Un matin, un proche vous appelle : votre photo sert de profil à un compte que vous n’avez jamais créé, et ce compte écrit à vos contacts. Ou bien c’est un courrier qui révèle l’usurpation : une facture, une mise en demeure ou un relevé d’opérations pour un contrat que vous n’avez jamais signé. Dans les deux cas, le mécanisme est le même : quelqu’un utilise des données qui permettent de vous identifier — nom, photographie, date de naissance, adresse, pièce d’identité — et agit en se faisant passer pour vous. C’est l’usurpation d’identité en ligne, et elle appelle une réaction rapide, ordonnée et prouvée.

La première erreur consiste à traiter l’affaire comme un simple incident technique. Ce n’en est pas un. Dès qu’un tiers fait usage de données permettant de vous identifier pour troubler votre tranquillité ou porter atteinte à votre honneur ou à votre considération, le délit d’usurpation d’identité de l’article 226-4-1 du code pénal peut être constitué, et il est puni d’un an d’emprisonnement et de 15 000 euros d’amende. Le texte précise : « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Autrement dit, le fait que l’usurpation passe par un réseau social, une messagerie ou un site internet n’atténue rien. Quand ces faits sont commis par le conjoint, le concubin ou le partenaire de pacte civil de solidarité de la victime, les peines montent à deux ans d’emprisonnement et 30 000 euros d’amende.

La seconde erreur consiste à se disperser : signaler dix fois le faux profil sans garder de preuve, écrire à la plateforme sans respecter les mentions exigées, attendre des semaines avant de déposer plainte. Or la jurisprudence montre que la rigueur de la notification conditionne tout. Dans un arrêt du 30 novembre 2022, la cour d’appel de Paris a débouté la victime de faux comptes Facebook qui demandait 20 000 euros à la plateforme, parce que sa notification ne permettait pas à l’hébergeur de localiser les contenus et ne remplissait pas les conditions légales : la cour rappelle que la présomption de connaissance des contenus litigieux par l’hébergeur suppose une notification comportant toutes les mentions prescrites par le texte (arrêt de la cour d’appel de Paris, pôle 2 chambre 7, 30 novembre 2022, RG 21/14707). Cet article explique donc la méthode complète : qualifier les faits, figer les preuves, signaler dans les formes, geler les usages frauduleux, puis contraindre les plateformes et les organismes, déposer plainte et obtenir réparation.

I. Qualifier les faits et figer les preuves avant toute démarche

A. Reconnaître la forme d’usurpation et le droit qui s’y attache

L’usurpation d’identité en ligne prend trois formes principales, qui appellent des réflexes en partie distincts. Première forme : le faux profil ou le faux compte. Quelqu’un crée un compte à votre nom, avec votre photographie, et contacte votre entourage, publie en votre nom ou collecte des informations. C’est le cas jugé par la cour d’appel de Paris en 2022 : la victime avait découvert divers comptes Facebook qui usurpaient son identité et utilisaient les attributs de sa personnalité et de son image, y compris son identité numérique. Deuxième forme : l’ouverture de comptes ou la souscription de contrats à votre nom — abonnement téléphonique, compte de monnaie électronique, commande en ligne, crédit. Ici, l’usurpation produit des effets financiers et parfois un fichage : si un crédit souscrit à votre insu conduit à votre inscription au fichier des incidents de remboursement des crédits aux particuliers, un article du cabinet explique comment obtenir le défichage, le gel et la réparation. Troisième forme : le faux site ou la fausse page qui imite votre identité ou celle de votre entreprise pour diffuser de faux contenus. La chambre criminelle de la Cour de cassation a confirmé une condamnation pour usurpation d’identité contre l’auteur d’un site qui présentait l’apparence du site officiel d’une élue, reproduisait sa photographie et sa charte graphique, et permettait de publier de faux communiqués : peu importait que la page d’accueil ne soit pas exactement similaire à l’originale, dès lors que la photographie et les éléments principaux de la charte graphique étaient reproduits, et peu importait que l’auteur ne soit pas lui-même le rédacteur des messages, puisque ce qui est incriminé, c’est la seule possibilité de les mettre en ligne de façon contrefaisante (Cour de cassation, chambre criminelle, 16 novembre 2016, n° 16-80.207).

Pour le pénal, l’élément central est l’intention frauduleuse rapportée au but prévu par le texte : troubler votre tranquillité ou celle d’autrui, ou porter atteinte à votre honneur ou à votre considération. Dans l’affaire du faux site, les juges ont retenu que l’intention frauduleuse tenait à la seule volonté de créer un site fictif et d’encourager le public à diffuser des messages apocryphes, obscènes ou politiquement contraires aux options de l’élue, de nature soit à troubler sa tranquillité, soit à porter atteinte à son honneur et à sa considération. Conservez cette grille : notez par écrit, dès le premier jour, en quoi l’usage fait de votre identité trouble votre tranquillité (messages à vos proches, démarchages, inquiétude) ou atteint votre honneur (propos tenus en votre nom, image associée à des contenus dégradants). Cette note datée servira pour la plainte et, plus tard, pour chiffrer le préjudice.

Parallèlement au pénal, deux autres fondements protègent vos données. D’abord, le droit au respect de la vie privée de l’article 9 du code civil : « Chacun a droit au respect de sa vie privée. » Les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, et ces mesures peuvent, en cas d’urgence, être ordonnées en référé. Ensuite, le règlement général sur la protection des données, qui vous donne des droits directs contre chaque organisme qui traite vos données : droit d’être informé (droit d’être informé (article 13 du RGPD)), droit d’accéder à vos données (droit d’accès (article 15)), droit d’obtenir leur effacement quand elles sont traitées illicitement (droit à l’effacement (article 17)), droit de vous opposer à tout moment au traitement (droit d’opposition (article 21)), et droit à réparation du préjudice subi du fait d’une violation du règlement (droit à réparation (article 82)). Le traitement n’est licite que dans les cas énumérés par le texte, notamment avec votre consentement ou pour l’exécution d’un contrat : l’usurpateur ne dispose d’aucun de ces fondements (article 6 du RGPD), et chaque organisme qui conserve ou diffuse vos données sur la foi de ses déclarations doit être mis en demeure.

B. Constituer en quarante-huit heures un dossier de preuves qui tiendra devant le juge

Avant de signaler quoi que ce soit, figez l’existant. Les contenus en ligne disparaissent vite, et un signalement maladroit peut alerter l’usurpateur qui effacera ses traces. La Commission nationale de l’informatique et des libertés recommande, quand l’usurpation paraît avérée, de constituer un dossier avec les éléments qui établissent qu’il s’agit bien de vos informations et non de celles d’un homonyme : adresses URL exactes des pages et profils concernés, captures d’écran datées, et tout élément qui prouve votre identité réelle. Ajoutez-y les messages reçus de l’usurpateur ou de tiers trompés, les courriers d’organismes relatifs à des contrats que vous n’avez pas signés, et la liste des comptes, contrats et démarches que vous n’avez jamais effectués. Faites établir si possible un constat par un commissaire de justice pour les contenus les plus graves : dans l’affaire parisienne de 2022, la victime s’appuyait notamment sur un constat d’huissier, et c’est la variation de ses propres listes de comptes entre ses courriers qui a fragilisé sa position, pas la valeur du constat.

Ne contactez pas l’usurpateur à la légère. Toute correspondance avec l’auteur des contenus peut devenir une pièce, dans un sens comme dans l’autre. Sachez en particulier que la notification à l’hébergeur doit comporter, selon les cas, la copie de la correspondance adressée à l’auteur des contenus pour en demander le retrait, ou la justification de ce que l’auteur n’a pu être contacté. Rédigez donc un message bref, factuel et conservé : identité, liste précise des contenus visés par leurs adresses exactes, demande de retrait immédiat, délai. Si l’auteur est anonyme ou injoignable, conservez la preuve de vos tentatives (captures de l’absence de moyen de contact sur le profil, messages restés sans réponse). Cette pièce conditionne la suite contre la plateforme.

Conservez chaque preuve en double exemplaire, sur deux supports distincts, et notez pour chacune sa date, son heure et son origine : un dossier horodaté fait la différence quand l’usurpateur conteste la chronologie. S’il vous manque du temps, priorisez les contenus les plus diffusés et les courriers d’organismes, qui établissent à eux seuls l’usage frauduleux de votre identité. Et si l’usurpation est ancienne, ne renoncez pas pour autant : l’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise, et en ligne chaque republication ou chaque nouvel usage de vos données peut rouvrir le débat sur le point de départ. La rapidité reste votre meilleure alliée pour le retrait, mais le temps pénal ne vous est pas compté au jour près.

Déposez ensuite une main courante ou une plainte sans attendre la fin de vos démarches. Le site officiel service-public.fr distingue les deux : en cas de simple soupçon, par exemple après un piratage ou la perte d’une pièce d’identité, une main courante permet de dater les faits et servira de justificatif dans une procédure ultérieure ; dès qu’une infraction est caractérisée — compte créé à votre nom, contrat souscrit à votre insu — vous pouvez porter plainte, en joignant toutes les pièces déjà réunies. Pour la voie en ligne, le service 17Cyber assiste les victimes de cybermalveillance. Avertissez parallèlement les organismes concernés : votre banque si des opérations sont en cause, l’opérateur si une ligne a été ouverte, les administrations si des démarches ont été faites en votre nom. Chaque avertissement doit être écrit et conservé : il prouve votre diligence et fige la date à partir de laquelle l’organisme ne peut plus prétendre ignorer la fraude.

II. Contraindre les plateformes et les organismes, puis obtenir réparation

A. Des notifications en règle : plateformes, organismes et CNIL

Commencez par le signalement interne à chaque plateforme, en utilisant son dispositif de signalement accessible depuis le contenu lui-même. La loi tient compte de ces outils : les conditions de forme de la notification sont réputées satisfaites quand le service permet de notifier précisément depuis le contenu litigieux, avec la catégorie d’infraction. Concrètement, signalez chaque faux profil et chaque contenu un par un, avec la mention exacte du motif (usurpation d’identité), et conservez chaque accusé de réception, chaque numéro de ticket, chaque capture de la procédure suivie. Si le dispositif de la plateforme ne permet pas une notification complète, doublez par une notification écrite qui, elle, contiendra toutes les mentions : vos nom, prénom et adresse électronique ; la description du contenu et sa localisation précise, c’est-à-dire les adresses exactes et stables de chaque page, profil ou publication ; les motifs légaux du retrait — usurpation d’identité réprimée par l’article 226-4-1 du code pénal, atteinte à la vie privée et aux droits sur vos données ; et la copie de votre correspondance à l’auteur ou la justification de l’impossibilité de le contacter.

La leçon de l’arrêt parisien de 2022 doit guider chaque mot de cette notification. La victime y visait 40 adresses dans un signalement, évoquait 59 comptes dans un courrier, puis communiquait une liste de 23 comptes en cours de procédure : la cour a jugé que l’imprécision du courrier ne permettait pas à l’hébergeur de localiser les contenus et que les conditions légales n’étaient pas remplies, de sorte que la connaissance des contenus par la plateforme ne pouvait être présumée et qu’aucun manquement à l’obligation de retrait prompt n’était caractérisé. Retenez la règle pratique : une liste unique, stable et exhaustive, établie à partir de votre dossier de preuves, jointe identique à chaque envoi. Si de nouveaux faux comptes apparaissent, faites une notification complémentaire distincte plutôt que de modifier la première. Réclamez par écrit la confirmation du retrait et la date de chaque suppression.

En parallèle, exercez vos droits RGPD contre chaque organisme qui détient ou diffuse vos données du fait de l’usurpation : l’opérateur qui a ouvert la ligne, la banque ou l’établissement qui a ouvert le compte, le site marchand qui a enregistré la commande, le moteur de recherche qui associe votre nom aux contenus frauduleux. Demandez l’accès à tout ce qui vous concerne, l’effacement des données traitées sans fondement et l’opposition à tout usage ultérieur, en joignant la preuve de votre identité et une copie de votre plainte ou de votre main courante. Chaque demande doit être datée et envoyée par un moyen qui prouve la réception. Si l’organisme ne répond pas dans un mois, répond de façon incomplète ou refuse sans motif valable, vous pouvez saisir la CNIL par une plainte en ligne, après avoir conservé la preuve de votre démarche préalable : modèles de courriers et parcours de plainte figurent sur le site de la Commission. La CNIL peut contrôler l’organisme, le mettre en demeure et prononcer des sanctions, et votre plainte documentée pèse dans l’appréciation du dossier.

Pensez enfin aux moteurs de recherche, qui prolongent l’usurpation bien après la suppression des contenus d’origine. Quand votre nom associé à des contenus frauduleux ou compromettants reste proposé dans les résultats, demandez à chaque exploitant de moteur le déréférencement des adresses concernées, en joignant les mêmes pièces que pour les plateformes : preuve de votre identité, adresses exactes, copie de la plainte. La CNIL décrit ce droit au déréférencement et les recours quand le moteur refuse. Traitez le déréférencement comme une notification à part entière, avec sa propre liste d’adresses et ses accusés : les juges examinent chaque refus séparément, et un dossier où tout est mélangé affaiblit chaque demande.

B. Le juge pénal, le juge civil et la réparation de tous les préjudices

Sur le plan pénal, votre plainte pour usurpation d’identité vise l’article 226-4-1 du code pénal, et, selon les faits, le délit d’atteinte à l’intimité de la vie privée : l’article 226-1 punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de fixer, enregistrer ou transmettre sans son consentement l’image d’une personne se trouvant dans un lieu privé. Constituez-vous partie civile pour demander au juge pénal la réparation de votre préjudice. Ce droit appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction : l’article 2 du code de procédure pénale dispose que « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction. » La constitution de partie civile peut intervenir dès le dépôt de plainte ou devant le tribunal correctionnel, et elle permet de faire trancher la sanction et l’indemnisation par le même juge : préjudice moral (angoisse, honte, temps passé à réparer, crainte d’une récidive), préjudice financier (sommes prélevées, frais de constat, frais de procédure, coût des démarches), et, pour un professionnel, préjudice d’image et perte de clientèle. L’arrêt criminel de 2016 montre que les juges caractérisent sans détour l’atteinte : photographie reproduite, charte graphique reprise, faux communiqués diffusés, intention frauduleuse déduite de la création même du dispositif fictif. Plus votre dossier de preuves est précis, plus cette caractérisation est aisée.

Quand un contenu est toujours en ligne et vous cause un dommage actuel, le référé permet d’obtenir vite le retrait. Le président du tribunal judiciaire peut toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures qui s’imposent pour faire cesser un trouble manifestement illicite : suppression des comptes et contenus désignés par leurs adresses exactes, interdiction de republication sous astreinte, et, au besoin, ordonnance à la plateforme de communiquer les données d’identification de l’auteur. La Cour de cassation a validé cette voie pour une caméra qui captait l’image des passants : dès lors que le juge constatait la captation, il devait en tirer les conséquences et ordonner la mesure. Le raisonnement vaut pour un faux profil qui capte votre image et votre nom : la captation et la diffusion constatées par vos pièces caractérisent le trouble, et le juge peut ordonner la remise en état. Demandez l’astreinte : c’est elle qui rend la décision exécutée.

Au fond, la réparation se demande sur le terrain du droit commun comme sur celui des données personnelles. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’usurpateur répond de l’ensemble des dommages qu’il a causés, et la plateforme qui, dûment notifiée dans les formes, n’a pas agi promptement répond de sa propre faute. Ajoutez le fondement européen : toute personne qui a subi un préjudice du fait d’une violation du RGPD a le droit d’obtenir réparation du responsable du traitement. Chiffrez poste par poste : sommes détournées ou facturées avec relevés, frais de constat et de procédure avec factures, perte de revenus avec justificatifs, préjudice moral décrit avec précision et daté. Les juges indemnisent ce qui est prouvé et expliqué, pas ce qui est affirmé en bloc. Joignez donc à chaque poste son justificatif : relevés bancaires annotés pour les sommes détournées, factures du commissaire de justice et de vos déplacements, attestations de proches qui ont reçu les messages de l’usurpateur, certificats médicaux si l’angoisse a nécessité un suivi. Un tableau récapitulatif daté, qui fait correspondre chaque dépense et chaque trouble à sa pièce numérotée, facilite le travail du tribunal et crédibilise l’ensemble de la demande.

À Paris et en Île-de-France, quelques points pratiques méritent l’attention. Les litiges contre les grandes plateformes relèvent fréquemment du tribunal judiciaire de Paris, dont le service des référés a rendu en 2026 plusieurs ordonnances sur le retrait de contenus et dont la cour d’appel a forgé sur ces dossiers une jurisprudence exigeante sur la qualité des notifications : soignez d’autant plus la liste unique des contenus et les mentions légales. Déposez plainte au commissariat de votre arrondissement ou utilisez les téléservices signalés par service-public.fr, et conservez le récépissé : il conditionne la constitution de partie civile comme l’appui de vos demandes RGPD. Les délais parisiens d’audiencement en référé permettent souvent une mesure rapide quand le trouble est actuel et prouvé, à condition que l’assignation vise des adresses exactes et des mesures précises plutôt qu’une demande générale de « nettoyage » d’internet, que le juge ne peut pas ordonner en l’état.

Conclusion

L’usurpation d’identité en ligne se traite comme un dossier, pas comme un incident : qualifier les faits au regard de l’article 226-4-1 du code pénal, figer les preuves avant de signaler, notifier chaque plateforme avec une liste unique et stable de contenus assortie de toutes les mentions légales, geler les comptes et contrats frauduleux par écrit, saisir la CNIL après une démarche préalable restée vaine, puis porter l’affaire devant le juge pénal pour la sanction, devant le juge des référés pour le retrait rapide et devant le juge du fond pour la réparation intégrale. La victime déboutée par la cour d’appel de Paris en 2022 n’a pas perdu sur le principe — des comptes usurpaient bien son identité — mais sur la forme de ses notifications. C’est la leçon centrale de ce contentieux : en matière d’usurpation numérique, la rigueur de la procédure est aussi décisive que la réalité du préjudice. Celui qui signale vite, notifie dans les formes, conserve chaque accusé et porte plainte sans attendre se donne les moyens d’obtenir le retrait rapide des contenus, la condamnation de l’usurpateur et la réparation intégrale de ses dommages.