Selon une réponse écrite de Maileva publiée par le site Cyberattaque.org et reprise le 13 novembre 2026 par Univers Freebox, 22 millions de personnes sont concernées par le vol de leurs données d’identification, c’est-à-dire leurs prénom, nom et adresse postale, et plusieurs milliers d’entreprises clientes sont concernées par l’incident. Maileva, marque de Docaposte, filiale numérique du groupe La Poste, imprime et expédie pour des entreprises et des organismes des courriers, des recommandés, des factures ou des relances.
D’après ces mêmes sources, la plateforme a suspendu l’ensemble de ses services par précaution le 23 septembre 2026, a bloqué les comptes visés et a déposé plainte ; le service de presse de Docaposte a annoncé à Solutions Numériques le rétablissement complet des services le 29 septembre. L’entreprise indique avoir notifié la CNIL et informé toutes les organisations clientes concernées, une enquête judiciaire étant en cours ; selon elle, l’information des personnes relève de ces organisations. Le chiffre de 22 millions porte sur les données d’identification, pas sur le contenu de tous les courriers, et plusieurs organismes clients ont précisé dans leurs messages que les coordonnées bancaires et les mots de passe ne sont pas concernés.
Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Maileva, sur laquelle l’article ne formule aucun constat. À la date de rédaction, aucune décision de justice ni aucune décision de la CNIL relative à cet incident n’a été identifiée, aucune responsabilité n’est établie, les contrats signés entre les organismes et leurs prestataires priment sur toute analyse générale, et seul le juge décide.
I. Fuite de données chez un prestataire de courrier : comment savoir si vous êtes concerné ?
La première difficulté, pour un particulier, tient à ce qu’il ne connaît presque jamais le prestataire qui imprime et poste les lettres qu’il reçoit. Le courrier porte le logo de son bailleur, de son laboratoire d’analyses, de son hôpital, de son réseau de transport ou de son fournisseur ; l’entreprise qui l’a matériellement fabriqué et expédié reste invisible. Savoir si l’on est touché par une fuite survenue chez ce type de prestataire suppose donc de remonter la chaîne, en partant de ceux qui vous écrivent.
A. Qui doit vous prévenir : l’organisme expéditeur, son prestataire et la CNIL
Le droit des données personnelles distingue deux acteurs. Le responsable du traitement est l’organisme qui décide pourquoi et comment vos données sont utilisées : votre bailleur, votre laboratoire, votre fournisseur d’énergie. Le sous-traitant, selon la définition du règlement européen reproduite par le tribunal judiciaire de Paris dans un jugement du 13 février 2025 (RG n° 21/07085), est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». Un prestataire d’impression et d’expédition de courriers travaille en principe pour le compte de ses clients ; c’est la qualification que les contrats et les faits permettent de vérifier au cas par cas.
Cette distinction commande la suite. Votre interlocuteur naturel est l’organisme qui vous adresse ses courriers, et non le prestataire dont vous ignoriez peut-être l’existence. C’est lui qui connaît la nature exacte des documents confiés, la période concernée et les catégories de données en jeu. Dans l’incident décrit en introduction, les premiers messages adressés aux personnes ont d’ailleurs été envoyés, d’après la presse, par les organismes clients eux-mêmes : un service de santé au travail le 9 octobre 2026, un groupe de laboratoires de biologie médicale le 2 novembre, deux bailleurs sociaux les 3 et 9 novembre, un établissement hospitalier le 6 novembre. Les informations exposées variaient d’un organisme à l’autre : identité et adresse dans la plupart des cas, noms de fichiers associés aux envois, numéros de client, éléments relatifs au logement ou, pour certaines relances de paiement d’un hôpital, numéros de facture, dates de soins et montants à régler.
L’autorité de contrôle doit, elle, être prévenue rapidement. Le Conseil d’État a rappelé, dans une décision du 22 juillet 2022 (n° 449694), les termes du paragraphe 1 de l’article 33 du règlement général sur la protection des données (RGPD) : « en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ». La même décision cite l’article 32, selon lequel « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». L’obligation de sécurité pèse donc sur les deux maillons de la chaîne ; dans l’affaire jugée, le Conseil d’État a confirmé le manquement à la sécurité d’un praticien dont les images médicales étaient librement accessibles, mais écarté le manquement à l’obligation de notification parce que la CNIL l’avait elle-même informé de la violation, et il a réduit l’amende de 3 000 à 2 500 euros.
Pour savoir si vos propres données figurent dans un fichier exposé, n’attendez pas une lettre qui peut arriver tard, voire jamais. Dressez la liste des organismes qui vous écrivent régulièrement par voie postale, consultez les rubriques d’actualité ou d’information de leurs sites, puis exercez votre droit d’accès auprès de chacun d’eux. La cour d’appel de Paris a jugé, dans un arrêt du 25 juin 2024 (RG n° 23/18268), qu’une personne peut obtenir copie de ses données auprès du responsable du traitement en application de l’article 15, paragraphe 3, du RGPD sans avoir à justifier d’un motif légitime autre que l’exercice de son droit d’accès ; elle a ordonné en référé, sous astreinte, la communication du document refusé, jugeant que ce refus caractérisait un « trouble manifestement illicite ». Concrètement, votre demande peut porter sur trois points : les catégories de données vous concernant transmises à un prestataire d’expédition, la période couverte par les envois, et les mesures prises depuis l’incident.
La question de l’ancienneté des données mérite d’être posée. L’un des bailleurs sociaux a indiqué, selon la presse, que les informations concernées pouvaient provenir de courriers expédiés au cours des dix dernières années. Or le principe de limitation de la conservation, rappelé par le Conseil d’État dans une décision du 4 novembre 2020 (n° 433311), veut que les données soient « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Dans cette affaire, le Conseil d’État a confirmé une sanction de la CNIL contre un professionnel de l’immobilier qui conservait trop longtemps les pièces de candidats à la location, et a jugé que la formation restreinte de la CNIL peut sanctionner un responsable de traitement ou son sous-traitant sans mise en demeure préalable. Demander à l’organisme combien de temps il conserve, ou fait conserver, l’historique de vos courriers est donc une question légitime, qui peut éclairer l’étendue de l’exposition.
Si l’organisme vous confirme que vos données sont concernées, demandez-lui une réponse écrite précisant les catégories exposées. Ce document servira à chaque étape suivante : vigilance face aux faux courriers, contestation d’une opération bancaire, plainte, réclamation, demande de réparation. Pour l’adresse électronique, qui figure dans certaines bases de suivi des envois, vous pouvez aussi vérifier si votre adresse électronique circule dans une fuite connue et changer les mots de passe associés.
B. Nom, adresse, facture : à quoi servent les données volées et comment repérer un faux courrier ?
Un nom et une adresse postale semblent anodins : ils figurent dans de nombreux annuaires. Leur valeur change lorsqu’ils sont associés à une relation précise, comme un bail, une analyse médicale, un abonnement ou une facture impayée. Un fraudeur qui sait que vous êtes locataire de tel bailleur, patient de tel établissement ou client de tel fournisseur peut fabriquer une lettre crédible : même en-tête, même vocabulaire, montant plausible, référence de dossier exacte. Les commentateurs de l’incident l’ont relevé dès septembre : la presse spécialisée parlait d’une « fraude au virement transposée au courrier », car une fausse demande de changement de coordonnées bancaires ou une fausse relance paraît beaucoup plus sérieuse lorsqu’elle arrive par le canal habituel.
Ce risque n’a rien de théorique. Le tribunal judiciaire de Nice a statué, par un jugement du 18 novembre 2025 (RG n° 22/03193), sur le cas d’un locataire qui avait reçu, après la compromission de la messagerie d’un gestionnaire d’agence immobilière, des courriels lui demandant de verser son loyer sur un nouveau compte. Le montant réclamé correspondait exactement au loyer réel, et le message faisait état d’éléments du bail en cours. Le tribunal a retenu que la faute d’orthographe présente sur le RIB frauduleux n’était pas de nature à générer un doute suffisant dans l’esprit du locataire au regard du contexte, et que celui-ci avait pu légitimement se croire tenu de modifier ses virements. Il a jugé que « le responsable du traitement en cause supporte la charge de prouver le caractère approprié des mesures de sécurité qu’il a mises en œuvre au titre de l’article 32 dudit règlement », en s’appuyant sur la jurisprudence de la Cour de justice de l’Union européenne (CJUE, 14 décembre 2023, C-340/21), et a condamné l’agence à rembourser 8 899,95 euros versés au fraudeur. Il s’agit d’un jugement de première instance, susceptible d’appel, mais il montre comment un juge raisonne lorsque la fraude naît d’une faille chez un professionnel.
Les fraudeurs qui exploitent des données volées s’exposent à plusieurs qualifications pénales. L’escroquerie, définie par l’article 313-1 du code pénal comme le fait de tromper une personne par l’usage d’un faux nom, d’une fausse qualité ou de manœuvres frauduleuses pour la déterminer à remettre des fonds, est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. L’article 226-4-1 du même code réprime d’un an d’emprisonnement et de 15 000 euros d’amende le fait d’usurper l’identité d’un tiers ou de faire usage de données permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération. En amont, l’intrusion dans un système informatique relève de l’article 323-1, qui punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données de trois ans d’emprisonnement et de 100 000 euros d’amende, et l’extraction ou la reproduction frauduleuse des données qu’il contient relève de l’article 323-3, puni de cinq ans d’emprisonnement et de 150 000 euros d’amende.
L’usurpation d’identité peut coûter très cher à celui qui la subit. Dans un jugement du 15 janvier 2026 (RG n° 25/04081), le tribunal judiciaire de Pontoise a examiné la situation d’un homme dont l’identité et une signature imitée avaient servi à conclure un bail ; il avait découvert l’affaire au moment d’une saisie-attribution de 22 546 euros sur ses comptes. Sur le fondement de l’article 1240 du code civil, selon lequel tout fait quelconque de l’homme qui cause à autrui un dommage oblige celui par la faute duquel il est arrivé à le réparer, le tribunal a condamné l’usurpatrice à lui verser 22 546,56 euros. Le dossier reposait sur des preuves simples : une signature différente de celle des documents administratifs, la preuve qu’il n’avait jamais résidé à l’adresse indiquée, et une plainte déposée dès la découverte des sommes réclamées.
Quelques réflexes permettent de déjouer la plupart des faux courriers. Une lettre ou un courriel qui annonce un changement de coordonnées bancaires doit toujours être vérifié par un autre canal, celui que vous utilisez habituellement : votre espace client, le numéro figurant sur votre contrat ou sur une facture ancienne, jamais celui indiqué dans le message suspect. Une relance qui impose un paiement immédiat, un nouvel IBAN, un code QR inhabituel ou un numéro de téléphone surtaxé doit vous arrêter. Conservez l’enveloppe, la lettre et les éventuels courriels, avec leurs dates : ils serviront à la banque, à la police et, le cas échéant, au juge. Enfin, si une lettre évoque des soins, un logement ou une dette que vous ne reconnaissez pas, contactez directement l’organisme cité avant toute réponse.
II. Données personnelles volées : que faire et quels recours pour obtenir réparation ?
Une fois l’exposition établie, deux types de recours se présentent. Les premiers sont immédiats et financiers : récupérer l’argent sorti de votre compte à la suite d’une fraude. Les seconds sont plus lents : plainte pénale, réclamation auprès de l’autorité de contrôle et action en réparation du préjudice causé par la fuite elle-même. Ils ne s’excluent pas, mais ils obéissent à des règles et à des délais différents.
A. Fraude après la fuite : comment obtenir le remboursement de votre banque ?
Lorsque des fraudeurs utilisent vos moyens de paiement ou vos identifiants bancaires sans votre consentement, le code monétaire et financier organise un remboursement rapide. Selon l’article L. 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée dans les conditions prévues à l’article L. 133-24, la banque rembourse le payeur immédiatement après avoir pris connaissance de l’opération ou après en avoir été informée, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf si elle a de bonnes raisons de soupçonner une fraude de l’utilisateur et qu’elle communique ces raisons par écrit à la Banque de France. Le même article prévoit, en cas de retard, des intérêts au taux légal majoré de cinq points, puis de dix points au-delà de sept jours et de quinze points au-delà de trente jours.
Le délai de signalement est le point le plus sensible. L’article L. 133-24 impose de signaler l’opération « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». La chambre commerciale de la Cour de cassation a précisé la portée de ces deux exigences dans un arrêt du 14 janvier 2026 (n° 22-14.822), publié au Bulletin : à la suite d’un arrêt de la CJUE du 1er août 2025 (C-665/23), elle juge que « l’obligation incombant à l’utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance » et que, faute de l’avoir signalée de manière délibérée ou par négligence grave, il est privé du droit d’obtenir la correction de l’opération, même si le signalement intervient dans les treize mois. L’arrêt a été rendu sur la rédaction antérieure de ces textes, dont la formule « sans tarder » est reprise dans la version en vigueur. La leçon est simple : dès que vous découvrez une opération que vous n’avez pas faite, signalez-la à votre banque le jour même, par écrit, et faites bloquer votre carte ou votre accès, comme le prévoit l’article L. 133-17.
La banque oppose souvent la « négligence grave » du client, en particulier lorsqu’il a cliqué sur un message frauduleux. Le texte encadre cet argument. L’article L. 133-19 laisse au payeur toutes les pertes s’il a agi frauduleusement ou s’il n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations de sécurité ; mais il prévoit aussi que sa responsabilité n’est pas engagée si l’opération a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées, et qu’il ne supporte aucune conséquence financière, sauf agissement frauduleux, si la banque n’a pas exigé d’authentification forte. Surtout, l’article L. 133-23 met la preuve à la charge de la banque et précise que l’utilisation de l’instrument telle qu’elle l’a enregistrée ne suffit pas nécessairement à prouver la négligence grave du client.
La Cour de cassation applique ces règles avec rigueur. Dans un arrêt du 30 avril 2025 (n° 24-10.149), publié au Bulletin, elle a censuré une cour d’appel qui avait retenu la négligence grave d’un client ayant cliqué sur un courriel présenté comme venant de sa banque, ce qui avait permis l’ajout d’un bénéficiaire puis sept virements. Elle rappelle que, pour faire supporter les pertes à l’utilisateur, « le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Si votre banque refuse de vous rembourser en invoquant votre imprudence, demandez-lui par écrit ces éléments de preuve avant toute autre discussion ; une aide pour contester une fraude bancaire et un refus de remboursement peut alors être utile.
Une limite doit être signalée honnêtement. Ces règles visent les opérations « non autorisées ». Lorsque vous avez vous-même ordonné un virement après avoir été trompé par un faux courrier, la situation est différente, et les décisions consultées pour cet article ne tranchent pas la question du remboursement par la banque dans ce cas. Les voies de recours passent alors par la plainte pour escroquerie, l’action contre l’auteur de la fraude lorsqu’il est identifié et, comme dans l’affaire jugée à Nice, l’action contre le professionnel dont la sécurité a été prise en défaut. D’où l’intérêt de vérifier toute demande de paiement inhabituelle avant de l’exécuter.
B. Plainte, réclamation à la CNIL et dommages et intérêts : ce que vous pouvez obtenir
Si vous recevez un faux courrier, subissez une tentative d’escroquerie ou découvrez une usurpation d’identité, déposez plainte. L’article 15-3 du code de procédure pénale, dans sa rédaction en vigueur à la date de rédaction, dispose que « les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale », y compris lorsqu’elles sont déposées dans un service territorialement incompétent ; tout dépôt de plainte donne lieu à un procès-verbal et à la remise immédiate d’un récépissé. Joignez à votre plainte la notification de l’organisme, les courriers suspects et vos relevés : une plainte documentée pèse davantage, et le récépissé sera demandé par votre banque comme par le juge civil.
La réclamation auprès de la CNIL constitue une autre voie. Le Conseil d’État a rappelé, dans une décision du 24 juillet 2023 (n° 465229), qu’en application de l’article 77 du RGPD « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement ». Selon cette même décision, l’autorité informe l’auteur de la réclamation de l’état d’avancement et de l’issue de sa démarche, un recours juridictionnel étant ouvert lorsqu’elle ne traite pas la réclamation ou n’informe pas la personne dans un délai de trois mois ; elle cite aussi l’article 10 du décret du 29 mai 2019, selon lequel « le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet ». La CNIL indique sur sa page consacrée aux plaintes qu’il faut d’abord exercer ses droits auprès de l’organisme et conserver les preuves de ces démarches, qu’elle ne traite pas une plainte imprécise ou fondée sur une simple crainte, et qu’elle ne peut pas vous obtenir de dommages et intérêts. Sa réclamation sert donc à faire contrôler l’organisme, pas à vous indemniser.
L’indemnisation relève du juge, sur le fondement de l’article 82 du RGPD. La chambre sociale de la Cour de cassation en a fixé le cadre dans un arrêt du 24 juin 2026 (n° 24-22.792), publié au Bulletin. Elle rappelle qu’aux termes de ce texte « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Reprenant la jurisprudence de la CJUE (4 mai 2023, C-300/21, et 25 janvier 2024, C-687/21), elle précise que la réparation ne peut être subordonnée à un certain degré de gravité du dommage moral, mais que la personne doit établir à la fois la violation du règlement et le dommage qu’elle lui a causé. Elle casse donc l’arrêt qui avait alloué 5 000 euros en considérant que la violation avait « nécessairement » causé un préjudice, au motif que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ».
Cette exigence de preuve a des conséquences pratiques. Le tribunal judiciaire de Paris, dans le jugement du 13 février 2025 déjà cité, a rejeté une demande de dommages et intérêts parce que le demandeur ne versait aux débats aucune pièce démontrant une violation du règlement qui lui aurait causé un préjudice certain. À l’inverse, le locataire de l’affaire niçoise a obtenu le remboursement intégral des loyers détournés, parce que sa perte était chiffrée et directement reliée à la compromission. Votre dossier doit donc réunir la notification reçue ou la réponse de l’organisme à votre demande d’accès, les faux courriers et tentatives de fraude, les relevés bancaires, le récépissé de plainte, et toute trace des démarches et du temps consacrés à sécuriser vos comptes.
Reste à savoir contre qui agir. L’article 82 du RGPD, tel qu’il est reproduit dans le jugement du tribunal judiciaire de Paris du 13 février 2025, répond en partie : « Un sous-traitant n’est tenu pour responsable du dommage causé par le traitement que s’il n’a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu’il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. » Le même texte prévoit qu’un responsable du traitement ou un sous-traitant est exonéré s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable, et que, lorsque plusieurs d’entre eux sont responsables d’un même dommage, « chacun des responsables du traitement ou des sous-traitants est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective ». En pratique, l’organisme qui vous a écrit reste le premier destinataire de votre réclamation ; la répartition finale entre lui et son prestataire dépend de leur contrat et de ce que l’enquête établira, et seul le juge peut la trancher.
Ne laissez pas le temps passer. Selon l’article 2224 du code civil, « les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer ». Les décisions consultées pour cet article ne tranchent pas la question du point de départ de ce délai pour une action fondée sur l’article 82 du RGPD lorsqu’une fuite est révélée par étapes, comme c’est souvent le cas : mieux vaut donc conserver dès aujourd’hui la date à laquelle vous avez appris l’incident et agir sans attendre. Pour évaluer votre dossier, un avocat en protection des données personnelles peut vérifier la qualification des acteurs, la preuve du dommage et le juge compétent, en lien avec les règles du droit de la consommation lorsque l’organisme en cause est votre fournisseur ou votre prestataire.
Conclusion
Une fuite de données chez un prestataire d’envoi de courriers ne se voit pas : elle se découvre par une lettre de son bailleur, de son laboratoire ou de son hôpital, parfois plusieurs semaines après l’incident, parfois jamais. Le bon ordre des démarches est donc le suivant. D’abord, identifier les organismes qui vous écrivent et leur demander, au titre du droit d’accès, si vos données ont été transmises à un prestataire touché, lesquelles et sur quelle période. Ensuite, traiter toute demande de paiement ou de changement de coordonnées bancaires comme suspecte tant qu’elle n’a pas été confirmée par votre canal habituel. En cas d’opération que vous n’avez pas autorisée, la signaler à votre banque le jour même, puisque la Cour de cassation juge que l’obligation de signaler sans tarder court dès la connaissance de l’opération, et exiger d’elle la preuve d’authentification si elle invoque votre négligence. En cas de faux courrier ou d’usurpation, déposer plainte et garder le récépissé. Enfin, si un préjudice est démontré, en demander réparation à l’organisme responsable du traitement, sans perdre de vue que la simple violation des règles ne suffit pas et que le dommage doit être prouvé.
À la date de rédaction, aucune décision de justice ni aucune sanction relative à l’incident évoqué en introduction n’a été identifiée, aucune responsabilité n’est établie, les contrats conclus entre les organismes et leurs prestataires priment sur toute analyse générale, et seul le juge peut se prononcer sur un dossier individuel.