Fuite de données personnelles : vos droits et les démarches utiles

Une violation de données recouvre, selon la définition de la CNIL, les fuites, les vols et les pertes de données, que l'origine soit accidentelle ou malveillante. Le phénomène se mesure : la CNIL a reçu 5 629 notifications de violation en 2024, soit 20 % de plus qu'en 2023, d'après les chiffres qu'elle publie.

Quand un organisme vous écrit pour annoncer une fuite, deux questions se posent : qu'est-il tenu de vous dire, et que devez-vous faire de cette information. Les réponses dépendent surtout de la nature des données exposées.

Ce que l'organisme vous doit

Les obligations figurent aux articles 33 et 34 du RGPD. Elles sont graduées selon le risque, et la CNIL les résume ainsi dans sa page sur les règles à suivre :

• aucun risque pour les personnes : l'organisme consigne la violation dans un registre interne. Il ne prévient ni la CNIL ni vous ;
• un risque : il notifie la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Passé ce délai, il doit en justifier les raisons ;
• un risque élevé : il doit en plus vous informer, dans les meilleurs délais.

Toutes les violations ne donnent donc pas lieu à un message individuel. Lorsque ce message est dû, il doit exposer en termes clairs la nature de la violation, ses conséquences probables, les coordonnées d'un contact (le délégué à la protection des données ou un autre interlocuteur) et les mesures prises pour y remédier. La CNIL précise qu'il doit être complété, si nécessaire, de recommandations pour vous protéger, par exemple un changement de mot de passe.

L'article 34 prévoit trois exceptions : les données étaient rendues incompréhensibles (chiffrement), des mesures ultérieures ont écarté le risque élevé, ou vous prévenir exigerait des efforts disproportionnés. Dans ce dernier cas, une communication publique doit remplacer le message individuel. La CNIL rappelle qu'elle peut par ailleurs ordonner à un organisme d'informer les personnes concernées si cela lui apparaît nécessaire.

Le délai de 72 heures court à partir du moment où l'organisme a une certitude raisonnable qu'un incident a touché des données personnelles. Il concerne la notification à la CNIL : pour l'information des personnes, l'article 34 exige « les meilleurs délais », sans échéance chiffrée.

Savoir si vos données sont dans le fichier

La CNIL est nette sur ce point dans ses conseils aux personnes concernées : elle n'est pas en mesure de vous confirmer la présence de vos données dans un fichier qui a fuité. La question se pose à l'organisme.

Elle ajoute une mise en garde : certains sites web affirment détenir les données et pouvoir vous dire si vous êtes concerné, et elle déconseille de les utiliser.

Pour interroger l'organisme, vous disposez du droit d'accès (article 15 du RGPD), gratuit : il doit vous indiquer s'il traite des données vous concernant et vous en fournir une copie. Le délai de réponse est d'un mois, et peut être porté à trois mois pour une demande complexe, à condition que l'organisme vous en informe dans le premier mois. Gardez une copie de votre demande, datée.

Lisez aussi attentivement le communiqué de l'organisme, comme le recommande la fiche réflexe de Cybermalveillance.gouv.fr, pour savoir quelles informations ont pu être compromises. C'est cette liste qui détermine la suite.

Agir selon la donnée exposée

Un mot de passe

Si des mots de passe figurent dans la fuite, l'organisme doit vous en informer. La CNIL conseille de ne pas attendre ce message : changez vos mots de passe en commençant par les services les plus importants (courriel, impôts, banques, sites marchands), cessez d'utiliser le même sur plusieurs services, conservez-les dans un gestionnaire de mots de passe et activez l'authentification multifacteur lorsqu'un service de confiance la propose.

Cybermalveillance.gouv.fr vise plus précisément le mot de passe du service touché, à changer sur ce service et sur tous ceux où vous l'utilisiez. Pour estimer la robustesse du nouveau, utilisez notre vérificateur de mot de passe. Si un compte montre déjà des signes d'intrusion, passez à la procédure du compte piraté.

Un IBAN

La CNIL décrit deux usages frauduleux : l'émission d'ordres de prélèvement illégitimes visant les IBAN obtenus, et l'utilisation de votre IBAN par un tiers pour créer un mandat de prélèvement lorsqu'il souscrit un service. Les mesures recommandées par la CNIL et par Cybermalveillance.gouv.fr sont les suivantes :

• informer votre banque de la divulgation de l'IBAN, pour qu'elle place le compte sous vigilance renforcée (conseil de Cybermalveillance.gouv.fr) ;
• surveiller régulièrement les opérations et faire opposition si nécessaire ;
• vérifier la liste des créanciers autorisés dans votre espace de banque en ligne et, si votre banque le permet, limiter les prélèvements à une liste blanche (mesure indiquée par Cybermalveillance.gouv.fr) ;
• examiner avec attention tout mandat de prélèvement prérempli ou toute « mise à jour » de mandat que vous recevez.

Si un prélèvement que vous n'avez pas autorisé apparaît, demandez à la banque son remboursement et, le cas échéant, la suppression de l'autorisation correspondante, comme l'indique Cybermalveillance.gouv.fr. Le texte à invoquer est l'article L133-24 du Code monétaire et financier : l'opération non autorisée doit être signalée sans tarder, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion. Au besoin, faites aussi opposition aux moyens de paiement concernés.

Votre état civil, votre adresse, une copie de pièce d'identité

Ces données permettent de se faire passer pour vous. Si vous pensez être victime d'une usurpation à la suite d'une fuite, la CNIL indique de déposer plainte au plus vite auprès d'un commissariat ou d'une gendarmerie et de prévenir vos banques. Si l'usurpation se confirme (des banques vous écrivent au sujet d'opérations inconnues), elle renvoie vers deux vérifications : le fichier des incidents de crédit de la Banque de France, et le fichier des comptes bancaires Ficoba, consultable depuis votre espace sur impots.gouv.fr, rubrique « Autres services ». Ces démarches sont détaillées dans notre guide Usurpation d'identité.

Votre numéro de téléphone

La CNIL décrit, parmi les risques d'usurpation d'identité, le cas particulier de la fraude à la carte SIM. À l'aide de données volées, le fraudeur se fait passer pour vous auprès de votre opérateur, prétexte une perte ou un vol et obtient une nouvelle carte SIM. Il reçoit alors vos SMS, donc les codes à usage unique qui valident des connexions ou des virements. Le signe à surveiller est une perte de réseau mobile sans explication : contactez rapidement votre opérateur si elle survient.

Dans tous les cas : des messages qui en savent trop

Selon Cybermalveillance.gouv.fr, les conséquences d'une violation de données concernent principalement l'hameçonnage et les tentatives d'escroquerie. Un courriel, un SMS ou un appel paraît crédible parce qu'il cite des informations exactes : votre nom, votre adresse, votre IBAN. La CNIL donne comme exemples de faux messages de la sécurité sociale, de la banque ou d'un service de livraison de colis. Sa consigne : ne pas ouvrir les pièces jointes, ne pas répondre, ne pas cliquer, et se connecter à son compte en saisissant soi-même l'adresse du site officiel.

Par téléphone, le scénario décrit par la CNIL est celui du faux conseiller bancaire, qui s'appuie sur votre IBAN pour vous faire valider une opération en urgence. La parade indiquée : vérifier le nom du conseiller et le rappeler vous-même au numéro qui figure sur vos relevés bancaires.

Cette vigilance ne se limite pas aux jours qui suivent l'annonce : la CNIL insiste sur le long terme, les données pouvant, dans certains cas, être revendues ou croisées avec celles d'autres fuites. Pour un message précis qui vous fait douter, notre outil d'analyse de phishing aide à repérer les indices, et nos articles sur le faux mail de la banque et le faux SMS de colis décrivent deux variantes de ces messages.

Vos recours contre l'organisme

Faire effacer ce qu'il n'a plus de raison de conserver. Le droit à l'effacement (article 17 du RGPD) s'applique notamment lorsque les données ne sont plus nécessaires au regard de l'objectif pour lequel elles ont été collectées. Il ne supprime pas tout : les factures, par exemple, restent soumises à une obligation légale de conservation. L'organisme doit agir dans un délai d'un mois, qui peut être porté à trois. Indiquez précisément les données visées. La demande est gratuite : l'article 12 du RGPD prévoit qu'aucun paiement n'est exigé, sauf demande manifestement infondée ou excessive. La CNIL met à disposition des modèles de courrier, dont un pour clôturer un compte en ligne.

Saisir la CNIL. Elle indique que vous pouvez lui adresser une plainte si vous estimez que vos données n'ont pas été suffisamment sécurisées, ou si l'organisme n'a pas répondu à votre demande au bout d'un mois. La plainte se dépose en ligne ou par courrier, en français, avec le nom de l'organisme et les justificatifs de vos démarches. La CNIL s'engage à faire le maximum pour vous informer de l'état d'avancement de votre plainte, au moins dans un délai de trois mois suivant son dépôt, puis de son issue. Elle peut prononcer des rappels à l'ordre, des mises en demeure ou des sanctions financières. Elle ne peut pas, en revanche, vous obtenir de dommages et intérêts ni constater votre préjudice.

Demander réparation. L'article 82 du RGPD reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement le droit d'en obtenir réparation auprès du responsable du traitement. Cette action se mène devant les tribunaux. Cybermalveillance.gouv.fr mentionne aussi l'action de groupe, portée par une association de défense des consommateurs agréée ou une association de protection de la vie privée.

Porter plainte au pénal. Si vos données sont utilisées frauduleusement, conservez les preuves (messages, adresse du site, captures d'écran) et déposez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République. La plainte auprès de la CNIL ne remplace pas cette démarche.

Offres d'aide reçues après une fuite

Le 24 juin 2026, la CNIL a alerté sur des courriels adressés à des victimes de violations de données par de prétendues « Ligue de défense des données personnelles », « Ligue de protection des données personnelles » ou « Association de protection des données personnelles », qui proposent d'obtenir la suppression de leurs informations en ligne. Ces messages peuvent contenir vos véritables données, puisqu'elles proviennent des fichiers volés, et citer le numéro de téléphone de la CNIL, qui n'a aucun lien avec leurs expéditeurs.

Sa recommandation dépasse ce cas précis : rester vigilant face à tout service proposant d'intervenir pour obtenir la suppression de données en ligne, ne pas répondre, ne pas cliquer, ne transmettre ni information ni justificatif supplémentaire.

Prévenir vos proches

La CNIL en fait une bonne pratique à part entière. Si la fuite peut concerner un membre de votre entourage, demandez-lui s'il a bien reçu le message d'information de l'organisme et transmettez-lui les points de vigilance. Elle cite trois publics à ne pas oublier : les personnes qui n'ont pas un accès facile à internet, les personnes âgées, et celles que la divulgation expose personnellement, par exemple lorsqu'elle révèle un état de santé, une orientation sexuelle ou une opinion politique ou religieuse.