Le 30 septembre 2026, une région française a détecté une cyberattaque visant son outil de suivi et de rémunération des stagiaires en formation professionnelle. Selon un quotidien régional daté du 9 octobre 2026, les données personnelles de près de 5 500 personnes ont été divulguées en ligne et pourraient servir à des usurpations d’identité. La recension rapportée par ce même quotidien évoque 6 767 dossiers reliés à 5 417 personnes. D’après une radio locale, la collectivité explique avoir prévenu les victimes et porter plainte. Presque au même moment, un site spécialisé dans le suivi des fuites a relayé, le 9 octobre 2026, la revendication d’un pirate qui affirmerait détenir les données de près de 30 000 personnes issues d’un établissement public chargé de verser des aides de l’État, dont quelque 24 000 numéros de Sécurité sociale, avec une compromission qui remonterait au 29 septembre. Le site spécialisé jugerait cet échantillon crédible après examen, sans avoir vérifié les volumes annoncés, et l’établissement n’avait pas réagi à ce stade. Aucune intrusion, aucun dommage ni aucune responsabilité ne sont constatés par une source officielle à la date de rédaction. Les qualifications juridiques évoquées dans cet article le sont au conditionnel. Les contrats signés priment sur toute analyse générale et seul le juge décide.
Vos nom, adresse, téléphone et numéro de Sécurité sociale circulent en clair sur internet à la suite d’une cyberattaque contre un organisme. Que faire concrètement : comment faire retirer ces données personnelles mises en ligne, comment verrouiller votre identité avant qu’un escroc ne l’utilise, et comment obtenir réparation ? La première partie de cet article décrit les démarches de retrait et de verrouillage. La seconde expose les plaintes, la saisine de la CNIL et l’action en réparation. Ces développements sont de portée générale : ils décrivent les vérifications et les recours utiles dans toute situation comparable.
I. Fuite de données personnelles mises en ligne : les faire retirer et verrouiller votre identité
A. Faire supprimer vos données personnelles et obtenir le déréférencement
Quand vos données personnelles ont été mises en ligne sans votre accord, le premier réflexe consiste à en demander l’effacement à chaque responsable des pages qui les diffusent. L’article 17 du règlement général sur la protection des données ouvre ce droit dans des termes directs : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique » (article 17 du RGPD sur EUR-Lex). Le traitement illicite figure parmi ces motifs : des données volées puis publiées par un tiers procèdent d’un traitement illicite, ce qui fonde la demande d’effacement. La personne dont les données ont fuité après la cyberattaque visant son organisme de formation ou l’établissement qui verse ses aides peut donc écrire à tout site qui republie ses données en clair pour exiger leur suppression, en joignant la preuve de son identité et la désignation précise des pages concernées.
Le même article 17 règle le cas où les données ont déjà été rendues publiques et recopiées : « Lorsqu’il a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci » (article 17, paragraphe 2 du RGPD sur EUR-Lex). Concrètement, l’organisme piraté qui vous a informé de la fuite devrait être invité, par écrit, à signaler aux moteurs de recherche et aux sites miroirs les copies dont il a connaissance. Cette demande écrite servira ensuite de preuve de votre diligence si le dossier va devant la CNIL ou devant le juge.
La procédure pratique suit un ordre simple. D’abord, contactez le site sur lequel vos informations apparaissent : les coordonnées du responsable figurent en principe dans les mentions légales ou la politique de confidentialité, et la CNIL met à disposition un modèle de courrier pour demander la suppression de données personnelles (faire supprimer des informations diffusées sur internet, site de la CNIL). Le responsable du site dispose d’un mois maximum pour répondre. Passé ce délai, ou en cas de refus, vous pouvez adresser une plainte à la CNIL en joignant la copie de votre courrier et de la réponse éventuelle. Ensuite, demandez le déréférencement auprès de chaque moteur de recherche : les pages restent sur le site d’origine mais n’apparaissent plus dans les résultats sur votre nom. Les deux principaux moteurs mettent à disposition un formulaire en ligne dédié aux demandes fondées sur la protection des données.
Le juge peut ordonner ce déréférencement, à condition de viser des liens précis. La première chambre civile de la Cour de cassation l’a jugé le 27 novembre 2019 : saisie d’une demande de déréférencement, la juridiction « doit, pour porter une appréciation sur son bien-fondé, vérifier, de façon concrète, si l’inclusion du lien litigieux dans la liste des résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, répond à un motif d’intérêt public important, tel que le droit à l’information du public, et si elle est strictement nécessaire pour assurer la préservation de cet intérêt » (Cass. 1re civ., 27 novembre 2019, n° 18-14.675). Dans cette affaire, la cour d’appel avait rejeté la demande au motif que l’intéressé exerçait une profession réglementée appelant une probité particulière. La Cour de cassation a cassé : la cour d’appel n’avait pas recherché « si, compte tenu de la sensibilité des données en cause et, par suite, de la particulière gravité de l’ingérence dans les droits de M. N… au respect de sa vie privée et à la protection de ses données à caractère personnel, l’inclusion des liens litigieux dans la liste des résultats était strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés », ajoutant qu’« à défaut de quoi serait caractérisé un trouble manifestement illicite au sens de l’article 809 du code de procédure civile ». Pour la victime d’une fuite massive, l’enseignement est net : des dossiers de stagiaires ou d’allocataires mis en ligne par un pirate ne présentent aucun motif d’intérêt public qui justifierait leur indexation sur votre nom, et le juge des référés peut être saisi pour faire cesser ce trouble.
La même Cour de cassation a toutefois sanctionné les demandes trop vagues. Le 14 février 2018, elle a jugé qu’une injonction de « suppression des liens référencés en lien avec les données à caractère strictement privé et personnel » était « par trop générale et imprécise » et qu’elle « ne pouvait dès lors donner lieu à quelque liquidation d’astreinte », puis elle a cassé l’arrêt « mais seulement en ce qu’il enjoint à la société Google Inc. de supprimer les liens qui conduisent, lors de recherches opérées sur le moteur […] incluant les nom et prénom de M. Y…, à toute adresse URL identifiée et signalée par ce dernier comme portant atteinte à sa vie privée » (Cass. 1re civ., 14 février 2018, n° 17-10.499). Retenez la méthode : listez chaque adresse URL exacte où vos données apparaissent, conservez les captures d’écran datées et, si possible, faites constater par commissaire de justice. Une liste d’adresses précises donne au juge une injonction exécutable sous astreinte ; une formule générale expose votre demande à la censure.
B. Numéro de Sécurité sociale et usurpation d’identité : verrouiller vos comptes
Le fichier revendiqué contiendrait, selon le site spécialisé qui recense l’annonce, des noms, noms de naissance, dates et pays de naissance, adresses postales, téléphones, situations familiales et numéros de Sécurité sociale. Un tel assortiment suffirait à monter une usurpation d’identité crédible : souscrire un crédit, ouvrir une ligne téléphonique ou un compte, ou piéger vos proches avec des informations exactes. Le numéro de Sécurité sociale ne se change pas : il faut donc verrouiller tout ce qui s’ouvre avec lui. Créez ou sécurisez votre compte Ameli avec un mot de passe unique et une authentification renforcée, vérifiez vos relevés de remboursements et signalez toute anomalie à votre caisse. Activez FranceConnect+ pour vos démarches sensibles et refusez systématiquement de confirmer vos données à un interlocuteur qui vous appelle, même s’il connaît votre adresse et votre situation familiale : un vrai conseiller ne vous demande jamais vos codes.
Le téléphone mérite une vigilance particulière. Avec votre nom, votre date de naissance et votre numéro de ligne, un escroc pourrait tenter un transfert de votre numéro vers sa propre carte SIM pour intercepter vos codes de validation, puis vider un compte ou détourner des remboursements. Demandez à votre opérateur les protections disponibles contre ce transfert frauduleux : code confidentiel client, interdiction de changement de carte SIM sans passage en boutique avec pièce d’identité, alerte par courrier. Remplacez partout où c’est possible la validation par SMS par une application d’authentification. Surveillez vos comptes bancaires ligne par ligne pendant plusieurs mois et conservez chaque relevé : en cas d’opération que vous n’avez pas autorisée, la contestation rapide conditionne le remboursement, et vos relevés feront preuve. Conservez aussi tous les messages suspects : faux conseiller, faux agent de l’organisme, demande de rappel surtaxé. Chaque SMS ou courriel frauduleux reçu après la fuite documente le lien entre la fuite et le préjudice.
Méfiez-vous enfin des officines qui proposeraient, contre paiement, de « supprimer » vos données volées. La suppression de fichiers déjà copiés et revendus entre pirates est en pratique illusoire, et la CNIL a alerté sur ces fausses offres. Ne payez jamais une rançon ni un service de suppression : vous financeriez le circuit que vous prétendez combattre, sans aucune garantie de résultat. Les seules démarches qui protègent sont celles décrites ici : effacement auprès des diffuseurs identifiables, déréférencement sur votre nom, verrouillage des comptes et conservation des preuves.
II. Fuite de données personnelles : plainte, sanction de l’organisme et réparation
A. Porter plainte et saisir la CNIL après une fuite de données
Le piratage d’un système et la diffusion de vos données relèvent du droit pénal, et votre plainte ouvre l’enquête. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » (article 323-1 du code pénal, Légifrance). L’article 323-3 vise l’étape suivante, la mise en circulation du butin : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende » (article 323-3 du code pénal, Légifrance). Quand le système visé met en œuvre des données personnelles pour le compte de l’État, ces deux textes portent la peine à sept ans d’emprisonnement et 300 000 euros d’amende. Si vos données servent ensuite à vous usurper, l’article 226-4-1 s’applique à l’usurpateur : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende » (article 226-4-1 du code pénal, Légifrance). Et si l’escroc vous trompe avec vos propres données pour obtenir de l’argent, l’article 313-1 qualifie l’escroquerie : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal, Légifrance). Déposez plainte au commissariat ou par courrier au procureur de la République en détaillant chaque usage frauduleux constaté, et constituez-vous partie civile pour demander réparation dans le procès pénal.
Parallèlement, l’organisme piraté supporte des obligations strictes de notification. L’article 33 du RGPD impose au responsable du traitement d’avertir l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques », et précise que « Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard » (article 33 du RGPD sur EUR-Lex). L’article 34 l’oblige à vous informer directement quand la fuite est grave : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais » (article 34 du RGPD sur EUR-Lex). Des numéros de Sécurité sociale diffusés en clair caractérisent un risque élevé. Si l’organisme ne vous a pas prévenu, demandez-lui par écrit s’il a notifié la CNIL et à quelle date, et conservez sa réponse : ce courrier alimentera votre plainte auprès de l’autorité de contrôle.
Vous pouvez saisir la CNIL d’une plainte en ligne, notamment si votre demande d’effacement est restée sans réponse au bout d’un mois ou si l’organisme refuse de vous informer. L’article 77 du RGPD garantit ce recours : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement » (article 77 du RGPD sur EUR-Lex). L’autorité informe l’auteur de la réclamation de l’état d’avancement et de l’issue, et l’article 78 ouvre un recours juridictionnel contre ses décisions. La plainte CNIL et la plainte pénale se cumulent : la première vise la sanction administrative et la mise en conformité de l’organisme, la seconde la condamnation des auteurs.
B. Obtenir réparation du préjudice causé par la fuite de données
La victime d’une fuite de données personnelles dispose d’une action en réparation contre l’organisme dont la sécurité a failli. L’article 82 du RGPD l’énonce sans détour : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82 du RGPD sur EUR-Lex). Le même article précise que « Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement », et que le responsable ou le sous-traitant n’est exonéré que « s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable ». La charge de la preuve pèse donc sur l’organisme : c’est à lui de démontrer que la cyberattaque ne lui est nullement imputable, par exemple en établissant qu’il avait mis en œuvre des mesures de sécurité appropriées et tenues à jour. En droit français, l’article 1240 du code civil fonde la même action : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil, Légifrance). La négligence dans la sécurisation des fichiers pourrait constituer cette faute : le code pénal punit d’ailleurs « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi » de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-16 du code pénal, Légifrance). Seul le juge appréciera, au vu des mesures réellement déployées, si l’organisme a manqué à ses obligations de sécurité.
Le préjudice réparable comprend le dommage matériel et le dommage moral. Sont matériels les sommes détournées après usurpation, les frais de remplacement des documents, les frais de sécurisation et le coût des démarches. Est moral le préjudice d’angoisse : vivre des mois avec la crainte qu’un inconnu ouvre un crédit ou vide un compte à votre nom, passer des heures au téléphone avec les banques, l’Assurance Maladie et l’opérateur. Documentez chaque poste dès maintenant : courriers de notification de l’organisme, captures des pages diffusant vos données, récépissés de plainte, relevés bancaires annotés, factures, attestations de temps passé. Chiffrez poste par poste dans un tableau daté. Adressez ensuite à l’organisme une mise en demeure de réparer, par lettre recommandée avec accusé de réception, en joignant ce chiffrage et en rappelant l’article 82 du RGPD. Si l’organisme refuse ou ne répond pas, portez l’affaire devant le tribunal judiciaire, où vous pourrez aussi demander au juge d’ordonner les mesures de retrait et de déréférencement décrites dans la première partie, y compris en référé pour faire cesser le trouble manifestement illicite. Les victimes d’une même fuite peuvent agir ensemble et partager les constats : une documentation commune des pages diffusées renforce chaque dossier individuel. Pour compléter ces démarches par les techniques d’effacement de vos données personnelles des résultats des moteurs de recherche, reportez-vous à notre dossier consacré au déréférencement après une fuite.
Conclusion
Des milliers de dossiers contenant des numéros de Sécurité sociale auraient été mis en ligne après deux cyberattaques touchant des organismes français, l’une détectée le 30 septembre contre un outil régional de formation professionnelle, l’autre revendiquée le 9 octobre contre un établissement versant des aides. Si vous êtes concerné, agissez dans l’ordre : faites retirer vos données page par page avec des adresses URL précises, demandez le déréférencement sur votre nom, verrouillez vos comptes Ameli, bancaires et téléphoniques, conservez toutes les preuves, déposez plainte et saisissez la CNIL, puis chiffrez votre préjudice et mettez l’organisme en demeure sur le fondement de l’article 82 du RGPD. À ce jour, aucune intrusion, aucun dommage ni aucune responsabilité ne sont établis par une source officielle, les faits rapportés par la presse restent à confirmer par l’enquête, et les contrats que vous avez signés priment sur toute analyse générale. Seul le juge, au vu des pièces de votre dossier, dira si l’organisme a manqué à ses obligations et quelle réparation vous est due.