Le 9 octobre 2026, deux annonces ont ravivé une question que les internautes posent chaque semaine à Google : « fuite de données », « fuite de données aujourd’hui », « fuite de données récentes ». D’un côté, la presse régionale rapporte que la région Centre-Val de Loire a subi le 30 septembre une cyberattaque exposant les données d’environ 5 500 personnes liées à la formation professionnelle, utilisables pour des usurpations d’identité. De l’autre, un site spécialisé recense la revendication d’un fichier attribué à l’Agence de services et de paiement, qui verse une grande partie des aides de l’État : près de 30 000 personnes, dont plus de 24 000 numéros de Sécurité sociale, avec noms, dates de naissance, adresses et téléphones. À la date de rédaction, aucune source officielle n’a confirmé l’intrusion ni l’ampleur exacte de cette seconde annonce, aucune responsabilité n’est établie, et seul le juge dira ce qu’il en est. Les développements qui suivent sont de portée générale : ils décrivent les réflexes et les recours de toute personne dont le numéro de Sécurité sociale circule après une fuite de données, et ne formulent aucun constat sur la situation des organismes cités. La première partie expose ce que les sources disent vraiment et pourquoi le numéro de Sécurité sociale est l’identifiant le plus redouté des fichiers volés ; la seconde détaille les démarches des premières heures, la plainte et l’indemnisation du préjudice devant les juges.
I. Fuite de données en France : ce que les annonces de cette semaine changent pour vous
A. Cyberattaque contre une région, fichier attribué à une agence publique : ce que les sources disent vraiment
Premier fait, rapporté par La Nouvelle République dans un article publié le 9 octobre 2026 et mis à jour le 10 octobre : la région Centre-Val de Loire a été visée par une cyberattaque le 30 septembre 2026. Près de 5 500 personnes liées à la formation professionnelle ont vu leurs données personnelles divulguées en ligne, et le journal précise que ces données peuvent servir à des usurpations d’identité. Selon la recension effectuée par une plateforme de suivi des cyberattaques, citée par le journal, 6 767 dossiers correspondant à 5 417 personnes seraient concernés, dont une vingtaine de mineurs ou de personnes détenues. Le même article signale que la région Hauts-de-France a subi très récemment une attaque d’un ordre de grandeur très supérieur, avec plusieurs centaines de milliers de personnes touchées. La région Centre-Val de Loire a ouvert une enquête pour déterminer l’origine de l’attaque.
Second fait, à manier avec davantage de prudence car il repose pour l’instant sur une revendication : le Journal du Coin rapporte le 9 octobre 2026 qu’un site spécialisé dans le suivi des fuites françaises recense l’annonce d’un fichier présenté comme provenant de l’Agence de services et de paiement, l’établissement public qui verse une grande partie des aides de l’État. Le lot contiendrait 31 028 lignes pour 29 611 personnes, dont 26 871 adresses électroniques et 24 065 numéros de Sécurité sociale, avec noms, noms de naissance, dates et pays de naissance, adresses postales, numéros de téléphone, situation familiale et nombre d’enfants à charge. La compromission remonterait au 29 septembre. Le site qui recense l’annonce juge la revendication crédible après examen d’un échantillon, sans avoir vérifié les volumes annoncés ; l’échantillon examiné ne montrerait ni coordonnées bancaires ni mots de passe, ce qui n’exclut pas leur présence ailleurs dans la base. L’agence n’avait pas réagi au moment de la publication de l’article, et l’origine exacte du fichier restait à confirmer.
Ce serait, d’après le même article, la troisième alerte visant cet établissement en six mois : un compte interne compromis en avril 2026 aurait exposé identités, numéros de Sécurité sociale et IBAN de stagiaires de la formation professionnelle, puis une fuite liée à une aide francilienne à l’énergie aurait été reconnue par l’agence pour 108 555 personnes, quand l’auteur de la revendication en annonçait plus de 143 000. Le site de suivi cité n’aurait établi aucun lien entre le nouveau fichier et les deux incidents précédents. Par ailleurs, l’agence de cybersécurité de l’État recenserait, dans son point de situation du 30 septembre, 99 violations signalées dans les services de l’État depuis le 1er août, dont 67 confirmées. Ces chiffres montrent l’ampleur du phénomène sans rien prouver, à eux seuls, sur chaque dossier : une revendication, même jugée crédible sur échantillon, n’équivaut ni à une intrusion établie, ni à une faute du responsable du fichier, ni à un dommage subi par chaque personne citée.
Les suggestions de recherche Google associées à « fuite de données » éclairent l’inquiétude des usagers : « fuite de données impôts », « fuite de données DGFIP », « fuite de données ANTS », « fuite de données Free », « fuite de données Bouygues », « fuite de données liste ». Aucune de ces suggestions ne prouve une quelconque compromission de ces organismes ou opérateurs ; elles traduisent une crainte d’effet domino entre fichiers publics et fichiers privés, car le même numéro de Sécurité sociale, la même adresse et le même téléphone ouvrent des portes dans plusieurs administrations. C’est précisément ce qui donne au numéro de Sécurité sociale sa valeur aux yeux des auteurs d’usurpations.
B. Numéro de Sécurité sociale exposé : les usages frauduleux à craindre
Le numéro de Sécurité sociale n’est pas un simple identifiant administratif : combiné au nom, à la date de naissance, à l’adresse postale et au numéro de téléphone, il forme un kit d’usurpation presque complet. Avec ces éléments, un tiers peut se faire passer pour vous auprès d’un opérateur de téléphonie pour récupérer votre ligne sur sa propre carte SIM, une manoeuvre connue sous le nom de SIM swap, puis intercepter les codes de validation reçus par SMS pour prendre la main sur des comptes en ligne, y compris des comptes financiers ou des plateformes d’échange. Le même jeu de données permet le faux conseiller : un interlocuteur qui connaît votre adresse, votre situation familiale et votre date de naissance inspire confiance au téléphone et arrache un virement, un code ou une validation. Lorsque le fichier volé contient en outre l’adresse électronique, les tentatives d’hameçonnage deviennent redoutablement ciblées, avec des messages qui reprennent vos données exactes pour paraître officiels.
Le droit pénal qualifie chacune de ces étapes. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le même article ajoute : « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » (article 226-4-1 du code pénal). Autrement dit, l’utilisation de vos données volées sur internet pour vous nuire ou vous escroquer entre dans ce délit, même si l’auteur n’a jamais rencontré sa victime. Quand la manoeuvre aboutit à soutirer des fonds, l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », puni de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal). Le faux conseiller qui abuse d’une qualité vraie, celle d’un agent supposé de votre caisse ou de votre banque, correspond trait pour trait à ce texte.
En amont, l’exploitation même du fichier volé est punie. L’article 226-21 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en oeuvre de ce traitement » (article 226-21 du code pénal). Et lorsque les données proviennent de l’intrusion dans un système de l’État, les peines sont aggravées : l’article 323-1 du code pénal punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, et prévoit que « Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende » (article 323-1 du code pénal) ; l’article 323-3 punit de cinq ans d’emprisonnement et de 150 000 euros d’amende « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient », peine « portée à sept ans d’emprisonnement et à 300 000 € d’amende » contre un système de données personnelles mis en oeuvre par l’État (article 323-3 du code pénal). La revente ou la simple détention du fichier par un tiers entre dans ce second texte.
Le numéro de Sécurité sociale mérite une vigilance particulière pour une raison structurelle : il est stable toute la vie, contrairement à un mot de passe que l’on change, et il sert de clé dans les échanges entre organismes sociaux, fiscaux et de santé. Une personne qui le détient avec votre état civil peut interroger vos droits, contester des remboursements, ouvrir des démarches en votre nom ou construire une identité administrative parallèle dont vous découvrirez l’existence au moment d’un refus de prise en charge ou d’un redressement. D’où la priorité absolue : surveiller vos comptes et vos relevés avant même de songer à une action en justice, car le préjudice réellement subi conditionnera toute indemnisation, comme l’exige désormais la Cour de cassation.
II. Fuite de données : plainte, signalements et indemnisation, comment agir
A. Les réflexes des premières heures : relevés, mots de passe, signalements et plainte
Premier réflexe : vérifier si vos données circulent et figer la situation. Si vous êtes concerné par l’un des dossiers évoqués par la presse, conservez toute notification reçue du responsable du fichier, capturez les messages suspects avec leurs en-têtes et ne supprimez rien. Connectez-vous ensuite à votre compte Ameli pour passer en revue vos relevés de remboursements et vos attestations : des soins que vous n’avez pas reçus, un médecin traitant modifié ou une adresse changée sans votre intervention sont les signaux d’une utilisation frauduleuse de votre numéro. Faites de même sur vos comptes fiscaux et bancaires, car un dossier qui contient adresse, téléphone et date de naissance permet de préparer des intrusions dans plusieurs espaces à la fois. Si un remboursement ou une démarche inconnue apparaît, signalez-le immédiatement à votre caisse par écrit et demandez la traçabilité des accès à votre dossier.
Deuxième réflexe : couper les voies d’attaque les plus directes. Changez les mots de passe des comptes qui partagent l’adresse électronique exposée, en commençant par la messagerie elle-même, et activez partout la validation en deux étapes par application d’authentification plutôt que par SMS, puisque le SIM swap vise précisément les codes reçus par message. Prévenez votre opérateur de téléphonie qu’une demande de changement de carte SIM doit faire l’objet d’une vérification renforcée. Ne confirmez jamais une information personnelle à quelqu’un qui vous appelle, même s’il connaît votre numéro de Sécurité sociale, votre adresse et votre situation familiale : un vrai conseiller accepte que vous le rappeliez sur le numéro officiel, et un faux insiste pour rester en ligne. Cette discipline vaut aussi pour les SMS et les courriels qui reprennent vos données exactes : ne cliquez pas, connectez-vous vous-même au site officiel.
Troisième réflexe : signaler et déposer plainte, car chaque signalement alimente l’enquête et protège vos droits futurs. Signalez les messages frauduleux sur la plateforme officielle de signalement des contenus illicites de l’internet, et les tentatives d’escroquerie auprès du service compétent de votre opérateur puis de votre banque si un virement est parti. Déposez plainte au commissariat ou à la gendarmerie pour usurpation d’identité, accès frauduleux et extraction de données, en visant les articles 226-4-1, 323-1 et 323-3 du code pénal, et joignez vos captures, vos relevés anormaux et la notification reçue. La plainte peut aussi être adressée par écrit au procureur de la République. En parallèle, adressez une réclamation à la Commission nationale de l’informatique et des libertés par sa procédure de plainte en ligne, en décrivant le fichier concerné, la notification reçue ou son absence, et les usages frauduleux constatés : la Commission peut contrôler le responsable du traitement, le mettre en demeure et prononcer des sanctions, et votre plainte individuelle rejoint les constats utiles à tous. Si le responsable du fichier ne vous a pas informé alors que vos données circulent, mentionnez-le expressément, car le règlement européen lui impose d’avertir les personnes exposées à un risque élevé.
Cette obligation d’information pèse en effet sur le responsable du traitement. L’article 33 du règlement (UE) 2016/679 du 27 avril 2016 prévoit : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. » (article 33 du règlement (UE) 2016/679). Et l’article 34 ajoute : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » (article 34 du règlement (UE) 2016/679). Un numéro de Sécurité sociale associé à l’état civil et aux coordonnées entre typiquement dans ce risque élevé. Conservez donc la preuve de la date à laquelle vous avez appris la fuite et de la date à laquelle l’organisme vous a averti : un silence prolongé ou une information tardive du responsable constitue un levier de discussion avec son service juridique, avec la Commission et, le cas échéant, avec le juge. Pour une méthode pas à pas déjà éprouvée après une cyberattaque massive contre un organisme de formation, avec plainte et indemnisation, les lecteurs peuvent aussi consulter le dossier consacré à la cyberattaque visant un organisme national de formation et aux recours des 1,7 million de victimes.
B. Indemnisation du préjudice : ce que les juges exigent vraiment
L’indemnisation obéit à une règle que beaucoup de victimes découvrent trop tard : la fuite, même avérée, ne suffit pas ; il faut prouver un dommage concret. L’article 82, paragraphe 1, du règlement (UE) 2016/679 dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (article 82 du règlement (UE) 2016/679). La Cour de cassation vient d’en tirer toutes les conséquences dans un arrêt de la chambre sociale du 24 juin 2026 (pourvoi n° 24-22.792, publié au Bulletin) : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et il appartenait aux juges d’appel « d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral » (Cass. soc., 24 juin 2026, n° 24-22.792). Dans cette affaire, la cour d’appel avait alloué 5 000 euros en retenant que le non-respect du règlement avait « nécessairement » causé un préjudice ; la cassation est intervenue parce que le salarié ne démontrait dans ses écritures « ni son existence, ni son étendue ».
Le même arrêt reprend l’enseignement de la Cour de justice de l’Union européenne du 4 mai 2023 (affaire C-300/21, Österreichische Post) : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », mais le texte « il s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » (arrêt qui rappelle la jurisprudence européenne). Autrement dit, aucun seuil de gravité ne peut vous être opposé pour un préjudice moral, mais vous devez établir ce préjudice pièce par pièce : relevés de remboursements détournés, attestations de démarches contestées, captures des messages reçus, temps passé à sécuriser vos comptes, anxiété médicalement constatée si elle existe. La Cour de justice a ajouté le 25 janvier 2024 (affaire C-687/21, cités par la chambre sociale dans son arrêt du 24 juin 2026) que la personne qui demande réparation « est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral », et que la réparation remplit « une fonction compensatoire », pas punitive : le juge indemnise le dommage réellement subi, sans dommages punitifs.
Le terrain de l’article 9 du code civil, qui dispose que « Chacun a droit au respect de sa vie privée » (article 9 du code civil), offre un complément utile quand la diffusion touche votre image ou votre identité. La cour d’appel de Paris, pôle 4 chambre 13, dans un arrêt du 18 novembre 2025 (RG n° 22/11924), a jugé que la simple constatation d’une atteinte à la vie privée suffit à ouvrir droit à réparation, en précisant que le montant tient compte de facteurs aggravants comme l’ampleur de la diffusion, ses modalités ou le trouble causé à la tranquillité de la victime, et de facteurs minorants comme le caractère notoire des faits ou le comportement de la victime. Dans cette affaire, la photographie d’une plaignante, prise dans les locaux de la police avec le cachet de la préfecture, avait circulé sur internet ; l’agent judiciaire de l’État a été condamné à 8 000 euros de préjudice moral. La leçon vaut pour les fichiers volés : l’ampleur de la diffusion, la sensibilité des données et les démarches entreprises pour faire cesser l’atteinte pèsent sur le montant, et le fondement de droit commun de l’article 1240 du code civil, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil), permet d’agir contre le responsable du traitement dont la faute, par exemple un défaut de sécurité, est démontrée.
Contre le responsable du fichier, deux leviers se combinent donc : la mise en demeure de sécuriser, de retracer les accès et de vous informer, adossée aux articles 33 et 34 du règlement européen et aux pouvoirs de la Commission, puis l’assignation en réparation de votre préjudice documenté. N’oubliez pas le volet pénal contre l’auteur inconnu : l’article 226-16 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi » (article 226-16 du code pénal), et votre constitution de partie civile dans l’enquête sur l’intrusion vous ouvre l’accès au dossier. Agissez vite mais sans précipitation : chaque pièce compte, et un dossier sans preuve de dommage concret s’expose au sort du salarié débouté le 24 juin 2026.
Conclusion
À la date de rédaction, les faits rapportés par la presse restent à des stades très différents : une cyberattaque avérée contre une région, avec enquête ouverte et environ 5 500 personnes averties, et une revendication non confirmée par une source officielle contre une agence publique, avec des volumes annoncés mais non vérifiés. Dans les deux cas, aucune responsabilité n’est établie, les contrats et les garanties souscrites priment sur toute analyse générale, et seul le juge tranchera les responsabilités. Pour la personne dont le numéro de Sécurité sociale circule, la marche à suivre ne dépend pas de ces incertitudes : surveiller ses relevés Ameli, fiscaux et bancaires, verrouiller ses comptes avec une authentification hors SMS, ne jamais valider une information au téléphone, signaler, déposer plainte en visant l’usurpation d’identité et l’intrusion, saisir la Commission nationale de l’informatique et des libertés, puis chiffrer pièce par pièce le préjudice avant de réclamer réparation. La jurisprudence récente est claire : le juge indemnise le dommage prouvé, pas la violation abstraite. Tenez un dossier daté dès aujourd’hui, car c’est lui qui fera, demain, la différence entre une crainte légitime et une réparation obtenue.