Un matin, des proches vous écrivent pour vous signaler des messages étranges envoyés depuis votre compte. Ou vous découvrez un profil à votre nom, avec vos photos, que vous n’avez jamais créé. Compte de messagerie piraté, compte de réseau social pris en main par un tiers, faux profil qui démarchent vos contacts ou encaisse de l’argent à votre place : la situation est à la fois angoissante et urgente, car chaque heure qui passe permet au fraudeur d’écrire en votre nom, de collecter vos données et d’abuser vos proches.
Deux réflexes doivent alors coexister. Le premier est pratique : reprendre la main sur le compte, figer les preuves et couper l’accès du fraudeur. Le second est juridique : votre identité et vos données personnelles sont protégées par des textes précis, et plusieurs guichets existent pour signaler, faire fermer, identifier l’auteur puis obtenir réparation. Cet article décrit la marche à suivre dans l’ordre, en distinguant ce qui relève de la plateforme, ce qui relève de vos droits sur vos données et ce qui relève du juge pénal et du juge civil.
I. Reprendre la main sur le compte et sur vos données
A. Sécuriser le compte, figer les preuves et faire fermer le faux profil
La première heure compte. Si vous conservez un accès partiel au compte, changez immédiatement le mot de passe depuis un appareil sain, activez la double authentification et révoquez les sessions ouvertes sur les autres appareils ainsi que les applications tierces connectées. Si l’accès est perdu, utilisez sans attendre la procédure de récupération du service concerné : chaque grande plateforme propose un parcours dédié au compte piraté, distinct du simple signalement. En parallèle, prévenez votre entourage par un autre canal que le fraudeur utilise votre nom, afin de limiter les versements et les communications piégées.
La conservation des preuves commence dès la découverte. Comme le recommande le dispositif national d’assistance aux victimes de cybermalveillance, il faut garder l’ensemble des preuves disponibles et réaliser des captures d’écran datées Notez le nom et l’adresse du compte litigieux, conservez les messages reçus et envoyés, les adresses des pages concernées et tout justificatif utile, car ces éléments serviront ensuite pour le signalement à la plateforme, pour la plainte et pour la demande d’identification de l’auteur. Ces captures doivent être datées et complètes : un simple récit oral ne suffira ni à la plateforme ni aux enquêteurs.
Le signalement à la plateforme est l’étape suivante, et il ne faut pas le confondre avec la plainte pénale. Les réseaux sociaux et les services de messagerie disposent de formulaires de signalement d’usurpation, généralement accessibles même sans compte. La fiche officielle de Service-Public sur l’usurpation d’identité le résume ainsi : en cas d’usurpation numérique, la victime peut alerter directement les plateformes en cause, qu’il s’agisse de Facebook, X, Instagram, Snapchat ou YouTube. Joignez une pièce d’identité lorsque la plateforme l’exige pour vérifier que vous êtes bien la personne usurpée, et conservez le numéro de chaque signalement. Si le compte litigieux diffuse des contenus qui vous visent, vous pouvez également demander le retrait de la publication concernée.
Le cas du compte professionnel mérite un traitement à part. Quand la messagerie piratée est celle que votre employeur met à votre disposition, prévenez immédiatement votre service informatique et votre hiérarchie : le fraudeur peut adresser des instructions à des clients ou à des partenaires, et l’entreprise doit alors activer sa propre procédure de sécurité. Votre responsabilité personnelle n’est engagée que si une faute vous est imputable, par exemple la communication de vos codes en violation d’une consigne claire ; à l’inverse, un salarié victime d’une attaque bien construite reste une victime. Conservez la trace de votre alerte interne, car elle prouvera votre diligence si l’incident est ensuite discuté.
Pour les créateurs de contenus et les indépendants dont l’audience est monétisée, chaque jour de détournement se chiffre. Relevez les vues et les revenus captés par le compte usurpateur, conservez les notifications de la plateforme et les échanges avec les annonceurs : ces pièces fonderont la demande de réparation du manque à gagner. La décision rendue en avril 2026 dans l’affaire de la chaîne YouTube usurpée illustre l’intérêt de viser aussi les informations de paiement, car elles permettent de suivre la trace financière du fraudeur et de documenter l’enrichissement tiré de votre identité.
Distinguez bien les deux situations, car les démarches divergent ensuite. Le compte piraté est votre propre compte, dont un tiers a pris le contrôle : l’objectif premier est d’en récupérer l’usage exclusif. Le faux profil est un compte créé par un tiers avec votre nom et vos photos : l’objectif est d’obtenir sa fermeture. Lorsque ce profil diffuse des images prises dans un cadre privé, l’atteinte à la vie privée est également punissable : est puni « volontairement de porter atteinte à l’intimité de la vie privée d’autrui », d’un an d’emprisonnement et de 45 000 euros d’amende, le fait de porter atteinte par un procédé quelconque à cette intimité (article 226-1 du code pénal) et l’effacement des données qu’il expose. Dans les deux cas, si la plateforme ne répond pas ou refuse d’agir, ne restez pas seul : la Commission nationale de l’informatique et des libertés peut intervenir auprès des responsables de site pour la protection des données personnelles, comme le rappelle la même fiche officielle.
B. Exercer vos droits sur vos données personnelles et saisir la CNIL
Le piratage d’un compte et la création d’un faux profil sont aussi des traitements illicites de vos données personnelles : votre nom, votre image, vos adresses et parfois vos contacts sont utilisés sans votre accord. Le règlement général sur la protection des données vous donne alors des droits directs contre le responsable du traitement, c’est-à-dire en pratique la plateforme qui héberge le compte ou le faux profil.
Le droit d’accès permet d’abord de savoir ce que la plateforme détient sur vous. Le texte applicable ouvre un droit d’accès : chacun peut obtenir du responsable du traitement la confirmation qu’un traitement existe, puis l’accès aux données et une série d’informations complémentaires (article 15 du RGPD). Concrètement, écrivez au service dédié de la plateforme, identifiez-vous et demandez la copie des données liées au compte litigieux. Cette demande sert aussi à préparer la suite : comprendre ce qui a été exposé, modifié ou téléchargé par le fraudeur.
Le droit à l’effacement permet ensuite d’exiger la suppression du faux profil et des données publiées sans votre accord. Le règlement ouvre un droit à l’effacement rapide des données, notamment quand elles ont fait l’objet d’un traitement illicite (article 17 du RGPD). Un faux profil créé avec vos photos sans votre consentement entre typiquement dans ce cas : adressez une demande d’effacement précise, en visant chaque adresse de page et chaque contenu. Si des informations inexactes vous concernant circulent, le droit de rectification complète utilement la demande.
Le droit de rectification et le droit à la limitation du traitement complètent utilement l’arsenal. Si le compte litigieux affiche des informations inexactes sur vous, exigez leur correction ; si vous contestez l’exactitude de données conservées par la plateforme pendant l’instruction de votre demande, exigez que leur utilisation soit gelée en attendant la vérification. Ces demandes s’adressent au même service que l’accès et l’effacement, et elles obéissent au même délai de réponse d’un mois. La CNIL met à disposition des modèles de courrier qui aident à formuler des demandes complètes, avec l’identification du demandeur, l’objet précis et la copie des pièces : utilisez-les plutôt qu’un message rédigé dans l’urgence depuis le formulaire générique de la plateforme.
La plateforme doit répondre vite. Le règlement impose au responsable du traitement de donner suite rapidement, et au plus tard dans le mois qui suit la réception de la demande (article 12, paragraphe 3, du RGPD). Notez la date d’envoi de chaque demande et relancez à l’échéance : le silence gardé pendant plus d’un mois ouvre la voie du recours devant l’autorité de contrôle.
Cette autorité est en France la CNIL. Qu’il s’agisse d’un faux profil ou d’un compte piraté, l’usurpation en ligne reste punie d’un an d’emprisonnement et de 15 000 euros d’amende (article 226-4-1 du code pénal). Par ailleurs, le règlement ouvre à toute personne concernée la faculté de déposer une réclamation devant l’autorité de contrôle, en particulier dans l’État de sa résidence (article 77 du RGPD). Avant de saisir la CNIL, vous devez en principe avoir exercé vos droits auprès de la plateforme et conservé la preuve de vos démarches : la plainte auprès de la CNIL s’appuie sur vos courriers restés sans réponse ou sur un refus. La CNIL peut alors instruire, mettre en demeure et, le cas échéant, sanctionner. Cette voie administrative ne remplace ni la plainte pénale contre l’auteur ni l’action en réparation devant le juge, mais elle pèse efficacement sur les plateformes qui tardent à fermer un faux compte.
Pour les lecteurs déjà suivis sur ces questions de reprise de compte, notre analyse consacrée au compte supprimé dont les données sont conservées et à l’effacement détaille la mécanique des demandes d’effacement et de récupération des données.
II. Faire sanctionner l’auteur et obtenir réparation
A. La réponse pénale : plainte, signalements et identification du fraudeur
L’usurpation d’identité en ligne est une infraction pénale autonome. L’article 226-4-1 du code pénal punit : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » (article 226-4-1 du code pénal). Le même texte précise que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Un faux profil Facebook, Instagram, Snapchat ou YouTube qui utilise votre nom et vos photos pour tromper vos contacts entre directement dans ce cadre, dès lors que l’usage trouble votre tranquillité ou porte atteinte à votre considération.
Lorsque le fraudeur s’est introduit dans votre propre compte (article 323-1 du code pénal), une seconde série d’infractions s’ajoute. L’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). Le fraudeur qui copie, supprime ou modifie vos données dans le compte piraté encourt en outre cinq ans d’emprisonnement et 150 000 euros d’amende : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal). Et quand le faux profil sert à soutirer de l’argent à vos proches en se faisant passer pour vous, l’escroquerie s’ajoute : usage d’un faux nom ou manoeuvres frauduleuses pour déterminer la remise de fonds (article 313-1 du code pénal). La chambre criminelle de la Cour de cassation applique ces textes avec constance, y compris entre personnes qui se connaissaient : le 2 septembre 2025, elle a rejeté le pourvoi d’un ancien administrateur réseau condamné pour des faits d’atteinte à un système de traitement automatisé de données, l’arrêt attaqué l’ayant « condamné à trois mois d’emprisonnement avec sursis » pour ces faits (Cass. crim., 2 sept. 2025, n° 24-83.605). Retenez le point pratique : même un proche ou un ancien prestataire qui conserve vos codes et fouille votre messagerie commet ce délit.
La plainte se dépose au commissariat ou à la gendarmerie, ou par écrit auprès du procureur de la République du tribunal judiciaire dont vous dépendez. La fiche officielle applicable à l’usurpation d’identité indique que, lorsque la victime découvre l’usage de son identité ou de ses données à son insu, elle peut déposer plainte et prévenir les administrations et organismes concernés (fiche Service-Public sur l’usurpation d’identité). Joignez toutes les preuves : captures d’écran, adresses des pages, messages et, si des crédits ou des achats ont été souscrits en votre nom, les courriers des organismes concernés. Si vous souhaitez que l’auteur soit poursuivi, la plainte est le seul acte qui déclenche l’enquête ; la main courante ne suffit pas.
Plusieurs guichets en ligne complètent le dépôt de plainte. Pour le piratage d’un compte de messagerie ou de réseau social, la plateforme THESEE du ministère de l’intérieur permet d’effectuer un signalement ou de porter plainte en ligne. Pour signaler un contenu ou un comportement illicite constaté sur internet, le portail PHAROS recueille les signalements des victimes comme des témoins. Et le dispositif 17Cyber, adossé à cybermalveillance.gouv.fr, propose un diagnostic et une assistance en ligne aux victimes de cybermalveillance (recommandations officielles contre l’usurpation d’identité).
L’enquête pénale dispose de moyens que vous n’avez pas. Les enquêteurs peuvent requérir les journaux de connexion et les adresses utilisées lors de la création du compte, croiser les signalements THESEE et PHAROS et identifier des modes opératoires déjà connus. Lors du dépôt de plainte, vous pouvez accepter d’être inscrit au fichier des personnes recherchées pour les besoins de l’enquête lorsque votre identité risque d’être à nouveau utilisée. Signalez aussi tout rebond : si un nouveau faux profil apparaît après la fermeture du premier, déposez une plainte complémentaire et reliez-la à la procédure initiale plutôt que de recommencer de zéro.
Un point mérite une attention particulière : pour agir contre l’auteur encore anonyme, il faut d’abord l’identifier, et seule une décision de justice contraint la plateforme à livrer ses données. Deux décisions récentes montrent que les juges parisiens ordonnent cette identification. Le 10 septembre 2024, la cour d’appel de Paris a infirmé une ordonnance de référé et a enjoint à la société Meta de transmettre au demandeur, maire d’une commune visé par quatre faux comptes Facebook, sous huitaine à compter de la signification de l’arrêt, les éléments détenus permettant d’identifier les titulaires des comptes litigieux (CA Paris, pôle 1, ch. 3, 10 sept. 2024, RG 23/16504). La cour a estimé que la demande n’apparaissait pas disproportionnée dans son principe et a accueilli la recherche de la preuve de l’identité des créateurs des comptes. De même, le 17 avril 2026, le juge des référés du tribunal judiciaire de Paris a enjoint aux sociétés Google Ireland et Google LLC de transmettre au conseil d’une créatrice de contenus, victime d’une chaîne YouTube usurpant son identité et détournant ses vidéos, les données d’identification en leur possession sous dix jours à compter de la signification, y compris l’identité du titulaire du compte et les informations de paiement liées au compte publicitaire associé (TJ Paris, réf., 17 avr. 2026, RG 26/52518). Concrètement, si la plateforme refuse de vous donner l’identité du fraudeur à l’amiable, le référé devant le tribunal judiciaire est la voie rapide pour l’obtenir, avant d’assigner l’auteur ou de nourrir la plainte pénale.
Pensez enfin à l’attestation sur l’honneur : produisez aux organismes qui vous mettent en cause une attestation déclarant que vous n’êtes pas l’auteur des actes litigieux, en y joignant la copie de votre plainte. Et si des crédits ont été souscrits ou des comptes ouverts à votre insu, vérifiez sans délai les fichiers de la Banque de France et signalez les faits à vos banques.
B. La réparation du préjudice devant le juge
Le préjudice d’une usurpation en ligne est rarement seulement moral au sens courant : messages envoyés en votre nom, réputation abîmée auprès de vos contacts professionnels, temps passé à récupérer vos comptes, crédits souscrits frauduleusement, parfois perte de revenus pour les créateurs dont l’image est détournée. Le droit européen ouvre à la victime une action directe en réparation. L’article 82 du règlement permet à toute personne ayant subi un dommage matériel ou moral lié à une violation du texte d’en demander réparation au responsable du traitement ou au sous-traitant (article 82 du RGPD). Lorsque la plateforme a tardé à fermer un faux profil signalé, ou lorsqu’elle a conservé et exposé vos données en violation du règlement, cette action vise la plateforme elle-même. Lorsque c’est l’auteur de l’usurpation qui a violé vos droits, l’action vise l’auteur une fois identifié.
Le tribunal compétent est accessible : chaque personne concernée peut agir devant les juridictions de l’État membre de sa résidence habituelle contre le responsable du traitement ou le sous-traitant (article 79 du RGPD). En pratique française, l’action en responsabilité pour violation du RGPD se porte devant le tribunal judiciaire, et la victime déjà engagée dans un procès pénal contre l’auteur peut aussi se constituer partie civile pour obtenir des dommages et intérêts dans le même procès. L’utilisation de vos photos et de votre nom sans votre accord, déjà sanctionnée par l’article 226-1 du code pénal, nourrit aussi ce préjudice. Conservez à cette fin tout justificatif de préjudice : relevés bancaires, échanges avec la plateforme, constats d’huissier ou captures certifiées des faux comptes, attestations de proches démarchés, justificatifs de perte de revenus.
La constitution de partie civile devant le juge pénal présente un avantage décisif : elle permet d’obtenir réparation dans le procès même qui juge l’auteur, sans engager une seconde procédure. Si l’auteur est inconnu au jour de la plainte, déposez plainte contre X et constituez-vous partie civile entre les mains du juge d’instruction lorsque les faits sont graves ou complexes ; cette constitution donne accès au dossier et permet de solliciter des actes d’enquête. Si l’auteur est identifié et renvoyé devant le tribunal correctionnel, la constitution de partie civile à l’audience suffit pour demander des dommages et intérêts. Vérifiez enfin vos contrats d’assurance, notamment la protection juridique et certaines assurances des moyens de paiement : elles prennent parfois en charge les honoraires d’avocat et les frais de constat exposés pour défendre vos droits après une usurpation.
Le montant de la réparation dépend de l’ampleur démontrée, et c’est là que la rigueur des preuves paie. Un dossier qui montre la chronologie complète (découverte, signalements datés, relances restées sans réponse, dépôt de plainte, démarches auprès des organismes) obtient plus facilement la reconnaissance d’un préjudice moral et le remboursement des frais engagés. À l’inverse, une demande chiffrée sans pièce ne prospère pas : ne promettez jamais à un juge un préjudice que vos pièces ne racontent pas. L’identification de l’auteur obtenue en référé, les réponses de la plateforme à vos demandes d’accès et la décision éventuelle de la CNIL sur votre réclamation forment ensemble un faisceau cohérent qui porte la demande indemnitaire.
Conclusion
Face à un compte piraté ou à un faux profil, l’ordre des opérations décide de l’issue : sécuriser et récupérer, figer les preuves par captures datées, signaler à la plateforme et exiger l’effacement, saisir la CNIL en cas de silence ou de refus, porter plainte et signaler en ligne, puis faire identifier l’auteur par le juge et demander réparation. Chaque étape alimente la suivante, et les décisions récentes des juridictions parisiennes confirment que les plateformes peuvent être contraintes de livrer l’identité des fraudeurs comme de fermer les comptes litigieux. N’attendez pas que le fraudeur agisse en votre nom une seconde fois : un dossier complet constitué dès les premières heures vaut mieux qu’une démarche tardive et dispersée.
Besoin d’un avis rapide sur votre dossier
Si votre compte a été piraté ou qu’un faux profil utilise votre nom et vos données personnelles, vous pouvez demander un avis sur votre dossier en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.