Le samedi 3 octobre 2026, la région Hauts-de-France a annoncé dans un communiqué avoir été victime d’une cyberattaque passée par deux de ses prestataires, Atexo et Docaposte, et ayant permis, selon ses termes, un accès non autorisé à des données personnelles traitées pour son compte. D’après les premières investigations relayées par France 3 avec l’AFP, des noms, des prénoms et des adresses électroniques figurent parmi les données susceptibles d’avoir été compromises, ainsi que potentiellement des RIB et d’autres données d’identification, sans que la collectivité soit en mesure d’indiquer à ce stade le nombre exact de personnes concernées. Selon le site spécialisé FrenchBreaches, qui recense l’annonce, un utilisateur aurait revendiqué l’attaque en affirmant détenir les données de plus de 700 000 personnes et quelque 90 000 documents, dont des RIB, des contrats d’apprentissage et des pièces d’identité : ce volume n’est pas confirmé et la région déclare ne pas être en mesure de confirmer ni le volume ni les autres catégories de documents extraits. Aucun accident, aucune intrusion au-delà de ce que décrit le communiqué ni aucun dommage n’est constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide.
Les développements qui suivent sont de portée générale : ils décrivent les vérifications et les recours utiles pour toute personne dont les données ou le RIB sont exposés par une fuite, et ne décrivent pas la situation d’Atexo ni de Docaposte, sur laquelle l’article ne formule aucun constat. La région a indiqué avoir déposé plainte auprès des autorités compétentes, avoir fermé les plateformes touchées et avoir commencé à informer les usagers concernés, ce qui joue en sa faveur et correspond aux réflexes attendus d’un responsable de traitement. Pour la victime potentielle, trois urgences se cumulent : fixer la preuve et alerter la justice pénale, verrouiller ses comptes bancaires face au risque de prélèvements frauduleux, puis exiger l’information due et, le cas échéant, la réparation du préjudice. Cet article suit les questions que les internautes tapent réellement : cyberattaque dans les Hauts-de-France, RIB compromis, plainte, banque et indemnisation.
I. Cyberattaque dans les Hauts-de-France : que faire quand vos données et votre RIB sont compromis
Recevoir un message qui vous apprend que vos données ont fuité ne fait pas de vous une victime résignée : le droit français vous donne des leviers immédiats, à condition d’agir vite et par écrit. La première partie distingue les deux gestes qui protègent vos droits, la plainte pénale qui déclenche l’enquête et fige les responsabilités, puis la sécurisation bancaire qui coupe court aux usages frauduleux du RIB. Chaque démarche laisse une trace datée, et ces traces feront la force du dossier si un préjudice apparaît dans les semaines qui suivent.
A. Porter plainte après une cyberattaque : pré-plainte en ligne, enquête et constitution de partie civile
Le socle pénal de la cyberattaque est l’atteinte aux systèmes de traitement automatisé de données. L’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). Le texte ajoute que lorsqu’il en est résulté la suppression ou la modification de données, ou une altération du fonctionnement du système, la peine passe à cinq ans d’emprisonnement et 150 000 euros d’amende, et qu’elle est portée à sept ans et 300 000 euros quand les faits visent un système de données à caractère personnel mis en oeuvre par l’État. L’extraction et la revente des données tombent en outre sous l’article 323-3 du même code, aux termes duquel « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal). Autrement dit, chaque maillon de la chaîne, de l’intrusion initiale à la diffusion des fichiers, reçoit une qualification propre, et la plainte de la victime peut les viser ensemble.
La jurisprudence récente montre que ces textes s’appliquent sans indulgence, y compris quand le moyen employé paraît artisanal. Dans un arrêt du 16 janvier 2018, la chambre criminelle de la Cour de cassation a rejeté le pourvoi d’un médecin contractuel qui avait installé un enregistreur de frappe sur les ordinateurs de deux praticiens du CHU de Nice pour capter leurs codes de messagerie : la cour d’appel d’Aix-en-Provence l’avait condamné à quatre mois d’emprisonnement avec sursis pour accès frauduleux, atteinte au secret des correspondances et détention d’équipement frauduleux, et la Cour a confirmé (Cass. crim., 16 janv. 2018, n° 16-87.168). L’arrêt retient que « sans l’usage de ce moyen frauduleux, il n’aurait pas pu accéder aux courriels échangés entre les deux praticiens concernés », et que « les motifs avancés par le prévenu pour justifier son action délictueuse sont des mobiles indifférents à la caractérisation de l’infraction ». Le message est net : peu importe le prétexte invoqué par l’intrus, l’accès obtenu par un moyen frauduleux caractérise le délit dans ses éléments matériel et intentionnel. Plus récemment, le 2 septembre 2025, la même chambre a rejeté le pourvoi d’un ancien administrateur réseau condamné à trois mois d’emprisonnement avec sursis pour s’être maintenu dans la messagerie de son ex-employeur, et a validé l’indemnisation de la victime (Cass. crim., 2 sept. 2025, n° 24-83.605).
Concrètement, la personne qui apprend que ses données figurent dans une fuite gagne à déposer plainte sans attendre l’apparition d’un préjudice financier. La pré-plainte en ligne permet de déclarer les faits depuis chez soi avant de se présenter au commissariat ou à la gendarmerie pour signer le procès-verbal, et les signalements d’escroqueries en ligne peuvent passer par la plateforme dédiée du ministère de l’Intérieur ; le dispositif public 17Cyber oriente en outre les victimes d’actes de cybermalveillance vers les bons réflexes. La plainte vise l’accès frauduleux et l’extraction de données, et elle mentionne chaque usage suspect observé depuis : message de phishing reprenant vos nom et prénom, appel se réclamant de la région ou de votre banque, tentative de prélèvement inconnue. Si des messages frauduleux vous ont déjà déterminé à verser des fonds, l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de cinq ans d’emprisonnement et 375 000 euros d’amende (article 313-1 du code pénal). Le faux conseiller bancaire qui exploite des données volées pour soutirer un virement entre dans cette définition, et la plainte initiale, complétée au fil des faits nouveaux, évite toute rupture dans la chaîne de preuve.
Un point de procédure mérite d’être connu : quand les données divulguées touchent à votre considération ou à l’intimité de votre vie privée, l’article 226-22 du code pénal punit de cinq ans d’emprisonnement et 300 000 euros d’amende le fait, pour toute personne qui a recueilli de telles données à l’occasion de leur traitement, « de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir », et il précise que « Dans les cas prévus aux deux alinéas précédents, la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit. » (article 226-22 du code pénal). Sans votre plainte, l’action publique ne peut pas être engagée sur ce fondement : déposer plainte n’est donc pas une formalité, c’est la condition qui ouvre la voie aux poursuites. La constitution de partie civile, jointe à la plainte ou formée devant le juge d’instruction, permet ensuite de demander réparation dans le procès pénal lui-même, intérêts civils compris, plutôt que d’ouvrir un second procès au civil. Conservez tout : le message d’information reçu, les captures des messages suspects avec leurs en-têtes, les relevés bancaires, les attestations de signalement ; un dossier horodaté dès les premiers jours vaut mieux qu’une reconstitution tardive.
B. RIB compromis : surveiller ses comptes et contester tout prélèvement non autorisé
Un RIB seul ne permet pas de vider un compte, mais il autorise la mise en place de prélèvements, et c’est là que le risque se concentre pour les personnes dont les coordonnées bancaires circulent. Le réflexe utile tient en trois gestes : activer les alertes de mouvements sur tous ses comptes, lire chaque relevé ligne par ligne pendant plusieurs mois, et contester par écrit, sans tarder, toute opération inconnue. La contestation s’adresse à votre banque, par lettre recommandée ou via la messagerie sécurisée de l’espace client dont vous conservez l’accusé, en identifiant précisément l’opération, sa date et son montant, et en rappelant que vous ne l’avez ni autorisée ni ordonnée. Ce courrier fait courir les obligations de remboursement qui suivent, et sa date fixe le point de départ des intérêts de retard si la banque traîne.
Le droit des opérations non autorisées est l’un des plus protecteurs du code monétaire et financier. L’article L. 133-18 dispose qu’en cas d’opération signalée, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France », et qu’il rétablit le compte « dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu » (article L. 133-18 du code monétaire et financier). Le remboursement est donc immédiat et intégral, avec remise en l’état du compte, et la seule échappatoire de la banque suppose des raisons écrites de soupçonner votre propre fraude, communiquées à la Banque de France. Si la banque manque à ces obligations, le même article prévoit des pénalités automatiques : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours. Concrètement, une banque qui vous oppose un refus verbal ou un formulaire de réclamation sans suite s’expose à voir sa dette gonfler chaque semaine, ce que le courrier de contestation initial doit lui rappeler fermement mais courtoisement.
Deux garde-fous complètent le dispositif en faveur du payeur. D’abord, l’article L. 133-19 du même code prévoit que « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. » (article L. 133-19 du code monétaire et financier). Des prélèvements montés à partir d’un RIB volé, à votre insu, entrent dans ce cas : votre responsabilité n’est pas engagée, et la banque ne peut pas vous imputer une négligence que vous n’avez pas commise. Ensuite, l’article L. 133-24 impose de signaler l’opération « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Le délai de treize mois est un couperet : passé ce terme sans contestation, le remboursement devient impossible, même si la fraude est avérée. D’où l’importance d’une surveillance durable, car les prélèvements frauduleux issus d’une fuite arrivent souvent par vagues, des mois après la divulgation, quand la vigilance est retombée. Ajoutez un dernier bouclier : révoquez sans délai tout mandat de prélèvement que vous ne reconnaissez pas, opposez-vous par écrit à son exécution future, et demandez à votre banque la liste des mandats actifs sur le compte afin de vérifier que seuls vos créanciers légitimes y figurent.
Face à un refus persistant de la banque, l’escalade est balisée. La réclamation écrite au service dédié de l’établissement, puis la saisine du médiateur bancaire désigné dans vos conventions de compte, constituent le parcours préalable que le juge vérifiera ; le médiateur rend un avis motivé dans un délai encadré, et la banque qui s’en écarte devra expliquer pourquoi devant le tribunal. Au-delà, le tribunal judiciaire statue sur le remboursement, les intérêts majorés et le préjudice complémentaire, frais de découvert et temps passé à régulariser la situation. Les relevés annotés, les courriers recommandés, l’avis du médiateur et le dépôt de plainte pénale forment alors un faisceau que la banque peine à renverser, car c’est à elle, et non à vous, de prouver que l’opération était autorisée. Ce renversement de fait de la charge de la preuve, combiné au remboursement sous vingt-quatre heures ouvrées, explique que la plupart des contestations bien documentées se règlent avant l’audience.
II. Fuite de données personnelles : notification, CNIL et indemnisation
Savoir que ses données circulent ne suffit pas : encore faut-il que le responsable du traitement vous le dise officiellement, que l’autorité de contrôle soit saisie, et que le préjudice éventuel soit chiffré puis réparé. La seconde partie suit ce chemin, d’abord les obligations d’information et de notification qui pèsent sur l’organisme attaqué et ses prestataires, ensuite les voies par lesquelles la victime obtient réparation, de la sanction administrative qui constate les manquements jusqu’aux dommages-intérêts qui compensent le dommage. Les mêmes textes protègent ici l’usager d’un service public régional, le client d’une plateforme marchande ou le salarié d’une entreprise : la logique est identique, seule l’identité du responsable change.
A. Violation de données : qui doit notifier la CNIL et informer les victimes
Le règlement européen sur la protection des données organise une double alerte, vers l’autorité puis vers les victimes. Son article 33 impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf quand la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes, la notification tardive devant être accompagnée des motifs du retard. Le même article oblige le sous-traitant à avertir le responsable du traitement de toute violation dans les meilleurs délais après en avoir pris connaissance. Dans l’affaire qui nous occupe, la région, pour le compte de laquelle les données étaient traitées selon son communiqué, occupe la position de responsable, tandis que les prestataires mis en cause occupent celle de sous-traitants tenus de l’alerter sans délai : la chaîne de notification légale épouse ainsi la chaîne opérationnelle de l’incident. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises pour y remédier, et elle peut être complétée par étapes si toutes les informations ne sont pas disponibles à la fois.
La seconde alerte, vers les victimes elles-mêmes, obéit à un seuil de gravité. L’article 34 du même règlement impose au responsable du traitement d’informer les personnes concernées dans les meilleurs délais quand la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. La communication décrit en termes clairs et simples la nature de la violation et reprend les informations essentielles de la notification, à savoir le point de contact, les conséquences probables et les mesures prises ou proposées. La présence de RIB et de pièces d’identité parmi les données possiblement compromises fait pencher vers ce risque élevé, car ces éléments ouvrent la voie à l’usurpation d’identité et à la fraude aux paiements, et la région a d’ailleurs indiqué avoir commencé à informer les usagers concernés. Si le responsable tarde ou s’abstient, l’autorité de contrôle peut exiger qu’il procède à cette communication, et la victime qui n’a reçu aucune information directe peut saisir la CNIL d’une plainte en ligne en joignant le message reçu, ou son absence, ainsi que tout élément sur l’incident.
La plainte auprès de la CNIL n’est pas un doublon de la plainte pénale : les deux procédures avancent sur des voies parallèles et se renforcent. La CNIL instruit sur le respect des obligations de sécurité et de notification, peut mettre en demeure l’organisme de se conformer et prononce, le cas échéant, des sanctions administratives dont les montants atteignent des niveaux dissuasifs sous le régime européen. Côté pénal, l’article 226-17 du code pénal sanctionne de cinq ans d’emprisonnement et 300 000 euros d’amende « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée » (article 226-17 du code pénal). L’article 32 du règlement, visé par le texte, impose au responsable et au sous-traitant des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, chiffrement et tests réguliers compris : quand une intrusion expose des centaines de milliers de dossiers, l’adéquation de ces mesures devient la question centrale des deux enquêtes, administrative et pénale. Pour la victime, l’intérêt pratique est direct : une mise en demeure ou une sanction de la CNIL qui constate un défaut de sécurité constitue une pièce de poids dans le dossier d’indemnisation, même si elle ne suffit jamais à elle seule à établir le préjudice personnel, qui se prouve séparément.
B. Préjudice après une fuite de données : responsabilité et réparation du dommage
Une fuite de données ne se résume pas à une peur abstraite : elle produit des dommages concrets que le droit civil répare dès qu’ils sont prouvés. Le fondement tient en une phrase, l’article 1240 du code civil, aux termes duquel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Appliqué aux fuites de données, ce texte ouvre trois postes de réparation selon les situations : le préjudice patrimonial, sommes prélevées frauduleusement, frais de renouvellement de pièces, découverts et agios nés des opérations contestées ; le préjudice moral, anxiété durable, perte de confiance, temps consacré à surveiller ses comptes et à multiplier les démarches ; et, dans les cas les plus lourds, les conséquences d’une usurpation d’identité constituée, crédits souscrits au nom de la victime, fichage bancaire, procédures de régularisation. Chaque poste se chiffre avec des pièces : relevés, factures, attestations, constats d’huissier des contenus frauduleux, et le journal précis des démarches accomplies avec leur durée.
La jurisprudence admet sans détour que l’atteinte aux données cause un préjudice moral indemnisable, y compris en l’absence de perte d’argent. Dans son arrêt du 2 septembre 2025 déjà évoqué, la chambre criminelle a validé la condamnation de l’intrus à indemniser la victime à hauteur de 10 000 euros, en retenant que « la perte de confiance éprouvée par M. [G], suite aux agissements de M. [L], était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal retenu à la charge du prévenu » (Cass. crim., 2 sept. 2025, n° 24-83.605). La solution dépasse le cas d’espèce : toute personne dont les données ont été extraites frauduleusement puis exposées peut invoquer cette perte de confiance et l’angoisse qui l’accompagne, dès lors qu’elle les documente, par exemple au moyen d’une attestation circonstanciée, d’un suivi médical en cas d’anxiété avérée, ou de la démonstration des démarches répétées imposées par la fuite. Les juges évaluent souverainement le montant en fonction de la sensibilité des données exposées, de la durée d’exposition et des usages frauduleux constatés : un RIB couplé à une pièce d’identité pèse plus lourd qu’une simple adresse électronique, et des tentatives de phishing avérées renforcent la demande. Comme l’a montré l’affaire précédente traitée sur ce site à propos de la cyberattaque visant l’Afpa, qui concernait 1,7 million de victimes et les mêmes réflexes de plainte et d’indemnisation (cyberattaque visant l’Afpa : que faire, plainte et indemnisation), la méthode ne change pas avec l’ampleur de la fuite, seule l’organisation des preuves s’adapte.
Reste à désigner le débiteur de la réparation, et c’est ici que la chaîne des responsabilités se dénoue. Le responsable du traitement répond du manquement à son obligation de sécurité, et le sous-traitant répond de ses propres manquements aux mesures qui lui incombent, chacun pour sa part, sans que la victime ait à démêler leurs contrats : elle peut agir contre l’un, contre l’autre, ou contre les deux, et c’est entre eux que se règlent ensuite les recours en contribution. En pratique, la victime adresse d’abord une mise en demeure détaillée au responsable du traitement identifié, exposant les faits, les textes applicables et le chiffrage provisoire du préjudice, et lui demandant les mesures correctives et une offre d’indemnisation ; ce courrier, resté sans réponse ou rejeté, fonde la saisine ultérieure du tribunal judiciaire. Devant le juge, le dossier gagnant combine la preuve de l’exposition, message d’information reçu ou inscription confirmée sur les fichiers divulgués, la preuve du défaut de sécurité, notification tardive, absence de chiffrement des données sensibles, manquements relevés par la CNIL, et la preuve du préjudice personnel, pièces comptables et attestations. L’action se prescrit par cinq ans à compter de la connaissance du dommage, et la plainte pénale comme la plainte CNIL, conservées au dossier civil, éclairent le juge sur la matérialité des faits sans jamais s’y substituer : c’est au demandeur de rapporter, pièce par pièce, la faute, le dommage et le lien qui les unit.
Conclusion
Une fuite massive de données et de RIB n’est ni une fatalité ni une simple actualité : c’est le point de départ d’un parcours juridique balisé, où chaque délai compte et chaque écrit protège. La plainte pénale vise l’intrusion et l’extraction, punies par les articles 323-1 et 323-3 du code pénal, et conditionne certaines poursuites comme celles de l’article 226-22 ; la surveillance bancaire et la contestation écrite déclenchent le remboursement sous vingt-quatre heures ouvrées de l’article L. 133-18, à l’abri du couperet de treize mois de l’article L. 133-24 ; la notification à la CNIL et l’information des victimes, imposées par les articles 33 et 34 du règlement européen, créent les pièces qui feront la solidité d’une demande d’indemnisation fondée sur l’article 1240 du code civil, dont la jurisprudence récente admet le préjudice moral jusqu’à des montants significatifs. Aucune responsabilité n’est établie par cet article, qui décrit le droit applicable à la date de rédaction à partir de sources officielles et d’informations de presse citées comme telles : les montants revendiqués en ligne restent invérifiés, les contrats signés priment sur toute analyse générale, et seul le juge, saisi des pièces exactes de chaque dossier, dira qui doit réparer quoi.