Fuite de données : vérifier si vous êtes touché et que faire ensuite

Un courriel d'une enseigne, d'une mutuelle ou d'une administration vous annonce que vos données ont été dérobées, après une cyberattaque ou une erreur ? Ce n'est pas rare : selon une étude Ipsos.Digital pour cybermalveillance.gouv.fr, près d'un Français sur deux a été informé d'une fuite de ses données personnelles au cours des douze derniers mois, et nous recensons régulièrement les organisations françaises dont les fichiers sont revendiqués par des pirates. Une fuite ne veut pas dire que vos données ont déjà servi. Elle augmente en revanche le risque d'arnaque, de piratage de vos comptes et d'usurpation d'identité. Ce guide explique comment savoir si vous êtes concerné, quoi faire dans quel ordre et quels recours existent.

Ce qu'une fuite expose, selon les données

Une fuite, ou violation de données personnelles, est l'accès ou la divulgation non autorisés d'informations détenues par un tiers : site internet, entreprise, association, collectivité ou administration. Elle peut être accidentelle ou malveillante, venir de l'intérieur ou de l'extérieur, rappelle la fiche de cybermalveillance.gouv.fr sur les fuites de données. Les données volées peuvent être revendues, puis croisées avec celles d'autres fuites. Le risque dépend surtout de ce qui a été dérobé.

Savoir si vous êtes concerné

Le premier signal est le message de l'organisme. Quand la fuite présente un risque pour les personnes, le règlement général sur la protection des données (RGPD) l'oblige à la notifier à la CNIL dans les meilleurs délais, si possible dans les 72 heures (article 33), et à prévenir directement les personnes concernées quand la fuite les expose à un risque élevé (article 34). Ce message doit dire, en termes clairs, ce qui s'est passé, ses conséquences probables, les mesures prises et un contact pour en savoir plus. Lisez-le en entier pour savoir quelles données ont fuité, et gardez-le : il servira en cas de plainte ou de demande de réparation.

Sans message, vous n'êtes pas forcément à l'abri. L'organisme peut se dispenser de vous écrire si les données étaient chiffrées, ou passer par une communication publique quand prévenir chacun demanderait des efforts disproportionnés. Si une fuite annoncée dans la presse, comme le piratage du Secours islamique France, touche un service que vous utilisez, interrogez directement cet organisme. La CNIL précise qu'elle ne peut ni vous dire ni vous confirmer si vos données figurent dans un fichier piraté. Elle déconseille aussi les sites qui affirment détenir les données volées et proposent de vérifier si vous êtes concerné.

Ces étapes reprennent le support « Violation de données personnelles : que faire en 3 étapes clés ? », publié le 1er octobre 2026 par cybermalveillance.gouv.fr et la CNIL. Pensez aussi à prévenir vos proches touchés par la même fuite, en particulier les personnes âgées ou peu à l'aise avec internet.

Les arnaques qui suivent une fuite

Le danger arrive souvent après coup, sous la forme de messages crédibles parce qu'ils citent vos vraies informations. Un faux courriel de la sécurité sociale, de votre banque ou d'un livreur de colis : n'ouvrez pas les pièces jointes, ne répondez pas, ne cliquez pas sur les liens et supprimez le message. Pour vous connecter à un compte, tapez vous-même l'adresse du site officiel.

Au téléphone, l'arnaque au faux conseiller bancaire est la plus redoutée : l'escroc connaît votre nom, votre banque, parfois votre IBAN, et vous presse de valider une opération, de faire un virement ou de remettre votre carte à un coursier. Raccrochez et rappelez votre conseiller au numéro qui figure sur vos relevés. Prenez toujours le temps de vérifier par vous-même, surtout si l'on vous pousse à agir vite.

Avec des données d'identité, un fraudeur peut aussi se faire passer pour vous auprès de votre opérateur et obtenir une nouvelle carte SIM : c'est la fraude au SIM swapping. Il reçoit alors vos SMS, dont les codes de validation bancaires. Une perte soudaine de réseau sans explication doit vous faire appeler votre opérateur. Courrier inattendu, crédit ou abonnement inconnu : la CNIL conseille alors de vérifier qu'aucun compte n'a été ouvert à votre nom en consultant le fichier des comptes bancaires (Ficoba) depuis votre espace particulier sur impots.gouv.fr, rubrique « Autres services ».

Prélèvement ou paiement frauduleux : se faire rembourser

Un prélèvement que vous n'avez pas autorisé se conteste auprès de la banque : cybermalveillance.gouv.fr conseille de lui en demander le remboursement et la suppression de l'autorisation de prélèvement, en invoquant l'article L133-24 du Code monétaire et financier. Pour un paiement frauduleux par carte, la fiche de service-public.fr sur la fraude à la carte bancaire (vérifiée le 13 février 2026) donne la marche à suivre :

• faire opposition au plus vite, auprès de la banque ou du serveur interbancaire au 0 892 705 705 (numéro surtaxé, 7 jours sur 7 et 24 heures sur 24) ;
• signaler la fraude en ligne sur le service Perceval, qui délivre un récépissé à transmettre à la banque ;
• demander le remboursement : la banque doit rendre toutes les sommes débitées et les frais d'incident, immédiatement et au plus tard à la fin du premier jour ouvrable suivant la contestation.

Une opposition tardive peut justifier un refus. Un paiement frauduleux de plus de 13 mois ne peut plus être remboursé, et le délai tombe à 70 jours pour un paiement fait hors de l'Espace économique européen. En cas de litige, le médiateur bancaire peut être saisi.

Porter plainte, saisir la CNIL

Si vos données sont utilisées contre vous, conservez toutes les preuves (messages, adresses de sites, captures d'écran) et portez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République. Selon la fiche Porter plainte de service-public.fr (vérifiée le 8 juillet 2026), une victime d'hameçonnage peut porter plainte en ligne sur le service THESEE, recommandé mais pas obligatoire. Le service de plainte en ligne classique couvre les escroqueries dont l'auteur est inconnu, sauf certaines arnaques commises sur internet. L'escroquerie étant un délit, la plainte est possible pendant 6 ans à partir des faits.

La plainte auprès de la CNIL est un autre recours : elle vise l'organisme qui n'a pas assez protégé vos données, ou la plateforme qui laisse vos données en ligne plus d'un mois après votre demande de suppression. La CNIL peut ordonner des mesures correctrices et sanctionner, mais pas vous verser d'argent. Pour des questions sur votre situation, le service 17Cyber de la police, de la gendarmerie et de cybermalveillance.gouv.fr répond en ligne.

Obtenir réparation

L'article 82 du RGPD donne droit à réparation à toute personne qui a subi un dommage matériel ou moral du fait d'une violation du règlement. Mais une fuite ne suffit pas à être indemnisé, rappelle la CNIL dans sa page du 2 octobre 2026. Trois conditions doivent être réunies :

• une violation du RGPD, par exemple des mesures de sécurité insuffisantes ; l'organisme est présumé fautif, sauf s'il prouve que le fait ne lui est en rien imputable ;
• un préjudice réel et personnel : perte d'argent, usurpation, atteinte à la réputation, perte de contrôle sur ses données ou inquiétude liée au risque d'utilisation abusive, sans seuil minimal de gravité ;
• un lien entre la violation et le préjudice.

La demande se porte devant le tribunal judiciaire si l'organisme est une entreprise ou une personne privée, devant le tribunal administratif s'il s'agit d'une administration, avec alors des règles propres comme la demande indemnitaire préalable. Vous pouvez aussi mandater une association habilitée (article 38 de la loi Informatique et libertés) ou rejoindre une action de groupe, dont le régime a été unifié par la loi du 30 avril 2025. Conservez tout : notification, courriels, justificatifs de dépenses, démarches et plaintes.

Photo : Miguel Á. Padriñán / Pexels