Un message de votre propre compte LinkedIn propose à vos contacts un investissement miracle. Un recruteur vous félicite pour un poste que vous n’avez jamais occupé, décroché grâce à un profil qui porte votre nom et votre photo. Chaque semaine, des cadres, des indépendants et des dirigeants découvrent que leur identité professionnelle circule sans eux : compte piraté dont le mot de passe a été volé, ou faux profil intégralement fabriqué pour démarcher leur carnet d’adresses. Le préjudice est spécifique à ce réseau : contrats en cours fragilisés, réputation écornée auprès de clients et d’employeurs, données de contacts exposées.
Deux situations, deux logiques d’action. Si votre compte a été piraté, il faut en reprendre le contrôle, faire constater la compromission et exiger du responsable du traitement qu’il sécurise vos données. Si un faux profil usurpe votre identité, il faut le faire retirer, identifier son auteur et faire sanctionner l’usurpation. Dans les deux cas, le droit français et européen offre un chemin balisé : signalement à la plateforme, plainte pénale pour usurpation d’identité et accès frauduleux, réclamation devant la CNIL et action devant le juge pour obtenir le retrait, l’identification de l’auteur et l’indemnisation. En octobre 2024, l’exploitant de LinkedIn s’est vu infliger une amende de 310 millions d’euros pour des traitements publicitaires sans base légale, assortie d’une injonction de mise en conformité (Associated Press, 24 octobre 2024) : les autorités de contrôle prennent ces manquements au sérieux.
Cet article décrit pas à pas la méthode : d’abord reprendre la main sur le compte ou faire disparaître le faux profil, puis faire sanctionner les responsables et obtenir réparation de votre préjudice, y compris ses aspects professionnels.
I. Reprendre la main : couper l’accès du pirate et faire disparaître le faux profil
Votre compte LinkedIn, patiemment construit au fil des années, envoie soudain des messages que vous n’avez jamais écrits. Ou pire : un client vous appelle pour vérifier un message étrange, et vous découvrez un profil à votre nom, avec votre photo, que vous n’avez jamais créé. Sur un réseau professionnel, l’attaque touche directement votre réputation : vos contacts reçoivent des demandes d’argent, des propositions douteuses ou des documents piégés, et chacun de ces messages érode la confiance que vous avez bâtie.
Les deux situations obéissent à des réflexes communs — sécuriser, prouver, signaler — mais à des régimes juridiques distincts. Le compte piraté relève d’abord de la relation contractuelle avec la plateforme et de la sécurité des traitements ; le faux profil relève de l’usurpation d’identité et du droit au retrait des contenus illicites. Comprendre cette distinction conditionne l’efficacité de vos démarches.
A. Votre compte est piraté : sécuriser, récupérer et conserver les preuves
Le premier réflexe consiste à reprendre la main par les voies prévues : La plateforme gouvernementale Cybermalveillance recommande, lorsque la connexion est devenue impossible, de contacter le service concerné pour signaler le piratage et demander la réinitialisation du mot de passe. Changez le mot de passe depuis un appareil sain, activez la vérification en deux étapes, révoquez les sessions actives et vérifiez que l’adresse électronique et le numéro de téléphone associés au compte sont toujours les vôtres. Si le pirate a modifié l’adresse de récupération, passez par la procédure de vérification d’identité de la plateforme plutôt que de créer un second compte, qui compliquerait ensuite la démonstration de l’usurpation. Déconnectez de votre compte tout appareil ou session active inconnus : sans cela, le pirate peut rester connecté malgré le changement de mot de passe. Vérifiez l’absence de règles de redirection ajoutées par l’intrus, changez le mot de passe compromis sur tous les autres services où vous le réutilisiez, et activez partout la double authentification. Les attaquants sont entrés parce que le mot de passe était trop simple, parce qu’un message d’hameçonnage vous l’a soutiré, parce qu’il était réutilisé sur un site déjà piraté ou parce qu’un logiciel voleur de mots de passe infectait votre équipement : identifier la porte d’entrée évite la récidive.
En parallèle, l’exploitant européen de la plateforme est soumis au règlement général sur la protection des données : l’autorité irlandaise de protection des données est son régulateur chef de file dans l’Union, car le siège européen de la société y est établi (Associated Press, 24 octobre 2024). Cette qualité de responsable du traitement emporte des obligations de sécurité précises. Le règlement impose en effet que les données soient traitées de manière licite, loyale et transparente (article 5 du règlement) et qu’aucun traitement ne soit licite sans base légale, par exemple lorsque la personne concernée a consenti au traitement pour une ou plusieurs finalités spécifiques (article 6, paragraphe 1, point a, du règlement). Un accès frauduleux à votre compte constitue par définition un traitement sans votre consentement et sans autre fondement : écrivez au responsable du traitement pour exiger la sécurisation du compte, la journalisation des accès litigieux et la communication des mesures prises.
La conservation des preuves commence dès la première minute. Capturez les messages envoyés par le pirate avec leurs dates et destinataires, conservez les notifications de connexion inhabituelle, les reçus de modification d’adresse électronique et toute trace des préjudices subis par vos contacts : rendez-vous annulés, virements sollicités, documents transmis. Ces éléments serviront à la plainte pénale, à la réclamation devant la CNIL et à la demande d’indemnisation. Avertissez rapidement vos contacts les plus exposés — collaborateurs, clients, prospects en négociation — par un autre canal que LinkedIn, en leur demandant de ne donner suite à aucune sollicitation émanant du compte et de vous transmettre les messages reçus. Cette alerte limite la propagation du préjudice et démontre, si le litige s’enlise, que vous avez agi avec diligence.
Prenez également le temps de passer en revue l’ensemble de votre hygiène numérique : relevés bancaires pour détecter des opérations déclenchées grâce aux informations glanées sur votre profil, autres réseaux sociaux où vous réutilisiez le même mot de passe, boîte électronique professionnelle dont l’adresse servait de login LinkedIn. Adoptez un gestionnaire de mots de passe et un mot de passe unique par service : sur un réseau professionnel, la compromission d’un seul compte ouvre souvent la voie à des attaques ciblées contre votre entreprise, vos clients et vos partenaires, qui recevront des messages parfaitement renseignés sur vos dossiers en cours.
Restez vigilant sur un point : des sociétés commerciales proposent de « récupérer » votre compte contre paiement. Aucune ne dispose de pouvoirs que la plateforme et le juge n’ont pas, et leur confier vos identifiants aggrave le risque. Les seules voies fiables sont la procédure officielle de la plateforme, la mise en demeure du responsable du traitement sur le fondement du règlement européen et, en cas d’échec, le juge.
B. Un faux profil usurpe votre identité : le faire retirer et identifier son auteur
Le faux profil ne vous prive pas de votre compte, mais il parle à votre place. Il reprend votre photographie, votre parcours, parfois le nom de votre employeur, et s’en sert pour démarcher vos contacts, diffuser des propos que vous n’avez jamais tenus ou collecter des informations auprès de votre entourage professionnel. Juridiquement, la situation relève d’abord de l’usurpation d’identité. Le Code pénal dispose en effet que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », et précise que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». Un faux profil LinkedIn créé pour tromper vos contacts entre directement dans cette définition, dès lors que l’usage de votre nom, de votre image ou de votre parcours vise à troubler votre tranquillité ou à porter atteinte à votre considération professionnelle.
La CNIL recommande de réagir sans délai : rassembler les preuves de l’usurpation, signaler le compte auprès de la plateforme et déposer plainte. Concrètement, commencez par faire constater le faux profil : captures d’écran datées de la page, de l’URL, des messages envoyés à vos contacts, des différences avec votre véritable profil. Faites attester par deux ou trois contacts qu’ils ont été démarchés par ce profil et conservez leurs témoignages écrits. Un constat d’huissier de justice, établi rapidement, fige la preuve avant que l’auteur ne supprime le profil ; son coût est modeste au regard de son utilité devant le juge et les enquêteurs.
Signalez ensuite le profil par les outils de signalement de la plateforme, en joignant une pièce d’identité et les éléments démontrant l’usurpation, et déposez en parallèle un signalement sur le portail officiel de signalement des contenus illicites de l’Internet. La plateforme, en tant qu’hébergeur, n’est pas responsable par principe des contenus qu’elle stocke, mais elle engage sa responsabilité dès lors qu’elle a connaissance du caractère illicite d’un contenu et ne le retire pas promptement : notifiez donc par écrit, de manière précise et localisée — adresse exacte du profil, description des faits, fondement juridique invoqué — afin que nul ne puisse prétendre ignorer le signalement. Si le profil diffuse des messages qui vous sont attribués à tort, exercez en parallèle votre droit à l’effacement : le règlement européen reconnaît à toute personne le droit d’obtenir du responsable du traitement l’effacement de ses données (article 17 du règlement), notamment lorsque les données ont fait l’objet d’un traitement illicite (article 17, paragraphe 1, point d, du règlement). Le responsable doit vous répondre dans un délai d’un mois à compter de la réception de la demande (délais de réponse aux demandes d’exercice des droits, article 12, paragraphe 3, du règlement) : à défaut de réponse satisfaisante dans ce délai, la saisine de la CNIL devient l’étape suivante. Formalisez chaque demande par écrit : adressez au responsable du traitement une mise en demeure précisant votre identité, l’adresse exacte du compte ou du faux profil, la nature des données concernées, les fondements invoqués — droit d’accès, droit à l’effacement, sécurité des traitements — et un délai de réponse calé sur le délai légal d’un mois. Envoyez-la de manière à prouver sa réception et conservez-en copie avec les pièces jointes : captures, constat, correspondances avec la plateforme. En cas de réponse incomplète ou d’absence de réponse, ce dossier écrit constituera le socle de votre réclamation devant la CNIL puis de votre action devant le juge, qui appréciera la diligence de chacun.
Lorsque l’auteur est inconnu, son identification passe par les données détenues par la plateforme : adresses électroniques et numéros associés au compte, adresses IP de création et de connexion, identifiants utilisés. Prévenez aussi votre employeur et, le cas échéant, son service de communication : lorsque le faux profil mentionne votre entreprise, celle-ci peut être démarchée à son tour et son image se trouve mêlée à l’affaire. Une entreprise avertie à temps peut relayer l’alerte en interne, bloquer les adresses de l’usurpateur sur sa messagerie et fournir des attestations utiles au dossier. Si vous êtes indépendant, diffusez la même alerte à vos principaux clients par un message bref et factuel, sans accuser personne : l’objectif est d’assécher le vivier de victimes potentielles et de priver l’usurpateur de sa crédibilité.
La jurisprudence récente montre que le juge ordonne cette communication. Saisi d’un faux profil Facebook usurpant l’identité de la présidente d’une association, le tribunal judiciaire de Paris a ainsi ordonné à l’exploitant de communiquer « les données d’identification suivantes, en sa possession, relatives au compte en ligne présentant un profil à son nom », et ce « dans un délai de huit jours à compter de la signification de la présente décision » (tribunal judiciaire de Paris, ordonnance de référé du 15 juillet 2026, RG 26/50431). La cour d’appel de Paris a confirmé la même logique pour plusieurs faux comptes : communication ordonnée « dans les huit jours à compter de la signification du présent arrêt », des « données qu’elle détient de nature à permettre l’identification du ou des titulaires des comptes » (cour d’appel de Paris, pôle 1 chambre 3, 10 septembre 2024, RG 23/16504). Ce raisonnement, fondé sur la loi pour la confiance dans l’économie numérique et sur le droit de la preuve avant tout procès, est transposable aux faux profils LinkedIn : le juge des référés peut contraindre l’exploitant européen de la plateforme à livrer les données d’identification de l’auteur.
II. Faire sanctionner les responsables et obtenir réparation de votre préjudice
Une fois l’urgence traitée — compte sécurisé, faux profil signalé — vient le temps de la sanction et de la réparation. Trois voies se combinent sans s’exclure : la plainte pénale contre l’auteur, la réclamation devant la CNIL contre le responsable du traitement, et l’action civile devant le juge pour faire cesser l’illicite et indemniser le préjudice. Les articuler correctement multiplie les chances d’un résultat concret.
A. Porter plainte et saisir la CNIL : le circuit pénal et le circuit administratif
Le piratage d’un compte et la création d’un faux profil caractérisent plusieurs infractions pénales que la plainte doit viser précisément. L’usurpation d’identité, réprimée par l’article 226-4-1 du Code pénal, constitue le fondement naturel du faux profil. Le piratage du compte relève en outre de l’atteinte aux systèmes de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende ». Lorsque le pirate a démarché vos contacts pour leur soutirer de l’argent — faux investissement, aide urgente, règlement d’une facture — l’escroquerie s’ajoute : elle vise notamment la tromperie « par l’usage d’un faux nom ou d’une fausse qualité », et « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende ». Décrivez dans la plainte chaque fait avec ses dates, ses destinataires et ses conséquences financières, et joignez les captures, le constat d’huissier et les témoignages de vos contacts.
La CNIL indique qu’il est possible de déposer une pré-plainte en ligne avant de la faire enregistrer : cette pré-déclaration prépare l’audition mais ne remplace pas la signature de la plainte devant un service de police ou une unité de gendarmerie. Déposez plainte au commissariat ou à la gendarmerie de votre domicile, en demandant expressément que soient visés l’usurpation d’identité et l’accès frauduleux, et sollicitez un récépissé. Si des fonds ont été détournés au préjudice de vos contacts, invitez-les à déposer plainte à leur tour : la multiplication des plaintes renforce l’enquête et objective le préjudice. Lorsque le pirate a exigé de l’argent ou a tenté d’escroquer vos contacts en usurpant votre identité, déposer plainte en ligne sur la plateforme THESEE du ministère de l’Intérieur est également possible. Vous pouvez aussi adresser votre plainte par écrit au procureur de la République du tribunal judiciaire dont vous dépendez, en joignant toutes les preuves en votre possession. Conservez chaque numéro de procédure : il servira pour la constitution de partie civile et pour appuyer vos démarches devant la plateforme et la CNIL.
Le second circuit est administratif. Toute personne qui estime qu’un traitement de ses données viole le règlement européen a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier celle de l’État de sa résidence habituelle (article 77 du règlement) : pour un résident français, il s’agit de la CNIL, y compris lorsque le responsable du traitement est établi dans un autre État membre. La plainte peut dénoncer l’absence de réponse à une demande d’effacement ou d’accès dans le délai d’un mois, l’insuffisance des mesures de sécurité ayant permis le piratage, ou le maintien en ligne d’un faux profil malgré un signalement circonstancié. La CNIL instruit la réclamation, peut mettre en demeure le responsable et prononcer des sanctions, dont des amendes administratives.
Ce circuit transfrontalier fonctionne en pratique : en octobre 2024, l’autorité irlandaise, régulateur chef de file car le siège européen de la société y est établi, a infligé à l’exploitant de LinkedIn une amende de 310 millions d’euros pour des traitements de données publicitaires sans base légale, avec un rappel à l’ordre sur la loyauté et la transparence et une injonction de mise en conformité (Associated Press, 24 octobre 2024). Cet antécédent montre qu’une réclamation documentée peut déboucher sur un contrôle effectif, et il illustre le manquement le plus utile à votre dossier : l’absence de base légale et de loyauté du traitement litigieux.
B. Agir devant le juge : retrait, identification de l’auteur et indemnisation
Lorsque le signalement amiable n’a pas suffi — compte non restitué, faux profil toujours en ligne, auteur inconnu — le juge des référés devient l’instrument décisif. Comme le rappelle le tribunal judiciaire de Paris, « Le président du tribunal judiciaire, statuant selon la procédure accélérée au fond, peut prescrire à toute personne susceptible d’y contribuer toutes les mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne » (article 6-3 de la loi pour la confiance dans l’économie numérique, cité par le tribunal judiciaire de Paris, ordonnance du 15 juillet 2026, RG 26/50431). Sur ce fondement, complété par le droit de faire établir la preuve avant tout procès, vous pouvez demander au juge d’ordonner le retrait du faux profil, la restitution de votre compte et la communication des données d’identification de l’auteur. L’ordonnance de référé s’obtient en quelques semaines et elle est exécutoire immédiatement, ce qui convient à l’urgence d’un profil qui démarchage activement votre réseau.
À Paris et en Île-de-France, ce contentieux relève naturellement du tribunal judiciaire de Paris, dont les ordonnances citées montrent la maîtrise du mécanisme : identification des auteurs de faux comptes, délais de communication de huit jours, articulation entre la loi pour la confiance dans l’économie numérique et le Code de procédure civile. Déposez votre plainte au commissariat de votre arrondissement ou faites enregistrer votre pré-plainte en ligne puis signez-la dans le service de police ou l’unité de gendarmerie de votre choix, et conservez chaque récépissé pour le dossier civil. Les constats d’huissier établis par un commissaire de justice francilien, les attestations de vos contacts parisiens démarchés par le faux profil et les échanges avec la plateforme forment un dossier complet, directement exploitable en référé comme au fond.
L’indemnisation obéit à un régime désormais clarifié. Le règlement européen prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation (article 82 du règlement), et que chaque personne concernée dispose d’un recours juridictionnel effectif contre le responsable du traitement (article 79 du règlement). La Cour de justice a toutefois posé deux limites que votre demande doit intégrer : la simple violation du règlement ne suffit pas, à elle seule, à ouvrir droit à réparation — il faut démontrer un dommage réel causé par la violation — mais, en sens inverse, aucune règle nationale ne peut subordonner la réparation du préjudice moral à un seuil de gravité (Cour de justice de l’Union européenne, 4 mai 2023, aff. C-300/21, Österreichische Post, points 1 et 2). Concrètement, chiffrez chaque chef de préjudice : perte de contrats ou d’opportunités attestée par vos échanges, temps passé à gérer la crise, atteinte à la réputation documentée par les témoignages, préjudice moral lié à l’exposition de votre identité. Même un préjudice moral modeste est indemnisable dès lors qu’il est établi, sans seuil de gravité.
Le droit commun de la responsabilité complète le dispositif contre l’auteur lui-même : usurpation d’identité ayant conduit à l’ouverture d’engagements au nom de la victime, la cour d’appel de Versailles a débouté la banque de ses demandes de paiement et condamné celle-ci à verser à la victime « 2.000 euros à titre de dommages et intérêts pour perte de chance », retenant « l’usurpation d’identité dont il a été victime à l’occasion de la procédure de première instance dont il n’a pu être informé en temps utile » (cour d’appel de Versailles, 7 novembre 2023, RG 22/03198). Transposé à votre situation, ce raisonnement signifie que ni vous ni vos contacts n’avez à assumer les engagements souscrits par l’usurpateur : contrats, commandes ou virements passés par le faux profil ne vous sont pas opposables, et le préjudice d’image comme la perte de chance professionnelle ouvrent droit à réparation. Pensez enfin à vos contacts devenus victimes : ceux qui ont versé de l’argent au pirate disposent de leur propre action, sur le fondement de l’escroquerie, et leur plainte renforce la vôtre en établissant l’ampleur du trouble. Transmettez-leur vos références de procédure afin que les enquêteurs puissent rapprocher les dossiers : cette coordination évite les classements prématurés et donne au juge une mesure exacte du préjudice collectif causé par l’usurpation. Les lecteurs confrontés à l’exploitation de leurs données sur d’autres grandes plateformes trouveront une démarche comparable, avec d’autres fondements indemnitaires, dans notre analyse des recours ouverts aux utilisateurs français après la condamnation de Meta pour violation du RGPD.
Enfin, soignez la démonstration de votre préjudice professionnel, souvent décisive pour l’indemnisation : relevés de votre activité commerciale avant et après les faits, échanges avec des prospects qui se sont détournés, attestations de clients sur la confusion créée, captures des avis ou messages publics liés au faux profil. Un tableau chronologique simple — date, fait, pièce correspondante — rend le dossier lisible pour l’enquêteur, la CNIL et le juge, et transforme une impression de chaos numérique en une succession de faits prouvés.
Un compte LinkedIn piraté ou un faux profil à votre nom n’est donc pas une fatalité numérique : sécuriser puis signaler dans les premières heures, déposer plainte et saisir la CNIL dans les jours qui suivent, puis faire ordonner en référé le retrait et l’identification de l’auteur, forment une chaîne dont chaque maillon renforce le suivant. Le préjudice professionnel, souvent le plus lourd, se prouve comme les autres : pièces, témoignages, chiffrage précis. Documenté avec rigueur et fondé sur les textes et les décisions qui s’appliquent à ces plateformes, votre dossier permet d’obtenir la disparition du faux profil, la sanction des manquements et la réparation intégrale du dommage subi.