L’article en bref
- Recevoir une notification de violation de données ne vous oblige à rien : c'est une information, pas une convocation.
- Trois voies distinctes existent : la réclamation auprès de la CNIL (manquement de l'entreprise), la plainte pénale (infraction que vous subissez) et l'action indemnitaire (article 82 du RGPD).
- Avant tout, vos droits s'exercent auprès de l'entreprise elle-même : accès (article 15) et, dans certains cas, effacement (article 17).
- La CNIL contrôle et sanctionne, mais n'indemnise jamais les victimes.
- Cas particulier du piratage de la DGFiP : la CNIL, déjà saisie, indique qu'une plainte individuelle auprès d'elle n'est pas nécessaire.
- En cas de fraude déjà réalisée, la priorité est votre banque (remboursement) et la plainte pénale.
Tout dépend de ce que vous cherchez. Pour faire contrôler et sanctionner l'entreprise qui a laissé fuiter vos données : réclamation auprès de la CNIL. Pour poursuivre l'auteur d'une infraction que vous subissez, usurpation d'identité ou escroquerie : plainte pénale, au commissariat, en gendarmerie ou en ligne. Pour obtenir une indemnisation : action civile fondée sur l'article 82 du RGPD, la CNIL n'indemnisant jamais. Ces trois voies ne s'excluent pas. Et si aucune fraude n'est survenue, aucune démarche n'est obligatoire.
Faits et sources vérifiés le 21 août 2026.
Être informé d'une fuite ne vous oblige à rien
Lorsqu'une violation de données est susceptible d'engendrer un risque élevé pour vous, l'entreprise doit vous en informer individuellement (article 34 du RGPD). Cette notification est une obligation de l'entreprise, pas la vôtre. Elle ne déclenche aucune démarche automatique de votre côté. Beaucoup de personnes concernées n'auront jamais à agir : la fuite ne débouche pas toujours sur une exploitation frauduleuse.
La notification a pourtant une valeur : conservez-la. Elle date votre connaissance de l'incident, décrit les données concernées et servira de pièce maîtresse si un préjudice apparaît plus tard. Les premières actions utiles sont préventives : changer les mots de passe concernés, surveiller vos comptes, rester vigilant face aux messages exploitant vos vraies données.
Première étape : vos droits auprès de l'entreprise
Avant de saisir une autorité, vous pouvez interroger directement le responsable du traitement. Le droit d'accès de l'article 15 du RGPD vous permet d'obtenir la confirmation que vos données sont traitées, les catégories concernées, et une copie de vos données. C'est la voie officielle pour savoir précisément ce qui vous concerne dans la fuite. Le droit à l'effacement de l'article 17 permet, dans certains cas, d'exiger la suppression de vos données des systèmes de l'entreprise, ce qui limite l'exposition future.
Adressez votre demande au délégué à la protection des données de l'organisme, en justifiant de votre identité. La réponse est due, en principe, dans un délai d'un mois. L'absence de réponse ou une réponse insatisfaisante constitue précisément l'un des motifs de réclamation auprès de la CNIL.
La réclamation auprès de la CNIL : pour faire contrôler l'entreprise
La plainte auprès de la CNIL, appelée réclamation, vise un manquement de l'entreprise au RGPD : sécurité insuffisante, absence d'information des personnes, refus de répondre à une demande d'accès ou d'effacement. La CNIL peut contrôler l'organisme, prononcer des injonctions et infliger des amendes. Les sanctions de janvier 2026 contre Free (42 M€ au total) et France Travail (5 M€) sont nées de violations de données suivies de contrôles.
Sachez en revanche ce que la CNIL ne fait pas : elle n'indemnise pas les victimes et ne traite pas votre litige individuel avec un fraudeur. Sa mission est le contrôle du respect du RGPD, pas la réparation de votre préjudice. Une réclamation CNIL et une demande d'indemnisation sont deux démarches différentes, aux effets différents.
Le cas particulier de la DGFiP : la CNIL est déjà saisie
Le piratage du système d'information de la DGFiP, révélé le 14 août 2026, illustre une situation où la réclamation individuelle est superflue. La CNIL, saisie par l'administration, a indiqué le 18 août 2026 qu'elle mène ses propres vérifications sur les mesures de sécurité et qu'il n'est pas nécessaire de déposer plainte auprès d'elle, sauf éléments spécifiques utiles aux investigations. Si vous faites partie des 678 000 personnes concernées, une réclamation CNIL n'apportera donc rien de plus. Ce cas reste une exception liée à la saisine déjà effective : pour d'autres incidents, la réclamation garde tout son sens. Nos démarches détaillées figurent dans l'article dédié au piratage de la DGFiP.
La plainte pénale : si vous subissez une infraction
La plainte pénale ne vise pas l'entreprise qui a subi la fuite, mais l'auteur des faits commis contre vous. Elle se justifie lorsque vos données servent à commettre une infraction : usurpation d'identité (article 226-4-1 du Code pénal, 1 an d'emprisonnement et 15 000 € d'amende), escroquerie (article 313-1, 5 ans et 375 000 €), accès frauduleux à vos comptes (article 323-1, 3 ans et 100 000 €). En cas de simple soupçon d'usurpation, sans fait établi, une main courante permet de dater vos inquiétudes.
La plainte se dépose au commissariat, en gendarmerie ou par courrier au procureur de la République. Pour certaines escroqueries en ligne, la plateforme THESEE permet un dépôt de plainte à distance. Les contenus illicites se signalent par ailleurs sur la plateforme Pharos. La plainte a un double intérêt : elle déclenche l'enquête et documente officiellement votre préjudice pour toute demande ultérieure de réparation.
Fraude bancaire déjà réalisée : la banque d'abord
Si des opérations non autorisées ont déjà débité votre compte, l'interlocuteur prioritaire n'est ni la CNIL ni la police : c'est votre banque. Signalez les opérations sans tarder, au plus tard dans les 13 mois suivant le débit (article L. 133-24 du Code monétaire et financier). La banque doit rembourser l'opération non autorisée immédiatement, et au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf à prouver votre fraude ou votre négligence grave (article L. 133-18). La plainte pénale vient en complément, pas en remplacement. Si l'arnaque a pris la forme d'un appel d'un prétendu conseiller, notre guide sur la fraude au faux conseiller bancaire détaille les réflexes et la jurisprudence sur le remboursement.
L'action indemnitaire : pour obtenir réparation
La réparation de votre préjudice relève d'une action civile contre le responsable du traitement ou son sous-traitant, fondée sur l'article 82 du RGPD. Elle suppose de démontrer un dommage, matériel ou moral, et un lien de causalité avec la violation : la fuite seule ne suffit pas. Cette action ne nécessite ni décision préalable de la CNIL, ni condamnation pénale. Nous y consacrons un guide complet : peut-on être indemnisé après une fuite de données personnelles ? Un avocat en violation de données personnelles peut évaluer la solidité de votre dossier. Chaque situation est particulière.
Quelle démarche pour quelle situation ?
| Votre situation | Interlocuteur | Fondement / outil |
|---|---|---|
| Vous voulez savoir quelles données vous concernent | L'entreprise (son DPO) | Droit d'accès, article 15 du RGPD |
| L'entreprise a manqué à ses obligations (sécurité, information, réponse à vos demandes) | CNIL | Réclamation (la CNIL contrôle et sanctionne, mais n'indemnise pas) |
| Vos données servent à une infraction (usurpation, escroquerie) | Police, gendarmerie, procureur | Plainte pénale (articles 226-4-1, 313-1, 323-1 du Code pénal) ; THESEE en ligne selon les cas |
| Des opérations ont débité votre compte | Votre banque, en priorité | Articles L. 133-18 et L. 133-24 du Code monétaire et financier |
| Vous voulez être indemnisé de votre préjudice | Le juge civil (contre le responsable du traitement ou le sous-traitant) | Article 82 du RGPD ; dommage et lien de causalité à démontrer |
Questions fréquentes sur les démarches après une fuite de données
Suis-je obligé d'agir après avoir reçu une notification de violation ?
Non. La notification est une obligation de l'entreprise, pas la vôtre. Conservez-la, sécurisez vos comptes et surveillez vos opérations. Une démarche ne devient utile que si vous constatez un manquement de l'entreprise, une infraction ou un préjudice.
Porter plainte à la CNIL permet-il d'être indemnisé ?
Non. La CNIL contrôle les organismes et peut les sanctionner, mais elle n'indemnise jamais les victimes. La réparation d'un préjudice passe par une action civile fondée sur l'article 82 du RGPD, qui peut être engagée sans décision préalable de la CNIL.
Dois-je porter plainte à la CNIL pour le piratage de la DGFiP ?
Non, sauf éléments spécifiques. La CNIL, déjà saisie, a indiqué le 18 août 2026 qu'une plainte individuelle n'est pas nécessaire et qu'elle mène ses propres vérifications sur les mesures de sécurité de l'administration. Ce cas particulier ne vaut pas pour tous les incidents.
Quand la plainte pénale est-elle la bonne voie ?
Lorsque vos données servent à commettre une infraction contre vous : usurpation d'identité, escroquerie, accès frauduleux à vos comptes. La plainte vise l'auteur des faits, pas l'entreprise qui a subi la fuite. En cas de simple soupçon, une main courante permet de dater la situation.
Peut-on cumuler réclamation CNIL, plainte pénale et demande d'indemnisation ?
Oui. Ces trois voies sont indépendantes et poursuivent des objectifs différents : sanction administrative de l'entreprise, poursuite de l'auteur de l'infraction, réparation de votre préjudice. Elles peuvent être menées en parallèle selon votre situation.
Mon compte a été débité : par quoi commencer ?
Par votre banque. Signalez les opérations non autorisées sans tarder, au plus tard dans les 13 mois suivant le débit : la banque doit rembourser au plus tard à la fin du premier jour ouvrable suivant, sauf à prouver votre négligence grave. Déposez plainte en complément et conservez toutes les preuves.
Puis-je demander une indemnisation sans décision de la CNIL ?
Oui. L'action fondée sur l'article 82 du RGPD ne suppose aucune décision préalable de la CNIL ni aucune condamnation pénale. Il faut en revanche démontrer un dommage, matériel ou moral, et un lien de causalité avec la violation.
Sources officielles
- Articles 15, 17, 34 et 82 du règlement (UE) 2016/679 (RGPD) – EUR-Lex
- CNIL, « Piratage du système d'information des impôts : les vérifications sont en cours », 18 août 2026 – cnil.fr
- Articles 226-4-1, 313-1 et 323-1 du Code pénal – Légifrance
- Articles L. 133-18 et L. 133-24 du Code monétaire et financier – Légifrance
- Service-Public, plainte en ligne pour e-escroqueries (plateforme THESEE) – service-public.fr
- Ministère de l'Intérieur, plateforme de signalement Pharos – internet-signalement.gouv.fr
Pour constituer votre dossier avant toute démarche, consultez notre guide des preuves à conserver après une fuite de données.
Cet article présente l'état du droit et des faits publics à titre d'information générale, tels que vérifiés le 21 août 2026. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
