Un proche vous appelle, affolé : il vient d’envoyer plusieurs centaines d’euros après avoir reçu une demande pressante depuis un compte WhatsApp qui affiche votre photographie, votre prénom et votre nom. Pourtant, vous n’avez jamais envoyé ce message. Votre propre compte WhatsApp fonctionne normalement, vous n’avez transmis aucun code à personne. Ce que votre proche a vu n’est pas votre compte piraté : c’est un double, un faux compte créé avec votre nom et votre photographie pour soutirer de l’argent à votre entourage.
Ce scénario, qui mêle usurpation d’identité numérique et escroquerie aux proches, se traite autrement qu’un simple piratage de compte. Ici, il n’y a pas d’accès à récupérer : il y a un faux profil à faire disparaître, un auteur à identifier, une plainte à déposer et des préjudices à faire réparer, pour vous comme pour les proches qui ont payé. La CNIL décrit la même méthode de constitution du dossier : vérifier qu’il ne s’agit pas d’un homonyme, rassembler les adresses URL et les captures, puis demander au site d’intervenir. Cet article suit exactement cet ordre, avec les fondements juridiques vérifiés et les décisions de justice qui encadrent chaque étape.
I. Un faux compte à votre nom : comprendre ce qui vous arrive et figer la situation
A. Faux compte ou compte piraté : la vérification qui change toute la stratégie
La première question est factuelle : le compte litigieux est-il le vôtre, dont un tiers aurait pris le contrôle, ou un compte distinct, créé de toutes pièces avec vos nom, prénom et photographie ? La réponse commande la suite. Si votre propre compte a été pris en main après la transmission d’un code à six chiffres, la priorité est d’en reprendre le contrôle et d’expulser l’intrus, selon la démarche décrite dans notre article consacré au compte WhatsApp piraté par vol du code de vérification. Si au contraire votre compte fonctionne normalement et qu’un second profil, que vous ne contrôlez pas, affiche votre identité pour démarcher vos contacts, vous êtes face à une usurpation d’identité par création d’un faux compte, et la priorité est de le faire supprimer puis d’en identifier l’auteur.
Le service public de l’usurpation d’identité retient une définition large qui couvre exactement ce cas : utiliser sans son accord les informations d’identification ou les données personnelles d’une autre personne, notamment le nom, le prénom, la date de naissance, l’adresse courriel ou la photographie, dans un but malveillant. Le piratage sur les réseaux sociaux avec récupération de données personnelles figure parmi les situations typiques citées, et la création de comptes sur les réseaux sociaux au nom de la victime parmi les conséquences habituelles. La fiche précise aussi une distinction utile : l’identité usurpée doit correspondre à une personne réellement existante, ce qui est votre cas, à la différence de l’usage d’une fausse identité inventée de toutes pièces.
Avant toute démarche, vérifiez qu’il ne s’agit pas d’un homonyme. La CNIL recommande cette vérification en premier : un profil au même nom que vous, avec une photographie différente et une activité cohérente, peut appartenir à une personne réelle qui porte le même nom. Les juges appliquent la même prudence. Dans un arrêt rendu le 30 novembre 2022 à propos de dizaines de faux profils Facebook, la cour d’appel de Paris a jugé que « dès lors que l’importance numérique du réseau social Facebook ne permet pas d’exclure que des personnes, portant le même nom que la demanderesse, possèdent un compte Facebook, ce qui commande de vérifier avec soin la réalité de l’usurpation de l’identité numérique, la seule utilisation de 1’identité ‘[Z] [U]’ n’étant pas de nature à caractériser un trouble manifestement illicite » (CA Paris, pôle 2, ch. 7, 30 nov. 2022, RG n° 21/14707). Concrètement, comparez la photographie utilisée avec les vôtres, relevez les numéros de téléphone affichés, demandez à vos proches de vous transférer les messages reçus et notez les adresses URL exactes des profils suspects. La CNIL suggère en outre la recherche d’image inversée, avec des outils comme TinEye ou Google Images, pour retrouver tous les sites qui réutilisent publiquement votre photographie, et conseille de conserver une capture de cette démarche.
Constituez ensuite un dossier complet : adresses URL des faux profils, captures d’écran du profil et de ses publications, messages reçus par vos proches avec leurs dates, justificatifs de votre propre identité et, le cas échéant, preuve que le numéro utilisé n’est pas le vôtre. Ce dossier servira à chaque étape : signalement à la plateforme, plainte, demande d’effacement et action en justice. Lorsqu’un constat par commissaire de justice est envisageable, il fige utilement les contenus avant leur suppression ; dans l’affaire jugée par la cour d’appel de Paris, la victime avait fait établir un procès-verbal de constat pour recenser les profils usurpant son identité, et c’est sur la base de ce constat que les demandes de suppression avaient été formulées. À défaut de constat, des captures d’écran précises et datées, accompagnées des URL, constituent déjà une base de preuve exploitable, surtout si vos proches conservent les messages sur leurs propres téléphones.
B. Les premières heures : prévenir vos proches, signaler le compte, conserver les preuves
Un faux compte vit de la vitesse : chaque heure qui passe expose un nouveau contact à la demande d’argent. Prévenez donc immédiatement votre entourage, par un canal sûr, qu’un faux profil circule avec votre nom et votre photo et que toute demande d’argent ou de code émise depuis un numéro inconnu doit être ignorée. Demandez à chaque personne contactée de ne rien supprimer et de vous transférer les messages, avec le numéro expéditeur visible : ces messages sont à la fois la preuve de l’usurpation et, pour les proches qui ont payé, la preuve de l’escroquerie dont ils sont victimes. Si un proche a déjà versé de l’argent, conseillez-lui de prévenir sa banque et de conserver tous les justificatifs du virement, sans rien promettre sur l’issue : la récupération des fonds dépendra de la procédure pénale et des recours contre les intermédiaires, examinés plus loin.
Signalez ensuite le faux compte à la plateforme. La CNIL indique la marche à suivre : demander au site d’intervenir pour faire cesser la diffusion de vos informations personnelles, en fournissant la preuve que votre identité a été usurpée, les services pouvant demander des documents complémentaires. Sur WhatsApp, le signalement s’effectue depuis la conversation ou le profil litigieux, en joignant les explications et les captures. Parallèlement, exigez la suppression de la diffusion de vos données : un faux compte qui diffuse votre nom et votre photographie sans votre consentement pour escroquer vos proches est un traitement illicite de vos données personnelles, et la CNIL invite la victime à demander au site de faire cesser cette diffusion en prouvant l’usurpation. Formulez la demande par écrit, identifiez précisément les contenus visés avec leurs URL, conservez l’accusé de réception et la réponse : en cas de refus ou d’absence de réponse, ces pièces fonderont la plainte auprès de la CNIL.
Sur le plan pénal, deux niveaux de déclaration existent et le service public les distingue nettement. En cas de simple soupçon, par exemple si vous avez repéré le faux compte mais qu’aucun acte malveillant caractérisé n’est encore établi, une main courante peut être déposée en vous rendant dans un commissariat ou une gendarmerie : les faits sont consignés dans un registre et cette déclaration pourra servir à dater les faits ou de justificatif dans une future procédure pénale. Dès qu’une infraction est commise, et c’est le cas quand le faux compte a servi à tromper vos proches ou à diffuser votre image, vous pouvez porter plainte. À Paris comme dans toute l’Île-de-France, le dépôt s’effectue au commissariat ou à la brigade de gendarmerie, et les unités parisiennes ont l’habitude de ces dossiers d’usurpation numérique, avec des pôles d’enquête dédiés aux escroqueries en ligne. Apportez votre dossier complet : URL, captures, messages transférés par vos proches, justificatifs d’identité et, si un proche a payé, ses justificatifs de virement. Chaque proche escroqué peut et doit déposer sa propre plainte pour l’argent qu’il a versé : c’est sa plainte qui portera le volet escroquerie de son préjudice personnel.
II. Faire supprimer, faire punir et se faire indemniser
A. Le volet pénal : usurpation d’identité, escroquerie et atteinte à l’image
Trois incriminations se combinent autour du faux compte WhatsApp et il faut les distinguer, car elles ne protègent pas les mêmes intérêts et ne se prouvent pas de la même manière. La première vise directement la création du faux profil. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Un faux compte WhatsApp qui reprend votre nom et votre photographie pour solliciter votre entourage réunit ces éléments : usage de données permettant de vous identifier, sur un réseau de communication au public en ligne, en vue de troubler votre tranquillité et celle de vos proches et de porter atteinte à votre considération. Le texte prévoit des peines aggravées lorsque les faits sont commis par le conjoint, le concubin ou le partenaire de pacte civil de solidarité de la victime, hypothèse qui concerne par exemple une usurpation commise dans un contexte de séparation conflictuelle.
La deuxième incrimination vise l’argent extorqué à vos proches. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », puni de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux compte qui se présente comme vous pour obtenir un virement caractérise l’usage d’un faux nom et la manoeuvre frauduleuse, et chaque proche qui a versé des fonds est victime de cette escroquerie. C’est pourquoi leurs plaintes personnelles sont indispensables : votre plainte pour usurpation ne couvre pas automatiquement leur préjudice financier, et leur constitution de partie civile leur permettra de demander le remboursement des sommes versées dans le cadre du procès pénal.
La troisième série d’incriminations protège votre image. Dès lors que le faux compte diffuse votre photographie sans votre accord, l’article 226-1 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait, volontairement, de porter atteinte à l’intimité de la vie privée d’autrui, notamment : « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé ». Si votre photographie a été détournée dans un montage ou accompagnée d’un texte que vous n’avez jamais tenu, l’article 226-8 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende « le fait de porter à la connaissance du public ou d’un tiers, par quelque voie que ce soit, le montage réalisé avec les paroles ou l’image d’une personne sans son consentement, s’il n’apparaît pas à l’évidence qu’il s’agit d’un montage ou s’il n’en est pas expressément fait mention ». Ces qualifications s’ajoutent à l’usurpation d’identité quand la photographie diffusée relève de votre vie privée ou a été manipulée, et elles renforcent le dossier de signalement adressé à la plateforme comme la plainte.
Reste la question pratique la plus délicate : identifier l’auteur caché derrière le faux compte. Les juges peuvent ordonner la communication des données d’identification détenues par les plateformes, mais dans un cadre strict. Dans un arrêt du 26 février 2025, la première chambre civile de la Cour de cassation a confirmé, dans une affaire de vidéos litigieuses sur YouTube, que la procédure accélérée au fond de l’article 6-I.8 de la loi pour la confiance dans l’économie numérique permet d’obtenir la suppression des contenus et la communication des données d’identification : la Cour casse partiellement sur la qualification de diffamation mais maintient l’injonction de communiquer « les données complètes d’identification et de connexion », notamment les nom et prénom, les adresses postales, les numéros de téléphone et les adresses associés au compte (Cass. civ. 1re, 26 fév. 2025, n° 23-16.762). Le mécanisme est transposable au faux compte WhatsApp : le juge peut contraindre la plateforme à livrer les données d’inscription et de connexion du compte usurpateur.
Deux ordonnances récentes du tribunal judiciaire de Paris montrent toutefois que cette communication est mesurée au plus juste. Le 17 avril 2026, le juge des référés a ordonné à Google la communication de certaines données techniques précises, comme la date et l’heure de chaque connexion avec le fuseau horaire, tout en rejetant le surplus des demandes et les astreintes, et en laissant les dépens aux demanderesses (TJ Paris, réf., 17 avr. 2026, RG n° 26/52518). Le 7 octobre 2024, dans un dossier où le demandeur se disait victime d’un vol de données et d’une usurpation d’identité par utilisation frauduleuse de son compte de messagerie, le même tribunal a purement rejeté la demande de communication de données numériques formée contre l’hébergeur (TJ Paris, réf., 7 oct. 2024, RG n° 24/53208). La leçon est claire : demandez au juge des données ciblées et justifiées par l’identification de l’auteur, pas une pêche exploratoire, et préparez chaque poste de la demande avec votre dossier. À Paris et en Île-de-France, ces demandes relèvent du tribunal judiciaire de Paris statuant en référé ou selon la procédure accélérée au fond, qui concentre l’essentiel du contentieux contre les plateformes dont les établissements européens sont situés en Irlande.
B. Le volet civil et données personnelles : effacement, retrait et réparation
Parallèlement à la plainte, le droit civil et le droit des données personnelles offrent des leviers directs pour faire disparaître le faux compte et obtenir réparation. Le fondement le plus ancien est le droit au respect de la vie privée : l’article 9 du code civil énonce que « Chacun a droit au respect de sa vie privée » et permet aux juges, sans préjudice de la réparation du dommage, de prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée. Un faux compte qui expose votre nom, votre photographie et parfois des éléments de votre vie personnelle à des fins d’escroquerie constitue une telle atteinte, et le juge peut en ordonner la suppression sous astreinte, en plus des dommages et intérêts.
Le droit des données personnelles prolonge ce fondement avec des outils taillés pour les plateformes. Vous pouvez exiger la suppression directement auprès de l’exploitant du service, en identifiant précisément chaque contenu avec son URL, puisque la diffusion de vos nom et photographie par un faux compte est illicite dès lors qu’elle intervient sans votre consentement et dans un but malveillant. La CNIL décrit l’ordre des démarches : constituer le dossier avec les URL et les captures, demander au site d’intervenir en prouvant l’usurpation, puis, en cas de refus ou d’absence de réponse utile, saisir la CNIL. Cette saisine s’effectue en ligne auprès de la CNIL et suppose de joindre les échanges avec la plateforme : sans la preuve d’une demande préalable restée vaine, la plainte perd de sa force. Conservez donc chaque message, chaque accusé de réception et chaque capture d’écran de vos démarches.
Lorsque la plateforme tarde à retirer le faux compte après un signalement régulier, sa responsabilité d’hébergeur peut être recherchée sur le fondement de l’article 6 de la loi pour la confiance dans l’économie numérique, mais l’arrêt de la cour d’appel de Paris du 30 novembre 2022 montre l’exigence du formalisme. Dans cette affaire, la victime avait notifié des dizaines de faux comptes par un courrier de janvier 2017, puis assigné l’hébergeur pour ne pas les avoir retirés promptement. La cour a confirmé son débouté : le courrier ne permettait pas à l’hébergeur de localiser précisément les contenus et ne remplissait pas l’intégralité des conditions de notification, de sorte que la connaissance des contenus litigieux par l’hébergeur ne pouvait être présumée (CA Paris, pôle 2, ch. 7, 30 nov. 2022, RG n° 21/14707). La cour relève aussi que la victime avait varié dans la désignation des comptes, entre un signalement visant quarante adresses URL et des demandes ultérieures portant sur d’autres listes. Pour votre dossier, la conséquence est directe : une seule notification, complète, avec chaque URL exacte, la description précise des contenus, les motifs juridiques invoqués et, quand l’auteur est inconnu, la justification de l’impossibilité de le contacter, vaut mieux que des signalements successifs et approximatifs. Précision et constance sont les conditions de l’efficacité juridique.
Quant à la réparation, elle couvre plusieurs postes qu’il faut articuler sans les confondre. Votre préjudice personnel comprend l’atteinte à votre identité et à votre image, le trouble dans votre vie privée et professionnelle quand vous devez prévenir tout votre entourage, et le temps consacré aux démarches. Celui de vos proches comprend les sommes versées à l’escroc et, le cas échéant, les frais bancaires ou le préjudice moral lié au sentiment d’avoir été abusé. Devant le juge civil, ces préjudices s’indemnisent par des dommages et intérêts dont le montant dépend des pièces produites : d’où l’importance du dossier constitué dès les premières heures. Sachez toutefois que les demandes provisionnelles se heurtent à la contestation sérieuse : dans l’affaire parisienne de 2022, la demande de provision de la victime avait été rejetée au motif que l’hébergeur n’était pas à l’origine des contenus mais seulement leur hébergeur, et la cour a confirmé l’analyse. Ne présentez donc une demande d’avance sur indemnisation que si le principe de la responsabilité est solidement établi, et concentrez vos efforts sur la suppression rapide des contenus, l’identification de l’auteur et la démonstration poste par poste de vos préjudices. En pratique, joignez à chaque demande les pièces qui la fondent : le signalement complet adressé à la plateforme avec les URL exactes et les captures datées, le récépissé de plainte et les plaintes des proches escroqués avec leurs justificatifs de virement, ainsi que les échanges montrant le refus ou le silence de la plateforme si vous saisissez ensuite la CNIL. Un dossier ordonné et constant, qui ne varie pas dans la désignation des comptes visés, reprend exactement les exigences que la cour d’appel de Paris a posées pour retenir la responsabilité d’un hébergeur.
Conclusion
Un faux compte WhatsApp qui porte votre nom et affiche votre photographie pour escroquer vos proches n’est pas un simple désagrément technique : c’est une usurpation d’identité punie par l’article 226-4-1 du code pénal, doublée d’une escroquerie punie par l’article 313-1 du même code dès que de l’argent est versé, et d’une atteinte à la vie privée et à l’image sanctionnée par les articles 226-1 et 226-8 et réparée sur le fondement de l’article 9 du code civil. La méthode qui ressort des décisions rendues ces dernières années tient en quatre temps : vérifier qu’il ne s’agit pas d’un homonyme et constituer un dossier avec URL et captures, comme l’exigent la CNIL et les juges parisiens ; signaler le compte à la plateforme et exiger la suppression de vos données diffusées sans votre consentement ; porter plainte, chacun pour son préjudice, en vous appuyant sur la fiche usurpation d’identité du service public ; puis demander au juge la suppression des contenus, la communication des données d’identification de l’auteur et la réparation des préjudices, en visant des mesures précises, comme l’ont admis ou refusé le tribunal judiciaire de Paris en 2024 et 2026, la Cour de cassation en 2025 et la cour d’appel de Paris en 2022. La notification complète et stable adressée à l’hébergeur conditionne tout recours contre la plateforme : c’est le point sur lequel les victimes échouent le plus souvent, et celui qu’un dossier rigoureux permet de sécuriser.