Selon le site spécialisé qui recense l’annonce, dans une publication du 25 octobre 2026, un fichier associant des plaques d’immatriculation françaises à des noms, adresses, numéros de téléphone et courriels aurait été mis en vente le 24 octobre 2026, pour un volume revendiqué de 905 097 enregistrements. La presse a repris l’information le 26 octobre 2026 en évoquant environ 850 000 plaques. À la date de rédaction, aucune intrusion, aucun accident ni aucun dommage n’a été constaté par une source officielle, l’origine du fichier revendiqué n’est pas identifiée dans ces publications et aucune responsabilité n’est établie. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne formulent aucun constat sur un organisme déterminé. Deux questions se posent pour l’automobiliste : une plaque d’immatriculation relève-t-elle du droit des données personnelles, et que peut-il concrètement vérifier, demander et prouver si ses coordonnées circulent avec son numéro ?

I. Une plaque associée à un nom n’est pas un simple numéro de véhicule

A. Pourquoi la plaque relève du règlement général sur la protection des données

Le point de départ est la définition posée par le règlement (UE) 2016/679 du 27 avril 2016. Son article 4, point 1, vise les informations qui se rapportent à une personne identifiée ou identifiable, l’identification pouvant être directe ou indirecte, notamment par référence à un identifiant (règlement (UE) 2016/679, article 4 (texte reproduit par la CNIL)). La qualification ne dépend donc pas de la nature intime de l’information, mais de sa capacité à rattacher une information à une personne. Un numéro qui ne désigne, en apparence, qu’un véhicule peut remplir ce critère dès lors qu’un rapprochement avec son titulaire est possible.

La Commission nationale de l’informatique et des libertés (CNIL) l’applique expressément aux plaques. Dans sa réponse à la question de la publication de photographies de véhicules, elle répond que la plaque d’immatriculation d’un véhicule est une donnée personnelle, parce qu’elle permet d’identifier indirectement la personne propriétaire du véhicule (CNIL, question n° 1816). La même réponse précise que diffuser publiquement une telle donnée sur internet constitue un traitement au sens de l’article 4, point 2, du règlement, lequel vise notamment la collecte, l’enregistrement, la conservation, la consultation, la communication par transmission et la diffusion (règlement (UE) 2016/679, article 4 (texte reproduit par la CNIL)). Ce contenu de la CNIL est un contenu pédagogique, non une décision de sanction : il éclaire la qualification, sans préjuger l’appréciation d’un dossier déterminé.

La distinction pratique tient au contexte du fichier. Une plaque lue isolément dans la rue identifie indirectement, par rapprochement avec le système d’immatriculation. Un fichier structuré qui associe, ligne par ligne, la plaque à un nom, une adresse postale, un téléphone et un courriel va plus loin : l’identification y est immédiate, sans recherche complémentaire, et chaque ligne forme un ensemble de données sur une personne déterminée. Le règlement définit d’ailleurs le fichier comme un ensemble structuré de telles données, accessibles selon des critères déterminés (règlement (UE) 2016/679, article 4 (texte reproduit par la CNIL)). C’est l’association des champs, plus que la plaque seule, qui donne au fichier revendiqué sa portée pour les personnes : elle relie un véhicule, un domicile et des moyens de contact directs.

Le droit français de l’immatriculation confirme que ce rapprochement est encadré, et non libre. L’article L. 330-1 du code de la route prévoit l’enregistrement, dans les services de l’État et sous l’autorité et le contrôle du ministre de l’intérieur, de toutes informations concernant les pièces administratives exigées pour la circulation des véhicules, ces informations pouvant faire l’objet de traitements automatisés soumis à la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. L’article L. 330-2 du code de la route énumère limitativement les destinataires auxquels les informations du système d’immatriculation sont communiquées : le titulaire des pièces administratives, son avocat ou son mandataire, les autorités judiciaires, les officiers ou agents de police judiciaire dans l’exercice de leurs missions, les militaires de la gendarmerie ou fonctionnaires de la police nationale habilités à effectuer des contrôles routiers, les préfets pour leurs compétences en matière de circulation, ou encore les entreprises d’assurances dans le seul but d’identifier les biens et personnes impliqués dans un accident de la circulation, sous conditions. Hors ces cas et les autres hypothèses énumérées par le texte, le lien entre une plaque et l’identité de son titulaire n’a pas vocation à circuler. Un fichier qui diffuserait ce lien à tout acheteur se placerait donc, par construction, en dehors des canaux de communication prévus par ce texte, sans qu’il soit besoin de présumer sa provenance. L’article L. 330-5 du code de la route le dit en termes exprès : « les données à caractère personnel figurant dans les pièces administratives exigées pour la circulation des véhicules ne peuvent être communiquées qu’aux destinataires mentionnés aux articles L. 330-2 à L. 330-4 », sous réserve de communications à des tiers préalablement agréés pour des réutilisations encadrées, notamment à des fins statistiques ou de recherche sans faire apparaître de donnée à caractère personnel, à des fins d’enquêtes et de prospections commerciales sauf opposition des personnes concernées selon l’article 21 du règlement européen, ou à des fins de sécurisation d’activités économiques sans communication des nom, prénom et adresse des personnes concernées.

Les traitements de lecture automatisée des plaques obéissent à la même logique d’accès restreint. La Cour de cassation a jugé qu’il se déduit des textes applicables que les agents des services de police et de gendarmerie nationales, ainsi que des douanes, individuellement désignés et dûment habilités, peuvent accéder aux données résultant du système de lecture automatisée des plaques d’immatriculation (LAPI) et du fichier des objets et véhicules signalés (Cass. crim., 23 mai 2023, n° 22-84.368). Dans un autre dossier de procédure pénale, la même chambre a écarté la nullité d’une consultation du système LAPI accomplie dans le cadre d’une commission rogatoire autorisant toutes réquisitions utiles et a retenu que la chambre de l’instruction avait pu regarder ces consultations comme prévues par la loi et proportionnées au but poursuivi, alors même qu’elles constituent une ingérence dans le droit à la vie privée (Cass. crim., 13 décembre 2022, n° 22-81.851). Ces décisions concernent la procédure pénale et l’habilitation des agents ; elles ne tranchent pas la qualification au regard du règlement européen. Elle montre cependant, dans son domaine, que les données de plaques sont traitées comme des données dont l’accès se réserve à des personnes désignées, et non comme des informations librement réutilisables.

Il en résulte une grille de lecture simple pour l’annonce de mise en vente. Si le fichier revendiqué contient réellement, comme l’affirme le site spécialisé qui recense l’annonce, des plaques associées à des noms, adresses, téléphones et courriels, il porterait sur des données à caractère personnel au sens de l’article 4, point 1, précité. En revanche, ni le volume revendiqué, ni le nombre de personnes réellement concernées, ni l’exactitude des lignes ne sont établis par une source officielle à la date de rédaction. Le site spécialisé indique lui-même que le nombre de plaques distinctes ne correspond pas nécessairement au nombre de personnes touchées, une même personne pouvant détenir plusieurs véhicules et une plaque pouvant apparaître dans plusieurs enregistrements. Toute analyse des obligations qui suivent suppose donc, à titre d’hypothèse de travail, une divulgation avérée imputable à un organisme identifié, ce qui n’est pas constaté à ce stade.

B. Ce qu’une divulgation avérée déclencherait chez l’organisme qui détient le fichier

La définition d’une violation de données à caractère personnel, à l’article 4, point 12, du règlement, couvre notamment la divulgation non autorisée de telles données ou l’accès non autorisé à celles-ci, à la suite d’une violation de la sécurité, de manière accidentelle ou illicite (règlement (UE) 2016/679, article 4, point 12 (texte reproduit par la CNIL)). Si un fichier de plaques associées à des coordonnées avait été extrait d’un système puis mis en vente, les faits, une fois établis, seraient susceptibles d’entrer dans cette définition. Le conditionnel s’impose : la qualification suppose un système source, un accès ou une divulgation non autorisés et un responsable du traitement identifié, c’est-à-dire l’organisme qui détermine les finalités et les moyens du traitement au sens de l’article 4, point 7, du même règlement. Aucun de ces éléments n’est publiquement établi pour le fichier revendiqué.

En amont de tout incident, la sécurité repose sur l’article 32 du règlement : compte tenu notamment de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes, le responsable du traitement et le sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (règlement (UE) 2016/679, article 32 (texte reproduit par la CNIL)). Le texte cite, selon les besoins, la pseudonymisation et le chiffrement, les moyens de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, ainsi qu’une procédure visant à tester régulièrement l’efficacité des mesures. L’article 5, paragraphe 1, sous f), ajoute le principe d’intégrité et de confidentialité, et son paragraphe 2 met à la charge du responsable la capacité de démontrer le respect de ces principes. Pour un fichier qui relie identité, domicile, téléphone, courriel et véhicule, le risque à prendre en compte dans cette appréciation comprend l’usurpation ciblée et le contact frauduleux rendus crédibles par la précision des champs associés ; la manière dont la pseudonymisation s’apprécie selon le destinataire des données a été examinée séparément sur ce site.

La survenance d’une violation ne suffit pas, à elle seule, à établir que la sécurité était insuffisante. La Cour de justice de l’Union européenne a dit pour droit qu’une divulgation non autorisée ou un accès non autorisé par des tiers ne suffisent pas, à eux seuls, à établir que les mesures techniques et organisationnelles du responsable du traitement n’étaient pas appropriées au sens des articles 24 et 32 du règlement (CJUE, 14 décembre 2023, C-340/21, CURIA). Le caractère approprié des mesures s’apprécie concrètement, en tenant compte des risques liés au traitement et en examinant si la nature, la teneur et la mise en œuvre des mesures sont adaptées à ces risques. Dans une action en réparation, c’est toutefois le responsable du traitement qui supporte la charge de prouver le caractère approprié des mesures de sécurité qu’il a mises en œuvre, selon le même arrêt. Autrement dit, l’incident ouvre une question de preuve et d’adéquation des mesures au risque ; il ne vaut pas constat automatique de manquement.

Lorsque la violation est établie et connue du responsable, le premier mécanisme est la notification à l’autorité de contrôle. L’article 33, paragraphe 1, du règlement prévoit que le responsable notifie la violation à l’autorité compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ; une notification plus tardive est accompagnée des motifs du retard (règlement (UE) 2016/679, article 33 (texte reproduit par la CNIL)). La notification décrit au moins la nature de la violation et, si possible, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées pour y remédier. Le sous-traitant, de son côté, notifie toute violation au responsable du traitement dans les meilleurs délais après en avoir pris connaissance, selon le paragraphe 2 du même article. Même lorsqu’aucune notification n’est adressée à l’autorité, le paragraphe 5 impose au responsable de documenter toute violation, ses effets et les mesures prises, afin de permettre à l’autorité de vérifier le respect de l’article ; les conditions dans lesquelles décider de ne pas notifier suppose de prouver l’absence de risque et de tenir le registre interne ont déjà été détaillées sur ce site.

Le second mécanisme regarde les personnes elles-mêmes. L’article 34, paragraphe 1, du règlement dispose que, lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable communique la violation à la personne concernée dans les meilleurs délais, en des termes clairs et simples (règlement (UE) 2016/679, article 34 (texte reproduit par la CNIL)). Cette communication n’est pas nécessaire si les données étaient rendues incompréhensibles pour les personnes non autorisées, par exemple par chiffrement, si des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se matérialiser, ou si elle exigerait des efforts disproportionnés, auquel cas une communication publique ou une mesure similaire s’y substitue. L’autorité de contrôle peut en outre exiger cette communication après avoir examiné si la violation est susceptible d’engendrer un risque élevé. Pour l’automobiliste, la conséquence pratique est la suivante : l’absence de message d’un organisme ne prouve ni qu’il est concerné ni qu’il ne l’est pas ; elle peut tenir à l’absence de violation établie, à une appréciation du risque, ou à une identification encore impossible du fichier source.

Enfin, les manquements aux obligations des articles 32 à 34 figurent parmi ceux que l’article 83, paragraphe 4, du règlement expose à des amendes administratives pouvant s’élever jusqu’à 10 000 000 EUR ou, pour une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (règlement (UE) 2016/679, article 83 (texte reproduit par la CNIL)). Ce plafond n’est ni un tarif ni une conséquence automatique : l’article 83, paragraphe 1, exige des amendes effectives, proportionnées et dissuasives, et son paragraphe 2 énumère des critères tels que la nature, la gravité et la durée de la violation, son caractère délibéré ou négligent, les mesures prises pour atténuer le dommage et le degré de coopération avec l’autorité. En droit français, l’article 20 de la loi du 6 janvier 1978 prévoit que, lorsqu’un responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement européen ou de cette loi, le président de la CNIL peut saisir la formation restreinte en vue du prononcé, après procédure contradictoire, de mesures parmi lesquelles une amende administrative dont les plafonds reprennent ceux de l’article 83 du règlement, la formation restreinte prenant en compte les critères précisés à ce même article. Aucune de ces appréciations ne peut être faite pour un fichier dont la source n’est pas identifiée.

II. Ce que l’automobiliste peut vérifier, demander et prouver

A. Obtenir une réponse de l’organisme, saisir la CNIL et, le cas échéant, demander réparation au juge

La première difficulté est pratique : les droits reconnus par le règlement s’exercent auprès d’un responsable du traitement identifié, non auprès de l’auteur anonyme d’une annonce de vente. Tant que l’organisme source du fichier revendiqué n’est pas connu, l’automobiliste ne peut pas utilement adresser une demande ciblée sur ce seul fondement. En revanche, dès qu’un organisme l’informe d’une violation, ou dès qu’il a des raisons sérieuses de penser qu’un organisme déterminé détient ses données d’immatriculation associées à son identité, par exemple à la suite d’une démarche d’immatriculation, d’une réparation, d’une assurance ou d’un service lié au véhicule, il peut exercer son droit d’accès auprès de cet organisme. Il ne s’agit ni d’acheter le fichier revendiqué, ni de le télécharger pour y rechercher sa plaque : ces démarches exposeraient à manipuler les données d’autrui et ne prouveraient ni la provenance ni l’exactitude des lignes.

Le droit d’accès est organisé par l’article 15 du règlement : la personne concernée peut obtenir du responsable la confirmation que des données la concernant sont ou non traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’à des informations énumérées, dont les finalités du traitement, les catégories de données, les destinataires ou catégories de destinataires, la durée de conservation envisagée ou les critères qui la déterminent, l’existence des droits de rectification, d’effacement, de limitation et d’opposition, le droit d’introduire une réclamation auprès d’une autorité de contrôle et, lorsque les données n’ont pas été collectées auprès de la personne, toute information disponible quant à leur source (règlement (UE) 2016/679, article 15 (texte reproduit par la CNIL)). Dans le contexte d’une suspicion de divulgation, la demande gagne à être précise : confirmation du traitement de la plaque et des coordonnées, catégories de destinataires, source des données si elles proviennent d’un tiers, et information sur l’existence d’une violation ayant donné lieu à notification ou à communication aux personnes. Une demande datée, conservée avec sa preuve d’envoi et la réponse reçue, constitue la trace qui manquera le plus souvent ensuite.

Le temps de réponse est encadré par l’article 12, paragraphe 3, du règlement, qui prévoit que le responsable fournit les informations sur les mesures prises à la suite d’une demande dans un délai d’un mois à compter de sa réception, ce délai pouvant au besoin être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, la personne étant alors informée de cette prolongation (règlement (UE) 2016/679, article 12 (texte reproduit par la CNIL)). L’article 12, paragraphe 2, impose en outre au responsable de faciliter l’exercice des droits des articles 15 à 22. Une absence de réponse, une réponse incomplète sur les destinataires ou sur la source, ou un refus non motivé sont des éléments à conserver tels quels, sans les reformuler : ils serviront, le cas échéant, devant l’autorité de contrôle.

La réclamation auprès de l’autorité relève de l’article 77, paragraphe 1, du règlement, qui ouvre à toute personne concernée un droit de réclamation auprès d’une autorité de contrôle lorsqu’elle considère que le traitement de données la concernant constitue une violation du règlement ; le paragraphe 2 du même article prévoit que l’autorité informe l’auteur de la réclamation de son état d’avancement et de son issue (règlement (UE) 2016/679, article 77 (texte reproduit par la CNIL)). En France, cette autorité est la CNIL, dont l’article 8 de la loi du 6 janvier 1978 prévoit notamment qu’elle « traite les réclamations, pétitions et plaintes » introduites par une personne concernée, examine ou enquête sur leur objet dans la mesure nécessaire et informe leur auteur de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, selon les termes de ce texte. La réclamation vise le respect du règlement par un organisme ; elle ne vaut pas, par elle-même, demande d’indemnisation du préjudice personnel. Les suites possibles d’une plainte à la CNIL restée sans réponse, son classement et les recours ouverts devant le juge ont été exposées dans un article distinct. Joindre à la réclamation la demande d’accès, la réponse ou la preuve du silence, et tout message frauduleux reçu mentionnant la plaque, donne à l’autorité une matière vérifiable ; y joindre la seule capture d’une annonce de vente non confirmée laisserait entier le problème de l’identification du responsable.

La réparation suit une autre voie, celle du juge. Pour une personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement, l’article 82, paragraphe 1, prévoit un droit à réparation à l’encontre du responsable du traitement ou du sous-traitant (règlement (UE) 2016/679, article 82 (texte reproduit par la CNIL)). Le paragraphe 2 précise les conditions dans lesquelles un sous-traitant répond du dommage, le paragraphe 3 exonère le responsable ou le sous-traitant qui prouve que le fait ayant provoqué le dommage ne lui est nullement imputable, et le paragraphe 4 organise, lorsque plusieurs acteurs participent au même traitement, une responsabilité de chacun pour le dommage dans sa totalité afin de garantir une réparation effective, avec recours entre eux selon le paragraphe 5. Ces règles supposent un défendeur identifié et une violation du règlement établie ; elles ne créent pas d’action contre un vendeur anonyme sur le seul fondement du règlement.

Le dommage moral né de la crainte d’un usage futur des données occupe une place précise, et limitée, dans la jurisprudence de la Cour de justice. Dans l’arrêt du 14 décembre 2023, C-340/21, la Cour a dit pour droit que la crainte d’un usage abusif potentiel de ses données par des tiers, éprouvée par une personne concernée à la suite d’une violation du règlement, est susceptible de constituer à elle seule un dommage moral au sens de l’article 82, paragraphe 1 (CJUE, 14 décembre 2023, C-340/21, CURIA). Le même arrêt retient que le responsable ne peut être exonéré du seul fait que le dommage résulte d’une divulgation ou d’un accès par des tiers : il doit prouver que le fait qui a provoqué le dommage ne lui est nullement imputable. La crainte peut donc, en droit, constituer le dommage ; encore faut-il qu’elle procède d’une violation établie et qu’elle soit rapportée à la situation de la personne qui l’invoque.

La limite symétrique a été posée le 4 mai 2023 : la simple violation des dispositions du règlement ne suffit pas à ouvrir un droit à réparation, sans que la réparation d’un dommage moral puisse être subordonnée à un certain degré de gravité du préjudice (CJUE, 4 mai 2023, C-300/21, CURIA). La Cour de cassation en a tiré la conséquence en jugeant, le 24 juin 2026, que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » et qu’il appartient au juge d’apprécier si la personne établit que la violation constatée lui a causé un dommage matériel ou moral (Cass. soc., 24 juin 2026, n° 24-22.792). Cette décision concerne un litige de travail, mais le motif qu’elle énonce sur l’article 82 est général. Pour un automobiliste, la traduction pratique est claire : conserver ce qui matérialise le préjudice allégué, par exemple les messages d’hameçonnage nommant la plaque, les appels ou courriers reçus, les frais engagés, le temps consacré aux démarches et tout élément daté reliant ces faits à la divulgation, plutôt que d’affirmer un préjudice nécessairement causé par la seule présence supposée de la plaque dans un fichier revendiqué.

B. Distinguer le fichier de données de l’usurpation de plaque, et traiter chacun par sa voie propre

Le risque le plus souvent associé aux plaques n’est pas né de ce fichier revendiqué : c’est la « doublette », c’est-à-dire l’usage, sur un autre véhicule, d’un numéro attribué au vôtre. Les deux problèmes se ressemblent parce qu’ils partent du même numéro, mais ils ne relèvent ni des mêmes faits ni des mêmes démarches. La circulation d’un fichier associant plaque et identité relève du droit des données personnelles examiné plus haut. L’usage du numéro sur un autre véhicule relève du code de la route et de la plainte pénale. Confondre les deux conduit à adresser la mauvaise demande au mauvais interlocuteur : la CNIL ne retire pas une amende, et un commissariat ne contrôle pas la sécurité informatique d’un organisme.

Sur le terrain pénal, l’article L. 317-4-1 du code de la route punit le fait de mettre en circulation ou de faire circuler un véhicule « muni d’une plaque portant un numéro d’immatriculation attribué à un autre véhicule », dans des circonstances qui ont déterminé ou auraient pu déterminer des poursuites pénales contre un tiers, de sept ans d’emprisonnement et de 30 000 EUR d’amende, avec des peines complémentaires tenant au permis de conduire et à la confiscation du véhicule. La définition est précise : elle suppose un véhicule en circulation avec le numéro d’un autre et des circonstances exposant un tiers à des poursuites. La seule présence d’une plaque dans un fichier mis en vente ne remplit pas, à elle seule, ces éléments. En revanche, si ce numéro venait à être utilisé sur un autre véhicule, les faits pourraient, selon les circonstances établies, être examinés sous cette qualification ; seul le juge décide.

Les démarches de la victime d’une usurpation de plaque sont décrites par l’administration : porter plainte pour usurpation de plaque d’immatriculation auprès du commissariat ou de la brigade de gendarmerie, le récépissé de dépôt de plainte permettant de contester les procès-verbaux reçus, puis demander une nouvelle carte grise comportant un nouveau numéro d’immatriculation (service-public.gouv.fr, « Usurpation de plaque d’immatriculation d’un véhicule »). La même fiche indique que, lors du dépôt de plainte, le numéro est enregistré au fichier des objets et véhicules signalés et que, pour une infraction constatée par radar automatique, la photographie du contrôle doit être demandée et jointe au dossier. Ces étapes supposent un usage frauduleux constaté, typiquement la réception d’un avis de contravention pour un lieu et une heure où le véhicule ne se trouvait pas. Elles ne se déclenchent pas utilement sur la seule crainte née d’une annonce de vente non confirmée, faute de fait d’usurpation à dénoncer et de procès-verbal à contester.

Entre ces deux voies se place le risque intermédiaire, plus probable à court terme si les coordonnées associées aux plaques circulaient réellement : le contact frauduleux ciblé. Un message qui nomme le destinataire, son adresse et son immatriculation gagne en crédibilité apparente ce qu’un envoi de masse n’a pas. La prudence utile tient alors en quelques vérifications qui ne demandent aucune qualité particulière : ne pas suivre les liens ni rappeler les numéros contenus dans un message inattendu qui invoque l’immatriculation, vérifier toute demande de paiement ou de régularisation par le canal habituel de l’organisme invoqué, conserver le message d’origine avec ses éléments techniques plutôt qu’une simple capture d’écran, et refuser toute offre de « vérification » de présence dans le fichier revendiqué proposée par un site inconnu, qui recueillerait à son tour plaque et coordonnées. Ces précautions ne créent aucun droit nouveau ; elles préservent les preuves dont dépendent les voies décrites dans la première partie de ce développement.

Un dernier tri concerne les données elles-mêmes. Le fichier revendiqué, selon le site spécialisé qui recense l’annonce, associerait plaques, noms, adresses postales, téléphones et courriels ; la presse qui a repris l’information ne mentionne ni données bancaires, ni mots de passe, ni données de santé. Ce que la source ne dit pas ne doit pas être ajouté : à la date de rédaction, aucune source officielle n’a constaté d’intrusion, confirmé le contenu du fichier ou identifié son origine, et l’absence de confirmation de l’incident par un organisme source joue en faveur de la prudence dans les deux sens. Changer une plaque, un numéro de téléphone ou une adresse de courriel par précaution générale engage des démarches dont la nécessité ne peut pas se déduire d’une revendication non vérifiée ; à l’inverse, recevoir une information de violation au titre de l’article 34 du règlement, ou un avis de contravention inexplicable, fournit le fait précis à partir duquel les voies ci-dessus prennent leur sens.

En pratique, l’ordre des vérifications peut donc se résumer sans se confondre. Premièrement, guetter un fait, et non une rumeur : information d’un organisme, message frauduleux nommant la plaque, avis de contravention incompatible avec l’usage du véhicule. Deuxièmement, adresser chaque fait à sa voie : demande d’accès datée à l’organisme identifié et, à défaut de réponse satisfaisante, réclamation à la CNIL pour le volet données personnelles ; plainte au commissariat ou à la gendarmerie, contestation des procès-verbaux et demande de nouvelle immatriculation pour le volet doublette. Troisièmement, conserver les pièces qui relient les faits entre eux, car la réparation devant le juge suppose une violation du règlement, un dommage et un lien entre les deux, et non la seule inquiétude, si compréhensible soit-elle, née d’un titre de presse.

Conclusion

Une plaque d’immatriculation, dès lors qu’elle permet d’identifier indirectement le propriétaire du véhicule, est une donnée personnelle, et un fichier qui l’associe à un nom, une adresse, un téléphone et un courriel formerait un ensemble de données directement identifiantes. Si une divulgation d’un tel fichier était établie chez un organisme identifié, celui-ci devrait en répondre selon les mécanismes des articles 32, 33 et 34 du règlement européen, sans que l’incident suffise à lui seul à prouver une sécurité inappropriée. Pour l’automobiliste, les réponses utiles passent par la demande d’accès à l’organisme concerné, la réclamation à la CNIL et, lorsque les conditions sont réunies, la réparation devant le juge, la crainte d’un usage abusif pouvant constituer un dommage moral à condition d’être établie. L’usurpation du numéro sur un autre véhicule suit une voie distincte, pénale et administrative, qui suppose un usage constaté. À la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle au sujet du fichier revendiqué, son origine n’est pas identifiée, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale et seul le juge décide.