L’article en bref
- L’usurpation d’identité consiste à utiliser vos données identifiantes sans votre accord.
- Déposez plainte dès que l’usage frauduleux est constaté, une main courante en cas de simple soupçon.
- Prévenez sans attendre votre banque et les organismes concernés, puis conservez toutes les preuves.
- L’article 226-4-1 du code pénal punit l’usurpation d’un an d’emprisonnement et de 15 000 € d’amende.
- D’autres textes s’appliquent selon le but poursuivi, avec des peines nettement plus lourdes.
- Si vos données proviennent d’une fuite, une demande de réparation reste envisageable.
Une facture pour un abonnement que vous n’avez jamais souscrit. Un crédit ouvert à votre nom. Un profil qui reprend votre photo. L’usurpation d’identité se découvre presque toujours par ses conséquences, rarement au moment où elle se produit. Ce guide décrit les démarches à mener, dans l’ordre, et ce que le droit permet d’obtenir.
Comment savoir si vous êtes victime
Aucun signal unique ne fait preuve. C’est leur accumulation qui doit alerter. Plusieurs situations reviennent régulièrement.
Vous recevez un courrier de relance pour une dette inconnue, ou un refus de crédit inexpliqué. Des opérations que vous n’avez pas autorisées apparaissent sur vos relevés. Un organisme social ou l’administration fiscale vous réclame des justificatifs relatifs à une situation qui n’est pas la vôtre. Vous découvrez un compte à votre nom sur un réseau social, ou une annonce en ligne reprenant vos coordonnées.
Un point mérite attention : l’usurpation intervient souvent des mois après la compromission des données. Une fuite survenue au printemps peut produire ses effets à l’automne. L’absence d’incident dans les semaines qui suivent une violation de données ne signifie donc pas que le risque est écarté.
Les six démarches, dans l’ordre
1. Plainte ou main courante
La distinction n’est pas anodine. Selon la fiche officielle du service public, la main courante consigne des faits sans déclencher de poursuites. La plainte, elle, saisit la justice et permet l’ouverture d’une enquête.
En pratique : si vous constatez un usage frauduleux avéré, déposez plainte. Si vous avez seulement un doute, par exemple après avoir appris que vos données figuraient dans une fuite, une main courante daterait utilement votre vigilance sans engager de procédure. La plainte peut être déposée dans n’importe quel commissariat ou brigade de gendarmerie, ou adressée par écrit au procureur de la République.
Déposez plainte pour chaque fait distinct. Un crédit souscrit à votre nom et un faux profil en ligne constituent deux atteintes différentes.
2. La banque, sans délai
Si des données bancaires sont en cause, prévenez immédiatement votre établissement et faites opposition. Le code monétaire et financier organise le remboursement des opérations de paiement non autorisées : l’article L. 133-18 impose au prestataire de rembourser immédiatement le payeur, sauf s’il a de bonnes raisons de soupçonner une fraude de sa part. La charge de la preuve pèse sur la banque, qui doit démontrer la négligence grave qu’elle invoque, en application de l’article L. 133-23.
Cette règle est méconnue et souvent mal appliquée. Un refus de remboursement n’est pas définitif : il se conteste, par écrit et de manière motivée. Notre article sur le faux conseiller bancaire détaille la marche à suivre.
3. Les organismes concernés
Informez chaque organisme susceptible d’être visé, en joignant une copie de votre plainte. Le service public cite notamment les établissements bancaires, la caisse d’allocations familiales, les organismes de sécurité sociale et de retraite, et l’administration fiscale.
Écrivez plutôt que d’appeler, ou confirmez chaque appel par écrit. Vous constituez ainsi une trace opposable, utile si un litige survient plus tard sur la date à laquelle vous avez signalé les faits.
4. Les plateformes en ligne
Pour un faux profil ou un contenu publié en votre nom, signalez d’abord auprès de la plateforme, qui dispose de procédures dédiées. Conservez systématiquement une capture d’écran horodatée avant le signalement : une fois le contenu supprimé, la preuve disparaît avec lui.
La CNIL rappelle qu’en cas d’usurpation en ligne, le service d’information de la police nationale peut être sollicité. Si des données personnelles vous concernant sont diffusées, vous pouvez également exercer vos droits auprès du responsable du traitement.
5. Le pilotage de vos données
Le droit d’accès de l’article 15 du règlement général sur la protection des données vous permet d’obtenir d’un organisme la confirmation qu’il détient des données vous concernant, ainsi qu’une copie de celles-ci. C’est l’outil qui permet de savoir ce qu’un créancier ou un opérateur détient réellement à votre nom. Pour les comptes bancaires ouverts en France, la vérification passe par le fichier FICOBA.
L’article 17 ouvre par ailleurs un droit à l’effacement dans les cas qu’il énumère. Attention toutefois : ce droit s’exerce contre le responsable du traitement, et reste sans effet sur les copies déjà diffusées par un fraudeur. Notre guide consacré aux données présentes sur le dark web explique pourquoi.
6. Le dossier de preuves
Constituez-le dès le premier soupçon, sans attendre. Rassemblez les courriers reçus, les relevés bancaires, les captures d’écran horodatées, les messages frauduleux avec leurs en-têtes, le récépissé de plainte, vos demandes écrites et les réponses obtenues, ainsi que les justificatifs de frais engagés.
Ce dossier sert trois usages distincts : convaincre la banque, appuyer l’enquête pénale, et fonder une éventuelle demande de réparation. Notre guide sur les preuves à conserver en donne la liste détaillée.
Les situations particulières
Usurpation par téléphone
L’appel provenant d’un numéro qui semble être celui de votre banque, d’un service public ou d’un commissariat repose sur une technique d’affichage trompeur. Le numéro visible n’est pas une garantie d’identité. Nous traitons ce mécanisme sur notre page consacrée au vishing et au spoofing.
La règle est simple et vaut dans tous les cas : raccrochez, puis rappelez vous-même l’organisme au numéro que vous connaissez, jamais à celui qui vous a été communiqué.
Quand l’usurpation suit une fuite de données
Lorsque vos données ont été exposées par la faille d’un organisme, deux terrains se cumulent. Le volet pénal vise l’auteur de l’usurpation. Le volet civil concerne l’organisme qui n’a pas suffisamment protégé vos données : l’article 82 du RGPD ouvre un droit à réparation du dommage matériel ou moral subi.
Ces deux actions sont indépendantes l’une de l’autre. Vous n’avez pas à attendre l’issue de l’enquête pénale pour engager la seconde. Notre guide sur l’indemnisation après une fuite de données précise les conditions.
Ce que dit la loi, en résumé
L’article 226-4-1 du code pénal punit d’un an d’emprisonnement et de 15 000 € d’amende le fait d’usurper l’identité d’un tiers ou de faire usage de ses données identifiantes, en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération. Les mêmes peines s’appliquent lorsque les faits sont commis en ligne.
Ce texte n’est pas le seul applicable, et ce n’est pas toujours le plus sévère. Selon le but poursuivi par l’auteur, l’escroquerie ou l’entrave à l’action de justice peuvent être retenues, avec des peines nettement supérieures. Nous détaillons ces différences, souvent mal restituées, dans notre article consacré aux peines encourues et aux articles du code pénal applicables.
Faut-il un avocat ?
Le dépôt de plainte ne l’exige pas. L’intervention d’un conseil devient utile lorsque le dossier se complique : refus de remboursement opposé par la banque, contestation d’une dette contractée en votre nom, litige avec un organisme qui maintient des informations erronées, ou demande de réparation contre l’entreprise à l’origine de la fuite.
Notre cabinet intervient en droit du numérique et accompagne les victimes de fraudes numériques. Vous pouvez consulter nos pages avocat cybercriminalité et avocat fraude bancaire. Chaque situation est particulière et mérite une analyse dédiée.
Questions fréquentes
Que faire en premier en cas d’usurpation d’identité ?
Déposez plainte si l’usage frauduleux est constaté, ou une main courante en cas de simple soupçon. Prévenez ensuite votre banque et les organismes concernés en joignant une copie de la plainte, et conservez toutes les preuves dès le premier signal.
Quelle différence entre plainte et main courante ?
La main courante consigne des faits sans engager de poursuites. La plainte saisit la justice et permet l’ouverture d’une enquête. Face à un usage frauduleux avéré, la plainte s’impose.
Comment savoir si mes données ont été utilisées ?
Le droit d’accès de l’article 15 du RGPD vous permet d’obtenir d’un organisme la confirmation qu’il détient des données vous concernant et une copie de celles-ci. C’est le moyen d’établir formellement ce qu’un créancier ou un opérateur enregistre à votre nom.
Ma banque refuse de me rembourser : est-ce définitif ?
Non. L’article L. 133-18 du code monétaire et financier impose le remboursement des opérations non autorisées, et c’est à la banque de prouver la négligence grave qu’elle invoque, selon l’article L. 133-23. Un refus se conteste par écrit, de façon motivée.
Combien de temps après une fuite de données le risque persiste-t-il ?
Il n’existe pas de délai au terme duquel le risque disparaît. Les données exposées peuvent être exploitées longtemps après la fuite. Une surveillance prolongée de vos comptes et de votre courrier reste la précaution la plus utile.
Peut-on faire supprimer un faux profil à mon nom ?
Signalez-le à la plateforme, qui dispose d’une procédure dédiée, après avoir conservé une capture d’écran horodatée. Vous pouvez aussi exercer vos droits sur les données personnelles diffusées et déposer plainte, l’usurpation en ligne étant punie des mêmes peines qu’hors ligne.
Puis-je être indemnisé ?
C’est envisageable sur deux terrains distincts : contre l’auteur des faits dans le cadre pénal, et contre l’organisme dont la faille a exposé vos données, sur le fondement de l’article 82 du RGPD. Il faut démontrer un dommage et un lien de causalité. Aucune réparation n’est automatique.
L’usurpation d’identité est-elle un délit même sans préjudice financier ?
Oui. L’article 226-4-1 vise l’usurpation commise en vue de troubler la tranquillité de la personne ou de porter atteinte à son honneur ou à sa considération. Aucune remise de fonds n’est exigée pour que l’infraction soit constituée.
Sources officielles
- Article 226-4-1 du code pénal, usurpation d’identité – Légifrance
- Fiche « Usurpation d’identité », démarches de la victime – service-public.gouv.fr
- Article L. 133-18 du code monétaire et financier, remboursement des opérations non autorisées – Légifrance
- Articles 15 et 17 du règlement (UE) 2016/679 (RGPD), droit d’accès et droit à l’effacement – texte du RGPD, cnil.fr
- Article 82 du règlement (UE) 2016/679 (RGPD), droit à réparation – EUR-Lex
Journal de mise à jour : article publié le 26 août 2026, sources vérifiées le 26 août 2026.
Cet article présente l’état du droit à titre d’information générale, tel que vérifié le 26 août 2026. Il ne constitue pas une consultation juridique et ne comporte aucune promesse de résultat. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d’avocat.
