Vol de données : que faire ? Les réflexes dans l'ordre

Apprendre que ses données ont été volées inquiète, surtout quand on ne sait pas ce qui a été pris. La bonne nouvelle : quelques réflexes simples, dans le bon ordre, limitent beaucoup les conséquences. Cet article s'appuie sur la page de la CNIL consacrée aux fuites et aux vols de données. Il se concentre sur le vol, c'est-à-dire l'acte malveillant. Pour le panorama complet, consultez notre guide sur la fuite de données.

Vol de données : de quoi parle-t-on ?

La CNIL parle de violation de données personnelles pour désigner les fuites, les vols ou les pertes de données. Elle peut être accidentelle ou malveillante. Le vol correspond au second cas : un pirate s'introduit dans les systèmes d'un organisme et récupère des fichiers. Les données peuvent ensuite être revendues sur Internet.

Un appareil volé ou perdu entre aussi dans cette catégorie. Si c'est votre cas, voyez plutôt notre article sur le vol ou la perte d'un téléphone ou d'un ordinateur.

Comment savoir si vous êtes concerné

Premier point à connaître : quand une violation vous expose à des risques, l'organisme responsable doit vous informer dans les meilleurs délais. Un message de sa part est donc le signal le plus fiable.

Si vous avez un doute, interrogez directement l'organisme. La CNIL précise qu'elle ne peut pas vous dire si vos données figurent dans le fichier concerné. Elle déconseille par ailleurs les sites qui prétendent vérifier à votre place si vous êtes touché.

Attention aussi aux faux avis de fuite. Un courriel qui vous annonce un vol de données peut lui-même être une tentative d'hameçonnage. Ne cliquez pas sur le lien du message : saisissez vous-même l'adresse officielle du service.

Ce que le vol peut entraîner

Les données volées servent rarement à elles seules. Elles alimentent trois types de problèmes.

L'hameçonnage. Avec vos nom, adresse ou historique de commandes, un faux message paraît réaliste. La CNIL conseille de ne pas ouvrir les pièces jointes, de ne pas répondre, de ne pas cliquer sur les liens et de supprimer le message.

L'usurpation d'identité. Des informations personnelles peuvent être utilisées à votre insu. Notre article sur l'usurpation d'identité détaille les démarches.

Le piratage de comptes. Si un mot de passe a été exposé, quelqu'un peut tenter de l'essayer sur d'autres services.

Les réflexes, dans l'ordre

1. Lisez le message de l'organisme s'il vous en a envoyé un, sans cliquer sur ses liens. Passez par le site officiel.
2. Méfiez-vous des messages inattendus dans les jours qui suivent : e-mails, SMS, appels.
3. Changez vos mots de passe, en commençant par la messagerie, les impôts, les banques et le commerce en ligne. Un mot de passe différent par service, rangé dans un gestionnaire, et l'authentification multifacteur activée quand elle existe. Les étapes sont dans notre article sur le changement de mot de passe après une fuite.
4. Surveillez vos comptes bancaires et prévenez votre banque au moindre doute.
5. Si l'un de vos comptes semble piraté, suivez les étapes dans l'ordre.

Aucune de ces actions ne coûte d'argent. Vous n'avez pas à tout faire en une heure : commencez par les mots de passe les plus sensibles. Pour l'ordre détaillé après une fuite, voyez aussi que faire après une fuite de données personnelles.

Si l'on soupçonne une usurpation

D'après la CNIL, vous pouvez consulter le site cybermalveillance.gouv.fr, déposer plainte au commissariat ou à la gendarmerie, et prévenir vos banques. Si l'usurpation est confirmée, la CNIL indique aussi que vous pouvez vérifier votre inscription au fichier des incidents de remboursement de la Banque de France. Vous pouvez enfin consulter le FICOBA depuis votre espace impots.gouv.fr, pour repérer d'éventuels comptes ouverts à votre insu.

Voir ce qui est visible à votre sujet

Pour savoir quelles informations circulent sur vous, Remove Me propose une analyse gratuite, sans compte. Vous saisissez vos informations. Le service cherche dans les résultats web publiquement visibles, dans les fuites de données publiques connues et dans un registre de courtiers en données. Il affiche ensuite un bilan, que vous débloquez avec un code à 6 chiffres reçu par e-mail.

Une précision honnête : un bilan vide ne prouve pas que rien n'existe, car l'analyse ne voit que ce qui est public. Et Remove Me n'envoie pas encore de demandes d'effacement à votre place. Cette analyse vous aide à voir, pas à effacer.

Lancer mon analyse gratuite

Vos droits et recours

La CNIL peut recevoir votre plainte si vos données ne sont pas traitées conformément au RGPD. Elle peut alors demander à l'organisme de corriger le manquement, ou prononcer une sanction.

En revanche, elle ne peut pas accorder de dommages et intérêts. Pour être indemnisé, il faut saisir un juge : le tribunal judiciaire pour une entreprise ou un particulier, le tribunal administratif pour une administration. La CNIL explique que l'article 82 du RGPD suppose une violation du RGPD, un préjudice réel (matériel ou moral) et un lien entre les deux. Conservez les preuves : notifications reçues, courriels, captures d'écran, justificatifs de dépenses, plaintes.

Une association peut aussi être mandatée dans certaines conditions, et une action de groupe est possible depuis la loi du 30 avril 2025. Pour votre situation personnelle, rapprochez-vous des organismes officiels : nous ne donnons pas de conseil juridique.

Prévenir ses proches

La CNIL suggère de vérifier auprès de vos proches s'ils ont bien reçu l'information obligatoire et de leur transmettre ces conseils. Soyez particulièrement attentif aux personnes peu à l'aise avec Internet et aux personnes âgées.

À retenir

Un vol de données n'est pas une fatalité. Attendez l'information de l'organisme, ne cliquez pas sur les messages suspects, changez les mots de passe importants et surveillez vos comptes. Si un préjudice apparaît, la plainte et, pour une indemnisation, le juge restent les voies à connaître.

Sources

• CNIL : Fuite ou vol de données, quels réflexes avoir ?
• CNIL : Violations de données personnelles, cas d'indemnité