Un proche vous appelle pour vérifier un message étrange que « vous » lui auriez envoyé sur Instagram. Vous n’avez rien envoyé. En cherchant votre nom sur le réseau social, vous découvrez un second profil qui porte votre nom, reprend vos photographies et discute avec vos contacts. Le faux compte demande parfois de l’argent, diffuse des propos que vous n’avez jamais tenus ou redirige vers des sites douteux. La situation appelle une réaction rapide, car chaque heure de diffusion accroît le cercle des personnes trompées et complique la réparation.
Le droit français appréhende cette situation par deux voies complémentaires. La première relève de la protection des données personnelles : votre nom, votre image et les informations qui permettent de vous identifier font l’objet d’un traitement illicite, que vous pouvez exiger de faire cesser. La seconde relève du droit pénal et du droit civil : l’usurpation d’identité en ligne constitue une infraction, et l’atteinte à la vie privée ouvre un recours devant le juge judiciaire. Les deux démarches se conduisent en parallèle, sans attendre l’issue de l’une pour engager l’autre.
Cet article décrit la méthode complète : fixer les preuves avant tout signalement, obtenir la suppression du faux compte auprès de la plateforme, saisir la Commission nationale de l’informatique et des libertés (CNIL) en cas de refus, déposer plainte pour faire identifier l’auteur et demander réparation du préjudice subi. Chaque étape repose sur des textes et des décisions vérifiés, applicables à la date de rédaction.
I. Faire retirer le faux compte et couper la diffusion de vos données
A. Fixer les preuves puis exiger la suppression auprès de la plateforme
Avant de signaler quoi que ce soit, conservez la preuve de l’existence du faux compte et de son contenu. Cette précaution tient à une raison simple : une fois le profil supprimé, il devient difficile d’établir ce qu’il diffusait, auprès de qui et pendant combien de temps. Réalisez des captures d’écran datées de la page du profil, de l’adresse URL complète, de la photo utilisée, de la biographie, de la liste d’abonnés et d’abonnements visibles, ainsi que des messages envoyés en votre nom dont vous avez connaissance par vos proches. Demandez aux personnes contactées par l’usurpateur de conserver les messages reçus et de vous adresser une attestation décrivant ce qu’elles ont reçu et les circonstances de la prise de contact. Lorsque l’enjeu financier ou professionnel est sérieux, faites établir un constat par un commissaire de justice, qui donne date certaine aux constatations et décrit la méthode de navigation employée. Ce constat servira ensuite devant la plateforme, la CNIL, les services d’enquête et le juge.
Identifiez ensuite les acteurs. L’auteur du faux compte est le plus souvent inconnu au départ. La plateforme qui héberge le profil, en revanche, est identifiable : chaque réseau social de dimension européenne désigne un établissement ou un représentant dans l’Union et met à disposition un formulaire de signalement pour usurpation d’identité. Utilisez ce formulaire en priorité, puisqu’il déclenche le circuit interne de modération le plus rapide. Décrivez précisément les faits : adresse URL exacte du faux profil, adresse URL de votre vrai profil, nature des éléments repris tels que photographies, nom, date de naissance ou coordonnées, et date de découverte. Joignez une copie d’une pièce d’identité, que les plateformes exigent pour vérifier que le signalement émane bien de la personne dont l’identité est usurpée. Conservez le numéro de dossier et chaque accusé de réception.
En parallèle du signalement interne, adressez à la plateforme une demande d’effacement fondée sur le règlement général sur la protection des données (RGPD). Le faux compte traite en effet des données à caractère personnel vous concernant sans aucun fondement : ni consentement, ni contrat, ni obligation légale, ni intérêt légitime. L’article 17 du RGPD ouvre le droit d’obtenir du responsable du traitement l’effacement de ses données dans les meilleurs délais, notamment lorsqu’elles ont fait l’objet d’un traitement illicite, ce qui est le cas d’un faux compte ouvert sans votre accord (droit à l’effacement sur le site de la CNIL). Le profil usurpateur entre dans cette hypothèse : l’utilisation de votre nom et de votre image par un tiers inconnu, sans votre accord, ne repose sur aucune des bases de licéité énumérées par l’article 6 du règlement. Vous pouvez également invoquer le droit d’opposition : l’article 21 du RGPD permet de s’opposer à tout moment, pour des raisons tenant à votre situation, à un traitement fondé sur l’intérêt légitime, profilage compris (droit d’opposition sur le site de la CNIL). La plateforme doit répondre dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la demande (délais de réponse sur le site de la CNIL).
Lorsque la plateforme tarde à réagir, la notification prévue par la loi pour la confiance dans l’économie numérique (LCEN) renforce votre dossier. Son article 6 organise la responsabilité de l’hébergeur : celui-ci n’est responsable que s’il avait effectivement connaissance du caractère illicite du contenu et n’a pas agi promptement pour le retirer (article 6 tel que cité par la cour d’appel de Paris). Depuis l’entrée en application du règlement européen sur les services numériques, les plateformes doivent en outre mettre à disposition un mécanisme de notification et d’action facilement accessible, et traiter les signalements de contenus illicites de manière diligente . Pour déclencher la présomption de connaissance de l’hébergeur, votre notification doit comporter l’ensemble des mentions requises : votre identité et vos coordonnées, la description précise des contenus litigieux, leurs adresses URL exactes, les motifs pour lesquels ils sont illicites avec les textes visés, et la copie de la correspondance adressée à l’auteur ou la justification de l’impossibilité de le contacter. L’exigence de précision n’est pas formelle : elle conditionne l’efficacité juridique du signalement.
L’arrêt de la cour d’appel de Paris du 30 novembre 2022 illustre cette exigence de manière saisissante. Une personnalité des médias avait découvert une multitude de comptes Facebook reprenant son nom et son image. Elle avait adressé à la plateforme un signalement électronique puis deux courriers recommandés, dont un intitulé lettre de notification de contenus illicites visant une liste de comptes. La cour a relevé que « l’imprécision du courrier du 6’janvier 2017 adressée par l’appelante à l’intimée ne permettait pas à l’hébergeur de localiser les contenus incriminés » et que ce courrier ne remplissait pas l’intégralité des conditions posées par la LCEN, « de sorte qu’il ne peut être présumé qu’à compter de cette date et par le seul effet de ce courrier, l’intimée avait connaissance des contenus litigieux » (arrêt sur le site de la Cour de cassation). La cour a également souligné les variations successives de la demanderesse, qui visait 40 adresses URL dans un signalement, 59 comptes dans son courrier, puis 23 comptes dans une note en délibéré, et a rappelé que « la notification doit comporter l’ensemble des mentions prescrites par ce texte » pour faire bénéficier son auteur de la présomption de connaissance de l’hébergeur (même arrêt). La demande d’indemnisation a été rejetée, car la majorité des comptes était déjà inaccessible ou supprimée à la date où la connaissance effective a pu être établie. La leçon pratique est directe : une notification unique, complète, stable et documentée vaut mieux que des signalements successifs aux listes changeantes. Dressez la liste exacte des URL, figez-la par constat, puis notifiez une seule fois de manière complète.
Si la plateforme refuse l’effacement ou ne répond pas dans le délai d’un mois, saisissez la CNIL par une plainte en ligne. L’article 77 du RGPD ouvre ce recours : toute personne qui estime que le traitement de ses données viole le règlement peut adresser une réclamation à l’autorité de contrôle de son pays de résidence, de travail ou du lieu de la violation (recours devant l’autorité de contrôle sur le site de la CNIL). Joignez à la plainte la copie de votre demande à la plateforme et de sa réponse ou la preuve de son silence, ainsi que les captures et le constat. La CNIL peut instruire la plainte, mettre en demeure le responsable du traitement et, le cas échéant, prononcer des mesures correctrices. Pour comprendre l’échelle des pouvoirs de l’autorité dans les dossiers de manquements des entreprises, la lecture de la synthèse des sanctions prononcées contre les entreprises, des mises en demeure aux amendes et astreintes éclaire ce que risque un organisme qui ignore une demande de droit. La saisine de la CNIL ne vous prive d’aucun recours devant le juge : les deux voies se cumulent.
B. Couper la rediffusion : déréférencement, alerte des proches et protection des comptes
Supprimer le faux profil ne suffit pas toujours. Les pages du compte usurpateur peuvent rester visibles dans les résultats des moteurs de recherche pendant plusieurs semaines, et vos proches déjà contactés restent exposés à de nouvelles sollicitations. Deux actions complémentaires s’imposent donc : demander le déréférencement des pages litigieuses et alerter votre entourage.
Le déréférencement consiste à demander au moteur de recherche de ne plus associer votre nom aux URL du faux compte. Cette demande se distingue de la suppression à la source : le contenu demeure en ligne chez l’hébergeur tant qu’il n’est pas retiré, mais il cesse d’être proposé aux internautes qui recherchent votre nom. Adressez la demande au moteur de recherche en identifiant les URL exactes et en expliquant en quoi leur affichage sur votre nom porte atteinte à vos droits. Les moteurs appliquent une balance entre la protection des données et l’intérêt du public à l’information. Dans le cas d’un faux compte, cette balance penche nettement en faveur de la personne usurpée : un profil qui se fait passer pour vous ne contribue à aucun débat d’intérêt général et son référencement sur votre nom n’éclaire personne. Si le faux compte a déjà été supprimé à la source, les URL deviennent inaccessibles et le déréférencement intervient naturellement lors de la nouvelle exploration des pages ; la demande accélère ce processus.
La Cour de cassation a posé les fondements de ce droit bien avant l’entrée en application du RGPD, sous l’empire de la loi du 6 janvier 1978. Dans un arrêt du 14 février 2018, la première chambre civile a rappelé que toute personne physique peut s’opposer, pour des motifs légitimes, à ce que des données la concernant fassent l’objet d’un traitement, et exiger que soient effacées les données inexactes, incomplètes, équivoques ou périmées, ou dont la collecte et la conservation sont interdites (arrêt sur le site de la Cour de cassation). Le raisonnement vaut pour les pages usurpatrices : les données qu’elles affichent sous votre nom sont traitées sans droit et leur maintien porte atteinte à votre situation. Formulez votre demande au moteur en reprenant ces motifs, pièce d’identité et captures à l’appui, et conservez la réponse ou le refus pour la CNIL et le juge.
Alertez dans le même temps votre entourage par un canal que l’usurpateur ne contrôle pas. Publiez sur votre vrai compte un message bref indiquant qu’un faux profil circule, que vous ne demandez ni argent ni codes par message, et que toute sollicitation de ce type doit être signalée puis bloquée. Prévenez séparément les personnes les plus exposées, notamment les aînés et les adolescents, par téléphone ou en personne. Invitez chaque destinataire de messages suspects à conserver les messages et à utiliser la fonction de signalement de la plateforme, car une multiplication des signalements concordants accélère la modération. Si le faux compte a diffusé des informations permettant des fraudes, comme la copie d’une pièce d’identité ou vos coordonnées bancaires, prenez les mesures de protection correspondantes : opposition bancaire, demande de nouveau document d’identité, signalement sur la plateforme dédiée aux fraudes et, en matière financière, information de la Banque de France selon les circuits décrits par les autorités.
Renforcez enfin la sécurité de vos propres comptes. Activez la double authentification sur chaque réseau social, vérifiez les sessions ouvertes et révoquez les appareils inconnus, changez les mots de passe exposés et contrôlez les autorisations accordées aux applications tierces. Un faux compte prospère d’autant mieux que votre vrai profil est difficile à distinguer : rendez votre compte authentique reconnaissable, demandez la certification quand la plateforme la propose aux profils exposés, et évitez de publier des documents d’identité ou des informations qui faciliteraient une nouvelle usurpation. La CNIL recommande de limiter la diffusion publique des données d’identité et rappelle les réflexes de protection adaptés à chaque situation (page de la CNIL).
II. Identifier l’auteur, le faire poursuivre et obtenir réparation
A. Déposer plainte et faire identifier l’usurpateur
L’usurpation d’identité en ligne constitue une infraction pénale définie avec précision. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne » (texte sur Légifrance). La création d’un faux compte à votre nom avec vos photographies entre dans cette définition dès lors que l’auteur cherche à tromper vos proches, à nuire à votre réputation ou à obtenir indûment de l’argent ou des informations. Le texte exige une intention particulière : troubler la tranquillité ou porter atteinte à l’honneur ou à la considération. La chambre criminelle de la Cour de cassation contrôle strictement cet élément : dans un arrêt du 17 février 2016, elle a cassé une condamnation en relevant que « ni le fait d’usurper l’identité d’un tiers ni la volonté d’en faire usage en vue de troubler la tranquillité du tiers, ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, ne peuvent être caractérisés » lorsque l’identité avait été attribuée au prévenu dans des circonstances extérieures à sa volonté (arrêt sur le site de la Cour de cassation). La décision ne fragilise pas les victimes de faux comptes : elle confirme, en creux, que l’ouverture délibérée d’un profil avec les nom et photographies d’autrui pour tromper des tiers caractérise l’intention requise. Rassemblez donc les éléments qui établissent cette volonté : messages de demande d’argent, propos tenus en votre nom, démarches auprès de votre employeur ou de vos proches.
Déposez plainte auprès du commissariat, de la gendarmerie ou du procureur de la République. La CNIL l’indique sans détour : la CNIL invite à déposer plainte auprès de la police ou de la gendarmerie pour faire identifier et poursuivre l’auteur (recommandations de la CNIL). Apportez le dossier de preuves constitué dès la découverte : captures datées, constat du commissaire de justice, attestations des proches, références des signalements à la plateforme et correspondances échangées. Décrivez avec précision le préjudice déjà subi, notamment toute somme versée par un proche trompé ou toute conséquence professionnelle, car ces éléments orientent la qualification et l’enquête. Si des contenus illicites ont été publiés sur internet en votre nom, la CNIL recommande de demander directement au responsable du site la suppression des contenus publiés en votre nom, ce que vous aurez déjà fait au titre du I (même page). Le service public détaille la gradation des démarches, de la main courante au dépôt de plainte, puis à l’information des administrations et organismes selon le type d’usurpation subie (page de service-public.fr). Pour les faits commis en ligne, un signalement sur la plateforme de recueil des contenus illicites de l’internet complète utilement la plainte et permet d’orienter l’enquête vers les services spécialisés.
L’identification de l’auteur passe le plus souvent par une demande adressée à la plateforme devant le juge, car les données de connexion ne sont pas communiquées aux particuliers sur simple demande. L’hébergeur conserve les données d’identification de ses utilisateurs et peut être ordonné de les communiquer en justice pour permettre à la victime d’agir contre l’auteur inconnu. Une ordonnance récente du tribunal judiciaire de Paris en fournit l’illustration concrète. Une créatrice de contenus avait découvert une chaîne YouTube usurpant son identité, détournant ses vidéos et cumulant plusieurs millions de vues ; après deux signalements, la chaîne avait été supprimée, mais l’autrice restait inconnue. Par ordonnance de référé du 17 avril 2026, le tribunal a ordonné aux sociétés gestionnaires de la plateforme de communiquer les données d’identification du titulaire du compte, de la chaîne et du compte publicitaire associé, incluant les nom et pseudonyme, adresses postales et électroniques, numéros de téléphone, données de facturation et données techniques de connexion telles que les adresses IP, les ports sources et les identifiants de session, pour les faits commis entre la création du compte et la suppression de la chaîne (ordonnance sur le site de la Cour de cassation). La décision rejette le surplus des demandes et met les dépens à la charge des demanderesses, ce qui rappelle que le juge mesure strictement les données communiquées à ce qui est nécessaire à l’identification. Pour la victime d’un faux compte, l’enseignement est double : le circuit existe et fonctionne, même après suppression du contenu, mais la demande doit être ciblée et proportionnée, compte par compte et période par période. Saisissez le président du tribunal judiciaire en référé sur le fondement de l’article 145 du code de procédure civile pour la conservation et la communication des preuves avant tout procès, ou demandez ces mesures au juge saisi du fond.
B. Obtenir la cessation définitive et la réparation du préjudice
Le juge civil peut ordonner la cessation de l’atteinte et indemniser la victime sur plusieurs fondements qui se cumulent. L’article 9 du code civil pose le principe : « Chacun a droit au respect de sa vie privée » (texte sur Légifrance). Le même article ajoute que « Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée » (même article). L’utilisation de votre nom et de votre image par un faux compte porte atteinte à ce droit et justifie des mesures d’interdiction et de suppression sous astreinte, ordonnées en référé en cas d’urgence. Le fondement délictuel de droit commun complète le dispositif pour les préjudices que la seule cessation ne répare pas : perte de revenus pour les professionnels dont l’image fait la valeur, frais engagés pour le constat et les démarches, temps consacré au dossier, anxiété et atteinte à la réputation.
Le RGPD ouvre un droit propre à réparation. Son article 82 donne à toute personne victime d’un dommage matériel ou moral causé par une violation du règlement le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant (droit à réparation sur le site de la CNIL). Lorsque la plateforme, dûment et complètement notifiée, a tardé à supprimer le faux compte, sa responsabilité peut être recherchée sur ce fondement en plus de celle de l’auteur de l’usurpation. Les juridictions apprécient concrètement le préjudice moral : durée d’exposition du faux profil, audience atteinte, nature des messages diffusés en votre nom, sommes extorquées à vos proches, retentissement professionnel. Chiffrez chaque poste avec des pièces : factures du constat, relevés des virements détournés, attestations de l’employeur ou des clients perdus, certificats médicaux en cas de retentissement psychologique avéré. La constitution de partie civile devant le juge pénal permet de demander ces dommages et intérêts dans le procès de l’auteur une fois celui-ci identifié et poursuivi.
À Paris et en Île-de-France, le parcours suit les mêmes règles nationales avec des points d’appui locaux utiles à connaître. Le tribunal judiciaire de Paris concentre un contentieux nourri du numérique et statue régulièrement en référé sur les demandes de retrait et d’identification, comme l’illustrent les décisions citées dans cet article. Le dépôt de plainte s’effectue au commissariat de votre domicile ou auprès du procureur de la République de Paris, et les signalements en ligne aboutissent aux services d’enquête territorialement compétents. Les délais de traitement varient selon la complexité du dossier et la nécessité de réquisitions internationales lorsque l’hébergeur est établi hors de France, ce qui est fréquent pour les grandes plateformes : anticipez cette durée en conduisant sans attendre les démarches civiles de suppression et de cessation, qui ne dépendent pas de l’issue de l’enquête pénale.
En synthèse, la victime d’un faux compte ne subit pas : elle constate, elle signale avec précision, elle exige l’effacement, elle déréférence, elle dépose plainte, elle fait identifier l’auteur et elle demande réparation. L’arrêt de la cour d’appel de Paris du 30 novembre 2022 enseigne la rigueur du signalement, l’ordonnance du tribunal judiciaire de Paris du 17 avril 2026 démontre que l’identification reste possible même après suppression, et les articles 17, 77 et 82 du RGPD garantissent l’effacement, le recours à la CNIL et l’indemnisation. Conduites dans cet ordre et documentées à chaque étape, ces démarches ferment le faux compte, coupent sa rediffusion et donnent au préjudice subi une traduction juridique complète.