Vous recevez un courrier ou un courriel de votre banque, de votre mutuelle, de votre opérateur téléphonique ou d’un site marchand : vos données personnelles ont été exposées lors d’une fuite. La liste des données concernées figure en annexe du message et elle contient votre RIB, donc votre IBAN et votre BIC. Quelques jours ou quelques semaines plus tard, un prélèvement inconnu apparaît sur votre relevé de compte, au profit d’une société avec laquelle vous n’avez jamais signé le moindre contrat. Le réflexe consiste à penser que la banque réglera le problème d’elle-même, puis à classer le courrier de notification. Ce réflexe coûte cher : chaque front obéit à ses propres délais et la forclusion guette sur le front bancaire, tandis que la preuve de la violation se disperse sur le front des données personnelles.
Un RIB exposé ne vide pas un compte à lui seul, car un virement sortant exige une authentification que le seul IBAN ne fournit pas. Le risque concret se situe ailleurs : avec votre IBAN, votre nom, votre adresse et parfois votre signature ou votre pièce d’identité, un tiers peut émettre des prélèvements SEPA en se présentant comme un créancier muni d’un mandat. La banque voit arriver un ordre régulier en apparence et le paie. C’est ce mécanisme qui explique qu’une fuite de données se transforme en perte d’argent, puis en usurpation d’identité complète lorsque les mêmes données servent à souscrire des abonnements ou des crédits.
Cet article suit la méthode que le dossier exige : identifier le traitement, les parties, leurs rôles et le contrat en cause avant d’agir. Le traitement en cause est double : d’un côté le traitement de vos données bancaires par l’organisme qui les a laissé fuir, de l’autre les opérations de paiement exécutées sur votre compte. Les parties sont la victime, l’organisme à l’origine de la fuite avec son éventuel sous-traitant, la banque teneuse du compte et l’auteur du prélèvement. Les rôles se répartissent entre le responsable du traitement et le sous-traitant au sens du règlement général sur la protection des données, le prestataire de services de paiement et le payeur au sens du code monétaire et financier. Les contrats en cause sont la convention de compte, le prétendu mandat de prélèvement et, en arrière-plan, le contrat qui liait l’organisme victime de la fuite à son prestataire informatique. La première partie traite du réflexe bancaire, bloquer puis obtenir le remboursement, et la seconde du front des données personnelles et pénal, faire constater la violation, saisir la CNIL, déposer plainte et obtenir réparation devant le juge.
I. Bloquer les prélèvements frauduleux et obtenir le remboursement de la banque
Le front bancaire est le plus urgent parce qu’il conditionne la récupération de l’argent et parce que ses délais sont les plus courts. Tout se joue en trois temps : repérer et qualifier l’opération, la signaler et la bloquer, puis exiger le remboursement dans les formes qui lient la banque.
A. Repérer l’opération, la qualifier et la signaler sans tarder
La première tâche consiste à lire vos relevés ligne par ligne dès la réception de la lettre de notification de fuite, puis chaque semaine pendant plusieurs mois. Les prélèvements frauduleux adossés à un IBAN volé présentent des signatures reconnaissables : un créancier inconnu, un libellé vague comportant un numéro de mandat que vous n’avez jamais signé, des montants faibles et répétés qui testent le compte avant un prélèvement plus important, ou au contraire un prélèvement unique élevé qui mise sur votre inattention. Relevez la référence unique du mandat, l’identifiant créancier SEPA, la date et le montant de chaque opération : ces mentions serviront pour l’opposition comme pour la plainte.
La qualification juridique de l’opération détermine le régime applicable et il faut la poser avec soin. Un prélèvement que vous n’avez jamais autorisé, parce que vous n’avez signé aucun mandat au profit de ce créancier, est une opération non autorisée. Un prélèvement émis en vertu d’un mandat que vous avez réellement signé, mais dont le montant dépasse ce à quoi vous pouviez légitimement vous attendre au regard de vos dépenses passées, relève d’un autre régime : la fiche pratique de la direction générale de la concurrence, de la consommation et de la répression des fraudes rappelle que vous disposez alors de huit semaines à compter du débit pour en demander le remboursement à votre banque, avec un droit inconditionnel et automatique, et de treize mois pour le lui signaler, faute de quoi le remboursement devient impossible. Après une fuite de RIB, l’hypothèse la plus fréquente reste l’opération non autorisée, mais les deux situations coexistent lorsque le fraudeur imite un créancier existant en gonflant les montants. Lisez donc chaque opération en vous demandant si un mandat réel la soutient.
Le signalement obéit à une règle couperet que le code monétaire et financier pose en ces termes : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Le délai de treize mois est un plafond, pas un conseil d’attente : signalez par écrit, dès la découverte, par message sécurisé depuis votre espace bancaire doublé d’un courrier recommandé ou d’un courriel conservé, en citant la référence du mandat, les dates et les montants. Exigez dans le même écrit le blocage de tout nouveau prélèvement de ce créancier et la révocation du prétendu mandat. La révocation s’adresse à la banque, qui doit cesser de payer, et au créancier lui-même, par un écrit distinct qui prive d’effet tout mandat invoqué. Conservez chaque accusé de réception : en cas de litige, la date du signalement et la teneur de la demande de blocage sont les premières pièces que le juge examine. Cette information aux fins de blocage est une obligation écrite dans la loi : l’article L. 133-17 du code monétaire et financier prévoit que l’utilisateur qui a connaissance du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées « en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ».
Plusieurs erreurs reviennent dans les dossiers et retardent le remboursement. La première consiste à se contenter d’un appel téléphonique au conseiller, sans écrit : l’appel alerte, seul l’écrit prouve. La seconde consiste à faire opposition à l’ensemble des prélèvements du compte, y compris le loyer, l’électricité ou l’assurance, ce qui crée des impayés et des frais : l’opposition doit viser le créancier frauduleux, identifié par son identifiant SEPA. La troisième consiste à attendre la fin de l’enquête pénale avant d’écrire à la banque : les deux procédures sont indépendantes et le délai bancaire court pendant que l’enquête suit son cours. La quatrième consiste à jeter la lettre de notification de la fuite : ce document établit le lien entre l’exposition de votre RIB et les prélèvements, il fonde le front des données personnelles développé en seconde partie et il date la connaissance de l’incident.
La question du support financier des pertes avant le remboursement mérite un arrêt. Lorsque l’opération non autorisée résulte de la perte ou du vol de l’instrument de paiement, le code monétaire et financier prévoit que le payeur supporte les pertes antérieures à l’information de la banque « dans la limite d’un plafond de 50 € », avec des exceptions importantes : la responsabilité du payeur n’est pas engagée quand l’opération a été effectuée sans utilisation des données de sécurité personnalisées, quand elle résulte d’un détournement de l’instrument ou des données à son insu, quand l’instrument contrefait a servi alors qu’il en avait conservé la possession, ou quand la banque ne fournissait pas de moyens appropriés de blocage. Un prélèvement SEPA émis avec un IBAN volé, sans aucune donnée de sécurité personnalisée du client, entre typiquement dans ces cas d’exonération. À l’inverse, le client supporte toutes les pertes quand elles résultent de son agissement frauduleux ou d’un manquement intentionnel ou par négligence grave à ses obligations de sécurité. Concrètement, ne communiquez jamais vos codes, ne validez jamais une opération inconnue sur votre application et mentionnez dans votre signalement que le mandat invoqué ne porte pas votre signature : vous fermez ainsi la porte à l’argument de la négligence.
B. Exiger le remboursement dans les délais qui lient la banque
Une fois l’opération signalée, la banque est tenue à une obligation de remboursement rapide que le code monétaire et financier formule sans détour : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Le compte doit être rétabli dans l’état où il se serait trouvé sans l’opération, avec une date de valeur non postérieure à celle du débit, ce qui couvre les frais et agios provoqués en chaîne par le prélèvement frauduleux. Si la banque tarde, les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours. La seule échappatoire prévue par le texte suppose que la banque ait de bonnes raisons de soupçonner une fraude de votre part et qu’elle communique ces raisons par écrit à la Banque de France : un simple doute exprimé au guichet ne suffit pas. Une fois cette information donnée, l’article L. 133-20 du même code ajoute que « le payeur ne supporte aucune conséquence financière résultant de l’utilisation de cet instrument de paiement ou de l’utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part ».
En pratique, le remboursement intervient souvent après un premier examen automatisé du dossier. Préparez ce dossier comme une démonstration : copie de la lettre de notification de la fuite mentionnant le RIB, relevés entourant les opérations, copie de votre signalement et de la demande de blocage, copie de la révocation du mandat adressée au prétendu créancier, récépissé de la plainte ou de la pré-plainte en ligne lorsque vous l’avez déjà déposée, et tableau chronologique des faits. Si la banque répond que le mandat existe et vous oppose une prétendue signature électronique, exigez la production du mandat et vérifiez chaque champ : nom, adresse, IBAN, date de signature, périmètre de l’autorisation. Un mandat généré avec vos données volées trahit souvent une adresse électronique inconnue, une signature qui n’est pas la vôtre ou une date à laquelle vous n’avez accompli aucune démarche. Rappelez par écrit le délai du premier jour ouvrable suivant et demandez une réponse écrite et motivée en cas de refus : un refus verbal ne permet ni de saisir le juge utilement ni de calculer les intérêts de retard.
Si le refus persiste, la voie judiciaire prend le relais sans attendre l’issue des autres démarches. L’action en remboursement et en rétablissement du compte se porte devant le tribunal judiciaire, dont la compétence territoriale appartient en principe, selon le code de procédure civile, à la juridiction « du lieu où demeure le défendeur », avec des options selon les situations et les clauses de la convention de compte qu’il faut vérifier avant d’assigner. En matière délictuelle, l’article 46 du code de procédure civile permet au demandeur de saisir à son choix, outre la juridiction du domicile du défendeur, « la juridiction du lieu du fait dommageable ou celle dans le ressort de laquelle le dommage a été subi ». La demande porte sur le principal, le rétablissement du compte, les frais en chaîne et les intérêts majorés prévus par le texte. Joignez le refus écrit de la banque, la preuve du signalement dans le délai de treize mois et la démonstration que le mandat ne vient pas de vous. Les relevés qui montrent des prélèvements antérieurs réguliers au profit de vos vrais créanciers renforcent la démonstration par contraste : votre compte fonctionnait normalement jusqu’à l’exploitation de l’IBAN volé.
Un cas particulier mérite d’être traité parce que les fraudeurs l’exploitent : le mandat réel dont le montant dérape. Quand vous avez autorisé un créancier mais que le montant prélevé dépasse nettement ce à quoi vous pouviez vous attendre, le régime des huit semaines décrit par la fiche de la répression des fraudes s’applique : demandez le remboursement dans les huit semaines du débit, et signalez l’opération dans les treize mois. Ce régime coexiste avec celui des opérations non autorisées et il ne faut pas les confondre dans vos écrits : qualifiez chaque opération séparément, réclamez le remboursement immédiat des opérations non autorisées sur le fondement de l’article L. 133-18 et le remboursement des opérations autorisées contestées sur leur propre fondement. Des écrits précis accélèrent le traitement par la banque et évitent au juge un travail de requalification qui retarde la décision.
II. Exploiter la violation de données : CNIL, plainte pénale et réparation devant le juge
Le remboursement bancaire ne solde pas le dossier : il laisse intactes la violation de vos données, le risque d’usurpation future et le préjudice moral subi. Le second front vise l’organisme qui a laissé fuir votre RIB et l’auteur des prélèvements. Il repose sur trois leviers complémentaires : la contrainte réglementaire exercée par la CNIL, la répression pénale de l’usurpation d’identité et l’action civile en réparation fondée sur le règlement européen.
A. Faire constater la violation et mettre la CNIL en mesure d’agir
Avant toute démarche, posez par écrit la carte du traitement, car chaque destinataire raisonne à partir des rôles. Le responsable du traitement est l’organisme qui a déterminé pourquoi et comment vos données étaient collectées, typiquement la banque, la mutuelle, l’opérateur ou le commerçant qui vous a écrit. Le sous-traitant est le prestataire qui traitait ces données pour son compte, par exemple l’hébergeur, l’infogérant ou l’éditeur du logiciel de gestion. La répartition des responsabilités entre ces acteurs, fréquente dans les fuites qui suivent le piratage d’un prestataire, est analysée dans notre dossier consacré aux chaînes de sous-traitance : pour comprendre qui répond de la sécurité de vos données quand un prestataire cloud est en cause, lisez notre analyse des responsabilités entre responsable du traitement et sous-traitant en cas de violation de données dans le cloud. Cette qualification commande la suite : c’est au responsable du traitement qu’incombent la notification et l’information décrites ci-dessous, et c’est contre lui comme contre son sous-traitant, ensemble ou séparément, que l’action en réparation pourra être dirigée.
Le droit applicable pèse d’abord sur l’organisme qui détenait vos données. Le règlement général sur la protection des données lui impose de mettre en œuvre des mesures techniques et organisationnelles garantissant « un niveau de sécurité adapté au risque », dont la pseudonymisation et le chiffrement, la garantie de la confidentialité et de la résilience des systèmes et une procédure d’évaluation régulière de l’efficacité de ces mesures. Une base de RIB conservée en clair, accessible sans traçabilité ou copiée par un prestataire sans encadrement contractuel, interroge directement ce niveau de sécurité. Le texte organise ensuite la réaction à l’incident : le responsable notifie la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, « 72 heures au plus tard » après en avoir pris connaissance, avec la nature des données, le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises, puis il documente l’incident pour permettre le contrôle. Le sous-traitant qui découvre la fuite l’avertit pour sa part dans les meilleurs délais. Quand l’organisme tarde à notifier ou minimise la nature des données exposées, cette chronologie devient une pièce du dossier de responsabilité.
L’information de la victime obéit à un seuil distinct qu’il faut connaître pour lire correctement la lettre reçue. Lorsque la violation présente un « risque élevé » pour les droits et libertés d’une personne physique, le règlement impose au responsable du traitement de la communiquer à la personne concernée dans les meilleurs délais, en des termes clairs et simples, avec les informations et mesures prévues par le texte. Un RIB associé à l’état civil complet caractérise typiquement ce risque élevé, car il ouvre la voie aux prélèvements frauduleux, à l’usurpation d’identité et à la perte financière, trois figures que le règlement cite lui-même parmi les dommages envisageables. Des exceptions existent : données rendues incompréhensibles par chiffrement, mesures ultérieures qui écartent le risque, ou efforts disproportionnés qui conduisent à une communication publique équivalente. Si l’organisme ne vous a pas informé alors que le risque est manifeste, l’autorité de contrôle peut exiger qu’il le fasse. La CNIL détaille ces règles de notification et d’information sur sa page consacrée aux violations de données personnelles et elle reçoit les notifications des organismes par son service en ligne dédié.
De votre côté, la démarche auprès de la CNIL prend la forme d’une plainte en ligne qui décrit le traitement, l’organisme, la fuite et vos démarches préalables. Écrivez d’abord à l’organisme pour exercer vos droits et demander des comptes : quelles données exposées, quand, quelles mesures, quelle notification à la CNIL. Joignez sa lettre et sa réponse, ou la preuve de son silence après un délai raisonnable d’un mois environ, puis déposez la plainte avec l’ensemble des pièces. La plainte devant la CNIL et l’action en réparation devant le juge ne se confondent pas : la première déclenche le contrôle du respect du règlement et peut aboutir à des mesures et à des amendes, la seconde indemnise votre préjudice. Les deux voies se cumulent et les pièces servent aux deux, mais seule la décision de justice ou l’accord amiable répare. Une plainte précise, datée et documentée pèse davantage qu’un signalement vague, et elle alimente la démonstration de la violation dans le procès civil.
B. Déposer plainte pour usurpation et obtenir réparation du préjudice
L’utilisation de votre RIB et de votre état civil pour émettre des prélèvements ou souscrire des engagements en votre nom caractérise, au-delà du contentieux bancaire, une infraction pénale. Le code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », avec les mêmes peines lorsque les faits sont commis sur un réseau de communication au public en ligne, et une aggravation à deux ans d’emprisonnement et 30 000 euros d’amende quand l’auteur est le conjoint, le concubin ou le partenaire de pacte civil de solidarité de la victime. L’emploi de vos données bancaires et personnelles pour fabriquer de faux mandats de prélèvement entre dans le champ de ce texte dès lors qu’il trouble votre tranquillité ou porte atteinte à votre considération, notamment quand des impayés ou des incidents sont inscrits sur votre compte. Déposez plainte au commissariat, à la gendarmerie ou par la pré-plainte en ligne, avec la lettre de notification de la fuite, les relevés, votre signalement à la banque, la révocation du mandat et la liste des démarches accomplies. Demandez et conservez le récépissé. La plainte vise l’auteur inconnu des prélèvements et, selon les éléments, l’organisme dont la négligence a permis la fuite ; la qualification définitive appartient au parquet et au juge, votre rôle consiste à apporter des faits précis et datés.
La réparation de votre préjudice relève du règlement européen, qui ouvre un droit propre à indemnisation. Son article 82 ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir du responsable du traitement ou du sous-traitant « réparation du préjudice subi ». Le responsable comme le sous-traitant répondent du dommage causé par le traitement qui viole le règlement, le sous-traitant pour les obligations qui lui incombent spécifiquement ou quand il a outrepassé les instructions licites, et chacun des coresponsables peut être tenu pour la totalité afin de garantir une réparation effective, quitte à se répartir ensuite la charge entre eux. L’exonération suppose la preuve que le fait dommageable ne lui est « nullement imputable ». Concrètement, dirigez l’action contre l’organisme qui détenait vos données et contre son prestataire quand il est identifié, demandez la réparation du préjudice matériel, sommes prélevées non remboursées, frais bancaires, frais de démarches et de sécurisation, et du préjudice moral, anxiété, temps passé, démarches répétées et perte de contrôle sur vos données.
La Cour de cassation applique ce régime avec rigueur et son apport est directement utilisable dans votre dossier. Dans un arrêt de la chambre sociale du 24 juin 2026 (pourvoi n° 24-22.792), elle a censuré une cour d’appel qui avait alloué 5 000 euros de dommages et intérêts en retenant que la violation du règlement avait nécessairement causé un préjudice, alors que la victime ne démontrait dans ses écritures ni son existence ni son étendue : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». L’arrêt reprend les trois apports de la Cour de justice de l’Union européenne (4 mai 2023, C-300/21, Österreichische Post ; 25 janvier 2024, C-687/21). D’abord, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ». Ensuite, et c’est le point décisif pour les victimes de fuites de RIB, le texte « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » : un préjudice moral réel, même modeste, ouvre droit à réparation sans seuil de gravité, tandis qu’un préjudice inexistant ou purement hypothétique ne suffit pas. Enfin, « aux fins de la fixation du montant des dommages-intérêts dus au titre du droit à réparation consacré à cet article, les juges nationaux doivent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés », et « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». Pour votre dossier, cela signifie qu’il faut prouver un préjudice concret, même limité : relevés montrant les débits, justificatifs de frais, temps de démarches chiffré, courriers échangés, attestation de votre entourage sur l’anxiété subie, et démonstration du lien avec la fuite. Un tableau qui relie chaque poste de préjudice à sa pièce fait souvent la différence entre une demande accueillie et une demande écartée.
L’articulation des procédures mérite une dernière mise au point. Vous pouvez conduire en parallèle le signalement à la banque avec demande de remboursement, la plainte devant la CNIL, la plainte pénale et l’action civile en réparation ; aucune n’est le préalable obligatoire des autres, sauf les mises en demeure et démarches préalables que le juge apprécie dans les frais et l’attitude des parties. La décision pénale ne conditionne pas l’action civile fondée sur le règlement, et l’éventuelle sanction de la CNIL ne répare pas à elle seule : chaque voie a son objet et ses preuves se renforcent mutuellement. Gardez une chronologie unique du dossier, de la lettre de notification aux derniers relevés, et versez les mêmes pièces dans chaque procédure en les adaptant à son objet. Cette discipline évite les contradictions entre vos écrits, que les parties adverses exploitent systématiquement.
En résumé, les sept réflexes qui protègent vos droits tiennent en une page : lire la lettre de notification et identifier les données exposées, surveiller les relevés chaque semaine pendant plusieurs mois, signaler par écrit chaque opération non autorisée bien avant le délai de treize mois, bloquer le créancier frauduleux et révoquer le prétendu mandat, exiger le remboursement au plus tard à la fin du premier jour ouvrable suivant, écrire à l’organisme pour exercer vos droits puis saisir la CNIL, déposer plainte pour usurpation et chiffrer chaque poste de préjudice pour le juge. Le dossier qui réunit ces pièces aboutit plus vite, devant la banque comme devant le tribunal, parce qu’il ne laisse aucune zone d’ombre sur les faits, les délais et les responsabilités.