Un matin, votre mot de passe ne fonctionne plus. Des messages que vous n’avez jamais écrits partent depuis votre adresse, vos contacts reçoivent des demandes d’argent en votre nom, votre photo de profil a changé. Votre compte de messagerie ou de réseau social est piraté : quelqu’un d’autre en a pris le contrôle et exploite vos données personnelles. La question « compte piraté, que faire » revient alors avec une urgence très concrète : reprendre la main, empêcher que vos informations servent à escroquer votre entourage, puis faire sanctionner les faits et réparer votre préjudice.

Le piratage de compte désigne la prise de contrôle par un individu malveillant d’un compte au détriment de son propriétaire légitime, qu’il s’agisse d’une messagerie, d’un réseau social, d’un site administratif ou d’une plateforme de commerce en ligne, comme le décrit la fiche réflexe de Cybermalveillance.gouv.fr, mise à jour le 13 octobre 2026. Le but recherché est le plus souvent de dérober des informations personnelles, professionnelles ou bancaires pour en faire un usage frauduleux : revente des données, usurpation d’identité, transactions frauduleuses, envoi de messages frauduleux à vos contacts. Autrement dit, un compte piraté n’est pas seulement un désagrément technique : c’est un traitement illicite de vos données personnelles, qui ouvre des droits précis et des recours identifiés.

Cet article suit l’ordre dans lequel une victime doit agir. D’abord reprendre la main sur le compte et faire constater les faits, en exerçant au passage les droits que le règlement général sur la protection des données (RGPD) reconnaît à toute personne concernée. Ensuite faire sanctionner le piratage et obtenir réparation, devant la CNIL, devant le juge pénal et devant le juge civil.

I. Reprendre la main sur le compte piraté et faire constater les faits

A. Récupérer l’accès, sécuriser le compte et conserver les preuves

La première étape consiste à reconnaître le piratage, puis à reprendre le contrôle du compte. Plusieurs signaux doivent alerter, recensés par la fiche de Service-Public.fr consacrée au piratage de compte d’utilisateur, vérifiée le 7 août 2024 : impossibilité de se connecter avec ses identifiants, messages envoyés dont on n’est pas l’auteur, contacts qui affirment avoir reçu des messages qu’on n’a jamais envoyés, contacts ajoutés ou supprimés à votre insu, notification de connexion depuis un appareil inconnu, informations personnelles ou paramètres du compte modifiés sans votre intervention. Dès qu’un ou plusieurs de ces signaux apparaissent, il faut agir sans attendre, car chaque heure laisse au pirate le temps d’exploiter vos données et de piéger vos contacts.

Concrètement, contactez le service concerné pour signaler le piratage et demander la réinitialisation du mot de passe : les grandes plateformes de messagerie et de réseaux sociaux disposent de procédures de signalement de compte piraté et d’assistance à la récupération. Dès que vous pouvez de nouveau vous connecter, vérifiez que le numéro de téléphone et l’adresse électronique de récupération sont bien les vôtres. Si des coordonnées inconnues y figurent, conservez-en la preuve par des captures d’écran avant de les supprimer : le pirate les a peut-être inscrites pour garder la main sur le compte. Pour une messagerie, vérifiez aussi l’absence de règles de redirection ou de filtrage créées à votre insu dans les paramètres. Changez ensuite immédiatement le mot de passe, sur le compte piraté comme sur tous les autres comptes où vous utilisiez le même, puis activez la double authentification si le service la propose : toute nouvelle connexion exigera alors un code de confirmation supplémentaire.

Sécurisez dans le même temps l’ensemble de vos accès : passez en revue les sessions et appareils connectés affichés dans les paramètres de sécurité du service et révoquez ceux que vous ne reconnaissez pas, remplacez tout mot de passe identique ou proche de celui du compte piraté par un mot de passe différent et complexe, et conservez la double authentification activée durablement. Ces mesures, recommandées par les guides de Cybermalveillance.gouv.fr, ferment les portes dérobées que le pirate a pu installer et évitent qu’une récupération apparente ne débouche sur une seconde intrusion quelques jours plus tard.

Prévenez sans délai vos contacts que votre compte est piraté, afin qu’ils n’adressent ni argent ni informations à l’usurpateur. Si vos coordonnées bancaires sont accessibles depuis le compte piraté, prévenez votre banque au plus vite et, si nécessaire, faites opposition : lorsque le pirate peut accéder à vos moyens de paiement et réaliser des opérations, vous pouvez en solliciter le remboursement auprès de votre banque. Ces réflexes pratiques, détaillés par les services publics d’assistance aux victimes, conditionnent la suite : un compte repris rapidement limite l’ampleur de l’exploitation frauduleuse et donc l’étendue du préjudice.

En parallèle, constituez votre dossier de preuves dès les premières heures. Conservez les messages frauduleux envoyés en votre nom, les notifications de connexion, les captures des paramètres modifiés, les échanges avec l’assistance de la plateforme et les réponses de vos contacts. Faites établir si possible un constat par un commissaire de justice, qui fige ce que le juge pourra vérifier plus tard. Déposez plainte : vous pouvez vous déplacer au commissariat de police ou à la brigade de gendarmerie de votre choix, ou écrire au procureur de la République. Le procès-verbal de plainte, daté, établit la réalité et la chronologie des faits et servira dans toutes vos démarches ultérieures, y compris devant la CNIL et devant le juge civil.

B. Exercer ses droits sur ses données auprès de la plateforme

Le piratage de votre compte constitue un traitement illicite de vos données personnelles : un tiers accède à vos messages, à votre carnet d’adresses, à vos photos et exploite ces informations sans aucun fondement. La plateforme qui fournit le service traite elle-même vos données pour exécuter le contrat et faire fonctionner le compte ; c’est donc auprès d’elle que s’exercent les droits reconnus par le RGPD. Ces demandes se font par écrit, de préférence par un canal qui laisse une trace, en justifiant de votre identité, et elles préparent aussi bien la récupération complète que l’éventuelle action en réparation.

Le droit d’accès permet d’abord de comprendre ce que la plateforme détient et ce que le pirate a pu voir ou modifier. Aux termes de l’article 15 du RGPD, « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ». Demandez la copie de vos données, l’historique des connexions conservé par le service, la liste des modifications de paramètres et des destinataires auxquels vos données ont été communiquées. Les modalités pratiques de ce droit, les délais et les recours en cas de refus sont détaillés dans notre analyse du droit d’accès de l’article 15, qui sert de guide pour formuler une demande complète et exploitable.

Le droit à l’effacement permet ensuite de faire supprimer les traces du piratage : messages frauduleux publiés en votre nom, contenus détournés, coordonnées inconnues ajoutées par l’intrus. L’article 17 du RGPD dispose que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique ». Le cas du compte piraté relève typiquement du motif du traitement illicite : des données « ont fait l’objet d’un traitement illicite », et elles ne sont plus nécessaires au regard d’aucune finalité légitime dès lors qu’elles résultent de l’intrusion. Listez précisément dans votre demande chaque contenu à effacer, avec sa date et son emplacement, et exigez la suppression des contenus publiés par le pirate comme celle des données de récupération frauduleuses.

L’effacement n’est toutefois pas un droit absolu : il se heurte à des exceptions, notamment lorsque la conservation reste nécessaire à la constatation, à l’exercice ou à la défense de droits en justice, ou à la liberté d’expression et d’information. La Cour de cassation l’a rappelé le 3 juin 2026 : « Le RGPD, notamment son article 17, paragraphe 3, sous a), consacre ainsi explicitement l’exigence d’une mise en balance entre, d’une part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, consacrés par les articles 7 et 8 de la Charte, et, d’autre part, le droit fondamental à la liberté d’information, garanti par l’article 11 de celle-ci ». Dans cette affaire, le pourvoi du demandeur qui réclamait l’effacement d’un article de presse relatant une ancienne condamnation pénale a été rejeté. L’enseignement pour la victime d’un piratage est double : d’un côté, la plateforme ne peut pas opposer un refus de principe à une demande d’effacement de contenus issus d’une intrusion, car il s’agit d’un traitement illicite au sens du texte ; de l’autre, la demande doit être précise et proportionnée, en distinguant les contenus détournés, qui doivent disparaître, des données que la plateforme peut légitimement conserver pour les besoins de l’enquête ou d’une procédure, comme les journaux de connexion nécessaires à l’identification de l’auteur.

La plateforme doit répondre vite. L’article 12, paragraphe 3, du RGPD prévoit que « Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande ». Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition que la plateforme vous en informe avec les motifs du report dans le premier délai d’un mois, comme le prévoit le même article 12, paragraphe 3, du RGPD. Notez soigneusement la date d’envoi de chaque demande et conservez les accusés de réception : le silence ou le refus motivera la saisine de la CNIL. Vous pouvez aussi, sur le fondement de l’article 21 du RGPD, vous opposer à toute réutilisation de vos données, notamment si la plateforme entendait exploiter à des fins de prospection des informations collectées pendant la période du piratage.

Enfin, interrogez la plateforme sur la sécurité. L’article 32 du RGPD impose au responsable du traitement et à son sous-traitant de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins », parmi lesquelles la confidentialité et l’intégrité constantes des systèmes. Si le piratage résulte seulement d’un mot de passe trop simple réutilisé ailleurs ou d’un hameçonnage dont vous avez été victime, la faille ne vient pas de la plateforme. Mais si les circonstances révèlent une défaillance de son côté, par exemple une faille exploitée à grande échelle ou l’absence des protections élémentaires, la situation change de nature : il peut alors s’agir d’une violation de données à caractère personnel au sens du règlement. Dans ce cas, l’article 33 oblige le responsable du traitement à notifier la violation à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », et l’article 34 l’oblige à vous en informer directement lorsque « une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique ». Demandez donc par écrit à la plateforme si l’incident a donné lieu à une notification, et tenez-vous prêt à transmettre sa réponse à la CNIL.

II. Faire sanctionner le piratage et obtenir réparation

A. Signaler, porter plainte et saisir la CNIL

Le piratage d’un compte expose son auteur à plusieurs qualifications pénales, qui structurent à la fois le signalement, la plainte et la future demande de réparation. Le fait d’accéder frauduleusement au compte tombe sous le coup de l’article 323-1 du code pénal, aux termes duquel « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », avec des peines aggravées lorsqu’il en est résulté une suppression ou une modification de données ou une altération du fonctionnement du système. Lorsque le pirate lit vos courriers, il porte en outre atteinte au secret des correspondances : l’article 226-15 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende « le fait, commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique ». Lorsqu’il aspire vos contacts, vos photos ou vos pièces pour les exploiter, l’article 226-18 du même code s’applique, qui dispose que « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». Et lorsqu’il se fait passer pour vous auprès de vos contacts, notamment pour leur demander de l’argent, il commet une usurpation d’identité : l’article 226-4-1 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération », en précisant que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». Selon les circonstances, d’autres qualifications peuvent s’ajouter, comme l’escroquerie lorsque des fonds ont été extorqués à vos contacts, ou l’extorsion lorsqu’une rançon vous est réclamée pour rendre le compte.

Pour porter ces faits à la connaissance des enquêteurs, deux voies se complètent. Quand votre messagerie ou votre compte de réseau social a été piraté dans le but de se faire passer pour vous et d’inviter vos contacts à remettre de l’argent, ou de vous contraindre à verser une rançon pour retrouver le contrôle du compte, vous pouvez effectuer un signalement en ligne sur la plateforme THESEE, dédiée aux e-escroqueries. Ce signalement suppose qu’une demande d’argent ait été faite depuis votre compte, sans qu’il soit nécessaire qu’un versement ait eu lieu ; il consiste uniquement à informer les services d’enquête et à leur apporter des éléments d’identification de l’auteur, et vous ne serez pas tenu informé des suites. Dans tous les cas, y compris lorsque THESEE n’est pas compétent, par exemple pour un compte de site commercial ou administratif, vous pouvez déposer plainte au commissariat, à la gendarmerie ou auprès du procureur de la République. En cas de préjudice financier lié à vos moyens de paiement, le service Info Escroqueries, joignable au 0 805 805 817 du lundi au vendredi, oriente les victimes sur les démarches adaptées.

Parallèlement, saisissez la CNIL si la plateforme ne répond pas à vos demandes ou n’efface pas les contenus détournés. L’article 77 du RGPD prévoit que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». La réclamation s’effectue en ligne sur le site de la CNIL, qui met à disposition une page dédiée pour adresser une plainte. Elle doit viser le comportement de la plateforme, responsable du traitement : absence de réponse dans le délai d’un mois prévu par l’article 12, paragraphe 3, du RGPD, refus d’effacement non motivé, manquement à la sécurité, défaut de notification d’une violation avérée. Joignez-y l’ensemble de votre dossier : demandes adressées à la plateforme avec leurs dates, captures, plainte pénale, constat. La CNIL peut alors instruire, mettre en demeure et sanctionner, et ses pouvoirs incluent des amendes administratives qui doivent être effectives, proportionnées et dissuasives. Si votre réclamation reste sans réponse ou n’aboutit pas, notre guide de la plainte CNIL sans réponse détaille comment relancer, contester et articuler ce recours avec l’action devant le juge.

Reste la question de l’identification de l’auteur, souvent anonyme derrière une adresse IP. Le juge des référés peut, sur le fondement de l’article 145 du code de procédure civile, ordonner avant tout procès des mesures d’instruction lorsqu’« il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige ». Mais cette voie a des limites strictes pour les données de connexion. Les opérateurs effacent ou rendent anonymes les données relatives aux communications électroniques et ne conservent que ce que la loi les autorise à conserver : l’article L. 34-1 du code des postes et des communications électroniques dispose ainsi que les opérateurs « effacent ou rendent anonymes, sous réserve des II bis à VI, les données relatives aux communications électroniques », les données techniques comme les adresses IP n’étant conservées que pour des finalités encadrées, notamment la lutte contre la criminalité grave. Une ordonnance du tribunal judiciaire de Paris du 7 octobre 2024 (RG 24/53208) l’illustre dans un dossier de messagerie piratée : le juge a admis que la victime justifiait d’un motif légitime à rechercher l’identité de l’usurpateur en vue d’une action pénale, tout en rejetant la demande de communication des journaux de connexion, modes d’authentification, dates, heures et adresses IP, au motif que ces données techniques n’étaient pas communicables pour cette finalité. Déposer plainte ne garantit ni l’identification de l’auteur ni des poursuites rapides : les investigations techniques prennent du temps et aboutissent inégalement selon les traces laissées. C’est pourquoi votre dossier personnel doit vivre indépendamment de l’enquête : conservez-en une copie complète et horodatée, mettez-la à jour à chaque nouvel élément et utilisez-la sans attendre pour vos demandes RGPD, votre réclamation CNIL et votre action en réparation, qui n’ont pas besoin d’attendre l’issue du volet pénal. Concrètement, l’identification de l’auteur passe donc le plus souvent par l’enquête pénale, qui dispose de moyens de réquisition propres, plutôt que par une action civile isolée. Conservez néanmoins toutes vos preuves : elles serviront devant le juge pénal comme devant le juge civil, même si l’auteur reste inconnu.

B. Obtenir réparation du préjudice subi

La victime d’un piratage de compte peut obtenir réparation de son préjudice sur le fondement du RGPD comme sur celui du droit commun de la responsabilité. L’article 82, paragraphe 1, du RGPD pose le principe : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Et l’article 79 garantit la voie judiciaire : « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement ». L’action peut être intentée devant les juridictions de l’État membre de votre résidence habituelle. Elle se dirige contre l’auteur du piratage lorsqu’il est identifié, le plus souvent en se constituant partie civile devant le juge pénal, et contre la plateforme lorsque celle-ci a manqué à ses propres obligations, par exemple en ignorant une demande d’effacement, en laissant perdurer des contenus frauduleux signalés ou en présentant une faille de sécurité avérée.

Trois précisions issues de la jurisprudence récente conditionnent le succès de cette action. D’abord, la violation ne suffit pas à elle seule : il faut établir un dommage. La chambre sociale de la Cour de cassation l’a jugé le 24 juin 2026, en cassant un arrêt qui avait déduit automatiquement un préjudice du non-respect du RGPD : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et le juge doit vérifier si la victime établit que la violation lui a causé un dommage matériel ou moral. Ensuite, ce dommage s’entend largement : aucune gravité minimale n’est exigée pour le préjudice moral. La Cour de cassation reprend sur ce point la solution de la Cour de justice de l’Union européenne du 4 mai 2023 (affaire Österreichische Post, C-300/21), selon laquelle le droit de l’Union « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral » à la condition « que le préjudice subi par la personne concernée ait atteint un certain degré de gravité ». L’angoisse d’être usurpé, la perte de contrôle de sa vie numérique, l’atteinte à la réputation auprès de ses contacts peuvent donc fonder une réparation sans avoir à démontrer un préjudice exceptionnel. Enfin, la réparation est compensatoire et intégrale, non punitive : toujours selon cet arrêt, qui reprend la solution rendue le 25 janvier 2024 (C-687/21), le droit à réparation « remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive », et la victime « est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». Documentez donc chaque poste : frais engagés pour sécuriser vos comptes, temps passé, constats, captures des messages frauduleux, attestations de contacts abusés, relevés d’opérations contestées, description précise du trouble moral subi.

Dirigée contre la plateforme, l’action suppose de caractériser un manquement de sa part, car le responsable du traitement peut s’exonérer. L’article 82, paragraphe 2, prévoit que « Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement », mais le paragraphe 3 ajoute qu’il « est exonéré de responsabilité » « s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable ». Si le piratage provient uniquement de votre propre négligence, par exemple un mot de passe divulgué par hameçonnage sur un terminal compromis, sans aucune défaillance de la plateforme qui a par ailleurs réagi diligemment à votre signalement, l’action contre elle a peu de chances de prospérer. En revanche, l’inertie face à un signalement documenté, le maintien en ligne de contenus frauduleux après notification, le refus d’effacement ou une sécurité manifestement insuffisante constituent des manquements imputables au responsable du traitement. C’est pourquoi chaque étape décrite plus haut compte : signalement daté, demandes RGPD écrites, plainte, saisine de la CNIL. Chacune crée une pièce qui, mise bout à bout, établit la violation, son imputabilité et l’étendue du dommage, c’est-à-dire exactement les trois éléments que le juge vérifiera avant d’indemniser.

Conclusion

Un compte piraté se reprend d’abord, se prouve ensuite, se répare enfin. Reprendre la main suppose de signaler le piratage à la plateforme, de vérifier les coordonnées de récupération, de changer les mots de passe et d’activer la double authentification, tout en prévenant ses contacts et sa banque. Prouver suppose de conserver chaque trace, de faire constater les détournements, de déposer plainte et d’exercer ses droits d’accès et d’effacement par écrit, dans des demandes datées auxquelles la plateforme doit répondre dans un délai d’un mois en application de l’article 12, paragraphe 3, du RGPD. Réparer suppose de saisir la CNIL face à une plateforme qui n’agit pas, de laisser l’enquête pénale identifier l’auteur et de demander au juge civil la compensation intégrale du dommage, matériel comme moral, sans seuil de gravité mais avec la preuve d’un préjudice concret. Menées dans cet ordre, ces démarches transforment une intrusion subie en un dossier solide, où chaque manquement établi trouve sa sanction et chaque préjudice démontré sa réparation.