Cyberattaque sur les frigos de supermarchés franchisés : qui doit assumer les pertes ?
L’actualité récente a montré la vulnérabilité des matériels frigorifiques, pourtant essentiels au bon fonctionnement d’un réseau de distribution alimentaire.
Après les cyberattaques en France, il semble que plusieurs enseignes actives en Belgique soient également ciblées.
Dans le contexte de commerces opérant au sein d’un réseau de franchise, se pose la question de l’entité devant assumer les pertes liées à ces attaques, les pirates étant difficiles à identifier.
Cyberattaque sur les frigos : le rôle du franchiseur
Dans la plupart des contrats de franchise, le franchiseur impose le choix des fournisseurs des éléments nécessaires à l’exploitation d’un commerce appartenant à son réseau.
Ainsi, le mobilier, la décoration et les principaux éléments matériels utilisés dans les magasins sont sélectionnés en amont par le franchiseur. Le franchisé a l’obligation contractuelle de s’approvisionner auprès des fournisseurs approuvés par le franchiseur. Cela permet d’obtenir des conditions de services et de prix plus favorables, tout en assurant l’uniformité des points de vente.
Cette limitation quant au choix du fournisseur impose des obligations au franchiseur également, en particulier afin d’assurer une sélection appropriée du fournisseur. A défaut, le franchiseur manquerait à son devoir d’assistance à ses franchisés.
Quel impact sur les responsabilités franchiseur/franchisé?
Dans le contexte des cyberattaques de frigos connectés, il semble que les failles de sécurité exploitées trouvaient leur origine dans le caractère dépassé des appareils sur un plan technique, avec une absence de mises à jour de sécurité.
La réglementation sur la sécurité des systèmes d’information (NIS 2) impose aux entités importantes du secteur de la distribution alimentaire en gros de prendre des mesures appropriées pour gérer les risques de cybersécurité, notamment au travers de mesures visant la sécurité de la chaîne d’approvisionnement.
La réglementation en matière de cybersécurité impose en outre une réactivité et une proactivité dans la gestion des risques de cybersécurité identifiés. Or, la survenance récente et très médiatisée d’incidents affectant des réseaux de distribution similaires devait nécessairement attirer l’attention du franchiseur et l’inciter à prendre des mesures de vérification de la sécurité du matériel utilisé au sein de son propre réseau. L’absence d’information des franchisés et/ou de recommandations de mesures de sauvegarde (telles que la déconnexion des appareils du réseau internet dans l’attente d’une mise à jour de sécurité) pourrait constituer un manquement fautif au devoir d’assistance du franchiseur à l’égard de ses franchisés. Le Code européen de déontologie de la franchise souligne d’ailleurs l’importance du devoir d’assistance technique du franchiseur tout au long de l’exécution du contrat de franchise (point 2.2).
En tant qu’entité responsable de la sélection des matériels frigorifiques utilisés au sein de son réseau, le franchiseur doit assumer une double obligation d’information à l’égard des franchisés : informer sur la nature et les risques inhérents aux matériels imposés aux franchiseurs, information sur les responsabilités liées à l’usage de ces matériels dans le cadre de l’activité du franchisé (et les dispositions contractuelles qui s’y rapportent). L’information doit avoir lieu en amont, lors de la négociation du contrat de franchise, et en aval, lors de l’exécution du contrat, lors de tout événement qui nécessite un support du franchiseur afin de protéger les intérêts de ses partenaires commerciaux privilégiés que sont les franchisés.
Le contrat permet-il d’attribuer la responsabilité en cas de cyberattaque ?
Les contrats de franchise comportent souvent des clauses écartant la responsabilité du franchiseur dans certains cas ou pour certains types de dommages.
Dans le cas de manquements éventuels à des obligations de cybersécurité ou d’information/conseil sur les aspects de cybersécurité, les clauses d’exonération de responsabilité pourraient être contestées par le franchisé sur plusieurs bases juridiques :
- Une absence d’information appropriée lors de la négociation du contrat de franchise pourrait ouvrir la voie à une demande en annulation des clauses d’exonération ;
- Des dispositions contractuelles équivoques sur ces questions pourraient subir une interprétation en faveur du franchisé ;
- Le droit des clauses abusives B2B ;
- Etc…
Notre conseil :
Si vous avez subi des dommages à la suite d’une cyberattaque sur le matériel frigorifique de votre magasin, vérifiez votre contrat de franchise afin d’identifier les obligations du franchiseur à ce sujet et les clauses relatives aux responsabilités. Une réclamation au franchiseur est peut-être possible.
L’équipe Lexing est à votre disposition pour toute assistance dans ces démarches d’analyse et de réclamation auprès de votre franchiseur.
