Accueil › Outils › Victime d'une fuite de données : que faire ?

Victime d'une fuite de données : que faire ?

Impôts, mutuelle, opérateur, enseigne : quand un organisme perd vos données, ce n'est pas à vous d'en payer les conséquences. Voici, dans l'ordre, ce qu'il faut faire, ce que dit le droit, et les lettres prêtes à envoyer.

En 2026, les fuites se sont succédé. La DGFiP a reconnu des accès illégitimes à son système d'information, en juin et juillet, qui ont permis de consulter et d'extraire des données concernant 678 000 particuliers et professionnels (ministère de l'Économie). Des mutuelles, dont Solimut, ont signalé des attaques en août (Next) ; d'autres fuites sont revendiquées sans être confirmées. Le recensement, qui distingue le confirmé du revendiqué, est tenu dans le compteur des fuites.

Sommaire : 1. Vérifier si vous êtes concerné · 2. Vous protéger · 3. Exercer vos droits · 4. Demander réparation · 5. Interpeller vos élus · Modèles à télécharger · Questions fréquentes

1. Vérifier si vous êtes concerné

Quand une violation de données est susceptible d'engendrer un risque élevé pour vos droits et libertés, l'organisme responsable doit vous en informer dans les meilleurs délais. Il doit vous décrire, en termes clairs et simples, la nature de la violation, ses conséquences probables, les mesures prises, et vous donner le contact de son délégué à la protection des données (article 34 du RGPD). Il doit aussi notifier la CNIL, si possible dans les 72 heures (article 33).

Il en est dispensé si les données étaient chiffrées et donc illisibles, ou si des mesures prises ensuite ont écarté le risque élevé. Si prévenir chacun demande des efforts disproportionnés, une communication publique remplace l'information individuelle (article 34, paragraphe 3).

Le piège : les escrocs imitent ces messages. Un vrai message d'information ne vous demande pas de « vérifier » votre situation en cliquant. Pour confirmer, connectez-vous par vous-même au site officiel ou à votre espace personnel, ou appelez le numéro habituel de l'organisme (Cybermalveillance.gouv.fr).

Pas de message mais un doute ? Demandez directement à l'organisme si vos données sont concernées, et lesquelles : c'est le droit d'accès (étape 3, modèle 1). La CNIL ne peut pas vous dire si vos données figurent dans un fichier volé (CNIL).

2. Vous protéger dans les semaines qui suivent

Hameçonnage ciblé

Avec votre nom, votre adresse, votre numéro fiscal ou votre IBAN, un escroc devient crédible : faux conseiller bancaire, faux agent des impôts, fausse mutuelle. Raccrochez et rappelez vous-même le numéro officiel. Ne communiquez jamais un mot de passe ni un code reçu par SMS. Signalez les SMS frauduleux au 33700 et les courriels sur Signal Spam ; conservez les messages, ils peuvent servir à l'enquête (Cybermalveillance.gouv.fr).

Mots de passe et double authentification

Changez en priorité le mot de passe de votre messagerie, qui permet de réinitialiser tous les autres, puis ceux de vos comptes importants (impôts, banque, achats en ligne) et de tout site où vous utilisiez le même. Un mot de passe différent par service ; un gestionnaire de mots de passe aide (CNIL). Activez la double authentification partout où c'est possible, et vérifiez le téléphone et l'adresse de secours de votre messagerie (CNIL et Cybermalveillance.gouv.fr).

IBAN et prélèvements

Un fraudeur peut utiliser un IBAN volé pour émettre des prélèvements, voire créer un mandat à votre nom (CNIL).

• Surveillez la liste des créanciers autorisés dans votre espace bancaire et activez les notifications de paiement. Vous pouvez demander à votre banque, à tout moment et gratuitement, de bloquer les prélèvements d'un créancier (Banque de France).
• Prélèvement jamais autorisé (aucun mandat signé) : c'est une opération non autorisée. Signalez-la à votre banque sans tarder, et au plus tard dans les 13 mois suivant le débit (article L133-24 du Code monétaire et financier). La banque doit vous rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant, sauf si elle a de bonnes raisons de soupçonner une fraude de votre part et les communique par écrit à la Banque de France (article L133-18).
• Prélèvement que vous aviez autorisé : vous pouvez en demander le remboursement, sans avoir à vous justifier, dans les 8 semaines suivant le débit (article L133-25 et article L133-25-1).
• Bloquer un créancier n'efface pas une dette réelle envers lui : il faut alors la régler autrement (Banque de France).

Se faire aider

17Cyber, le service public d'assistance en ligne de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, vous oriente selon votre situation, à toute heure (Gendarmerie nationale ; service-public.gouv.fr). La fiche « Violation ou fuite de données personnelles, que faire ? » et le dépliant « Violation de données personnelles : que faire en 3 étapes clés » publié par la CNIL et Cybermalveillance.gouv.fr pour le Cybermois 2026 complètent ce kit. Info Escroqueries répond au 0 805 805 817, appel gratuit (Cybermalveillance.gouv.fr).

3. Exercer vos droits

Savoir quelles données vous concernent : le droit d'accès

L'article 15 du RGPD vous permet d'obtenir la confirmation que vos données sont traitées, une copie de ces données et des informations sur leur usage, leurs destinataires, leur durée de conservation et leur source. Pour une violation, l'article 34 vous donne droit en plus à une description de l'incident, de ses conséquences probables et des mesures prises.

L'organisme doit répondre dans un délai d'un mois, prolongeable de deux mois pour une demande complexe à condition de vous en informer dans le premier mois (article 12, paragraphe 3). La réponse est gratuite (article 12, paragraphe 5). Écrivez au délégué à la protection des données (DPO), dont les coordonnées doivent être publiées (article 37, paragraphe 7), et gardez une preuve d'envoi. Une administration peut opposer des limitations prévues par la loi (article 23) ; si elle ne donne pas suite, elle doit vous en donner les motifs dans le mois (article 12, paragraphe 4). Modèle 1.

Réclamation (plainte) auprès de la CNIL

La CNIL instruit les réclamations (article 77 du RGPD). Elle peut ordonner des mesures correctrices ou sanctionner l'organisme ; elle ne vous indemnise pas (CNIL). La procédure :

1. Adressez-vous d'abord à l'organisme. La CNIL demande d'exercer vos droits auprès de lui ; vous pouvez la saisir s'il ne répond pas dans le mois ou si sa réponse n'est pas satisfaisante.
2. Déposez la réclamation en ligne depuis la page « Adresser une plainte » de cnil.fr, qui vous oriente vers le formulaire adapté ; un compte est nécessaire pour y accéder et suivre le dossier (service-public.gouv.fr). L'envoi par courrier reste possible.
3. Rédigez en français, identifiez l'organisme (nom, adresse, numéro SIREN si possible) et joignez la copie de vos démarches et des réponses reçues. Modèle 2.

Fuite aux impôts : la CNIL a déjà été notifiée et indique qu'une plainte individuelle n'est pas nécessaire (CNIL). Réservez la réclamation à ce qui vous concerne en propre, comme une demande d'accès restée sans réponse.

Plainte pénale

S'introduire frauduleusement dans un système informatique est un délit puni de trois ans d'emprisonnement et de 100 000 € d'amende, portés à sept ans et 300 000 € lorsque le système de données personnelles est mis en œuvre par l'État (article 323-1 du Code pénal) ; l'extraction et la détention des données sont réprimées par l'article 323-3. L'organisme victime porte en général plainte lui-même : c'est le cas de la DGFiP (ministère de l'Économie).

Votre propre plainte est surtout utile si vous subissez une conséquence concrète : prélèvement frauduleux, usurpation d'identité, escroquerie. Le récépissé vous servira auprès de votre banque ou de votre assurance. Vous pouvez porter plainte au commissariat ou à la gendarmerie, qui sont tenus de l'enregistrer, ou par courrier au procureur de la République (service-public.gouv.fr, modèle de lettre). Pour certaines escroqueries en ligne (hameçonnage, piratage de messagerie, faux site de vente…), la plainte en ligne THESEE est ouverte aux majeurs, avec FranceConnect.

4. Demander réparation

L'article 82 du RGPD donne droit à réparation de tout dommage matériel ou moral causé par une violation du règlement. Le responsable du traitement ne s'exonère que s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable.

Dans une affaire née du piratage de l'administration fiscale bulgare, la Cour de justice de l'Union européenne a précisé trois points : l'intervention d'un pirate n'exonère pas à elle seule le responsable ; c'est à lui de prouver que ses mesures de sécurité étaient appropriées ; et la crainte d'un usage abusif de vos données peut constituer, à elle seule, un dommage moral (CJUE, 14 décembre 2023, C-340/21). Il n'y a pas de seuil de gravité, mais le dommage doit être prouvé : la seule violation du RGPD ne suffit pas (CJUE, 4 mai 2023, C-300/21). Ce n'est pas la CNIL qui indemnise, c'est le juge (CNIL).

À documenter, avec des preuves datées : le temps passé, les frais engagés (recommandés, opposition, renouvellement de carte), les sommes prélevées non remboursées, les tentatives d'escroquerie reçues.

Une administration saisie à tort doit transmettre votre demande à l'autorité compétente et vous en avertir (article L114-2 du CRPA).

Action de groupe et associations

Depuis la loi n° 2025-391 du 30 avril 2025 (article 16), un régime unique d'action de groupe permet, à certaines conditions, de faire cesser un manquement ou d'obtenir réparation pour plusieurs personnes placées dans une situation similaire, y compris en matière de données personnelles et devant le juge administratif. Elle est engagée par des entités habilitées par la loi, notamment des associations agréées (CNIL) : vous ne la lancez pas seul, vous pouvez rejoindre une action engagée. Une telle procédure dure souvent des années et son issue n'est jamais garantie.

Vous pouvez aussi mandater une association active dans la protection des données pour introduire en votre nom une réclamation ou une action (article 80 du RGPD). Vérifiez son sérieux avant de lui confier quoi que ce soit (CNIL).

5. Interpeller vos élus

Un député peut poser au gouvernement une question écrite : elle est publiée au Journal officiel, et le ministre interrogé dispose de deux mois pour y répondre (Assemblée nationale). Le délai est souvent dépassé, mais la réponse, quand elle vient, est publique. Trouvez votre député dans l'annuaire officiel de l'Assemblée nationale et écrivez-lui : une lettre courte, factuelle, avec des questions précises, a plus de chances d'être reprise. Modèle 5.

Modèles à télécharger

Chaque modèle existe en Word (.docx, les champs à compléter sont surlignés) et en texte brut (.txt, à copier dans un formulaire ou un courriel). Remplissez les passages entre [crochets] et supprimez ce qui ne vous concerne pas.

• Demande d'accès à vos données (article 15 du RGPD) DOCX · 4 Ko · Word / LibreOffice

  À envoyer au délégué à la protection des données de l'organisme : savoir quelles données vous concernant ont fuité. Réponse due sous un mois. Aussi en texte brut (TXT · 4 Ko).

• Texte de réclamation à coller dans le formulaire de la CNIL DOCX · 4 Ko · Word / LibreOffice

  Après une demande d'accès restée sans réponse ou un défaut d'information. Inutile pour la fuite des impôts : la CNIL indique n'avoir pas besoin de plaintes individuelles. Aussi en texte brut (TXT · 4 Ko).

• Mise en demeure et demande d'indemnisation à un organisme privé (article 82 du RGPD) DOCX · 5 Ko · Word / LibreOffice

  Entreprise, mutuelle, opérateur, enseigne : demande chiffrée de réparation, par lettre recommandée, avant toute action en justice. Aussi en texte brut (TXT · 5 Ko).

• Demande préalable indemnitaire à une administration DOCX · 5 Ko · Word / LibreOffice

  État, collectivité, établissement public : la demande écrite obligatoire avant tout recours au tribunal administratif. Elle interrompt la prescription de quatre ans. Aussi en texte brut (TXT · 5 Ko).

• Lettre à votre député pour une question écrite au gouvernement DOCX · 4 Ko · Word / LibreOffice

  Le ministre interrogé dispose de deux mois pour répondre au Journal officiel. Cinq questions précises, à adapter à la fuite qui vous concerne. Aussi en texte brut (TXT · 3 Ko).

• Liste de vérification à imprimer PDF · 6 Ko · à imprimer

  Les gestes à faire le jour même, la première semaine et le premier mois, avec les délais à retenir. Deux pages. Aussi en modifiable (DOCX · 4 Ko).

Modèles indicatifs : ils ne constituent pas un conseil juridique. Pour un litige important, faites-vous conseiller (avocat, point-justice, association de consommateurs).

Questions fréquentes

Comment savoir si mes données ont fuité ?

Quand une fuite présente un risque élevé pour vous, l'organisme doit vous en informer directement (article 34 du RGPD). Sans message, vous pouvez lui demander par écrit si vos données sont concernées et lesquelles : c'est le droit d'accès, avec une réponse due sous un mois. La CNIL, elle, ne peut pas vous dire si vos données figurent dans un fichier volé (CNIL). Méfiez-vous des sites qui proposent de « vérifier » en saisissant vos informations.

Faut-il porter plainte auprès de la CNIL après la fuite aux impôts ?

Non, pas systématiquement. La CNIL a indiqué avoir été notifiée des violations touchant la DGFiP et qu'une plainte individuelle n'est pas nécessaire (CNIL, août 2026). Une réclamation garde son intérêt pour un élément propre à votre situation, par exemple une demande d'accès restée sans réponse.

Peut-on être indemnisé après une fuite de données ?

Oui, si vous prouvez un dommage. L'article 82 du RGPD ouvre droit à réparation du dommage matériel ou moral, et la Cour de justice de l'Union européenne admet que la crainte d'un usage abusif de vos données peut constituer un dommage moral (C-340/21). Mais rien n'est automatique : c'est le juge, et non la CNIL, qui décide et fixe le montant (CNIL).

Mon IBAN a fuité : que faire ?

Vérifiez dans votre espace bancaire la liste des créanciers autorisés à prélever sur votre compte (CNIL) et faites bloquer tout créancier inconnu. Un prélèvement que vous n'avez jamais autorisé se conteste auprès de votre banque sans tarder, au plus tard 13 mois après le débit (article L133-24 du Code monétaire et financier) ; la banque doit alors rembourser au plus tard à la fin du premier jour ouvrable suivant (article L133-18).

La CNIL peut-elle sanctionner l'État pour une fuite de données ?

Elle peut contrôler une administration et prendre des mesures correctrices, mais elle ne peut pas lui infliger d'amende : l'article 20 de la loi Informatique et libertés exclut l'amende administrative lorsque le traitement est mis en œuvre par l'État. Les organismes privés, eux, peuvent recevoir une amende.

Une action de groupe est-elle possible ?

Oui. Depuis la loi du 30 avril 2025, un régime unique d'action de groupe couvre aussi les données personnelles : il permet de faire cesser un manquement ou d'obtenir réparation pour plusieurs victimes. Seules des entités habilitées par la loi, notamment des associations agréées, peuvent l'engager ; une victime peut ensuite la rejoindre. Une telle procédure est longue et son issue n'est jamais acquise.

Pour aller plus loin