Un matin, un proche vous appelle pour vous parler de messages étranges reçus depuis un compte à votre nom que vous n’avez jamais créé. Le profil reprend votre photo, votre prénom, parfois votre ville ou votre employeur, et écrit à vos contacts. Le même jour, un organisme de crédit vous réclame le remboursement d’un prêt que vous n’avez jamais souscrit. Ces deux scènes relèvent souvent d’un même mécanisme : quelqu’un utilise, sans votre accord, des informations qui permettent de vous identifier. La Commission nationale de l’informatique et des libertés décrit ainsi l’usurpation d’identité : elle consiste à utiliser, sans votre accord, des informations permettant de vous identifier, qu’il s’agisse de vos nom et prénom, de votre adresse électronique ou de photographies. L’administration résume la situation d’une formule simple : quand la victime constate que son identité ou ses données personnelles sont utilisées à son insu, c’est une usurpation d’identité.

La question n’est pas seulement pénale. Dès qu’un faux compte, un faux profil ou un dossier de crédit frauduleux mobilise votre nom, votre image ou vos coordonnées, le droit des données personnelles s’applique : vous disposez de droits précis contre les sites et les plateformes qui diffusent ces informations, d’un recours devant la Commission nationale de l’informatique et des libertés, et d’une action en réparation. Le présent article décrit, dans cet ordre, comment faire cesser la diffusion, puis comment faire sanctionner l’auteur des faits et obtenir réparation. Chaque étape distingue ce que vous pouvez faire seul, ce que la plateforme doit faire et ce que le juge peut ordonner.

I. Faire cesser l’utilisation de votre identité sur internet

A. Exiger l’effacement et l’opposition directement auprès du site ou de la plateforme

Le premier réflexe consiste à s’adresser à celui qui diffuse : le réseau social qui héberge le faux compte, le site qui publie vos coordonnées, le moteur de recherche qui les rend visibles. Ce responsable dispose d’obligations propres, et votre demande doit être construite pour les activer.

Le droit français vous donne d’abord un droit à l’effacement. L’article 51 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dispose : « I.-Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016. » Parmi les cas visés par ce texte figure celui des données ayant fait l’objet d’un traitement illicite. Or un faux compte créé à votre insu, qui reprend votre nom et votre photographie pour écrire à vos contacts, constitue précisément un traitement illicite de vos données : personne n’a consenti à ce traitement, et aucun autre fondement ne le justifie. Votre demande d’effacement doit donc identifier avec précision les contenus visés, page par page, adresse URL par adresse URL, et invoquer ce motif. Avant même d’écrire à la plateforme, vérifiez qu’il s’agit bien d’une usurpation et non d’un homonyme : un nom courant peut appartenir à une autre personne qui publie légitimement sous son identité, et dans ce cas il n’y a ni infraction ni traitement illicite. Si ce sont vos photographies qui circulent, utilisez un moteur de recherche d’images inversée : chargez votre photo ou collez l’adresse de l’image, et le moteur liste les sites qui la réutilisent publiquement. Conservez une capture datée de ce résultat, car elle établit l’ampleur de la diffusion et pourra être produite devant la Commission ou le juge. Vérifiez également si vos données circulent à la suite d’une fuite plus large : des identifiants compromis dans un piratage alimentent souvent, dans un second temps, des tentatives d’usurpation, et les réflexes de sécurisation — changement des mots de passe, activation de la double authentification, surveillance des relevés — sont alors les mêmes.

La Commission recommande d’ailleurs, avant toute démarche, de constituer un dossier : adresses URL des pages et des profils concernés, captures d’écran du faux profil et de ses publications, justificatifs établissant qu’il s’agit bien de vos informations. Ce dossier sert deux fois : il fonde votre demande auprès du site, et il servira ensuite de preuve si le site ne répond pas.

La même loi vous donne un droit d’opposition. Son article 56 dispose : « Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016. » Le responsable doit alors cesser le traitement, à moins de démontrer des motifs légitimes et impérieux qui prévaudraient sur vos intérêts et droits : face à un faux compte créé à votre insu, un tel motif ne peut pas être caractérisé. Face à un faux compte, aucun motif légitime et impérieux ne peut justifier la poursuite de la diffusion : l’opposition s’ajoute donc utilement à la demande d’effacement, en particulier lorsque la plateforme tarde à répondre ou propose seulement de « masquer » le contenu au lieu de le supprimer.

Le responsable du site n’a pas le choix de son calendrier. Le même article 51 organise la suite : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation. » Concrètement, une demande d’effacement adressée à une plateforme appelle une réponse dans ce délai d’un mois, et le silence ou le refus non motivé ouvre la voie du recours. La Commission précise les pièces que les services en ligne peuvent exiger pour traiter votre signalement : une copie de votre pièce d’identité pour un nom usurpé, une pièce d’identité accompagnée d’une photographie récente lorsque c’est votre image qui est détournée, un justificatif de domicile ou de l’opérateur pour une adresse ou un numéro de téléphone. Ces documents ne peuvent servir qu’à vérifier votre identité dans ce dossier : ils ne peuvent pas être réutilisés à une autre fin.

En pratique, chaque grande plateforme met à disposition un formulaire dédié : signalement d’un compte d’imposteur sur Facebook, signalement des comptes usurpant une identité sur X, formulaire d’usurpation sur Snapchat, pages d’assistance du compte Google. Utilisez ces canaux en priorité, par écrit, en conservant une copie datée de chaque envoi. Si le contenu usurpant votre identité apparaît aussi dans les résultats d’un moteur de recherche, adressez une demande de déréférencement au moteur concerné, distincte de la demande adressée au site d’origine : la suppression à la source et le déréférencement sont deux démarches complémentaires, et l’échec de l’une ne dispense pas de tenter l’autre.

Il existe toutefois une limite à connaître, rappelée par une décision récente de la Cour de cassation. Le 3 juin 2026, la première chambre civile a rejeté le pourvoi formé contre l’arrêt de la cour d’appel de Paris du 20 février 2025 dans une affaire où un particulier demandait l’anonymisation d’un article de presse en ligne relatant une condamnation pénale prononcée en 2009 (Cass. civ. 1re, 3 juin 2026, n° 25-14.228). La Cour a jugé que la cour d’appel, après mise en balance des intérêts en présence, avait légalement justifié sa décision de rejeter la demande d’anonymisation. L’enseignement est net : quand le contenu litigieux relève de l’information du public, notamment du compte rendu d’une décision de justice, l’effacement cède devant la liberté d’expression et d’information, que le paragraphe 3 de l’article 17 du règlement réserve expressément. Un faux compte créé par un inconnu n’a rien à voir avec cette hypothèse, mais la distinction doit être présente à l’esprit dès lors que les contenus visés mêlent des éléments d’actualité ou des publications de tiers.

B. Saisir la Commission puis le juge quand le site ne répond pas

Si la plateforme ne répond pas dans le délai d’un mois, refuse l’effacement sans motif sérieux ou supprime le compte sans effacer les données conservées, l’étape suivante est la réclamation devant la Commission nationale de l’informatique et des libertés. La loi ouvre ce recours : en cas de refus ou de silence du responsable dans le délai d’un mois, vous pouvez saisir la Commission nationale de l’informatique et des libertés, qui se prononce dans un délai de trois semaines. La réclamation suppose en principe d’avoir d’abord saisi le responsable du traitement : joignez donc à votre dossier la copie de votre demande d’effacement, la preuve de son envoi et, le cas échéant, la réponse de refus. La Commission peut alors instruire, mettre en demeure le responsable et, si les manquements sont établis, prononcer une sanction. Si la Commission ne traite pas votre réclamation ou ne vous informe pas de son état d’avancement, le règlement européen vous ouvre un recours juridictionnel effectif contre elle, et ce recours est également ouvert contre une décision de la Commission qui ne vous satisferait pas.

Parallèlement, le juge judiciaire peut être saisi pour obtenir la suppression des contenus et l’identification de l’auteur. Deux fondements méritent l’attention. D’une part, l’article 6 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique organise la responsabilité des hébergeurs : ses dispositions prévoient notamment que les fournisseurs d’hébergement détiennent et conservent les données de nature à permettre l’identification de quiconque a contribué à la création des contenus qu’ils hébergent, et punissent d’un an d’emprisonnement et de 15 000 euros d’amende le fait de présenter à un hébergeur un contenu comme illicite en sachant cette information inexacte, dans le but d’en obtenir le retrait. La leçon pratique est double : l’hébergeur dispose des données d’identification de l’auteur du faux site ou du faux compte, et votre notification doit être exacte et documentée, car une dénonciation mensongère vous exposerait à son tour à des poursuites.

D’autre part, l’article 145 du code de procédure civile permet d’obtenir avant tout procès des mesures d’instruction : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Une ordonnance de référé rendue le 18 mars 2026 par le tribunal judiciaire de Paris illustre cette voie : la demanderesse, estimant faire l’objet d’une usurpation d’identité et d’une exploitation de ses données personnelles par deux sites hébergés par une société islandaise non constituée, avait assigné l’hébergeur en référé sur le fondement de l’article 145 du code de procédure civile, de l’article 6 de la loi pour la confiance dans l’économie numérique et du règlement sur les services numériques, afin d’obtenir la communication des données d’identification des créateurs des sites — nom et prénom, adresse postale, adresse électronique, numéro de téléphone, adresse de facturation et informations de paiement — dans un délai de dix jours, outre une somme au titre des frais irrépétibles (TJ Paris, ord. réf., 18 mars 2026, RG 26/50136). L’intérêt de cette procédure est son objet : identifier l’auteur avant d’engager le procès au fond, y compris lorsque l’hébergeur est établi hors de France.

La Cour de cassation a récemment rappelé l’importance de cette question de l’identification. Le 26 février 2025, la première chambre civile a cassé un arrêt de la cour d’appel de Paris qui avait rejeté une demande de suppression de vidéos publiées sur une chaîne YouTube, au motif que les demandeurs ne démontraient pas l’impossibilité d’identifier les auteurs (Cass. civ. 1re, 26 février 2025, n° 23-16.762). La Cour a jugé que la cour d’appel n’avait pas répondu aux conclusions des demandeurs, qui faisaient valoir que le titulaire du compte avait utilisé un fournisseur d’accès ne permettant pas son identification et qu’une information pénale antérieure n’avait pas permis d’identifier l’auteur. Cet arrêt ne dit pas que tout contenu non attribué doit être supprimé, mais il impose aux juges du fond d’examiner sérieusement l’argument tiré de l’impossibilité d’identifier l’auteur : quand personne ne peut être identifié ni poursuivi, la suppression du contenu illicite devient souvent la seule protection effective de la victime.

Ces voies judiciaires s’articulent avec la démarche administrative. La plainte devant la Commission vise le responsable du traitement qui refuse d’effacer ; l’action devant le juge vise la suppression des contenus et l’identification de l’auteur ; et lorsque la fuite de données personnelles s’inscrit dans un piratage plus large, les premières vérifications consistent à établir ce qui a été exposé, à se protéger et à saisir la Commission, comme le décrit ce guide consacré aux fuites de données personnelles et aux recours devant la Commission et le juge. Menées ensemble, ces démarches couvrent les trois fronts : la source, l’autorité de contrôle et le juge.

II. Faire sanctionner l’auteur et obtenir réparation

A. Déposer plainte au pénal et préserver vos droits dans l’enquête

L’usurpation d’identité est une infraction pénale. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le même article ajoute : « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Le faux compte sur un réseau social, le faux profil sur un site de rencontres, l’utilisation de vos données pour souscrire un crédit : dès lors que l’usage vise à troubler votre tranquillité ou à porter atteinte à votre honneur ou à votre considération, et qu’il est commis en ligne, l’aggravation numérique s’applique avec les mêmes peines.

L’administration invite la victime à porter plainte dès qu’elle constate l’infraction, par exemple lorsqu’elle reçoit une demande de remboursement d’un crédit qu’elle n’a pas souscrit. La plainte se dépose auprès du commissariat de police ou de la brigade de gendarmerie du domicile, ou auprès du procureur de la République ; une pré-plainte en ligne permet de préparer la démarche, mais elle ne devient une plainte qu’après signature devant un service de police ou une unité de gendarmerie. La plainte doit être accompagnée de toutes les preuves : captures d’écran, messages, adresses des pages concernées, demandes de remboursement adressées par des organismes. Lors du dépôt, la victime peut accepter d’être enregistrée au fichier des personnes recherchées pour les besoins de l’enquête. Si la plainte vise à ce que l’auteur soit poursuivi, elle se distingue de la main courante, qui ne déclenche pas de poursuites : choisissez la plainte dès lors que vous souhaitez une sanction.

Plusieurs démarches complémentaires protègent vos intérêts pendant l’enquête. Avertissez les administrations et les organismes concernés : banques, organismes de crédit, caisses, opérateurs. La victime peut établir une attestation sur l’honneur à destination des organismes qui la mettent en cause, pour déclarer qu’elle n’est pas l’auteur des actes, en joignant une copie de sa plainte. Si vous recevez un avis de contravention pour un fait que vous n’avez pas commis, contestez-le en produisant la plainte pour usurpation. Surveillez vos comptes et vos relevés bancaires pour repérer tout mouvement anormal, changez vos mots de passe et, si vos codes ont pu être compromis, faites opposition auprès de votre banque. Demandez à votre banque la liste des opérations récentes et contestez par écrit celles que vous n’avez pas autorisées, en joignant la copie de votre plainte : cette contestation écrite et datée servira à établir le dommage matériel si un crédit ou un paiement frauduleux a été engagé en votre nom. Si l’usurpateur a ouvert une ligne téléphonique ou un abonnement à votre nom, écrivez également à l’opérateur concerné, par lettre recommandée avec accusé de réception, pour contester le contrat et demander l’effacement des données associées, sur le fondement du droit à l’effacement et du droit d’opposition décrits plus haut. Chaque courrier recommandé complète la chronologie qui démontrera, devant le juge, que vous avez agi sans tarder et que les organismes dûment alertés ont maintenu des traitements que vous contestiez. Enfin, signalez l’usurpation numérique directement aux plateformes concernées : le signalement à la plateforme et la plainte pénale ne se remplacent pas, ils se complètent — le premier fait cesser la diffusion, la seconde permet d’identifier et de sanctionner l’auteur.

B. Agir contre le responsable du traitement et obtenir réparation du préjudice

L’auteur des faits n’est pas le seul débiteur : le responsable du traitement qui a refusé d’effacer vos données ou qui les a conservées sans fondement engage sa propre responsabilité. Le règlement européen ouvre à chaque personne concernée un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant qui aurait violé ses droits, et cette action peut être portée devant les juridictions de votre résidence habituelle. En droit français, l’article 1240 du code civil fonde la demande en réparation dès lors qu’une faute du responsable est établie. Concrètement, le refus persistant d’effacer un faux compte, la conservation de vos données après la suppression du compte ou l’absence de réponse à votre opposition constituent des violations susceptibles de fonder ce recours.

Le préjudice subi ouvre droit à réparation. Le règlement européen reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d’une violation de ses dispositions le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant Le dommage matériel recouvre les sommes indûment réclamées, les frais exposés pour faire cesser l’usurpation, les crédits frauduleusement souscrits ; le dommage moral recouvre l’atteinte à la réputation, l’angoisse, le temps consacré aux démarches. Lorsque plusieurs acteurs participent au même traitement, chacun est tenu pour le tout, afin de garantir une réparation effective, et celui qui a payé peut ensuite se retourner contre les autres à proportion de leurs responsabilités. Le responsable ne s’exonère qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable : la charge de cette preuve pèse sur lui, non sur vous.

L’évaluation du préjudice doit être méthodique. Chiffrez les pertes financières avec pièces justificatives : relevés, mises en demeure reçues, frais de déplacement, frais d’opposition, coût des démarches. Documentez le préjudice moral : nature des propos tenus sous votre nom, audience du faux compte, nombre de vos contacts démarchés, durée d’exposition avant suppression, conséquences professionnelles si votre employeur ou vos clients ont été approchés. Conservez la chronologie complète : date de découverte, date de la demande d’effacement, date de la réponse ou du silence, date de la réclamation devant la Commission, date du dépôt de plainte. Cette chronologie établit à la fois la faute — le maintien de la diffusion après signalement — et l’étendue du dommage.

L’action en réparation peut être jointe à la plainte pénale par la constitution de partie civile, ou exercée devant le juge civil. Devant le juge civil, elle se combine utilement avec une demande d’injonction de suppression et, le cas échéant, avec la demande de communication des données d’identification de l’auteur sur le fondement de l’article 145 du code de procédure civile. Devant le juge pénal, la constitution de partie civile permet de demander des dommages et intérêts dans le procès de l’auteur, dès lors que celui-ci a été identifié. Dans les deux cas, la réclamation préalable devant la Commission renforce le dossier : elle établit que le responsable a été mis en demeure et qu’il a persisté.

Le droit commun renforce encore ces protections. L’article 9 du code civil dispose : « Chacun a droit au respect de sa vie privée. » Lorsque le faux compte diffuse votre photographie ou des éléments de votre intimité, ce fondement permet au juge de prescrire toutes mesures propres à faire cesser l’atteinte, y compris en référé en cas d’urgence. Si l’image détournée a été captée dans un lieu privé, l’article 226-1 du code pénal, qui punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de fixer, d’enregistrer ou de transmettre sans consentement l’image d’une personne se trouvant dans un lieu privé, peut également être visé dans la plainte. Enfin, l’article 1240 du code civil rappelle le principe général : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Ce texte fonde la réparation devant le juge civil pour tous les préjudices que le régime spécial du règlement ne couvrirait pas, et il s’applique aussi à l’auteur direct de l’usurpation, parallèlement à la sanction pénale encourue sur le fondement de l’article 226-4-1 du code pénal.

L’usurpation d’identité en ligne n’est donc pas une fatalité numérique. Le droit des données personnelles vous donne les moyens de faire effacer et de faire opposition ; la Commission peut contraindre le responsable récalcitrant ; le juge des référés peut ordonner l’identification de l’auteur ; le juge pénal peut sanctionner ; et le juge civil peut réparer. La condition commune de ces succès est la rigueur du dossier : captures datées, demandes écrites conservées, plainte déposée sans tarder, préjudice chiffré. Face à un faux compte qui parle en votre nom, chaque jour de diffusion compte : constituez vos preuves dès la découverte, exigez l’effacement par écrit, saisissez la Commission en cas de refus et déposez plainte pour que l’auteur réponde de ses actes.