Vous recevez une mise en demeure pour un crédit à la consommation que vous n’avez jamais souscrit, ou votre banque vous annonce que votre demande de prêt est refusée parce que le fichier des incidents de remboursement des crédits aux particuliers vous signale comme mauvais payeur. En consultant votre relevé, vous découvrez un crédit ouvert à votre nom, avec une adresse que vous ne connaissez pas, des mensualités prélevées sur un compte que vous n’avez jamais ouvert, puis un fichage qui bloque vos propres projets. Quelques semaines plus tôt, un organisme qui détenait votre pièce d’identité, votre justificatif de domicile et votre relevé d’identité bancaire vous avait écrit pour vous annoncer une fuite de données. Le lien entre les deux événements est direct : vos documents ont servi à un tiers pour se faire passer pour vous auprès d’un établissement financier.

Cette situation mêle trois couches de droit qu’il faut traiter dans l’ordre. D’abord le contrat : un crédit ou un compte ouvert par un usurpateur ne vous engage pas, et c’est au prêteur de démontrer que vous êtes bien le signataire et le bénéficiaire des fonds. Ensuite les données : l’établissement qui vous réclame de l’argent traite vos données personnelles et doit respecter vos droits d’accès, de rectification, d’effacement et d’opposition. Enfin la responsabilité : l’organisme à l’origine de la fuite, l’établissement qui a accordé le crédit sans vérifier l’identité de son interlocuteur et l’auteur de la fraude répondent chacun sur un fondement distinct, et vous pouvez obtenir réparation. Cet article décrit la démarche complète, pièce par pièce, avec les textes applicables et deux décisions récentes qui montrent comment les juges tranchent ces dossiers.

Pour le contexte général des fuites et des premiers réflexes, notre dossier sur les données piratées après une cyberattaque et les recours ouverts aux victimes présente la notification de violation, la plainte et l’action en réparation. Le présent article va plus loin sur un cas précis : un crédit ou un contrat a été ouvert à votre nom et vous devez le faire tomber, faire effacer les données qui l’accompagnent et être indemnisé.

I. Faire tomber le contrat frauduleux et nettoyer vos données

A. Contester le crédit ou le compte ouvert à votre nom : preuve, plainte et fichage

Le point de départ est simple : nul n’est engagé par un contrat qu’il n’a pas signé. Quand une banque vous réclame le remboursement d’un crédit, elle doit rapporter la preuve du contrat et de votre qualité de signataire et de bénéficiaire des fonds. C’est l’application directe de l’article 1353 du code civil, selon lequel « Celui qui réclame l’exécution d’une obligation doit la prouver », et de l’article 9 du code de procédure civile, qui dispose qu’« Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention ». Les juges appliquent cette exigence avec rigueur dans les dossiers d’usurpation d’identité, et deux arrêts récents l’illustrent de façon parlante.

La cour d’appel de Montpellier, dans un arrêt du 5 février 2026 (4e chambre civile, RG 24/03916), a infirmé le jugement qui condamnait un homme à payer près de 17 750 euros au titre d’une offre de crédit acceptée en septembre 2020. L’intéressé soutenait qu’il n’était ni signataire ni bénéficiaire du prêt et qu’il avait été victime d’une usurpation d’identité. La cour a relevé que l’analyse des pièces jouait en faveur de la victime : la pièce d’identité présentée à la banque était un faux, le visage photographié n’étant pas le sien, alors même que les deux documents portaient les mêmes numéros ; le contrat de travail produit mentionnait un lieu de naissance différent de celui figurant sur l’offre de crédit ; le domicile indiqué sur le dossier bancaire ne correspondait pas à son domicile réel, établi par relevés bancaires, avis d’imposition, bulletins de salaire et bail d’habitation. La banque, qui produisait le mandat de prélèvement mais ni le formulaire d’ouverture du compte ni les relevés où figuraient selon elle des mensualités prélevées pendant plusieurs mois, n’a pas démontré que l’intéressé était bénéficiaire des fonds. La cour a donc débouté la banque de l’ensemble de ses demandes et l’a condamnée aux dépens ainsi qu’à 2 500 euros au titre des frais irrépétibles. L’enseignement est net : le paiement de quelques échéances, souvent mis en avant par les établissements, n’exclut pas l’usurpation, et les incohérences d’identité, de domicile et de pièces profitent à la victime quand elle les documente.

La cour d’appel de Versailles, dans un arrêt du 7 novembre 2023 (1re chambre, 2e section, RG 22/03198), va plus loin encore sur les devoirs de la banque. La société Le Crédit Lyonnais avait fait ouvrir un compte de dépôt, puis avait assigné le prétendu titulaire en paiement d’un solde débiteur de plus de 32 000 euros, par une assignation délivrée à une adresse erronée, sans vérifier l’adresse réelle alors même que la victime l’avait informée de l’usurpation, plaintes pénales et courriers de la Banque de France à l’appui, avant toute action judiciaire. La cour a jugé que l’établissement avait commis une négligence fautive : adresse non vérifiée, compte ouvert sur des documents nettement insuffisants au regard des prescriptions légales, et documents justificatifs produits par la victime purement ignorés. Elle a débouté la banque, l’a condamnée à 2 000 euros de dommages et intérêts pour la perte de chance de se défendre au premier degré et à 1 500 euros de frais irrépétibles. Ce second arrêt montre que la négligence de l’établissement dans la vérification d’identité ouvre droit à réparation en plus de l’annulation de la dette réclamée.

Concrètement, dès la découverte du crédit litigieux, envoyez au prêteur une contestation écrite en recommandé avec accusé de réception : déclarez n’avoir ni signé ni bénéficié du contrat, demandez la copie complète du dossier (offre signée, pièce d’identité présentée, justificatifs, enregistrements de la souscription, relevés du compte de prélèvement), exigez la suspension de tout recouvrement et de tout fichage pendant l’instruction de la contestation, et annoncez le dépôt de plainte. Déposez plainte au commissariat ou à la gendarmerie pour usurpation d’identité et escroquerie, et conservez-en le récépissé : les deux arrêts cités s’appuient sur les plaintes versées aux débats. Le volet pénal compte double, car l’usurpation d’identité est une infraction autonome : l’article 226-4-1 du code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », peine encourue également lorsque les faits sont commis sur un réseau de communication au public en ligne. La fabrication des pièces du dossier relève en outre du faux : l’article 441-1 du code pénal vise « toute altération frauduleuse de la vérité, de nature à causer un préjudice et accomplie par quelque moyen que ce soit, dans un écrit ou tout autre support d’expression de la pensée ». Et la captation de vos données pour monter le dossier peut constituer une collecte frauduleuse, définie par l’article 226-18 du code pénal comme : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». L’obtention du crédit par de faux documents relève enfin de l’escroquerie : l’article 313-1 du code pénal punit de cinq ans d’emprisonnement et de 375 000 euros d’amende le fait, « soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge ».

Parallèlement, vérifiez votre situation auprès de la Banque de France : demandez l’exercice de votre droit d’accès aux fichiers d’incidents (fichier central des chèques et fichier des incidents de remboursement des crédits aux particuliers) pour savoir ce qui est inscrit à votre nom, puis exigez la rectification des inscriptions indues en joignant la plainte et la contestation adressée au prêteur. La Banque de France explique la marche à suivre en cas d’usurpation et de fichage pour des incidents non commis : vérification périodique de l’inscription, exercice du droit d’accès et signalement des incidents que vous n’avez pas commis. Ce contrôle est décisif, car un fichage indu peut à lui seul faire échouer vos demandes de crédit ultérieures, et sa persistance après signalement constitue un préjudice propre. Notez aussi que le prêteur avait des obligations avant même d’accorder le crédit litigieux : l’article L. 312-16 du code de la consommation impose au prêteur de vérifier la solvabilité de l’emprunteur à partir d’un nombre suffisant d’informations et de consulter le fichier des incidents de remboursement. Un crédit accordé sur des documents manifestement incohérents, sans vérification sérieuse, fragilise la position de l’établissement jusque devant le juge, comme l’a retenu la cour d’appel de Versailles.

B. Exercer vos droits sur vos données : accès, rectification, effacement, opposition et plainte CNIL

L’établissement qui vous réclame le crédit traite vos données personnelles : identité, coordonnées, revenus, historique de paiement, inscription au fichier des incidents. Dès lors, le règlement général sur la protection des données vous donne des droits directs contre lui, indépendamment de la contestation du contrat devant le juge civil. Ces droits s’exercent par une demande écrite au responsable du traitement, en pratique le service réclamations ou le délégué à la protection des données du prêteur, avec copie de votre pièce d’identité si votre identité doit être vérifiée.

Commencez par le droit d’accès, qui permet de reconstituer le dossier de la fraude : l’article 15 du règlement ouvre à toute personne concernée le droit d’obtenir du responsable du traitement la confirmation de l’existence d’un traitement de données la concernant, puis l’accès à ces données et aux informations qui les accompagnent : finalités, catégories de données, destinataires, durée de conservation, droits disponibles, source des données et existence d’une décision automatisée. Demandez la copie de l’intégralité des données détenues à votre nom : dossier de souscription, enregistrements, relevés, historique des incidents déclarés. Cette copie sert deux causes à la fois : elle alimente votre contestation du contrat et elle révèle l’étendue des données à faire rectifier ou effacer.

Demandez ensuite la rectification des données inexactes : l’article 16 du règlement donne à toute personne concernée le droit d’obtenir dans les meilleurs délais la rectification des données inexactes la concernant, et le complètement des données incomplètes compte tenu des finalités du traitement. Une adresse que vous n’avez jamais habitée, un numéro de téléphone qui n’est pas le vôtre, des revenus inventés, des incidents de paiement afférents à un crédit que vous n’avez pas souscrit : chacune de ces mentions doit être corrigée. Quand la conservation elle-même est injustifiée, c’est l’effacement qu’il faut exiger : l’article 17 du règlement reconnaît à toute personne concernée le droit d’obtenir dans les meilleurs délais l’effacement des données la concernant, et impose au responsable du traitement de les effacer, notamment lorsque ces données ont fait l’objet d’un traitement illicite, ce qui est le cas visé au point d) du premier paragraphe. Un contrat souscrit par un usurpateur, sans aucun fondement vous concernant, entre dans ce cas : les données collectées sur vous à cette occasion ne reposent ni sur votre consentement, ni sur un contrat conclu avec vous, ni sur une obligation légale vous visant. Ajoutez le droit d’opposition de l’article 21, qui permet de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime : le prêteur ne peut alors continuer le traitement, et notamment le recouvrement fondé sur vos données, qu’en démontrant des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou pour la défense de droits en justice, ce qui suppose un vrai débat et non une simple fin de non-recevoir.

Le calendrier est encadré : l’article 12 du règlement impose au responsable du traitement de vous informer des suites données à une demande fondée sur les articles 15 à 22 dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception, ce délai pouvant être prolongé de deux mois selon la complexité et le nombre de demandes, à condition de vous avertir du report et de ses motifs. S’il ne donne pas suite, il doit vous informer sans tarder, et au plus tard sous un mois, des motifs de son inaction et de vos voies de recours. Et l’exercice de ces droits est en principe sans frais. En pratique, fixez dans votre courrier un rappel précis de ce délai d’un mois, chiffrez vos demandes une par une (accès, rectification de telle mention, effacement de tel traitement, opposition à tel usage), et conservez la preuve de l’envoi et de la réception.

Si l’établissement refuse ou garde le silence, saisissez la CNIL par une plainte en ligne en joignant la demande initiale, la preuve de réception et la réponse éventuelle : l’article 77 du règlement donne à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier celle de l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée, lorsqu’elle estime que le traitement de ses données méconnaît le règlement. La CNIL détaille les réflexes face à une usurpation d’identité : rassembler les preuves, signaler les comptes frauduleux, exercer ses droits auprès des organismes et déposer plainte, et elle peut contrôler l’organisme mis en cause et prononcer des mesures correctrices. Le portail Service-Public sur l’usurpation d’identité récapitule de son côté les situations à risque, les démarches de la victime et les peines encourues par l’auteur. Et si la voie administrative ne suffit pas, l’article 79 du règlement vous ouvre un recours juridictionnel effectif contre le responsable du traitement ou son sous-traitant lorsque vous estimez que vos droits ont été violés par un traitement non conforme, action que vous pouvez porter devant les juridictions de votre résidence habituelle. Devant le juge judiciaire, demandez l’injonction de rectifier ou d’effacer sous astreinte, en plus du rejet des demandes en paiement du prêteur.

II. Identifier les responsables et obtenir réparation

A. Trois responsabilités distinctes : l’organisme fuité, le prêteur négligent et l’auteur de la fraude

La réparation suppose d’imputer chaque partie du dommage au bon responsable, car les fondements ne se confondent pas. Premier responsable possible : l’organisme dont la fuite a livré vos documents. Quand un responsable de traitement subit une violation de données, l’article 33 du règlement lui impose de notifier la violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes, avec description de sa nature, des catégories de personnes et de données concernées, des conséquences probables et des mesures prises. Son sous-traitant doit pour sa part l’avertir dans les meilleurs délais après en avoir pris connaissance. Si la fuite de votre pièce d’identité et de vos justificatifs a rendu possible l’ouverture du crédit frauduleux, conservez la lettre de notification reçue, capturez les communications de l’organisme et demandez-lui par écrit quelles mesures de sécurité protégeaient vos documents et ce qu’il a fait après la violation. Une sécurité défaillante, une notification tardive ou l’absence de mesures pour limiter les détournements alimentent la démonstration de la faute et du lien avec votre préjudice. Selon les cas, la violation initiale peut aussi engager la responsabilité du prestataire informatique ou de l’hébergeur en cause, sur le terrain contractuel et délictuel, sans que cela exonère le responsable du traitement vis-à-vis de vous.

Deuxième responsable : l’établissement qui a accordé le crédit ou ouvert le compte au fraudeur, puis qui vous a poursuivi. Les deux arrêts cités montrent que les juges sanctionnent l’octroi de crédit sur pièces incohérentes et la poursuite du recouvrement après signalement documenté de la fraude. L’article L. 312-16 du code de la consommation, déjà cité, faisait peser sur le prêteur un devoir de vérification de la solvabilité et de consultation du fichier des incidents avant de conclure : un dossier accordé à un imposteur sur des documents contradictoires, sans vérification de l’adresse ni de l’identité, contrevient à l’esprit de cette exigence et nourrit la faute civile de l’établissement. Surtout, une fois averti par votre contestation, votre plainte et vos justificatifs d’identité et de domicile, le prêteur qui maintient les prélèvements, le fichage et l’assignation en paiement commet une faute propre, distincte de l’erreur initiale, et c’est cette obstination qui justifie des dommages et intérêts en plus du rejet de sa demande, comme les 2 000 euros alloués par la cour d’appel de Versailles. Exigez donc, dans chaque courrier, la suspension du recouvrement et du fichage, et faites constater par écrit chaque refus : ces pièces feront la mesure de la faute.

Troisième responsable : l’auteur de la fraude, poursuivi sur le terrain pénal pour usurpation d’identité et escroquerie. Votre plainte déclenche l’enquête, et la constitution de partie civile vous permet de demander au juge pénal la réparation de votre préjudice. Même si l’auteur n’est pas identifié, la plainte reste utile : elle crédibilise votre contestation face au prêteur, elle fonde votre signalement à la Banque de France et elle conditionne certains recours, notamment la demande de retrait d’inscription au fichier des incidents. Distinguez bien les rôles dans vos écritures : l’organisme fuité répond de la sécurité de vos données, le prêteur répond de la vérification d’identité et de la poursuite abusive du recouvrement, l’escroc répond de la fraude elle-même. Cette clarification évite l’erreur fréquente qui consiste à tout imputer à la fuite initiale ou, à l’inverse, à ne poursuivre que l’auteur introuvable en laissant prospérer le crédit frauduleux et le fichage.

B. Chiffrer le préjudice et agir : postes de réparation, preuves et procédure

Le préjudice d’une usurpation suivie d’un crédit frauduleux se compose de postes précis qu’il faut chiffrer séparément. Le préjudice financier direct comprend les sommes prélevées ou réclamées à tort, les frais bancaires générés par les rejets, les intérêts et pénalités facturés sur le crédit litigieux et le coût des démarches (recommandés, constats, déplacements). Le préjudice lié au fichage est souvent le plus lourd : refus de vos propres crédits immobiliers ou à la consommation, taux majoré, perte d’une acquisition ou d’un projet professionnel, dépôt d’un dossier que vous devez recommencer. Le préjudice moral couvre l’angoisse des poursuites, les relances et la menace d’inscription, le temps passé à prouver que vous êtes bien vous, parfois sur des mois. La jurisprudence citée donne des repères sans constituer un barème : 2 000 euros pour la perte de chance de se défendre utilement au premier degré dans l’affaire versaillaise, outre les frais irrépétibles, et le rejet pur et simple d’une demande de près de 17 750 euros dans l’affaire montpelliéraine, avec 2 500 euros de frais. Chaque dossier reste jugé sur ses pièces, et c’est la qualité de votre démonstration qui fixe le montant.

Le fondement central de la réparation en matière de données est l’article 82 du règlement : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le responsable qui a participé au traitement répond du dommage causé par la violation, et il ne s’en exonère qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable. Quand plusieurs acteurs participent au même traitement, chacun est tenu pour le tout afin de garantir une réparation effective, quitte à se retourner ensuite contre les autres à proportion de leurs parts. Concrètement, vous pouvez donc demander réparation à l’organisme à l’origine de la fuite comme au prêteur qui a traité illicitement vos données pour un contrat que vous n’avez pas conclu, sans avoir à départager vous-même leurs parts : c’est ensuite entre eux que s’opère le partage. Ajoutez, contre le prêteur qui a maintenu les poursuites après signalement, la responsabilité civile de droit commun pour recouvrement abusif, sur le fondement de l’article 1240 du code civil selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », et contre l’auteur identifié la réparation devant le juge pénal sur constitution de partie civile.

La procédure efficace suit un ordre resserré. Première semaine : contestation au prêteur avec demande de dossier, de suspension et d’exercice des droits sur les données ; dépôt de plainte ; demande d’accès à la Banque de France ; signalement de la fuite à l’organisme avec demande d’explications sur les mesures de sécurité. À un mois : en l’absence de réponse du prêteur sur vos droits, relance puis plainte CNIL avec dossier complet ; demande de défichage avec récépissé de plainte ; mise en demeure chiffrée de réparer. Ensuite : assignation devant le juge judiciaire pour voir juger que le contrat ne vous engage pas, ordonner rectification et effacement sous astreinte et condamner le ou les responsables à réparer chaque poste de préjudice, pièces à l’appui. Tout au long du dossier, conservez les originaux et des copies : offre de crédit, pièce présentée par le fraudeur, vos vraies pièces, justificatifs de domicile comparés dans le temps, bulletins de salaire, avis d’imposition, relevés bancaires, courriers du prêteur, récépissés de plainte, échanges avec la Banque de France et la CNIL, refus de crédit causés par le fichage avec leurs motifs écrits. Les deux arrêts gagnés l’ont été sur des dossiers comparatifs méthodiques, pas sur des affirmations : la cour de Montpellier a passé en revue photographies, numéros de documents, domiciles, bulletins et bail, et la cour de Versailles a retenu la chronologie des avertissements ignorés par la banque. C’est cette méthode, appliquée dès les premiers jours, qui fait tomber le crédit frauduleux, efface le fichage et obtient réparation.

Conclusion : contester vite, exiger l’effacement et faire payer les négligences

Un crédit ouvert à votre nom après une fuite de données n’est ni une dette à négocier ni un incident à subir : c’est un contrat qui ne vous engage pas, un traitement illicite de vos données et, souvent, une double négligence, celle de l’organisme qui a laissé fuir vos documents et celle du prêteur qui a financé un imposteur puis vous a poursuivi. La démarche qui aboutit tient en trois gestes menés ensemble : contester le contrat par écrit en exigeant le dossier et la suspension du recouvrement et du fichage, exercer vos droits d’accès, de rectification, d’effacement et d’opposition dans le délai d’un mois puis saisir la CNIL et le juge en cas de refus, et chiffrer chaque préjudice pour obtenir réparation sur le fondement de l’article 82 du règlement comme sur celui de la responsabilité civile du prêteur. Les décisions rendues à Montpellier en 2026 et à Versailles en 2023 montrent que les juges écartent les demandes des banques quand la preuve de la signature et du bénéfice des fonds fait défaut, et qu’ils condamnent l’établissement négligent à indemniser la victime. Agissez dans les premiers jours, gardez chaque preuve et ne laissez ni le crédit frauduleux ni le fichage s’installer : chaque semaine de retard complique l’effacement et allonge le préjudice.

Besoin d’un avis rapide sur votre dossier

Pour un avis sur votre dossier en numérique et données personnelles, Maître Reda KOHEN, avocat au Barreau de Paris, reçoit en consultation téléphonique : 80 EUR TTC. Joignez votre mise en demeure ou votre refus de crédit, la copie de votre plainte, le dossier du crédit contesté et vos échanges avec le prêteur et la Banque de France. Téléphone : 06 46 60 58 22. Page contact : https://kohenavocats.fr/formulaire-de-contact/.