QuestionRelu par Hugo Berton
Fuite de données personnelles : que faire, côté victime et côté entreprise
Fuite de données : changer les mots de passe, se méfier des faux conseillers, surveiller son IBAN, et pour l'entreprise notifier la CNIL. Fiche officielle d'août 2026.
Par Hugo Berton · · 2 min de lecture · relu le 14 septembre 2026
En bref
Après une fuite de données personnelles, Cybermalveillance.gouv.fr, dans sa fiche mise à jour le 26 août 2026, conseille de lire le communiqué de l'organisme pour savoir ce qui a fuité, de se méfier de tout appel ou message qui s'appuierait sur ces informations, de changer les mots de passe concernés et d'activer la double authentification, de surveiller son compte si l'IBAN est touché et de porter plainte en cas d'usage frauduleux. L'entreprise d'où vient la fuite peut, elle, devoir notifier la CNIL, dans les 72 heures en cas de risque.
- 72 hdélai de notification à la CNIL pour une entreprise, en cas de violation de données personnelles présentant un risque pour les personnes
- 1 moisaprès une demande de suppression restée sans effet, la personne peut déposer plainte auprès de la CNIL, selon la fiche
Fuite de données : ce que recouvre le terme
La fiche « Violation ou fuite de données personnelles, que faire ? », publiée le 7 décembre 2022 et mise à jour le 26 août 2026, la définit comme l'accès ou la divulgation non autorisés d'informations personnelles détenues par un tiers : site, service en ligne, entreprise, association, collectivité ou administration. Son origine peut être « accidentelle ou malveillante, interne ou externe ».
Une donnée personnelle est toute information qui identifie directement ou indirectement une personne : nom, adresse, e-mail, téléphone, numéro de sécurité sociale ou de compte client. Récupérées par des cybercriminels, ces données servent à un usage frauduleux ou sont revendues, et exposent à l'hameçonnage ciblé, à l'escroquerie, à l'usurpation d'identité ou au piratage de comptes.
Le risque principal : hameçonnage et faux conseillers
Selon la fiche, les conséquences d'une violation concernent « principalement » les différentes formes d'hameçonnage et de tentatives d'escroquerie. Des escrocs se servent des informations dérobées pour paraître légitimes : obtenir codes et mots de passe, faire valider des opérations bancaires en se présentant comme un service anti-fraude, ou pousser à un virement.
La parade tient en une règle : authentifier son interlocuteur en contactant soi-même l'organisme à ses coordonnées officielles, et « prenez toujours le temps de vérifier les informations par vous-même », dit-elle, surtout sous pression. Pour une entreprise, le même scénario mène à la fraude au faux RIB ; les signes d'un message piégé sont sur notre page hameçonnage.
Les gestes après une fuite
Le tableau reprend les consignes dans l'ordre où la fiche les donne.
| Geste | Ce que précise la fiche |
|---|---|
| Savoir ce qui a fuité | lire le communiqué de l'organisme, le contacter au besoin pour confirmer |
| Se méfier | de tout appel ou message qui prétendrait vous connaître grâce aux informations dérobées |
| Changer les mots de passe | sur le service touché et partout où le même servait, avec la double authentification |
| Surveiller le compte bancaire | si l'IBAN a fuité : remboursement des opérations non autorisées, vigilance renforcée, opposition au besoin |
| Faire retirer les publications | signaler aux plateformes et demander le déréférencement aux moteurs de recherche |
| Saisir la CNIL | si les données restent accessibles un mois après la demande, ou si elles ont été mal protégées |
| Porter plainte | en cas d'usage frauduleux, avec toutes les preuves |
| Action de groupe | possible via une association agréée, pour faire cesser la violation et obtenir réparation |
Côté entreprise : quand la fuite vient de chez vous
Deux autres fiches du dispositif décrivent les obligations de l'organisation qui détenait les données. En cas de violation présentant un risque pour les droits et libertés des personnes, l'entreprise doit notifier la CNIL dans les 72 heures, et informer les personnes concernées lorsque le risque est élevé. La notification précise la nature de la violation, le nombre approximatif de personnes et d'enregistrements touchés, les conséquences probables et les mesures prises. Le déroulé complet d'un incident est sur notre page piratage informatique.
Réduire l'exposition avant la prochaine fuite
La fiche liste sept précautions : ne communiquer que le minimum d'informations, ne pas envoyer à la légère pièce d'identité, fiche de paie, avis d'imposition ou RIB, ne pas enregistrer sa carte bancaire pour un achat ponctuel, utiliser des mots de passe différents et complexes, activer la double authentification, supprimer les comptes inutilisés, et exercer son droit de suppression auprès des organismes quittés, avec un modèle de courrier proposé par la CNIL. Voir aussi notre page sur les mots de passe.
Ce que prévoit le code pénal
Selon les cas, plusieurs infractions peuvent être retenues contre les auteurs. Les peines ci-dessous sont celles que cite la fiche.
| Infraction | Texte | Peine citée |
|---|---|---|
| Escroquerie | article 313-1 du Code pénal | cinq ans d'emprisonnement et 375 000 € d'amende |
| Usurpation d'identité | article 226-4-1 du Code pénal | un an d'emprisonnement et 15 000 € d'amende |
| Collecte frauduleuse de données personnelles | article 226-18 du Code pénal | cinq ans d'emprisonnement et 300 000 € d'amende |
| Usage frauduleux de moyen de paiement | articles L163-3 et L163-4 du Code monétaire et financier | sept ans d'emprisonnement et 750 000 € d'amende |
| Accès frauduleux à un système informatique | article 323-1 du Code pénal | trois ans et 100 000 €, cinq ans et 150 000 € si des données sont supprimées ou modifiées |
| Atteinte au secret des correspondances | article 226-15 du Code pénal | un an d'emprisonnement et 45 000 € d'amende |
Ce que cette page ne dit pas
Elle ne détaille pas les obligations RGPD d'une entreprise au-delà de la notification, ni les liens de signalement propres à chaque réseau social, qui figurent sur la fiche officielle. Fiches lues le 14 septembre 2026.
Questions fréquentes
Mes données ont fuité : que faire en premier ?
Lire le communiqué de l'organisme pour savoir quelles données sont concernées, changer les mots de passe touchés, activer la double authentification et se méfier de tout appel ou message inattendu.
Mon IBAN a fuité : est-ce grave ?
La fiche conseille de surveiller le compte, de demander le remboursement de toute opération non autorisée en invoquant l'article L133-24 du Code monétaire et financier, et de prévenir sa banque.
Une entreprise victime d'une fuite doit-elle prévenir la CNIL ?
Oui si la violation présente un risque pour les droits et libertés des personnes : notification dans les 72 heures, et information des personnes si le risque est élevé.
Peut-on se plaindre à la CNIL après une fuite ?
Oui si, un mois après une demande de suppression, les données restent accessibles, ou si l'on estime que l'organisme ne les a pas suffisamment protégées.
Sources consultées
- Cybermalveillance.gouv.fr — Violation ou fuite de données personnelles, que faire ? (mise à jour le 26 août 2026)cybermalveillance.gouv.fr · consulté le 14 septembre 2026
- Cybermalveillance.gouv.fr — Piratage de compte, que faire ? (mise à jour le 7 mai 2026)cybermalveillance.gouv.fr · consulté le 14 septembre 2026
- Cybermalveillance.gouv.fr — Piratage d'un système informatique professionnel, que faire ? (mise à jour le 25 février 2026)cybermalveillance.gouv.fr · consulté le 14 septembre 2026