Piratage dissimulé par un dirigeant : la justice valide son licenciement pour faute

Six mois. C’est le temps pendant lequel un site e-commerce français est resté infiltré sans que l’entreprise ne réagisse, jusqu’à ce que la police alerte la direction en janvier 2020. Entre-temps, des données de clients ont été dérobées, dont des informations bancaires décrites comme des millions dans le dossier. L’affaire a pris une tournure sociale et judiciaire quand un directeur général adjoint a été licencié, l’employeur lui reprochant une inertie face à l’attaque et des défaillances de pilotage.

Le dossier vient d’être clarifié par la cour d’appel de Paris, dans un arrêt daté du 5 mars 2026. La juridiction retient des manquements, mais refuse la qualification de faute grave. Résultat, le cadre dirigeant obtient une indemnité d’environ 118 000 euros. Derrière ce chiffre, une question intéresse toutes les entreprises qui vendent en ligne, jusqu’où va la responsabilité d’un dirigeant quand la cybersécurité se dégrade, parfois en silence, parfois par manque de moyens.

La cour d’appel de Paris tranche le licenciement du 5 mars 2026

L’arrêt du 5 mars 2026 fixe une ligne de crête, le dirigeant visé a commis des fautes, mais elles ne suffisent pas à le priver de toute indemnisation. En droit du travail, la différence entre faute grave et cause réelle et sérieuse n’est pas un détail, la première coupe net les indemnités, la seconde ouvre la porte à une compensation. Dans ce dossier, la cour d’appel de Paris refuse de suivre l’employeur sur le terrain de la sanction maximale.

Concrètement, le cadre dirigeant licencié repart avec environ 118 000 euros. Ce montant n’efface pas un licenciement, ni l’onde de choc professionnelle, mais il acte que la justice n’a pas vu une rupture immédiate et incontestable du lien de confiance. L’arrêt rappelle aussi que l’entreprise cherchait à imputer à un seul responsable une chaîne d’échecs, surveillance, réaction, organisation interne, alors que la cybersécurité repose souvent sur plusieurs étages de décision.

Le point sensible, c’est la notion de responsabilité cyber portée par un cadre dirigeant. Dans de nombreuses entreprises, la sécurité est partagée entre la DSI, le RSSI quand il existe, la direction des opérations, et la direction générale. Là, le contentieux se cristallise sur un dirigeant qui disposait d’une délégation liée à la cybersécurité, et dont l’employeur estimait qu’il avait laissé la situation s’enliser. La cour reconnaît des manquements, mais refuse d’en faire une faute d’une gravité extrême.

Ce type de décision intéresse les entreprises au-delà du cas d’espèce. Beaucoup de structures e-commerce, notamment les ETI, n’ont pas une organisation de sécurité mature, pas de centre de supervision 24/7, pas d’audits réguliers. La justice ne dit pas que tout est excusable, elle dit que la sanction doit coller aux faits et au degré de responsabilité. Pour les employeurs, c’est un signal, si tu veux sanctionner au plus haut niveau, il faut démontrer un niveau de négligence difficile à contester.

Six mois d’intrusion et millions de données bancaires volées

Le cur de l’affaire, c’est une intrusion restée invisible pendant six mois. Le déclencheur n’est pas une alerte interne, mais une information transmise par la police en janvier 2020. Dit autrement, l’entreprise n’a pas détecté ce qui se passait sur son propre site e-commerce, et personne n’a enclenché une réponse à temps. Dans un contexte où les attaques automatisées scannent en continu les boutiques en ligne, ce délai interroge sur la surveillance, les journaux, et les alertes.

La fuite porte sur des données clients, dont des informations bancaires décrites comme des millions. Même sans entrer dans le détail technique, l’impact est immédiat, risque de fraude, usurpation d’identité, revente sur des places de marché clandestines, et surtout perte de confiance. Une base de données de paiement n’est pas un simple fichier client, c’est un actif critique. Et quand l’intrusion dure, la question devient, combien de transactions, combien de comptes, combien de temps avant que les victimes voient des opérations suspectes.

Sur le plan pénal, le cadre existe. L’accès frauduleux à un système de traitement automatisé de données est puni jusqu’à 3 ans d’emprisonnement et 100 000 euros d’amende, et jusqu’à 5 ans et 150 000 euros si l’attaque modifie des données ou altère le fonctionnement. Ces chiffres rappellent une chose, le pirate est la cible pénale principale, mais l’entreprise, elle, doit gérer l’urgence, la preuve, la notification, la relation client, et la continuité.

Dans les faits, ce qui choque souvent les clients n’est pas seulement la fuite, c’est le silence. Quand l’attaque est détectée tard, les messages arrivent tard, et la pédagogie est plus difficile. Des spécialistes de la réponse à incident le répètent, la première journée compte, isolement des systèmes, collecte des logs, rotation des secrets, et communication maîtrisée. Ici, la durée de l’intrusion alimente une perception de défaillance globale, et c’est précisément ce que l’employeur a tenté de faire porter à un dirigeant.

La délégation de pouvoirs cybersécurité au centre du litige

Ce dossier met en lumière une mécanique juridique parfois mal comprise, la délégation de pouvoirs. Pour qu’elle soit valable, il faut un délégataire compétent, autonome, et doté des moyens nécessaires. Ce triptyque est central, parce qu’il détermine qui décide, qui exécute, et qui a la capacité d’empêcher une dérive. Dans une entreprise e-commerce, cela recouvre des budgets, des prestataires, des outils de détection, et l’autorité pour imposer des priorités.

Dans l’affaire jugée à Paris, l’employeur a cherché à démontrer que le cadre dirigeant portait la responsabilité opérationnelle et qu’il n’avait pas agi. La cour retient des fautes, mais refuse d’y voir une faute grave. Cela peut se lire comme une nuance importante, être responsable ne signifie pas être le seul responsable, et ne pas réussir à empêcher une cyberattaque ne prouve pas automatiquement une négligence extrême. La frontière est fine, et elle dépend des preuves internes, mails, arbitrages, alertes, demandes de ressources.

Un avocat en droit social, interrogé dans un cadre similaire, résume souvent le problème avec une formule simple, la délégation sans moyens, c’est une délégation de façade. Si le dirigeant n’a pas la main sur les recrutements, ni sur les outils, ni sur la stratégie IT, sa responsabilité disciplinaire peut être discutée. À l’inverse, si des alertes existent et qu’elles sont ignorées, l’employeur peut tenter de démontrer une faute de management. Le juge va alors chercher des éléments concrets, pas des impressions.

Pour les entreprises, la leçon est pragmatique. Si tu confies la cybersécurité à un cadre, documente le périmètre, les objectifs, les budgets, et les indicateurs. Sinon, au moment du contentieux, tout devient flou, et le flou profite rarement à celui qui doit prouver la faute grave. Cette affaire rappelle que la cybersécurité n’est pas qu’une ligne dans un organigramme, c’est une capacité réelle à décider et à agir, surtout quand une intrusion s’étire sur plusieurs mois.

Le projet logistique interne Rolls cité dans les manquements

La cour d’appel ne s’est pas limitée au piratage. Elle mentionne aussi une mauvaise gestion d’un projet de refonte logistique interne baptisé Rolls . Ce point compte, parce qu’il montre que l’employeur a construit un dossier disciplinaire plus large, en additionnant des griefs de pilotage. Dans beaucoup d’entreprises e-commerce, la logistique et l’IT sont liées, une refonte logistique touche aux flux, aux outils, aux intégrations, et parfois à des choix techniques structurants.

Le lien avec la cybersécurité n’est pas automatique, mais il existe. Une refonte mal cadrée peut multiplier les accès, ouvrir des interfaces, accélérer des mises en production, et créer des angles morts. Des équipes sous pression peuvent repousser des correctifs, laisser des environnements de test accessibles, ou réutiliser des mots de passe. Ce n’est pas une excuse, c’est un mécanisme connu. Quand un projet comme Rolls dérape, la gouvernance se tend, et la sécurité peut être reléguée au second plan.

Un consultant en réponse à incident, appelons-le Marc, le dit sans détour, quand la logistique est en crise, la sécurité passe derrière, et c’est là que les attaquants s’installent. Il décrit des cas où des alertes simples, connexions anormales, comptes créés en dehors des procédures, n’ont pas été escaladées parce que tout le monde était focalisé sur la livraison et le service client. Dans une boutique en ligne, une journée de retard de livraison se voit tout de suite, une exfiltration de données peut rester invisible longtemps.

Dans le dossier, la justice retient des manquements de gestion, mais elle ne valide pas la sanction maximale. Cela renvoie une critique implicite à certaines entreprises, on ne peut pas transformer un échec de gouvernance en faute grave individuelle sans démontrer une intention ou une négligence d’une intensité particulière. Un projet interne mal piloté est sanctionnable, oui, mais la faute grave suppose un degré de rupture plus net. Là encore, la décision oblige à distinguer la responsabilité managériale d’un contexte organisationnel défaillant.

RGPD, notification CNIL et plaintes clients, le risque après l’attaque

Quand des données clients sont volées, l’entreprise entre dans un tunnel juridique et opérationnel. Le RGPD impose des obligations, et une entreprise victime d’une cyberattaque doit notifier l’incident à la CNIL dans les cas prévus. Le sujet n’est pas seulement la conformité, c’est la capacité à prouver ce qui a été touché, quand, et comment. Si l’intrusion dure six mois, l’analyse devient plus complexe, et la communication aux clients plus délicate.

Côté victimes, les démarches existent. En cas de fraude liée à un achat sur internet ou à un faux site, le dépôt de plainte peut passer par la plateforme THESEE, et le délai pour agir peut aller jusqu’à 6 ans à compter du dernier acte d’escroquerie. Même si le cas présent porte sur un site e-commerce réel piraté, ces dispositifs montrent l’arsenal disponible pour les consommateurs. Dans les semaines qui suivent une fuite, les demandes de remboursement, les contestations de paiement, et les signalements se multiplient.

Les autorités rappellent aussi les infractions typiques autour de l’usurpation d’identité. L’article 226-4-1 du Code pénal prévoit jusqu’à 1 an de prison et 15 000 euros d’amende pour l’usurpation d’identité en ligne. Pour les entreprises, cela se traduit par une attente forte, prévenir les clients, recommander des changements de mots de passe, surveiller les transactions, et fournir des points de contact réactifs. Si la réponse est lente, la défiance s’installe, et la marque peut perdre durablement des clients.

Ce dossier met aussi en lumière un angle mort fréquent, le pilotage de la crise après coup. Une attaque n’est pas seulement un événement technique, c’est une suite de décisions, notification, assistance, preuves, relation avec les assureurs cyber, et parfois contentieux social. Le dirigeant licencié a obtenu 118 000 euros, mais l’entreprise, elle, doit gérer les conséquences plus larges, réputation, coûts d’audit, renforcement des contrôles, et risques de sanctions si des mesures élémentaires n’étaient pas en place. Dans l’e-commerce, la confiance est une monnaie, et une fuite prolongée la dévalue vite.