Un appel qui promet de « récupérer votre solde CPF en cash », un SMS qui annonce une tablette offerte avec une formation « payée par l’État », un faux conseiller qui demande vos identifiants MonCompteFormation pour « sécuriser vos droits » : l’arnaque au compte personnel de formation (CPF) reste l’une des fraudes les plus massives visant les salariés et les demandeurs d’emploi en France. La demande est mesurable : sur Google Ads, en France, la famille de requêtes autour de l’arnaque au CPF affiche des volumes mensuels moyens significatifs, avec « arnaque cpf » à 260 recherches, « fraude cpf » à 170 et « arnaque compte cpf » à 70 (mesures Google Ads, zone France, langue français, relevées le 10 octobre 2026 sur le compte du cabinet). Le scénario le plus grave est celui où la fraude a abouti : une formation que vous n’avez jamais demandée apparaît dans votre dossier, vos droits ont été débités, et parfois votre compte lui-même est bloqué par le fraudeur.
Cet article explique la marche à suivre complète : reconnaître l’arnaque et figer les preuves, comprendre les infractions et les responsabilités en jeu, signaler la fraude à la Caisse des Dépôts qui gère MonCompteFormation, déposer plainte, saisir la CNIL, exercer vos droits sur vos données personnelles et récupérer vos droits comme obtenir réparation. Chaque affirmation déterminante renvoie à un texte ou à une source officielle vérifiée dans ce run.
I. Reconnaître l’arnaque au CPF et figer la situation
A. Les scénarios de fraude et les premiers réflexes qui protègent vos droits
La fraude au CPF prend des formes variées que le ministère du Travail décrit sur sa page officielle : fausses promesses de cadeaux ou d’argent en échange d’une inscription, formations mensongères ou inexistantes, hameçonnage par appels, SMS, courriels ou publicités sur les réseaux sociaux, parfois relayées par des influenceurs, et démarchage agressif qui pousse à l’achat d’une formation (page officielle du ministère du Travail sur la fraude au CPF). Le ministère précise que ces publicités « totalement illégales » proposent par exemple de « récupérer votre solde CPF en cash » ou de s’offrir un ordinateur « payé par le CPF ». Le point commun est simple : on vous demande vos identifiants, votre numéro de sécurité sociale ou un code reçu par SMS, ou on vous fait signer à distance une inscription que vous n’avez pas voulue.
Face à ce démarchage, un réflexe protège l’essentiel : ne communiquez jamais vos identifiants MonCompteFormation ni les codes d’authentification reçus par SMS, et ne validez aucune entrée en formation sous la pression d’un appel. Depuis le 11 août 2026, le principe applicable au démarchage téléphonique est clair : l’article L. 223-1 du code de la consommation dispose qu’« Il est interdit de démarcher par téléphone, directement ou par l’intermédiaire d’un tiers agissant pour son compte, un consommateur qui n’a pas exprimé préalablement son consentement à faire l’objet de prospections commerciales par ce moyen ». Un appel de prospection sur votre CPF que vous n’avez jamais sollicité est donc, en règle générale, illicite, et il mérite à ce seul titre un signalement.
Dès que vous soupçonnez une fraude, figez les preuves avant toute autre démarche. Conservez les captures d’écran des SMS, courriels et publicités, les numéros appelants, les noms d’organismes et de formations cités, les adresses postales et électroniques, ainsi que l’historique de votre dossier MonCompteFormation montrant l’inscription litigieuse. Le ministère du Travail recommande expressément de conserver ces preuves pour assurer le suivi des signalements et les besoins d’une éventuelle enquête judiciaire (même source officielle). Signalez immédiatement les numéros frauduleux à la plateforme de lutte contre les spams en transférant les SMS au 33700, et signalez tout démarchage abusif via SignalConso. Si vous ne parvenez plus à vous connecter à votre compte, changez sans attendre vos mots de passe, renforcez l’authentification de votre adresse électronique associée et vérifiez les connexions FranceConnect rattachées à votre identité, car le fraudeur passe souvent par là pour verrouiller l’accès.
B. Les infractions et les responsabilités : escroquerie, usurpation d’identité et collecte frauduleuse de données
Lorsqu’une formation est souscrite à votre insu et que vos droits CPF sont débités, plusieurs qualifications pénales peuvent s’appliquer aux faits, et c’est au procureur puis au juge qu’il appartient de les retenir. La première est l’escroquerie. L’article 313-1 du code pénal la définit ainsi : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le texte punit ces faits de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux conseiller qui se fait passer pour un agent officiel, l’organisme fictif qui encaisse des financements publics pour une formation fantôme, le site qui imite MonCompteFormation pour aspirer vos identifiants : chacun de ces scénarios entre, à première analyse, dans cette définition, puisque la manoeuvre détermine la victime ou la Caisse des Dépôts à décaisser des droits.
La deuxième qualification concerne l’usurpation de votre identité. L’article 226-4-1 du code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », en précisant que l’infraction commise sur un réseau de communication au public en ligne encourt les mêmes peines. L’utilisation de votre numéro de sécurité sociale, de vos identifiants ou de vos codes pour ouvrir un dossier à votre nom correspond précisément à l’usage de données permettant de vous identifier. Si ces agissements s’accompagnent d’appels répétés, de pressions ou d’intimidations après la fraude, la dimension de trouble à la tranquillité renforce encore cette qualification.
La troisième qualification protège vos données elles-mêmes. L’article 226-18 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ». Le formulaire qui aspire votre numéro de sécurité sociale sous couvert d’un « test d’éligibilité », le faux site MonCompteFormation qui enregistre vos identifiants, la revente de fichiers de prospects démarchés sans consentement : autant de collectes qui, lorsqu’elles sont démontrées, relèvent de ce texte. Cette dimension « données personnelles » de l’arnaque au CPF est essentielle, car elle ouvre le second front du dossier : celui du droit de la protection des données, avec la CNIL et le règlement général sur la protection des données (RGPD) (présentation officielle du RGPD par la CNIL).
Du côté des professionnels, les obligations sont strictes. L’article L. 6352-13 du code du travail dispose que « La publicité réalisée par un organisme de formation ne doit comporter aucune mention de nature à induire en erreur » sur les conditions d’accès, le contenu, les modalités, les sanctions et les modalités de financement des formations. Les promesses de cadeaux, d’argent ou de matériel en échange d’une inscription violent frontalement cette interdiction. Le ministère du Travail en tire les conséquences sur sa page officielle : les organismes ou individus qui proposent ces faux bons plans s’exposent à des sanctions très graves allant de l’exclusion du catalogue pour l’organisme de formation aux sanctions administratives, à la restitution des gains et aux sanctions pénales (source officielle). Ces faux bons plans constituent au surplus, en règle générale, des pratiques commerciales déloyales : l’article L. 121-1 du code de la consommation dispose que « Les pratiques commerciales déloyales sont interdites. » Après enquête, la Caisse des Dépôts peut prononcer des déréférencements temporaires ou définitifs contre les organismes aux pratiques non conformes, et dépose plainte auprès des services de police dans les cas les plus graves, en étroite collaboration avec eux.
Reste à situer le rôle exact de chaque acteur, car la victime s’y perd souvent. L’article L. 6323-9 du code du travail confie à « la Caisse des dépôts et consignations » la gestion du compte personnel de formation, du service dématérialisé, de ses conditions générales d’utilisation et du traitement automatisé associé. Concrètement, la Caisse des Dépôts est l’interlocutrice pour le signalement et la restitution des droits, tandis que l’organisme de formation inscrit au dossier est le cocontractant apparent de l’inscription litigieuse, et que le fraudeur, souvent distinct de cet organisme, est l’auteur pénal des manoeuvres. Distinguer ces trois niveaux évite l’erreur la plus fréquente : réclamer à la Caisse des Dépôts une indemnisation qu’elle ne doit pas, ou à l’inverse négliger de la saisir alors qu’elle seule peut restituer les droits. Si votre dossier mêle en outre un crédit, un abonnement ou un contrat souscrit à votre nom par le même fraudeur, les mécanismes de contestation de l’usurpation d’identité financière, décrits dans notre analyse des contrats et crédits souscrits à votre insu après usurpation d’identité, complètent utilement la démarche.
II. Signaler, porter plainte et récupérer vos droits
A. Le signalement à la Caisse des Dépôts, la plainte pénale et les recours sur vos données
Le premier guichet est celui de MonCompteFormation. La page officielle du ministère de l’Économie consacrée à l’arnaque au CPF décrit la marche à suivre : conserver les preuves et rassembler les informations utiles dès que vous découvrez une formation inscrite à votre insu, car ces éléments serviront ensuite au signalement comme au dépôt de plainte. Concrètement, connectez-vous à votre espace si l’accès est encore possible, relevez l’intitulé exact de la formation, le nom et le numéro de déclaration d’activité de l’organisme, les dates d’inscription et d’entrée en formation, puis adressez le signalement via le formulaire ou l’espace dédié à la Caisse des Dépôts. Si l’accès est bloqué, le signalement reste possible par les canaux indiqués sur cette même page, et le dépôt de plainte décrit ci-après permet de débloquer la suite.
Le dépôt de plainte est l’étape qui conditionne la restitution de vos droits. La page officielle de MonCompteFormation l’énonce sans ambiguïté : la restitution des droits CPF n’intervient qu’après analyse de la copie du procès-verbal de dépôt de plainte. (même page officielle). Rendez-vous donc au commissariat ou à la gendarmerie avec votre pièce d’identité, l’historique de votre dossier, les captures des messages frauduleux et tout élément d’identification du fraudeur ou de l’organisme, et exigez le récépissé puis la copie du procès-verbal, en vérifiant que les faits d’escroquerie et d’usurpation d’identité y sont précisément décrits, avec les dates et les montants. Ce droit au guichet est garanti par l’article 15-3 du code de procédure pénale : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » — on ne peut donc pas vous renvoyer au seul motif que les faits relèveraient d’un autre ressort. Les modalités pratiques du dépôt de plainte sont rappelées par le service public sur la fiche officielle « Porter plainte ». En parallèle, faites établir un diagnostic sur cybermalveillance.gouv.fr, la plateforme publique qui décrit les campagnes d’escroqueries au CPF et oriente vers l’assistance en ligne 17Cyber et les prestataires de proximité : ce parcours crée une trace horodatée de votre réaction, utile si l’on vous reproche ensuite une négligence.
Le deuxième front est celui de vos données personnelles. L’arnaque au CPF suppose presque toujours que le fraudeur détient votre numéro de sécurité sociale, votre état civil ou vos identifiants, et qu’il les réutilisera ailleurs si rien ne l’arrête. Le RGPD vous donne dans ce cas des droits directement actionnables contre chaque organisme qui traite vos données : droit d’accès à l’ensemble des données détenues sur vous, droit d’effacement lorsque les données ont été collectées illicitement ou ne sont plus nécessaires, droit d’opposition au démarchage, et réponse en principe dans un délai d’un mois (articles 12, 15, 17 et 21 du RGPD, voir les droits des personnes sur le site de la CNIL). Écrivez donc à l’organisme de formation inscrit à votre insu pour exiger la copie de votre dossier, l’effacement de vos données et la justification de la base légale de l’inscription, par lettre recommandée avec accusé de réception ou par courriel avec accusé de lecture conservé. En cas d’absence de réponse dans le délai d’un mois, de réponse incomplète ou de refus non motivé, vous pouvez saisir la CNIL par une plainte en ligne, en joignant vos demandes préalables et leurs preuves d’envoi : la Commission ne se substitue ni au juge pénal ni à la Caisse des Dépôts, mais elle peut contrôler l’organisme, le mettre en demeure et le sanctionner, et sa décision pèse lourd dans la suite du dossier.
Un mot d’avertissement s’impose sur l’effacement : il n’est pas automatique et se heurte parfois à d’autres intérêts légitimes. La Cour de cassation l’a rappelé le 3 juin 2026 dans un arrêt de rejet très commenté (Cass. 1re civ., 3 juin 2026, n° 25-14.228) : une personne condamnée pénalement en 2004 demandait la suppression d’un article de presse de 2009 relatant sa condamnation, subsidiairement son anonymisation ou sa désindexation, et la Cour a rejeté son pourvoi, retenant l’intérêt du public à accéder à une information sur une condamnation rapportée fidèlement. La leçon pour votre dossier est symétrique : lorsque ce sont vos propres données collectées par fraude qui circulent, l’illicéité de la collecte fonde puissamment l’effacement, mais chaque demande doit être motivée, ciblée et documentée, faute de quoi elle sera rejetée comme celle du condamné qui voulait réécrire son passé. Conservez donc copie de chaque demande et de chaque réponse : c’est ce dossier « données personnelles » qui fera la différence devant la CNIL comme devant le juge.
B. Récupérer vos droits CPF et obtenir réparation de chaque préjudice
La restitution des droits suit une logique d’enquête, pas d’automaticité. Une fois votre plainte déposée et votre signalement transmis, les équipes de la Caisse des Dépôts examinent le dossier : elles vérifient l’organisme, son offre et parfois ses locaux, prononcent si nécessaire un déréférencement temporaire ou définitif, et, dans les cas les plus graves, déposent elles-mêmes plainte auprès des services de police (page officielle du ministère du Travail). C’est à l’issue de cette analyse, et sur la base de la copie du procès-verbal de votre plainte, que vos droits peuvent être restitués. Comptez en pratique plusieurs semaines à plusieurs mois, et relancez par écrit à échéance régulière en conservant chaque échange : si la restitution tarde alors que la fraude est établie par l’enquête, ces relances prouveront votre diligence. Pendant l’instruction, refusez toute « transaction » proposée par l’organisme ou un intermédiaire qui consisterait à partager les fonds ou à valider a posteriori une formation fictive : ce serait couvrir l’escroquerie et compromettre votre plainte.
Lorsque l’inscription a été conclue à distance ou à la suite d’un démarchage téléphonique, un autre levier existe : l’article L. 221-18 du code de la consommation dispose que « Le consommateur dispose d’un délai de quatorze jours pour exercer son droit de rétractation d’un contrat conclu à distance, à la suite d’un démarchage téléphonique ou hors établissement, sans avoir à motiver sa décision ni à supporter d’autres coûts que ceux prévus aux articles L. 221-23 à L. 221-25 ». Dans une arnaque au CPF, ce délai est le plus souvent déjà expiré quand la victime découvre la fraude, ou le « contrat » est inexistant faute de consentement, de sorte que la rétractation ne remplace ni le signalement ni la plainte ; mais lorsqu’une inscription récente et contestable existe, exercer la rétractation par écrit, sans délai, fige un moyen supplémentaire d’annulation. La réparation financière emprunte ensuite trois voies complémentaires. D’abord, l’annulation de l’inscription frauduleuse et la restitution des droits effacent le préjudice principal, qui est la perte de vos droits à formation : vérifiez après restitution que le solde affiché correspond à vos droits réels et contestez par écrit toute différence. Ensuite, l’action pénale permet d’être indemnisé par le fraudeur : constituez-vous partie civile devant le juge d’instruction ou le tribunal correctionnel pour demander le remboursement des sommes exposées (frais, formations de remplacement payées de votre poche, frais d’assistance) et la réparation de votre préjudice moral, notamment l’angoisse d’avoir vu votre identité usurpée et vos projets de formation retardés. Enfin, le RGPD ouvre un droit propre à réparation : toute personne qui a subi un dommage du fait d’une violation du règlement peut obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du RGPD, voir l’analyse de la CNIL sur l’indemnisation après une violation de données). Si l’organisme démarché sans base légale a fait fuiter ou exploiter vos données, ou s’il a ignoré votre droit d’opposition et d’effacement, ce fondement s’ajoute à l’action pénale et vise un autre payeur, solvable celui-là. Quant aux organismes complices ou négligents, les sanctions administratives et l’exclusion du catalogue prononcées par la Caisse des Dépôts, rappelées par le ministère, constituent des décisions que votre avocat pourra verser au dossier civil pour établir la faute.
À Paris et en Île-de-France, quelques spécificités pratiques méritent d’être connues. Les plaintes pour escroquerie au CPF relèvent du commissariat de votre domicile ou de la brigade financière du parquet de Paris lorsque les faits s’inscrivent dans un réseau organisé, et les signalements contre des organismes franciliens peuvent être utilement doublés d’un signalement à la direction régionale de l’économie, de l’emploi, du travail et des solidarités (DREETS) d’Île-de-France, compétente pour le contrôle des organismes de formation. Les délais de traitement y sont comparables au reste du territoire, mais la densité des organismes et des intermédiaires y rend les recoupements d’enquête souvent plus rapides : mentionnez systématiquement dans votre plainte tout lien francilien (adresse de l’organisme, lieu d’un prétendu rendez-vous, numéro surtaxé relevé). Si une audience correctionnelle ou une procédure devant le tribunal judiciaire de Paris s’ouvre, votre constitution de partie civile devra chiffrer chaque poste : droits restitués ou non, frais engagés, perte de chance d’avoir suivi la formation projetée, préjudice moral lié à l’usurpation.
Reste la question que chaque victime pose : que se passe-t-il si le fraudeur est introuvable ou insolvable ? La restitution des droits par la Caisse des Dépôts ne dépend pas de sa solvabilité, puisqu’il s’agit de reconstituer votre compteur, et c’est pourquoi le dépôt de plainte et le signalement priment sur toute poursuite hasardeuse. Pour le surplus indemnitaire, dirigez l’action civile vers les acteurs solvables : l’organisme qui a perçu les financements, y compris lorsqu’il prétend avoir été lui-même trompé, car il lui appartenait de vérifier l’identité et le consentement du stagiaire avant toute inscription et tout encaissement. Les décisions de déréférencement et les sanctions administratives déjà prononcées contre lui établiront utilement son manquement. Et si vos données continuent de circuler entre démarcheurs après la fraude, chaque nouvel appel sans consentement constitue une violation distincte, justifiant un nouveau signalement au 33700, une nouvelle plainte à la CNIL et, le cas échéant, une aggravation des demandes indemnitaires.
Une formation souscrite à votre insu sur MonCompteFormation n’est donc ni une fatalité ni une simple erreur administrative : c’est une escroquerie doublée d’une usurpation d’identité et d’une collecte frauduleuse de données, punie par les articles 313-1, 226-4-1 et 226-18 du code pénal, encadrée par les articles L. 223-1 du code de la consommation et L. 6323-9 comme L. 6352-13 du code du travail, et réparée par la combinaison du signalement à la Caisse des Dépôts, de la plainte pénale conditionnant la restitution des droits, des droits d’accès et d’effacement du RGPD avec la plainte à la CNIL, et de l’action en indemnisation sur le fondement de l’article 82 du RGPD comme de la constitution de partie civile. Signalez vite, portez plainte avec un dossier complet, exercez vos droits sur vos données par écrit et faites chiffrer chaque préjudice : c’est cet enchaînement, mené sans délai et sans rien valider sous pression, qui transforme une arnaque au CPF en droits récupérés et en préjudices réparés.