Vous recevez un courrier de relance pour un crédit que vous n’avez jamais souscrit, ou votre banquier vous annonce un solde débiteur sur un compte que vous n’avez jamais ouvert. Quelqu’un a utilisé vos données personnelles, souvent une copie de votre pièce d’identité et un justificatif de domicile, pour emprunter ou dépenser à votre place. La panique est normale, mais la méthode compte davantage que la vitesse : chaque démarche, plainte pénale, contestation bancaire, demande d’effacement, plainte devant la CNIL, action en réparation, obéit à des conditions précises et produit des effets distincts. Les confondre fait perdre du temps et affaiblit le dossier. Cet article décrit l’ordre utile des démarches en droit français en 2026 : figer la fraude et prouver l’usurpation, contraindre la banque et nettoyer le fichage, effacer les données indûment traitées, puis obtenir réparation de chaque responsable. Les décisions récentes des tribunaux montrent que les banques qui ouvrent un compte sur des pièces insuffisantes paient, et que les victimes sans preuves échouent.
I. Stopper la fraude : plainte pénale, banque et preuves
A. Porter plainte et constituer le dossier qui prouve l’usurpation d’identité
L’ouverture d’un crédit ou d’un compte à votre nom avec vos données volées constitue d’abord une infraction pénale, avant d’être un litige bancaire ou un dossier de données personnelles. Le Code pénal punit ainsi : «Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende» (art. 226-4-1 C. pén.). Le même texte précise que l’infraction commise sur un réseau de communication au public en ligne encourt les mêmes peines, ce qui couvre les souscriptions intégralement réalisées sur internet avec des pièces numérisées. Lorsque le fraudeur obtient des fonds, le délit d’escroquerie s’ajoute, défini comme le fait, «soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses», de tromper et de déterminer la remise de fonds (art. 313-1 C. pén.). L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Ces qualifications ne sont pas théoriques : elles conditionnent l’enquête, l’identification de l’auteur et, plus tard, votre indemnisation par la voie de la constitution de partie civile.
La plainte se dépose au commissariat de police ou à la brigade de gendarmerie de votre domicile, ou auprès du procureur de la République, avec possibilité de préparer une pré-plainte en ligne avant de la signer sur place, selon le parcours décrit par la CNIL pour réagir face à une usurpation d’identité. La Banque de France recommande également de porter plainte dès que possible, y compris en ligne via le site du ministère de l’Intérieur, et le service public détaille la même démarche. Déposez plainte contre X avec tous les éléments en votre possession, même si vous ignorez l’identité du fraudeur : l’enquête, réquisitions bancaires et exploitant, bornage, comparaison de signatures, peut l’établir. Demandez systématiquement le récépissé de dépôt de plainte et, dès que possible, une copie du procès-verbal : la banque, la CNIL et plus tard le juge vous les réclameront.
Constituez en parallèle un dossier de preuves rigoureux, car tout le contentieux civil et bancaire repose sur lui. Rassemblez la copie de votre pièce d’identité en cours de validité, un justificatif de domicile à votre adresse réelle, les courriers de la banque ou de l’organisme de crédit reçus à une adresse qui n’est pas la vôtre, les relevés du compte litigieux, le contrat de crédit contesté, les courriers que vous avez adressés à la banque et ses réponses, ainsi que toute attestation de votre employeur ou de témoins établissant que la signature n’est pas la vôtre. Faites établir si besoin une attestation de comparaison d’écriture. Photographiez les enveloppes avec cachets postaux quand l’adresse du destinataire est fausse : dans l’affaire jugée à Versailles, c’est précisément l’envoi des actes à une adresse erronée qui a privé la victime de sa défense et aggravé la faute de la banque. Conservez les originaux, n’envoyez que des copies, et envoyez vos contestations en recommandé avec accusé de réception. Un dossier incomplet se paie comptant : le tribunal judiciaire de Paris a débouté un demandeur qui «ne verse aux débats aucune pièce permettant de démontrer le caractère illicite d’une collecte ou d’une utilisation de ses données personnelles» (TJ Paris, 5e ch. 2e sect., 13 févr. 2025, RG 21/07085). La leçon vaut pour tout le parcours : affirmer l’usurpation ne suffit jamais, il faut la documenter pièce par pièce.
Signalez enfin la fraude aux organismes qui font circuler vos données : opposition et signalement auprès de votre banque, alerte aux organismes de crédit qui vous réclament des échéances, et vérification de votre situation auprès de la Banque de France. Ne signez aucun échéancier, aucune reconnaissance de dette et aucun arrangement amiable sur le crédit litigieux : payer, même partiellement, peut être interprété comme une reconnaissance du contrat. Ne communiquez jamais vos nouveaux codes ou pièces par téléphone à un interlocuteur qui vous appelle : rappelez vous-même la banque sur son numéro officiel.
B. Contraindre la banque : contestation des sommes, remboursement et fichage FICP
Si la souscription a eu lieu en ligne, faites constater sans attendre par un commissaire de justice les pages du parcours de souscription, les conditions affichées et les mentions relatives à la vérification d’identité, car ces pages changent vite et votre capture d’écran isolée pèse moins lourd qu’un procès-verbal de constat. Réclamez également à la banque la copie complète du dossier d’ouverture du compte et du contrat de crédit litigieux, avec les pièces d’identité et justificatifs qu’elle prétend avoir vérifiés : ce dossier révèle souvent, à lui seul, la légèreté du contrôle, pièces manifestement différentes de vos documents réels, adresse inconnue de vous, signature imitée.
Le contentieux bancaire obéit à des délais stricts qu’il faut respecter dès la découverte de la fraude. L’utilisateur de services de paiement «signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion», sauf défaut d’information de la banque (art. L. 133-24 C. mon. fin.). Contestez donc par écrit, sans tarder, chaque opération et le contrat lui-même, en rappelant l’usurpation et en joignant le récépissé de plainte. Pour les opérations de paiement non autorisées, la loi impose au prestataire de rembourser : il «rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant», sauf soupçon écrit et motivé de fraude de l’utilisateur transmis à la Banque de France (art. L. 133-18 C. mon. fin.). Concrètement, exigez le remboursement immédiat des prélèvements et le rétablissement du compte dans l’état antérieur, et si la banque oppose votre négligence grave, exigez qu’elle la démontre : c’est à elle d’établir les faits, pas à vous de prouver votre innocence.
La banque supporte en outre un devoir de vigilance lors de l’ouverture du compte et de l’octroi du crédit, et les juges sanctionnent les ouvertures complaisantes. La cour d’appel de Versailles a retenu qu’«Il ressort de ces éléments, que la société LCL Crédit Lyonnais a fait preuve d’une négligence fautive en ne vérifiant pas l’adresse de M. [H], en ouvrant un compte sur des documents nettement insuffisants au regard des prescriptions légales et en ne tenant nullement compte des documents justificatifs produits par M. [H] à la banque durant le cours de la procédure» (CA Versailles, 1re ch. 2e sect., 7 nov. 2023, RG 22/03198). La cour en a tiré toutes les conséquences : «Déboute la banque de toutes ses demandes en paiement formées à l’encontre de M. [I] [H]», alors que l’établissement réclamait plus de 32 000 euros de solde débiteur, et l’a condamnée à payer «2.000 euros à titre de dommages et intérêts pour perte de chance» ainsi que 1 500 euros de frais irrépétibles (CA Versailles, 1re ch. 2e sect., 7 nov. 2023, RG 22/03198). Autrement dit, une banque qui ouvre un compte sur des pièces manifestement insuffisantes et assigne ensuite la victime à une mauvaise adresse perd son procès et indemnise.
Le tribunal judiciaire de Créteil a suivi la même logique face à la Société Générale, qui avait fini par renoncer à réclamer le solde débiteur tout en refusant d’indemniser la victime : «En conséquence de cette erreur grossière équipollente au dol, ou à tout le moins de sa légèreté blâmable, la SOCIETE GENERALE a engagé sa responsabilité à l’égard de Mme [F] [J] [I] [L] qui avait effectué en amont les diligences nécessaires afin de remédier les usurpations d’identité commises à son encontre» (TJ Créteil, 3e ch., 14 févr. 2025, RG 23/08258). Le tribunal a condamné la banque à payer «la somme de 2 000 € a titre de son préjudice moral», outre 2 290 euros de frais irrépétibles et les dépens, avec exécution provisoire de droit (TJ Créteil, 3e ch., 14 févr. 2025, RG 23/08258). Deux enseignements pratiques : la banque qui reconnaît tardivement l’usurpation n’échappe pas pour autant à l’indemnisation, et vos diligences précoces, plainte, courriers, pièces envoyées, augmentent vos chances d’obtenir des dommages et intérêts.
Surveillez enfin votre fichage, car un crédit impayé souscrit à votre nom peut entraîner une inscription au Fichier national des incidents de remboursement des crédits aux particuliers. Ce fichier «recense les informations sur les incidents de paiement caractérisés liés aux crédits accordés aux personnes physiques pour des besoins non professionnels» et «est géré par la Banque de France, laquelle est seule habilitée à centraliser ces informations» (art. L. 751-1 C. consom.). Une inscription FICP bloque vos propres projets de crédit et d’assurance-emprunteur : exercez votre droit d’accès auprès de la Banque de France, identifiez l’établissement déclarant et l’incident contesté, puis exigez de l’établissement la rectification et la radiation de l’inscription indue, en joignant plainte et décision ou abandon de poursuites. Si l’établissement refuse, cette inscription injustifiée devient un préjudice distinct, indemnisable en plus du reste, et un manquement au droit des données personnelles qui fonde une plainte devant la CNIL.
II. Effacer vos données et faire payer les responsables
A. Effacement, rectification et plainte CNIL : le levier données personnelles
L’usurpation bancaire est aussi un traitement illicite de vos données personnelles : un contrat, un compte, des écritures et un fichage existent sous votre identité sans aucun fondement vous concernant. Le règlement général sur la protection des données vous donne un droit direct contre l’organisme qui traite ces données : il consacre un «droit à l’effacement» que vous pouvez exiger «dans les meilleurs délais», et le responsable du traitement est tenu d’effacer dès lors qu’un motif prévu par le texte est rempli (article 17 du RGPD, dont la version française en vigueur a été vérifiée pendant la préparation de cet article). Parmi ces motifs figurent les données qui ne sont plus nécessaires au regard de leurs finalités, le retrait du consentement sans autre fondement, l’opposition sans motif légitime prépondérant et, surtout, le traitement illicite : des données collectées sur la base de pièces falsifiées pour un contrat que vous n’avez jamais conclu relèvent de ce dernier cas. Écrivez au responsable du traitement, banque ou organisme de crédit, en demandant l’effacement des données liées au contrat frauduleux, la rectification des informations inexactes et la radiation du fichage qui en découle. L’organisme doit vous répondre : Le responsable du traitement doit vous répondre «dans les meilleurs délais» et «dans un délai d’un mois» à compter de la réception de votre demande, avec une prolongation possible de deux mois pour les demandes complexes, à condition de vous en informer de façon motivée (article 12, paragraphe 3, du RGPD). Un silence ou un refus non motivé après ce délai caractérise à lui seul un manquement.
Si l’organisme ne répond pas, refuse sans motif valable ou maintient le fichage, saisissez la CNIL par une plainte en ligne. Ce droit est garanti par le texte européen lui-même : Toute personne concernée peut introduire une «réclamation auprès d’une autorité de contrôle», notamment dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation, lorsqu’elle estime que le traitement de ses données méconnaît le règlement, sans préjudice de tout autre recours (article 77 du RGPD). L’autorité saisie doit vous informer de l’avancement et de l’issue de votre réclamation. Joignez à votre plainte la demande d’effacement, la réponse ou la preuve du silence, le récépissé de plainte pénale et les décisions ou abandons de poursuites obtenus : la CNIL statue d’autant mieux que le dossier est complet. La voie CNIL ne remplace pas le juge : elle vise la mise en conformité, injonction d’effacer, et la sanction de l’organisme, tandis que votre indemnisation relève du tribunal. Les deux voies se cumulent utilement, et une mise en demeure ou une sanction de la CNIL renforce considérablement votre action en réparation. Pour situer cette démarche dans un parcours complet de victime de fuite de données, avec plainte et indemnisation, vous pouvez utilement lire notre dossier sur les données piratées : plainte, notification et indemnisation après la cyberattaque visant l’Afpa, qui décrit les réflexes communs à toutes les exploitations frauduleuses de données volées.
Le recours au juge reste ouvert à tout moment, indépendamment de la plainte CNIL : Chaque personne concernée dispose d’un «recours juridictionnel effectif» contre le responsable du traitement ou son sous-traitant quand elle estime que ses droits ont été violés par un traitement non conforme, sans préjudice des autres voies dont la réclamation devant l’autorité de contrôle (article 79 du RGPD). Vous pouvez donc demander au tribunal judiciaire d’ordonner l’effacement, la rectification et la radiation du fichage sous astreinte, en référé si l’urgence et l’évidence le permettent, ou au fond avec vos demandes indemnitaires. L’action peut être portée devant les juridictions de votre résidence habituelle. Distinguez bien les rôles : la banque qui a ouvert le compte est responsable du traitement des données du contrat frauduleux, tandis que l’établissement qui vous fiche sur cette base est responsable de son propre traitement ; chacun répond de son manquement, ce qui permet de multiplier les leviers sans multiplier les procédures inutiles.
B. Responsabilités et réparation : banque, fraudeur et préjudices indemnisables
Trois cercles de responsabilité coexistent et se cumulent : le fraudeur répond pénalement et civilement, la banque répond de sa négligence dans l’ouverture du compte et le recouvrement, et chaque organisme répond de ses traitements de données illicites. Sur le terrain des données personnelles, le principe est posé sans détour : Toute personne victime d’un «dommage matériel ou moral» causé par une violation du règlement peut en obtenir «réparation du préjudice subi» auprès du responsable du traitement ou du sous-traitant (article 82 du RGPD). Le responsable qui a participé au traitement en violation du règlement en répond, et il ne s’en exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable. En droit commun français, le fondement reste l’article 1240 du Code civil : «Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer» (art. 1240 C. civ.). La banque qui ouvre un compte sur des pièces manifestement insuffisantes commet une faute au sens de ce texte, comme l’ont jugé Versailles et Créteil, et l’organisme qui maintient un fichage indu malgré vos preuves commet une faute distincte.
L’éventail des préjudices indemnisables est large et doit être chiffré poste par poste. Le préjudice financier comprend les sommes prélevées et non remboursées, les frais bancaires et intérêts générés par le compte frauduleux, le coût du crédit que vous n’avez pas souscrit et les surprimes ou refus d’assurance-emprunteur liés au fichage. Le préjudice moral couvre l’angoisse, les démarches répétées, les convocations et l’atteinte à votre réputation financière : Versailles a indemnisé la perte de chance de se défendre à hauteur de «2.000 euros à titre de dommages et intérêts pour perte de chance» (CA Versailles, 1re ch. 2e sect., 7 nov. 2023, RG 22/03198), et Créteil a alloué «la somme de 2 000 € a titre de son préjudice moral» pour une assignation abusive malgré l’usurpation reconnue en agence (TJ Créteil, 3e ch., 14 févr. 2025, RG 23/08258). Ajoutez les frais de procédure : Versailles a accordé 1 500 euros de frais irrépétibles et Créteil 2 290 euros, outre les dépens mis à la charge des banques. Si le fraudeur est identifié et condamné au pénal, constituez-vous partie civile pour obtenir réparation dans le même procès ; sinon, dirigez l’action civile contre la banque et les organismes, solvables et assurés, sans attendre l’issue de l’enquête pénale.
Agissez enfin dans les délais de prescription. Les actions personnelles se prescrivent par cinq ans «à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer» (art. 2224 C. civ.). Le point de départ court en pratique de la découverte de l’usurpation, relevés, lettre de relance, refus de crédit pour fichage, et non de la fraude elle-même, souvent antérieure et occulte. Ce délai de cinq ans ne doit pas inciter à attendre : le délai bancaire de treize mois pour contester les opérations et le délai d’un mois de réponse aux demandes RGPD imposent d’agir vite, et les preuves se conservent mieux tôt. Assignez devant le tribunal judiciaire du lieu de votre domicile ou du siège de la banque, en joignant l’intégralité du dossier, plainte pénale, contestations bancaires, demandes d’effacement, réponse ou silence des organismes, justificatifs du fichage et chiffrage des préjudices. Demandez l’effacement et la radiation sous astreinte, le remboursement des sommes, des dommages et intérêts poste par poste, et les frais irrépétibles. Une décision de la CNIL obtenue entre-temps, même postérieure à l’assignation, pourra être versée aux débats pour établir le manquement au RGPD.
Conclusion
Un crédit ou un compte ouvert à votre nom avec vos données volées exige une riposte ordonnée, pas une course désordonnée. Déposez plainte sans tarder et conservez-en la preuve écrite. Contestez chaque opération et le contrat lui-même auprès de la banque en recommandé, dans le délai de treize mois, en exigeant le remboursement immédiat des opérations non autorisées. Vérifiez votre situation auprès de la Banque de France et faites radier tout fichage indu. Exercez votre droit à l’effacement auprès de chaque organisme, exigez une réponse dans le mois, puis saisissez la CNIL en cas de silence ou de refus. Portez enfin la réparation devant le tribunal judiciaire dans le délai de cinq ans, en chiffrant chaque préjudice et en joignant chaque pièce. Les banques qui ouvrent des comptes sur des dossiers manifestement insuffisants sont déboutées et condamnées à indemniser, comme l’ont montré Versailles et Créteil, tandis que les victimes sans pièces sont déboutées, comme l’a rappelé Paris. Votre dossier méthodique fait la différence entre ces deux issues.
Besoin d’un avis rapide sur votre dossier
Vous venez de découvrir un crédit ou un compte ouvert à votre nom avec vos données volées et vous voulez contester, faire effacer et obtenir réparation. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la suite utile. Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.