Usurpation d'identité : démarches, délais et recours en France

L'usurpation d'identité est le fait d'utiliser, sans son accord, les informations d'identification ou les données personnelles d'une autre personne dans un but malveillant : se faire délivrer un titre d'identité, souscrire un crédit ou un abonnement, nuire à une réputation, commettre des infractions. C'est la définition donnée par la fiche « Usurpation d'identité » de Service-Public.fr, qui ajoute deux précisions. L'identité usurpée est celle d'une personne qui existe réellement (créer l'identité d'une personne qui n'existe pas relève d'une notion distincte, l'usage d'une fausse identité). Et l'usurpation peut être entièrement numérique : elle ne suppose pas le vol d'un document.

Cette page suit les démarches prévues par les textes et par les administrations françaises, dans l'ordre où elles se présentent. Deux situations voisines ont leur propre guide : le compte en ligne piraté et la fuite de données chez un organisme.

Ce que dit le Code pénal

Le texte de référence est l'article 226-4-1 du Code pénal, dans sa version en vigueur depuis le 1er août 2020 :

« Le fait d'usurper l'identité d'un tiers ou de faire usage d'une ou plusieurs données de toute nature permettant de l'identifier en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d'un an d'emprisonnement et de 15 000 € d'amende. »

Le même article prévoit que l'infraction est punie des mêmes peines lorsqu'elle est commise sur un réseau de communication au public en ligne, et que la peine est portée à deux ans d'emprisonnement et 30 000 euros d'amende lorsque l'auteur est le conjoint, le concubin ou le partenaire de Pacs de la victime.

Service-Public.fr signale un cas plus lourd : prendre le nom d'un tiers lors de la commission d'une infraction pouvant entraîner des poursuites pénales contre lui est puni de cinq ans de prison et 75 000 euros d'amende (la fiche renvoie à l'article 434-23 du Code pénal).

Deux conséquences pratiques. L'usurpation étant un délit, le délai pour porter plainte est de six ans, en principe à compter du jour où l'infraction a été commise, d'après la fiche « Porter plainte ». Et la CNIL n'est pas l'autorité à saisir pour faire sanctionner l'auteur : elle indique que ce délit relève de la compétence exclusive des juridictions judiciaires.

Simple soupçon ou usurpation constatée : deux démarches distinctes

Service-Public.fr distingue deux situations, et la démarche n'est pas la même.

Vous avez un soupçon (document d'identité perdu, pièces envoyées à une annonce qui s'est révélée fausse, compte piraté). D'après la fiche « Usurpation d'identité », vous pouvez déposer une main courante, dont une autre fiche de Service-Public.fr précise les règles. La main courante ne se fait pas sur internet : il faut se rendre dans un commissariat ou une gendarmerie. Elle est gratuite, vous pouvez en demander une copie, et elle est conservée cinq ans. Elle peut servir à dater les faits et constituer un début de preuve dans une procédure judiciaire. Ses limites sont à connaître : elle n'entraîne pas l'ouverture d'une enquête et n'interrompt pas le délai de prescription.

Vous constatez que votre identité est utilisée à votre insu (demande de remboursement d'un crédit que vous n'avez pas souscrit, par exemple). C'est une plainte qu'il faut déposer. Elle est gratuite et peut viser X si l'auteur est inconnu, d'après la fiche « Porter plainte », qui détaille les voies de dépôt, dont ces trois :

• sur place, dans le commissariat ou la gendarmerie de votre choix. Les services sont tenus d'enregistrer votre plainte, même si les faits ne relèvent pas de leur zone géographique. Vous recevez un récépissé, et une copie de la plainte si vous la demandez ;
• par courrier au procureur de la République, adressé au tribunal judiciaire du lieu de l'infraction ou du domicile de l'auteur ;
• en ligne dans des cas limités. La plainte en ligne du ministère de l'Intérieur concerne les atteintes aux biens dont l'auteur est inconnu (vol, escroquerie hors internet), ce qui couvre le vol de vos papiers. La plateforme THESEE, elle, ne couvre que certaines arnaques sur internet, dont le piratage d'une messagerie suivi d'une demande d'argent à vos contacts.

Joignez toutes les preuves : captures d'écran, messages, adresses des pages concernées, demandes de remboursement reçues. La fiche réflexe de Cybermalveillance.gouv.fr conseille de déposer plainte pour chaque fait d'usurpation et de conserver une copie de chaque plainte : elle vous sera demandée par les banques, les administrations et parfois par les plateformes en ligne. Lors du dépôt, vous pouvez aussi donner votre accord pour être enregistré au fichier des personnes recherchées pour les besoins de l'enquête, précise Service-Public.fr.

Aux organismes qui vous réclament de l'argent ou vous mettent en cause, vous pouvez adresser une attestation sur l'honneur déclarant que vous n'êtes pas l'auteur des actes, accompagnée de la copie de la plainte.

Comptes et crédits ouverts à votre nom : trois fichiers à consulter

La Banque de France décrit le mécanisme : l'usurpateur ouvre un compte à votre nom et émet des chèques qui reviennent impayés, ou souscrit un crédit qu'il ne rembourse pas. L'établissement qui constate l'incident le déclare à la Banque de France, et c'est vous qui êtes fiché. En parallèle, les créanciers cherchent à recouvrer les sommes. D'où l'ordre qu'elle recommande : plainte, information de toutes vos banques, puis vérification des fichiers. N'attendez pas pour autant : la fiche réflexe de Cybermalveillance.gouv.fr demande de prévenir immédiatement tous les établissements bancaires ou financiers dont vous êtes client et, si vos informations bancaires ont été dérobées (les données de votre carte, par exemple), de faire opposition immédiatement. Une banque informée peut surveiller les mouvements de vos comptes.

Ficoba, la liste des comptes

Le fichier national des comptes bancaires et assimilés est tenu par la Direction générale des finances publiques. Il recense tous les comptes ouverts en France (courants, d'épargne, titres) ainsi que les coffres loués, avec l'établissement, le titulaire et la date d'ouverture ou de clôture. Il ne contient ni les opérations ni le solde. Les banques doivent l'actualiser dans les sept jours suivant toute ouverture, modification ou clôture.

La consultation est gratuite. D'après la fiche Ficoba de Service-Public.fr, la demande se fait depuis votre espace Finances publiques sur impots.gouv.fr, rubrique « Autres services », module « Je souhaite accéder à la liste des comptes ouverts à mon nom ». La CNIL précise que, depuis le 6 janvier 2025, cette demande ne passe plus par elle, et qu'elle peut aussi être envoyée par courrier au service des impôts des particuliers de votre domicile.

FCC et FICP, les fichiers d'incidents

Ces deux fichiers sont gérés par la Banque de France et alimentés par les établissements. Le fichier central des chèques (FCC) enregistre les chèques impayés et les retraits de carte bancaire. Le fichier national des incidents de remboursement des crédits aux particuliers (FICP) enregistre les retards de remboursement de crédit et les dossiers de surendettement. Les banques les consultent avant d'ouvrir un compte, de délivrer un moyen de paiement ou d'accorder un crédit.

Vous disposez d'un droit d'accès, que la Banque de France détaille ici : en ligne depuis votre espace personnel, par courrier, ou au guichet d'une de ses agences. La demande doit être accompagnée de la copie recto verso d'une pièce d'identité mentionnant votre lieu de naissance. C'est une démarche personnelle : sauf procuration, personne ne peut la faire à votre place. Si une inscription existe, le relevé indique le type d'incident et le nom de l'établissement qui l'a déclaré.

Si le relevé est vierge, la Banque de France conseille de refaire la vérification périodiquement : un incident peut être déclaré plus tard.

Vous êtes fiché pour des incidents qui ne sont pas les vôtres

La procédure prévue par la Banque de France tient en un dossier pour usurpation d'identité, qui comprend :

1. un courrier signé de votre main, indiquant précisément le nom des établissements concernés et les références des incidents contestés ;
2. la photocopie d'une pièce d'identité officielle mentionnant votre lieu de naissance ;
3. la copie de votre dépôt de plainte pour usurpation d'identité.

La Banque de France contacte ensuite les établissements qui vous ont inscrit. Lorsqu'un établissement reconnaît l'usurpation, elle appose une mention particulière dans ses fichiers : une banque qui les consulte voit alors que vous n'êtes pas à l'origine des incidents.

Cette mention n'est pas un effacement. La Banque de France écrit qu'elle n'est pas autorisée par la loi à radier de sa propre initiative un incident : la suppression se demande à l'établissement qui a procédé à l'inscription. Pour le FICP, Service-Public.fr indique la suite si l'établissement n'actualise pas le fichier : saisine du médiateur bancaire, puis réclamation auprès de la CNIL si la difficulté persiste. L'enjeu est réel, puisqu'une inscription au FICP pour incident de crédit peut durer jusqu'à cinq ans.

Pour toute question sur le fonctionnement des fichiers, la Banque de France indique qu'un conseiller répond au 34 14, du lundi au vendredi de 8 h à 18 h (appel gratuit), mais qu'il ne délivre aucune information personnelle par téléphone.

Papiers d'identité volés, perdus ou copiés

En cas de vol, la déclaration se fait dans un commissariat ou une gendarmerie, ou par la plainte en ligne. Sur place, un récépissé de dépôt de plainte vous est remis. La déclaration de vol fait partie des documents à présenter pour refaire la carte d'identité. Si plusieurs documents ont disparu en même temps (carte d'identité, passeport, permis, carte grise, carte Vitale), Service-Public.fr indique de demander d'abord une nouvelle carte d'identité ou un nouveau passeport, car une pièce d'identité valide est exigée pour refaire les autres. Chaque document fait l'objet d'une demande séparée.

Pour la carte d'identité volée, la demande se dépose dans n'importe quelle mairie équipée d'une station d'enregistrement, le plus souvent sur rendez-vous, avec la déclaration de vol et un timbre fiscal de 25 euros (12,50 euros en Guyane). La pré-demande en ligne est facultative. Comptez plusieurs semaines de fabrication, puis trois mois pour retirer la carte, faute de quoi elle est détruite.

En cas de perte, la règle diffère : la déclaration aux autorités de police n'est nécessaire que si vous ne refaites pas la carte immédiatement. Sinon, la déclaration de perte est remplie au guichet de la mairie au moment du dépôt du dossier.

Si vous avez transmis une copie de vos papiers à un escroc, par exemple en répondant à une fausse annonce de location, à une fausse offre d'emploi ou à un faux portail administratif, vous êtes dans le cas du soupçon décrit plus haut : informez votre banque (toutes vos banques si vous en avez plusieurs), déposez une main courante, puis surveillez vos comptes et les trois fichiers bancaires. Si les documents ont déjà servi, Cybermalveillance.gouv.fr recommande de faire annuler et renouveler les pièces d'identité utilisées par les escrocs. La Banque de France ajoute de prévenir votre employeur si ce sont des bulletins de salaire que vous avez envoyés.

Faux profil, compte détourné : l'usurpation en ligne

La CNIL recommande plusieurs démarches, dont celles qui suivent.

D'abord, écarter l'homonymie : un compte au même nom que le vôtre n'est pas forcément une usurpation. Pour savoir si vos photos ont été reprises, un moteur de recherche d'images inversé liste les sites qui les affichent publiquement.

Ensuite, constituer un dossier : adresses des pages ou profils concernés, captures d'écran du faux profil et de ses publications, justificatifs utiles.

Enfin, demander au site d'intervenir. D'après la CNIL, vous devrez fournir la preuve que votre identité a été usurpée. Elle indique les justificatifs habituels : copie recto en noir et blanc de la carte d'identité pour un nom ou des coordonnées bancaires usurpés, justificatif de domicile pour une adresse, facture de l'opérateur pour un numéro de téléphone. Ces documents ne peuvent être utilisés que pour traiter votre demande.

Si le site ne répond pas, la CNIL peut être saisie, à condition que vous ayez d'abord exercé vos droits auprès de lui : elle indique que l'organisme dispose d'un mois pour répondre, et que la plainte en ligne est ouverte passé ce délai. Cette plainte ne remplace pas la plainte pénale et n'en est pas un préalable.

Quand l'usurpation passe par la prise de contrôle d'un de vos comptes (messagerie, réseau social), la procédure de récupération est détaillée dans notre guide du compte piraté. Le phishing figure parmi les origines que cite Cybermalveillance.gouv.fr.

Les administrations à prévenir

En cas d'usurpation dans le domaine administratif, Service-Public.fr indique d'informer les organismes concernés : Caf, sécurité sociale, caisse de retraite, mutuelle, impôts. Deux cas sont précisés par les administrations elles-mêmes.

• Avis de contravention pour un fait que vous n'avez pas commis : vous pouvez déposer plainte pour usurpation d'identité ou de plaque d'immatriculation, et vous devez en plus contester l'amende.
• Identifiants du compte ameli partagés à la suite d'une tentative d'hameçonnage : l'Assurance Maladie demande d'appeler votre CPAM au 3646 pour clôturer temporairement le compte et le réactiver avec un nouveau mot de passe.

Limiter la réutilisation de vos documents

Les précautions recommandées par Service-Public.fr et Cybermalveillance.gouv.fr portent d'abord sur les copies de documents, qui sont la matière première de l'usurpation.

• Marquer chaque copie de document d'identité transmise avec le motif de l'envoi, la date et le destinataire, comme le recommande la fiche réflexe de Cybermalveillance.gouv.fr. Le service public Filigrane ajoute ce marquage aux documents numérisés.
• Pour une carte d'identité, préférer à la photocopie le justificatif d'identité à usage unique de l'application France Identité : un PDF signé par le ministère de l'Intérieur, limité à un destinataire et à une durée de validité, avec un motif que vous pouvez préciser si vous le souhaitez.
• Déchirer les relevés bancaires, bulletins de salaire et avis d'imposition avant de les jeter. Service-Public.fr cite la récupération de documents dans la poubelle parmi les origines de l'usurpation.
• Protéger chaque compte sensible par un mot de passe qui lui est propre. La CNIL donne comme repère au moins 12 caractères de quatre types différents (minuscules, majuscules, chiffres, caractères spéciaux), et recommande d'activer l'authentification multifacteur chaque fois qu'un service la propose.

Une sollicitation vous demande une copie de pièce d'identité ou des informations personnelles et vous hésitez ? Décrivez-la dans notre test d'arnaque avant d'envoyer quoi que ce soit.

Qui contacter

• Info Escroqueries, service du ministère de l'Intérieur : 0 805 805 817, du lundi au vendredi de 9 h à 18 h 30, appel gratuit. Pour être conseillé sur les démarches.
• Banque de France : 34 14, du lundi au vendredi de 8 h à 18 h, pour les questions sur le FCC, le FICP et le dossier d'usurpation.
• 17Cyber, service en ligne d'assistance aux victimes de cybermalveillance, qui aide à qualifier la situation (piratage de compte, hameçonnage, message frauduleux).
• 116 006, numéro d'aide aux victimes du ministère de la Justice (appel gratuit), cité par Cybermalveillance.gouv.fr pour être accompagné par une association dans la démarche de plainte.