui imposait et ce que le responsable avait décidé. L’article 82 prévoit une responsabilité qui dépend des obligations propres de chaque acteur, tout en permettant une réparation effective lorsque plusieurs acteurs ont participé au même traitement. Le juge peut donc retenir plusieurs responsabilités, mais il lui faut des faits et des pièces pour les rattacher à la violation et au dommage.
Conclusion
Après une fuite chez un prestataire, la question « qui doit agir ? » se résout par la qualification du traitement. Le responsable décide des finalités et porte la notification à la CNIL ; le sous-traitant doit appliquer les instructions, sécuriser le traitement, documenter l’incident et alerter le responsable ; un responsable conjoint peut être tenu directement à l’égard de la personne. La CNIL peut enquêter et ordonner des mesures, la police reçoit la plainte relative à une infraction possible, et le juge est saisi séparément pour contester une décision ou demander réparation.
Le contrat, les journaux d’incident, la notification, les échanges avec les personnes et les justificatifs de dommage permettent de répartir les rôles sans confondre protection des données, responsabilité contractuelle et droit pénal. La violation doit être démontrée, mais l’indemnisation suppose aussi un dommage matériel ou moral établi, conformément à l’article 82 du RGPD et à l’arrêt de la Cour de cassation du 24 juin 2026. Une démarche utile commence donc par la conservation des preuves et l’identification précise de chaque acteur, puis choisit, selon l’objectif poursuivi, la CNIL, la police, le juge ou plusieurs de ces voies.