Un matin, vos annonces ont changé de prix, des messages que vous n’avez jamais écrits partent vers des acheteurs, et un acheteur vous réclame un véhicule que vous n’avez jamais vendu : votre compte sur une grande place de marché d’annonces a été pris en main par un tiers. Le même scénario frappe les acheteurs : un vendeur à la messagerie rassurante adresse un relevé d’identité bancaire qui semble émis par le service de paiement de la plateforme, les fonds partent, le bien n’arrive jamais. Ces situations relèvent à la fois du droit pénal, du droit des données personnelles et du droit des contrats, et elles se traitent avec méthode.
Le tribunal judiciaire de Grenoble, par un jugement du 31 août 2026 (RG 25/00363, (décision publiée)), a eu à trancher un litige né d’une annonce de vente d’un véhicule d’occasion parue sur le site Leboncoin : un acheteur avait viré 15 409,99 euros sur un RIB frauduleux transmis par la messagerie de la plateforme par un faux vendeur, croyant utiliser le service de paiement sécurisé. Le tribunal a retenu un partage de responsabilité par moitié entre l’acheteur et la société LBC France et a condamné cette dernière à verser 8 205 euros à l’acheteur. Il s’agit d’une décision de première instance, rendue au vu des pièces et des moyens débattus devant ce seul tribunal, et les faits y sont rapportés tels que le tribunal les a retenus. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Leboncoin, sur laquelle l’article ne formule aucun constat. Ils s’adressent aussi bien au vendeur dont le profil a été détourné pour tromper des tiers qu’à l’acheteur qui a versé des fonds au mauvais destinataire, car les deux faces d’une même fraude appellent des réflexes communs et des fondements juridiques distincts.
I. Comprendre ce qui vous arrive : usurpation, escroquerie et données personnelles
A. Usurpation d’identité, faux RIB et escroquerie : qualifier pénalement les faits
Lorsqu’un tiers prend le contrôle de votre compte, il utilise vos nom, photographies, annonces et historique pour inspirer confiance à ses propres victimes. Lorsqu’il crée un faux compte à votre nom pour vendre des biens inexistants, il exploite des données qui permettent de vous identifier. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le même texte précise que l’infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne, ce qui vise directement les agissements commis depuis une messagerie ou un profil de place de marché.
Du côté de l’acheteur trompé, la mécanique relève de l’escroquerie. L’article 313-1 du code pénal la définit ainsi : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » L’usage d’un faux nom de vendeur, d’une fausse annonce et d’un RIB présenté comme celui du service de paiement sécurisé entre dans ces manoeuvres. Dans l’affaire jugée à Grenoble, le tribunal a décrit une fraude dont le mécanisme, non contesté, consistait pour le faux vendeur à générer un RIB lié à une transaction fictive via le système de paiement de la plateforme, puis à le transmettre à la victime par la messagerie : la victime effectuait le virement en croyant payer par l’intermédiaire du service sécurisé, et le fraudeur débloquait ensuite les fonds depuis son faux compte d’acheteur.
La qualification pénale appartient au parquet et au juge, pas à la victime ni à la plateforme. Concrètement, le dépôt de plainte doit décrire avec précision la chronologie : date de création du compte, date de perte d’accès, annonces modifiées ou créées à votre insu, messages adressés à des tiers, sommes versées, coordonnées bancaires utilisées, captures de la messagerie. Ces éléments serviront aussi au volet civil, car le juge civil apprécie la faute et le préjudice à partir de preuves datées. Si l’auteur reste inconnu, la plainte permet de solliciter l’identification des titulaires des comptes et des flux financiers : en référé, les juges ordonnent régulièrement aux intermédiaires techniques de communiquer les données d’identification des auteurs de contenus litigieux, comme l’illustre une ordonnance du tribunal judiciaire de Paris du 8 février 2024 (décision publiée) rendue sur le fondement de l’article 145 du code de procédure civile et des articles L. 45-4 et L. 45-5 du code des postes et des communications électroniques. Retenez que seul le juge décide de la culpabilité et de la peine, et que la plainte ne garantit ni l’identification de l’auteur ni la récupération des fonds : elle ouvre l’enquête et fige les faits.
B. Données personnelles détournées : ce que la plateforme doit à la personne concernée
Un compte piraté, ce sont aussi des données personnelles compromises : identité, photographie, adresse, numéro de téléphone, historique de transactions, coordonnées bancaires des acheteurs. Le règlement européen sur la protection des données reconnaît à toute personne le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées, ainsi que l’accès à ces données et l’information sur leurs destinataires et sur l’usage qui en est fait. Après un piratage, ce droit d’accès sert à savoir quelles données le compte contient encore, à quels destinataires elles ont pu être transmises et ce que la plateforme en a fait. Pour une analyse détaillée de la procédure à suivre quand ce droit reste lettre morte, la lecture de l’article du cabinet consacré au droit d’accès resté sans réponse donne les recours devant la CNIL et devant le juge.
Le règlement reconnaît également un droit à l’effacement quand les données ne sont plus nécessaires, quand le consentement est retiré ou quand le traitement est illicite, ainsi qu’un droit d’opposition et un droit à la limitation. En pratique, après récupération du compte, l’utilisateur peut exiger la suppression des annonces frauduleuses publiées à son nom, des messages émis par le fraudeur et, le cas échéant, la clôture des comptes créés à son insu. La plateforme, en tant que responsable du traitement, doit répondre à ces demandes et justifier d’un fondement pour toute conservation, par exemple ses obligations légales de conservation des données de connexion.
Le droit à l’effacement mérite une attention particulière quand le fraudeur a laissé des traces sous votre nom. L’article 17 du règlement l’ouvre notamment quand les données ne sont plus nécessaires au regard des finalités de leur collecte, quand la personne retire son consentement ou quand le traitement est illicite, et le responsable du traitement doit alors effacer les données dans les meilleurs délais. Conservez toutefois une copie des contenus litigieux avant d’en demander la suppression : une fois effacés de la plateforme, ces messages et ces annonces ne pourront plus être produits en justice, et c’est la sauvegarde préalable, horodatée, qui fera foi. De même, le droit à la limitation du traitement permet de demander le gel de l’utilisation des données contestées pendant la vérification de leur exactitude, ce qui évite que la plateforme continue d’exploiter un profil corrompu pendant l’enquête. Ces demandes s’adressent au responsable du traitement désigné par la plateforme, dont les coordonnées figurent en principe dans sa politique de confidentialité, et chaque refus ou silence doit être conservé pour le dossier.
Symétriquement, la plateforme elle-même est soumise à des obligations de sécurité et de transparence : le règlement européen lui impose des mesures techniques et organisationnelles adaptées au risque, la notification des violations de données à l’autorité de contrôle et l’information des personnes concernées quand la violation présente un risque élevé pour leurs droits et libertés. L’utilité de ces règles pour le litige individuel est illustrée par un jugement du tribunal judiciaire de Paris du 4 mars 2025 (décision publiée) : après deux cyberattaques subies par un fabricant de portefeuilles électroniques, la CNIL, selon les motifs rapportés par le tribunal, avait retenu un manquement à l’obligation de sécurité et prononcé une amende de 750 000 euros non rendue publique, et le tribunal a ordonné la réouverture des débats pour que cette décision, élément utile à la solution du litige sans lier le juge, soit versée au dossier et débattue contradictoirement. La leçon est double : la sanction administrative ne remplace pas le procès civil, mais elle éclaire le juge sur la réalité des manquements, et la victime peut s’en prévaloir pour étayer sa demande de réparation.
II. Agir avec méthode : récupérer l’accès, prouver et obtenir réparation
A. Premiers réflexes : sécuriser le compte, signaler et déposer plainte
La première heure compte, mais l’ordre des gestes compte davantage. Si vous conservez un accès partiel, modifiez le mot de passe depuis un appareil sain, déconnectez toutes les sessions actives, vérifiez l’adresse électronique et le numéro de téléphone associés au compte, puis activez la double authentification si la plateforme la propose. Si l’accès est perdu, utilisez la procédure de récupération du compte de la plateforme et, en parallèle, écrivez au support en conservant chaque échange : ces messages prouvent la date à laquelle l’opérateur a été informé. Photographiez ou exportez tout ce qui est visible depuis l’extérieur : annonces publiées à votre nom, évaluations suspectes, messages reçus de tiers qui croient traiter avec vous. N’effacez rien avant d’avoir sauvegardé : un message frauduleux est une preuve. Relevez aussi les dates et heures exactes de chaque opération, car la chronologie montrera si la plateforme a été alertée avant ou après le virement litigieux, et conditionnera l’appréciation de son obligation de sécurité comme celle de votre propre diligence.
Signalez ensuite le contenu illicite par les canaux prévus par la plateforme, dont la charte de bonne conduite, acceptée avec les conditions d’utilisation, rappelle les règles d’usage, les contenus interdits et les dispositifs de modération et de transparence des contenus signalés. Au-delà de la plateforme, tout contenu d’escroquerie peut être signalé sur le portail officiel du ministère de l’intérieur (internet-signalement.gouv.fr), et les tentatives d’hameçonnage reçues par message ou par courriel peuvent être transmises aux dispositifs publics de signalement. Déposez plainte au commissariat, à la gendarmerie ou par courrier au procureur de la République : joignez la chronologie, les captures, les références des annonces et des transactions, les coordonnées bancaires vers lesquelles les fonds ont été virés et, si vous êtes acheteur, la preuve du virement. Prévenez votre banque sans attendre pour demander un rappel des fonds : le rappel n’aboutit pas toujours, surtout si les sommes ont été déplacées, mais la démarche, datée, établit votre diligence. Si vos pièces d’identité ont circulé, restez vigilant aux usages frauduleux possibles et surveillez vos comptes, car un RIB et une pièce d’identité ouvrent la voie à d’autres tentatives. Redoublez de méfiance face aux messages qui suivent la fuite : faux courriels du support, SMS vous invitant à ressaisir vos identifiants sur une page imitée, appels pressants d’un prétendu service antifraude. Ne cliquez jamais sur ces liens et ne recomposez jamais un code reçu par message à la demande d’un interlocuteur : la plateforme ne réclame ni mot de passe ni code de validation par téléphone, et toute sollicitation de ce type doit être signalée puis ignorée.
Exercez enfin vos droits sur vos données sans tarder : demande d’accès pour savoir ce que le compte contient, demande d’effacement des contenus frauduleux, demande de communication des journaux de connexion vous concernant. Adressez ces demandes par un canal qui laisse une trace, conservez les réponses et les silences : en cas de contentieux, le juge apprécie la loyauté des deux parties, et une plateforme qui répond vite et documente ses mesures se trouve dans une position différente de celle qui laisse la victime sans réponse.
B. Faire juger la responsabilité et chiffrer le préjudice
Sur le terrain contractuel, l’utilisateur d’une place de marché accepte des conditions générales qui forment un contrat de mise à disposition de la plateforme, distinct du contrat de vente conclu entre acheteur et vendeur. Le tribunal de Grenoble l’a rappelé : l’opérateur n’est pas partie à la vente, mais il est lié à chaque utilisateur par ce contrat d’intermédiation, dont l’objet inclut la messagerie et, le cas échéant, le service de paiement dit sécurisé. En cas d’inexécution, l’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La victime doit prouver le manquement, le préjudice et le lien entre les deux. L’article 9 du code de procédure civile dispose : « Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention. » Et l’article 1104 du code civil dispose : « Les contrats doivent être négociés, formés et exécutés de bonne foi. »
L’apport principal du jugement grenoblois tient à la nature de l’obligation de sécurité de l’opérateur : « L’obligation de sécurité est donc une obligation essentielle du contrat » (décision publiée), jugent les magistrats, avant de préciser : « Cette obligation doit être considérée comme une obligation de moyens renforcée, et non une obligation de résultat garantissant l’absence de toute fraude » (décision publiée). En l’espèce, le tribunal a relevé une faiblesse du système, qui permettait de générer un RIB lié à une transaction fictive et de le détourner, sans lien contrôlé entre le RIB, la transaction concernée et l’identité du payeur. Mais il a aussi relevé que l’opérateur diffusait des mises en garde, y compris une notification individualisée indiquant que le RIB n’est accessible que par un bouton dédié dans la conversation, et que la victime avait conscience d’avoir reçu le RIB par un fichier PDF adressé par le vendeur, hors procédure normale. D’où la solution : « il convient d’ordonner un partage de responsabilité par moitié » (décision publiée). Ce partage illustre une règle constante : la faute de la victime qui méconnaît les consignes de sécurité n’efface pas la responsabilité de l’opérateur dont le système a rendu la fraude possible, et inversement les manquements de l’opérateur n’effacent pas l’imprudence de l’utilisateur qui contourne la procédure sécurisée. Dans cette affaire, le tribunal a évalué la perte de 15 409,99 euros et un préjudice moral de 1 000 euros, puis, après partage, a condamné la société exploitant la plateforme à verser 8 205 euros au demandeur, outre 1 000 euros au titre des frais de procédure.
Sur le terrain délictuel, l’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Ce fondement vise l’auteur de l’usurpation ou de l’escroquerie quand il est identifié, et, dans certaines configurations, l’opérateur pour ses propres fautes dans la conception ou l’exploitation du service. Le régime des opérations de paiement non autorisées de l’article L. 133-18 du code monétaire et financier, qui impose au prestataire le remboursement immédiat de l’opération non autorisée signalée, ne s’applique pas quand l’utilisateur a lui-même autorisé et initié le virement, même trompé : le tribunal de Grenoble l’a expressément écarté pour ce motif. Enfin, le préjudice réparable ne se limite pas aux fonds détournés : le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation de ses dispositions le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le trouble et l’angoisse liés à la divulgation de données personnelles, les démarches de récupération, la surveillance prolongée des comptes et, pour un vendeur usurpé, l’atteinte à la réputation commerciale de son profil constituent des postes à documenter pièce par pièce : relevés, attestations de tiers trompés, constats, échanges avec le support, dépôt de plainte.
La mise en demeure, quand elle est envoyée, doit être précise pour être utile : rappel daté des faits, captures et références des annonces, montant exact des fonds détournés avec justificatif bancaire, copie du dépôt de plainte, détail des demandes exercées sur les données personnelles et des réponses reçues, chiffrage poste par poste du préjudice matériel et du préjudice moral, et exposé du manquement reproché à l’opérateur au regard de ses propres conditions générales et de son obligation de sécurité. Dans l’affaire grenobloise, c’est un courrier recommandé de l’avocat resté sans effet utile qui avait précédé l’assignation délivrée par acte d’huissier devant le tribunal judiciaire, et le jugement mentionne expressément cette tentative préalable. Une mise en demeure ne crée aucun droit à elle seule, mais elle date la connaissance du litige par l’opérateur et démontre la bonne foi de la victime qui a cherché une issue avant de saisir le juge.
Reste la question que chacun se pose : faut-il assigner ? La réponse dépend du montant en jeu, des preuves disponibles et de la solidité du manquement imputé à l’opérateur. Une mise en demeure circonstanciée, qui expose la chronologie, vise les manquements et chiffre chaque poste de préjudice, aboutit parfois à une solution négociée, surtout quand l’opérateur mesure son risque judiciaire. Si le désaccord persiste, l’assignation devant le tribunal judiciaire expose les deux thèses au juge, qui appréciera souverainement le partage des responsabilités au vu du système de sécurité, des avertissements diffusés et du comportement de l’utilisateur. Dans tous les cas, conservez l’intégralité du dossier : sans preuve datée du manquement, du préjudice et du lien entre eux, même le dossier le plus choquant ne prospère pas.
Un compte usurpé ou piraté sur une place de marché n’est ni une fatalité ni un litige gagné d’avance. Les faits doivent être qualifiés sans exagération : une simple revendication ou un article de presse ne vaut ni preuve ni condamnation, et seule une décision de justice établit une responsabilité. Les contrats signés, conditions générales et règles du service de paiement, priment sur toute analyse générale et s’appliquent à chaque situation particulière, et seul le juge tranche les contestations. En suivant la méthode — sécuriser, signaler, déposer plainte, exercer ses droits sur ses données, chiffrer chaque préjudice et viser précisément le manquement reproché — la victime se donne les moyens d’obtenir, selon les cas, la récupération de son compte, l’effacement des contenus frauduleux et une réparation financière à la mesure du dommage prouvé. Aucune intrusion, aucun manquement de l’opérateur ni aucun montant d’indemnisation ne se présume : tout se prouve, pièce par pièce, devant l’autorité saisie.