Vous recevez un courrier de relance pour un crédit que vous n’avez jamais souscrit, votre banque vous signale un découvert sur un compte inconnu, ou un prêteur vous refuse un financement à cause d’incidents que vous ne reconnaissez pas. Quelqu’un utilise vos nom, date de naissance, pièce d’identité ou adresse pour agir à votre place. La demande est massive : les requêtes « usurpation d’identité » et « usurpation d’identité que faire » comptent chaque mois parmi les interrogations les plus fréquentes des victimes en France. L’enjeu est double : stopper l’utilisation frauduleuse de vos données et effacer ses traces, puis obtenir réparation. Le droit applicable combine le délit pénal d’usurpation, les fichiers de la Banque de France, les droits RGPD d’accès, de rectification et d’effacement, la plainte CNIL et l’action en responsabilité. Deux décisions récentes montrent comment les juges tranchent : la cour d’appel de Paris a condamné un prêteur qui avait financé un crédit usurpé sans vérifier des pièces manifestement incohérentes, et le tribunal judiciaire de Metz a ordonné sous astreinte la mainlevée d’un fichage FICP injustifié tout en rejetant l’indemnisation faute de lien causal prouvé.
I. Bloquer l’usurpation : plainte, banques et fichiers
A. Porter plainte et prévenir les organismes, sans attendre
La première distinction à opérer est celle que rappelle le site officiel Service-Public : en cas de simple soupçon (perte d’un document d’identité, envoi de pièces à une fausse offre d’emploi, piratage de messagerie), une main courante permet de dater les faits dans un registre de police ou de gendarmerie. Dès que vos données sont effectivement utilisées à votre insu, par exemple un crédit souscrit ou un compte ouvert à votre nom, le réflexe est de porter plainte pour que l’auteur soit recherché et poursuivi. La plainte doit être accompagnée de toutes les preuves disponibles : captures d’écran, messages, adresses des pages, courriers de relance reçus pour des contrats inconnus, relevés mentionnant des opérations étrangères. Lors du dépôt, la victime peut accepter d’être inscrite au fichier des personnes recherchées pour les besoins de l’enquête.
L’incrimination pénale applicable est celle de l’article 226-4-1 du code pénal, dans sa version en vigueur au 6 octobre 2026 : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le texte ajoute que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne », ce qui couvre l’usurpation commise via internet, et porte les peines à deux ans d’emprisonnement et 30 000 euros d’amende quand les faits sont commis par le conjoint, le concubin ou le partenaire de PACS de la victime. L’identité usurpée doit correspondre à une personne réellement existante ; l’usage d’une identité imaginaire relève d’autres qualifications. Quand l’usurpateur prend votre nom dans des circonstances qui ont déterminé ou auraient pu déterminer des poursuites pénales contre vous, c’est l’article 434-23 du code pénal qui s’applique : « Le fait de prendre le nom d’un tiers, dans des circonstances qui ont déterminé ou auraient pu déterminer contre celui-ci des poursuites pénales, est puni de cinq ans d’emprisonnement et de 75 000 euros d’amende », avec cumul des peines sans confusion possible avec celles de l’infraction à l’occasion de laquelle l’usurpation a été commise. La Cour de cassation veille à cette distinction : le 21 janvier 2026, la chambre criminelle a censuré une condamnation pour prise du nom d’un tiers prononcée sans constater que l’usage de l’identité était de nature à déterminer des poursuites pénales contre la personne visée (Cass. crim., 21 janv. 2026, n° 24-86.473). La qualification retenue dans la plainte a des conséquences directes sur la suite de l’enquête et sur la réparation, d’où l’importance d’un récit précis des faits et des pièces jointes.
En parallèle de la plainte, la Banque de France décrit une marche à suivre en quatre étapes : déposer plainte dès que possible en précisant les références des incidents et les noms des établissements concernés, prévenir votre banque, vérifier si des comptes ont été ouverts à votre nom, puis vérifier si vous êtes fiché à la Banque de France. Concrètement, cela signifie écrire à chaque établissement qui vous réclame une dette inconnue pour contester par écrit en joignant le récépissé de plainte, demander à votre banque la liste des comptes et produits rattachés à votre identité, interroger le fichier des comptes bancaires Ficoba pour repérer les comptes ouverts à votre nom, et vérifier auprès de la Banque de France l’absence d’inscription au fichier central des chèques comme au fichier des incidents de remboursement des crédits aux particuliers (FICP). Le site Service-Public recommande en outre de taper régulièrement votre nom sur un moteur de recherche pour repérer les informations personnelles qui circulent et préparer, le cas échéant, une demande d’effacement. Chaque démarche doit être faite par écrit et conservée : courriers recommandés avec accusé de réception ou courriels avec accusé, récépissés, relevés, captures datées. Ce dossier écrit servira devant la CNIL comme devant le juge.
B. Faire vérifier le crédit et le fichage : vigilance du prêteur et mainlevée FICP
Quand un crédit a été souscrit à votre nom, le contrat existe dans les systèmes du prêteur et produit des effets : prélèvements, incidents de paiement, inscription au FICP, relances, parfois assignation en paiement contre vous. Le premier objectif est de faire reconnaître par écrit que vous n’êtes pas le signataire. Exigez du prêteur la communication de l’intégralité du dossier : offre de crédit, justificatifs d’identité et de domicile fournis lors de la souscription, enregistrements et documents de vérification, tableau d’amortissement, historique des paiements et des incidents. Ce droit d’accès aux données vous concernant découle du RGPD et sera détaillé plus loin ; sur le plan du crédit, le prêteur est tenu d’une obligation de vigilance dont la méconnaissance engage sa responsabilité. Dans sa version applicable au 6 octobre 2026, l’article L312-16 du code de la consommation dispose qu’avant de conclure le contrat, « le prêteur vérifie la solvabilité de l’emprunteur à partir d’un nombre suffisant d’informations » et « consulte le fichier prévu à l’article L. 751-1 », c’est-à-dire le FICP. Un prêteur qui finance un dossier aux pièces incohérentes commet une faute.
L’arrêt de la cour d’appel de Paris du 19 septembre 2024 (RG 23/02103) illustre ce contrôle de vigilance de façon saisissante. Une société de crédit avait émis, sous l’enseigne Viaxel, une offre de crédit affecté à l’achat d’un véhicule d’un capital de 22 801,36 euros, remboursable en 61 mensualités de 431,44 euros, signée le 3 février 2021 au nom de M. Z. Après des échéances impayées, le prêteur avait assigné M. Z en paiement et obtenu en première instance sa condamnation à rembourser tout le capital. M. Z soutenait que son identité avait été usurpée, que le prêteur l’avait lui-même reconnu par courriel du 3 décembre 2021, qu’il avait refusé de communiquer les pièces remises lors de l’octroi, manqué à son devoir de vigilance et tardé à notifier l’usurpation à la Banque de France. La cour relève que le crédit n’avait pas été conclu en agence mais par l’intermédiaire du vendeur, que le prêteur avait réclamé la copie d’une carte d’identité et d’un permis de conduire, et que la comparaison des deux photographies aurait dû l’alerter : celle de la carte d’identité représentait un homme à la peau noire, celle du permis un homme à la peau blanche avec une barbe noire très contrastée. Pour la cour, « Ce seul point aurait dû conduire la société CA Consumer Finance à s’interroger, ce qu’elle n’a pas fait », et elle retient une faute de vigilance lors de l’octroi du crédit, alors même que les autres pièces, justificatif de domicile et de revenu, ne présentaient pas de trace évidente de falsification à première lecture. La cour infirme le jugement en toutes ses dispositions afin qu’il ne puisse jamais être utilisé contre M. Z, dont il est acquis qu’il n’est pas le signataire et n’a donc pas consenti au crédit.
L’arrêt va plus loin sur le comportement postérieur du prêteur. M. Z justifiait que la Banque de France lui avait écrit le 26 novembre 2021 qu’elle avait contacté le prêteur dans le cadre de cette usurpation sans obtenir de réponse. Le prêteur avait ensuite poursuivi M. Z devant le juge des contentieux de la protection alors qu’il savait qu’il n’était pas le signataire, ce qu’il admettait, l’avait assigné à l’adresse du contrat selon les modalités de l’article 659 du code de procédure civile alors qu’il ne pouvait ignorer que ce n’était pas sa véritable adresse, pour ensuite lui signifier le jugement à sa véritable adresse. Même sans exécution de la décision, la cour juge cette attitude fautive et nécessairement préjudiciable : démarches multipliées, appel à former, attitude contradictoire d’un créancier qui assure ne pas poursuivre tout en assignant. Elle évalue le préjudice matériel lié au crédit litigieux et à cette attitude à 2 000 euros et le préjudice moral à 3 000 euros, plus 4 000 euros au titre de l’article 700 du code de procédure civile, dépens de première instance et d’appel à la charge du prêteur. La cour prend soin de distinguer ce qui relève du prêteur de ce qui relève de l’usurpation elle-même, à l’origine de l’ouverture frauduleuse de plusieurs autres comptes bancaires : la réparation mise à la charge du prêteur couvre son propre comportement fautif, pas l’ensemble des conséquences de l’usurpation. Cette distinction fixe la méthode : identifier chaque acteur, sa faute propre et le préjudice qu’elle a directement causé.
Le fichage FICP suit une logique voisine. Le tribunal judiciaire de Metz, le 12 août 2025 (RG 25/00165), a ordonné à un établissement de crédit de procéder à la mainlevée du fichage d’une cliente sur le FICP dans le délai d’un mois à compter de la signification, sous astreinte provisoire de 50 euros par jour de retard pendant trois mois, avec exécution provisoire de droit. Mais le même jugement rejette les demandes indemnitaires : 5 791,03 euros de préjudice financier et 2 000 euros de préjudice moral. Sur le préjudice financier, la cliente n’établissait pas que l’échec de son projet d’achat immobilier était dû à la seule raison du fichage ; sur le préjudice moral, un certificat médical faisant état d’un état anxieux, sans autre précision, ne suffisait pas à établir un lien causal avec le comportement reproché à l’établissement. La leçon est nette : la mainlevée d’un fichage injustifié s’obtient par l’injonction du juge, mais l’argent ne suit que si le lien entre la faute et chaque chef de préjudice est démontré pièce par pièce. Refus de crédit postérieur mentionnant le fichage, surcoûts documentés, attestations circonstanciées, échanges avec le prêteur : c’est ce dossier chiffré qui transforme un fichage subi en réparation obtenue. Ces deux décisions montrent aussi pourquoi la bataille des pièces est centrale : sans communication du dossier de souscription, sans réponse de l’organisme, sans écrit de reconnaissance, le juge statue sur des affirmations. D’où l’importance du second volet : les droits RGPD qui obligent les organismes à vous répondre.
II. Effacer les traces et obtenir réparation : droits RGPD, CNIL et juge
A. Accès, rectification, effacement, opposition : obliger chaque organisme à répondre
Chaque organisme qui traite des données à votre nom, prêteur, banque, opérateur, plateforme, administration, est responsable de traitement au sens du RGPD et doit donner suite à vos demandes. Quatre droits sont décisifs après une usurpation. Le droit d’accès de l’article 15 du règlement (UE) 2016/679 permet d’obtenir la confirmation que des données la concernant sont ou non traitées et, dans l’affirmative, d’y accéder avec les informations prévues : finalités, catégories de données, destinataires, durée de conservation envisagée et existence des droits de rectification, d’effacement, de limitation et d’opposition. Concrètement, écrivez à chaque organisme pour exiger la copie du dossier ouvert à votre nom : contrat, pièces d’identité fournies, relevés, enregistrements, historique des connexions. Le droit de rectification de l’article 16 impose au responsable du traitement de corriger dans les meilleurs délais les données inexactes et de compléter les données incomplètes, y compris par une déclaration complémentaire de votre part : adresse qui n’est pas la vôtre, revenus inventés, coordonnées de l’usurpateur. Le droit à l’effacement de l’article 17 ouvre le droit d’obtenir dans les meilleurs délais l’effacement de vos données quand elles ne sont plus nécessaires au regard des finalités, quand le traitement était illicite, ce qui est le cas d’un contrat que vous n’avez jamais consenti, ou quand vous vous y opposez sans motif légitime impérieux contraire. Le droit d’opposition de l’article 21 permet de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime, et sans condition de motif quand les données sont traitées à des fins de prospection, laquelle doit alors cesser pour vos données. Ces demandes se font par écrit, auprès de chaque organisme et de son délégué à la protection des données quand il existe, en joignant une copie de pièce d’identité et le récépissé de plainte, et en conservant la preuve de l’envoi et de la réception.
Le point fort du dispositif est le délai de réponse imposé. Le paragraphe 3 de l’article 12 du RGPD impose au responsable du traitement de répondre dans les meilleurs délais et en tout état de cause sous un mois à compter de la réception de la demande, avec une prolongation possible de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne concernée avec les motifs du report dans le délai d’un mois. Le silence gardé pendant un mois, l’absence de prolongation motivée, la réponse évasive qui ne communique aucune pièce ou le refus non justifié constituent chacun un manquement exploitable. Si la demande a été présentée sous forme électronique, la réponse doit en principe suivre la même voie. Quand l’organisme ne donne pas suite, il doit vous informer des motifs de son inaction et de la possibilité d’introduire une réclamation et de former un recours juridictionnel. Dans la pratique de l’usurpation, ces manquements sont fréquents : réponses automatiques sans contenu, renvois d’un service à l’autre, exigence de pièces nouvelles à chaque échange, promesse orale de régularisation jamais suivie d’effet. Chaque échange manqué doit être consigné avec sa date, car c’est sur ce calendrier que la CNIL puis le juge s’appuieront.
Quand l’organisme ne répond pas ou répond de façon insatisfaisante, la plainte auprès de la CNIL prend le relais. La CNIL l’indique clairement : contactez d’abord l’organisme ou son délégué à la protection des données, puis adressez votre plainte à la CNIL, en ligne via le service de plainte en ligne qui suppose la création d’un compte permettant de suivre le traitement et d’échanger avec l’agent chargé du dossier, en joignant copies des demandes et des réponses. Ce droit d’introduire une réclamation est garanti par l’article 77 du RGPD : garantit à toute personne concernée, sans préjudice de tout autre recours, le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier celle de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise. L’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel. La plainte CNIL et l’action en justice ne s’excluent pas : le règlement réserve expressément les autres recours, et la procédure devant l’autorité peut éclairer le juge sur la réalité des manquements. Pour un dossier d’usurpation avec crédit et fichage, la plainte CNIL vise le prêteur et tout organisme qui conserve ou diffuse des données issues du contrat frauduleux ; elle décrit les demandes exercées, les délais écoulés, les réponses reçues et les mesures attendues, effacement, rectification du fichage, cessation de la prospection. Le Conseil d’État contrôle régulièrement les sanctions et mises en demeure prononcées par la CNIL en matière d’effacement et d’opposition, ce qui confirme que l’inaction d’un organisme face à une demande fondée expose à des mesures contraignantes.
B. Faire payer chaque faute : responsabilité du prêteur, du diffuseur et réparation du préjudice
La réparation repose sur trois fondements complémentaires qu’il faut articuler au lieu de les confondre. D’abord, le droit à réparation de l’article 82 du RGPD : ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Le texte précise que le responsable qui a participé au traitement répond du dommage causé par un traitement contraire au règlement, que le sous-traitant ne répond que s’il a méconnu ses obligations propres ou agi hors des instructions licites, et que chacun s’exonère en prouvant que le fait dommageable ne lui est nullement imputable. Quand plusieurs acteurs participent au même traitement, chacun est tenu pour le tout afin de garantir une réparation effective, quitte à se retourner ensuite contre les autres à proportion de leurs parts. La Cour de justice de l’Union européenne, dans son arrêt du 4 mai 2023 Österreichische Post (affaire C-300/21), a jugé que le droit à réparation suppose une violation du règlement, un dommage matériel ou moral et un lien de causalité, sans exiger un seuil de gravité du préjudice moral : la crainte, la perte de contrôle sur ses données ou les démarches imposées peuvent caractériser un dommage dès lors qu’elles sont établies. Ensuite, l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » : c’est le fondement de l’action contre le prêteur qui finance un crédit aux pièces incohérentes, contre l’établissement qui maintient un fichage après signalement de l’usurpation, ou contre le vendeur intermédiaire qui transmet un dossier frauduleux. Enfin, l’action pénale issue de la plainte permet de demander des dommages-intérêts contre l’usurpateur lui-même devant le tribunal correctionnel, en plus des poursuites du ministère public.
La méthode gagnante consiste à séparer les préjudices et à rattacher chacun à une faute prouvée, comme l’ont fait les juges dans les deux affaires citées. Le préjudice matériel se chiffre : mensualités prélevées sur vos comptes, frais bancaires, coût du crédit de substitution souscrit à un taux supérieur après un refus fondé sur le fichage, frais de déplacement et de courrier, perte de chance d’obtenir un financement documentée par l’offre refusée. Le préjudice moral s’établit : anxiété durable attestée par des éléments précis et datés, temps considérable consacré aux démarches, assignation en justice reçue pour une dette imaginaire, inscription au FICP découverte à l’occasion d’un projet. Le jugement de Metz montre l’exigence probatoire : sans preuve que le projet immobilier n’a échoué qu’à cause du fichage, sans certificat médical circonstancié reliant l’état anxieux au comportement de l’établissement, l’indemnisation est rejetée alors même que la mainlevée est ordonnée. La prescription de l’action en responsabilité civile est de cinq ans à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits lui permettant de l’exercer, ce qui laisse le temps de construire le dossier mais interdit d’attendre : les pièces se perdent, les enregistrements s’effacent, les organismes invoquent la routine. Quand le refus de crédit causé par le fichage a compromis un projet, l’analyse des recours contre un score ou un algorithme opaque complète utilement la contestation du fichage lui-même, car les deux batailles se jouent sur les mêmes pièces : qui a décidé, sur quelles données, avec quelle explication.
Devant le juge, les demandes doivent être ordonnées : à titre principal, l’infirmation ou l’annulation des condamnations obtenues sur la foi du contrat usurpé, l’injonction de mainlevée du fichage sous astreinte, l’injonction d’effacement et de rectification des données avec justification de leur diffusion aux tiers destinataires, le tout sous exécution provisoire quand elle est de droit ; à titre indemnitaire, la réparation distincte du préjudice matériel et du préjudice moral avec un décompte pièce par pièce, plus l’article 700 du code de procédure civile pour les frais irrépétibles. L’astreinte est l’arme de l’effectivité : 50 euros par jour de retard pendant trois mois à Metz, restitution du véhicule sous astreinte de 50 euros par jour en première instance dans l’affaire Viaxel, et le juge peut assortir chaque injonction d’un délai précis courant à compter de la signification. N’oubliez pas les tiers destinataires : quand des données issues du contrat frauduleux ont été transmises, à la Banque de France, à des partenaires, à des sociétés de recouvrement, l’effacement doit être notifié à chacun, et le responsable doit justifier de ces notifications. C’est souvent sur ce point que les organismes cèdent en cours de procédure, en reconnaissant l’usurpation par écrit comme le prêteur l’avait fait par courriel en décembre 2021 dans l’affaire Viaxel. Un tel écrit ne clôt pas le dossier : il ouvre la négociation sur le montant et le calendrier, tout en restant une pièce maîtresse si l’affaire va au jugement.
Face à un crédit souscrit à votre nom, l’ordre des opérations est donc le suivant : plainte avec preuves jointes, contestation écrite immédiate auprès de chaque établissement réclamant, vérification des comptes et des fichiers, exercice écrit des droits d’accès, de rectification, d’effacement et d’opposition avec calendrier des délais d’un mois, plainte CNIL en cas d’inaction, puis action en justice ordonnant injonctions sous astreinte et réparations chiffrées. Chaque étape alimente la suivante, et chaque silence de l’organisme renforce le dossier au lieu de le bloquer.
Conclusion
L’usurpation d’identité qui débouche sur un crédit et un fichage ne se règle ni par un simple appel au prêteur ni par l’attente d’un classement de la plainte. La plainte pénale avec preuves jointes fige les faits et ouvre l’enquête, la contestation écrite immédiate auprès des établissements et la vérification des fichiers Ficoba, FCC et FICP stoppent l’extension des dégâts, l’exercice méthodique des droits d’accès, de rectification, d’effacement et d’opposition oblige chaque organisme à répondre dans un délai d’un mois, la plainte CNIL sanctionne l’inaction, et le juge ordonne la mainlevée du fichage sous astreinte puis répare chaque préjudice rattaché à une faute prouvée. Les deux décisions de 2024 et 2025 citées montrent que les prêteurs qui financent sans vérifier et qui poursuivent en sachant paient, mais aussi que l’indemnisation se mérite pièce par pièce. Constituer dès le premier jour un dossier écrit, daté et chiffré est ce qui sépare les victimes qui obtiennent l’effacement et des euros de celles qui n’obtiennent qu’un récépissé.