Un matin, la connexion à votre compte Facebook, Instagram ou WhatsApp devient impossible : le mot de passe ne fonctionne plus, l’adresse de courrier électronique associée a changé, des messages que vous n’avez pas écrits partent vers vos contacts, parfois des contenus choquants apparaissent sous votre nom. La prise de contrôle d’un compte en ligne existant par un tiers, couramment appelée piratage de compte, place la victime dans une situation d’urgence : chaque heure qui passe expose ses données personnelles, sa liste de contacts et son image à de nouveaux usages non autorisés. La question pratique est alors directe : comment récupérer l’accès, faire cesser les usages frauduleux, identifier l’auteur et obtenir réparation en droit français en 2026.
Le réflexe le plus fréquent consiste à multiplier les tentatives de connexion et les signalements en ligne, sans conserver aucune preuve, puis à attendre que la plateforme règle le problème. Cette approche fait perdre un temps précieux et prive la victime des éléments nécessaires à une plainte efficace et à une demande d’indemnisation. La récupération d’un compte piraté suit en réalité une méthode en quatre temps : sécuriser et reprendre la main sans détruire les traces, figer les preuves, contraindre la plateforme à communiquer les données d’identification de l’intrus, puis engager les voies pénale, administrative et civile adaptées à chaque préjudice.
Le droit applicable combine plusieurs couches qu’il faut distinguer avec soin. Le code pénal réprime l’accès frauduleux aux systèmes de traitement automatisé de données et l’usurpation d’identité commise sur un réseau en ligne. La procédure civile permet d’obtenir en référé les données d’identification détenues par la plateforme. Le règlement général sur la protection des données, dit RGPD, ouvre une action en réparation, mais la Cour de cassation rappelle en 2026 que la simple violation du texte ne suffit pas : la victime doit démontrer un dommage concret. La plainte devant la Commission nationale de l’informatique et des libertés, dite CNIL, suit ses propres conditions de recevabilité et ne se confond ni avec la plainte pénale ni avec l’action en indemnisation. Cet article expose chacune de ces voies, les pièces à réunir, les délais à respecter et les erreurs qui font échouer les demandes.
I. Reprendre le contrôle du compte et figer les preuves sans détruire les recours
A. Sécuriser l’accès, alerter la plateforme et protéger les contacts
La première heure détermine souvent l’issue du dossier. Avant toute démarche juridique, la victime doit tenter de reprendre la main sur le compte par les canaux officiels de récupération de chaque service : pages d’aide au compte piraté de Facebook, d’Instagram ou de WhatsApp, vérification de l’historique des connexions récentes, suppression des appareils et sessions non reconnus, réinitialisation du mot de passe depuis une adresse saine, puis activation de la double authentification. Le site public Cybermalveillance.gouv.fr, géré par le groupement d’intérêt public ACYMA avec le soutien de l’État, détaille ces gestes par plateforme et recommande de vérifier méthodiquement les paramètres modifiés par l’intrus : adresse électronique de récupération, numéro de téléphone, applications tierces connectées, messages envoyés et publications mises en ligne. Ces pages officielles constituent un point de départ fiable, à jour et gratuit pour la phase strictement technique de la reprise en main (Que faire en cas de piratage de compte sur les réseaux sociaux).
Deux précautions s’imposent pendant cette phase. D’abord, ne jamais effacer les traces laissées par l’intrus avant de les avoir conservées : messages envoyés, demandes d’argent à vos contacts, publications, modifications de profil, notifications de connexion reçues par courrier électronique ou SMS. Chaque élément effacé est une preuve perdue pour la plainte et pour l’action en réparation. Ensuite, prévenir rapidement l’entourage par un canal distinct du compte compromis : un message bref depuis un autre moyen de communication, indiquant que le compte est contrôlé par un tiers et qu’il faut ignorer les demandes d’argent, les liens et les pièces jointes qui en proviennent. Cette alerte limite la propagation du préjudice aux proches, dont les propres données peuvent être aspirées par l’intrus à partir de la messagerie détournée.
Lorsque le compte sert à une activité professionnelle, par exemple une page d’entreprise, un compte d’artisan recevant des commandes ou un profil d’association, la reprise en main engage aussi la responsabilité du titulaire envers ses propres clients et adhérents. Le compte professionnel contient des données de tiers : conversations clients, coordonnées, parfois des données bancaires ou des pièces d’identité transmises en pièces jointes. Si l’intrus a pu lire, copier ou détourner ces données, l’incident peut constituer une violation de données à caractère personnel au sens du RGPD, avec des obligations propres du côté du professionnel. Dans ce cas, documenter précisément ce que l’intrus a pu voir et exfiltrer conditionne la suite : information éventuelle des personnes concernées, notification à l’autorité de contrôle dans les délais du texte européen et révision des mesures de sécurité. Le particulier dont seul le compte personnel est visé n’est pas soumis à ces obligations de notification, mais il reste concerné par l’exercice de ses droits individuels : accès, effacement des contenus frauduleux et opposition aux traitements détournés.
Le signalement à la plateforme doit être effectué en parallèle, par les formulaires dédiés au compte piraté, et conservé avec ses références : numéro de ticket, copies d’écran du formulaire envoyé, réponses reçues. Ce signalement ne remplace ni la plainte pénale ni la plainte devant la CNIL, et la plateforme n’est pas un juge : elle peut restaurer l’accès et retirer des contenus, mais elle n’indemnise pas et n’identifie pas l’auteur sans décision de justice. Conserver la preuve du signalement et de son résultat, ou de son absence de résultat, sera exigé plus tard pour démontrer que les démarches préalables ont été accomplies. Si la plateforme refuse de restaurer l’accès ou de retirer des contenus manifestement publiés par l’intrus, ce refus écrit et daté devient une pièce du dossier, utile devant la CNIL et devant le juge judiciaire.
B. Conserver les preuves et obtenir l’identification de l’auteur
Une fois l’urgence technique traitée, le dossier bascule sur le terrain probatoire. La victime doit constituer, dès les premiers jours, un dossier horodaté : captures d’écran complètes faisant apparaître les URL, les dates et les heures, enregistrement des notifications de connexion, copies des messages frauduleux envoyés depuis le compte, attestations des proches sollicités par l’intrus, relevés des préjudices financiers éventuels et journal précis des démarches accomplies. La CNIL elle-même invite les plaignants à conserver des preuves avant de la saisir et propose une méthode de captures d’écran exploitables (Adresser une plainte à la CNIL). Un constat de commissaire de justice, anciennement huissier, reste le mode de preuve le plus solide pour les contenus en ligne volatils, car l’intrus ou la plateforme peuvent effacer les publications litigieuses à tout moment. Son coût doit être mis en balance avec l’enjeu du litige, mais dans les dossiers comportant des publications portant atteinte à l’honneur ou des demandes d’argent aux contacts, il sécurise la preuve avant tout débat sur l’authenticité des captures.
L’obstacle suivant est l’anonymat de l’auteur. La victime connaît généralement un pseudonyme, une adresse de profil ou un numéro, mais pas l’identité civile de l’intrus. Or les plateformes détiennent des données d’identification : adresses électroniques, numéros de téléphone, adresses IP de création et de connexion, journaux techniques. L’article 145 du code de procédure civile dispose : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Ce texte permet de demander au juge des référés, avant tout procès au fond, la communication des données d’identification détenues par la plateforme, à condition de démontrer un motif légitime, c’est-à-dire un litige crédible et des mesures proportionnées.
La pratique parisienne illustre concrètement cette voie. Par ordonnance de référé du 15 juillet 2026, numéro de rôle général 26/50431, le président du tribunal judiciaire de Paris, saisi sur le fondement de l’article 145 du code de procédure civile et de l’article 6 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, a condamné la société Meta Platforms Ireland Limited à communiquer les données d’identification du titulaire d’un compte Facebook litigieux : pseudonyme utilisé, dates de création et de clôture, noms, adresses électroniques et numéros de téléphone associés au moment de la production, ainsi que les dates, heures et adresses IP de création du compte et des connexions récentes, dans la limite des données existantes et raisonnablement accessibles. La décision écarte en revanche les demandes excédant les données d’identification de base et refuse l’astreinte sollicitée, rappelant que la mesure doit rester proportionnée. Cet exemple montre ce que le juge accepte de contraindre la plateforme à livrer et ce qu’il refuse : les données techniques d’identification oui, une surveillance généralisée du compte non.
À Paris et en Île-de-France, cette procédure se porte devant le président du tribunal judiciaire de Paris statuant en référé, avec représentation obligatoire par avocat. L’assignation doit identifier précisément le compte litigieux par son URL complète, exposer les faits d’usurpation ou de prise de contrôle avec pièces à l’appui, notamment le procès-verbal de constat, et formuler une demande calibrée sur les données d’identification de base et les adresses IP, en visant la société établie dans l’Union européenne qui exploite le service, par exemple Meta Platforms Ireland Limited pour Facebook et Instagram. Une demande trop large, visant le contenu des correspondances ou des données couvertes par des régimes de conservation spécifiques, s’expose au rejet partiel. Le délai de conservation des données techniques par les opérateurs étant limité, souvent douze mois pour les données de connexion, il faut agir vite : une demande d’identification formée dix-huit mois après les faits risque de se heurter à l’effacement des journaux.
II. Punir l’auteur, faire cesser les traitements illicites et obtenir réparation
A. Déposer plainte et saisir la CNIL, deux plaintes aux fonctions distinctes
La prise de contrôle d’un compte en ligne existant entre dans le champ de plusieurs incriminations pénales, qu’il faut qualifier avec précision dans la plainte. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le compte de réseau social ou de messagerie, avec ses serveurs, ses bases de données et ses mécanismes d’authentification, constitue un système de traitement automatisé de données au sens de ce texte, et le contournement du mot de passe ou le détournement de la session caractérise l’accès frauduleux. Lorsque l’intrus, une fois à l’intérieur du compte, lit, copie, détourne ou publie des données, l’article 323-3 du code pénal s’ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » L’extraction des conversations, la copie du carnet d’adresses ou la publication de contenus depuis le compte piraté relèvent de cette seconde incrimination.
Quand l’intrus utilise les données du compte pour se faire passer pour la victime, notamment pour solliciter de l’argent auprès de ses contacts ou publier des propos sous son nom, une troisième qualification entre en jeu. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le même article précise : « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Les escroqueries commises depuis le compte détourné, par exemple les fausses collectes ou les demandes de virement aux proches, peuvent en outre caractériser l’escroquerie, et les contenus publiés par l’intrus peuvent engager d’autres qualifications selon leur nature. Lorsque l’intrus lit puis rediffuse des conversations privées ou des images prises dans un cadre privé, l’article 226-1 du code pénal peut également s’appliquer : « Est puni d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui », notamment en captant ou transmettant sans consentement des paroles privées ou l’image d’une personne dans un lieu privé. La plainte doit donc décrire les faits de manière factuelle et laisser au procureur le soin de retenir les qualifications, plutôt qu’enfermer l’affaire dans une incrimination unique et contestable.
La jurisprudence criminelle récente confirme que ces textes s’appliquent strictement. Par arrêt du 2 septembre 2025, numéro de pourvoi 24-83.605, la chambre criminelle de la Cour de cassation a rejeté le pourvoi formé contre un arrêt de la cour d’appel de Versailles ayant condamné un prévenu à trois mois d’emprisonnement avec sursis pour maintien frauduleux dans un système de traitement automatisé de données (décision consultable sur Judilibre, ECLI:FR:CCASS:2025:CR00934). La Cour valide ainsi que le maintien dans un système après la fin des droits d’accès, ou en dehors de toute autorisation, tombe sous le coup de l’article 323-1, sans qu’il soit besoin de démontrer une altération du système. Pour la victime d’un compte piraté, cet enseignement compte : même si l’intrus n’a rien détruit et s’est contenté de lire les messages et d’utiliser le compte, l’accès et le maintien frauduleux sont constitués dès lors que l’autorisation fait défaut.
Sur le plan pratique, la plainte se dépose au commissariat ou à la gendarmerie, y compris en ligne avec rendez-vous puis signature, ou directement auprès du procureur de la République par courrier détaillé avec pièces jointes. L’article 15-3 du code de procédure pénale dispose : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » Un service parisien ou francilien ne peut donc pas refuser la plainte au motif que la victime habite un autre ressort ou que l’auteur se trouverait à l’étranger. La victime reçoit un récépissé mentionnant les délais de prescription et la possibilité d’une plainte avec constitution de partie civile. En matière de piratage de compte, le signalement sur la plateforme gouvernementale PHAROS, accessible depuis internet-signalement.gouv.fr, complète utilement la plainte pour les contenus illicites diffusés depuis le compte, tandis que le dispositif 17Cyber de la police nationale, adossé à Cybermalveillance.gouv.fr, offre une assistance en ligne pour qualifier les faits et orienter les démarches. Il faut toutefois garder la hiérarchie des voies : le signalement administratif aide l’enquête, mais seul le dépôt de plainte fait courir la procédure pénale et ouvre le droit à la constitution de partie civile.
La plainte devant la CNIL obéit à une logique différente et ne doit pas être confondue avec la plainte pénale. La CNIL ne recherche pas l’auteur du piratage et n’indemnise pas les victimes : elle contrôle les organismes qui traitent des données personnelles, en l’occurrence la plateforme exploitant le réseau social ou la messagerie, et peut mettre en demeure, sanctionner et ordonner la mise en conformité. Sa saisine suppose des démarches préalables écrites auprès de l’organisme visé, c’est-à-dire le signalement du piratage et l’exercice des droits d’accès, de rectification, d’effacement et d’opposition restés sans réponse satisfaisante, puis une plainte complète et précise : identité du plaignant, organisme visé avec ses coordonnées, exposé chronologique des faits, copies des échanges avec l’organisme et des preuves conservées (Adresser une plainte à la CNIL). Une plainte vague, sans justificatif des démarches accomplies, s’expose à la clôture sans suite. Lorsque le piratage s’accompagne d’une fuite ou d’un vol de données dont la victime craint l’exploitation, la page officielle de la CNIL consacrée aux réflexes en cas de fuite permet de vérifier si ses données sont concernées et d’adopter les mesures de protection adaptées avant de saisir l’autorité.
Le périmètre de chaque voie doit rester clair pour éviter les rejets croisés. Le commissariat ne traitera pas une demande d’effacement de contenus : c’est à la plateforme, puis au juge civil en cas de refus, qu’il faut s’adresser. La CNIL ne poursuivra pas l’auteur du piratage : c’est l’office du procureur et du juge pénal. Le juge des référés saisi sur l’article 145 du code de procédure civile ordonnera la communication des données d’identification, mais ne prononcera ni sanction ni indemnisation. Articuler les trois démarches dans le bon ordre, signalement et reprise du compte d’abord, plainte pénale et demande d’identification ensuite, plainte CNIL une fois les démarches préalables documentées, donne à chaque autorité un dossier recevable dans son propre champ de compétence. Les victimes dont le dossier mêle prise de contrôle du compte et création de faux profils à leur nom trouveront un complément utile dans l’analyse consacrée à l’usurpation d’identité avec crédit souscrit ou contrat signé au nom de la victime, et aux démarches de plainte, de défichage et d’effacement, qui traite le versant financier et documentaire de l’usurpation, distinct du piratage d’un compte existant examiné ici.
B. Faire effacer les contenus frauduleux et obtenir l’indemnisation du dommage prouvé
La remise en état du compte ne s’arrête pas à la récupération du mot de passe. Les contenus publiés par l’intrus, photographies détournées, messages injurieux, annonces frauduleuses, doivent être supprimés, et les données que la plateforme a pu conserver sur l’incident doivent être traitées conformément aux droits de la personne concernée. Le RGPD reconnaît notamment le droit d’obtenir l’effacement des données qui ne sont plus nécessaires, le droit de s’opposer à certains traitements et le droit d’être informé des violations de données présentant un risque pour les droits et libertés. Lorsque la plateforme est responsable du traitement, elle doit notifier la violation à l’autorité de contrôle dans les meilleurs délais et si possible dans les soixante-douze heures après en avoir pris connaissance, sauf absence de risque, ainsi que le prévoit l’article 33 du règlement (texte du règlement (UE) 2016/679, chapitre IV, sur le site de la CNIL). Cette obligation pèse sur le responsable du traitement, c’est-à-dire en pratique la plateforme, et non sur la victime du piratage. Elle éclaire cependant le standard de diligence attendu d’un opérateur sérieux : journalisation des accès, détection des connexions anormales, information des personnes exposées et documentation des mesures correctives.
Si la plateforme refuse l’effacement des contenus publiés par l’intrus ou maintient en ligne des données manifestement issues du détournement, la victime dispose de l’action en justice de droit commun devant le tribunal judiciaire, après mise en demeure restée infructueuse et plainte CNIL si les conditions en sont réunies. L’article 9 du code civil dispose : « Chacun a droit au respect de sa vie privée. » Les juges peuvent prescrire toutes mesures propres à faire cesser une atteinte à l’intimité de la vie privée, y compris en référé en cas d’urgence. Le juge peut ordonner le retrait ou le déréférencement des contenus, sous astreinte, et statuer sur la responsabilité de l’exploitant. Devant ce juge comme devant la CNIL, la qualité du dossier fait la différence : refus écrit et daté de la plateforme, captures et constats des contenus maintenus, preuve du signalement initial et de l’exercice des droits. Les demandes formulées de manière générale, visant l’ensemble des données détenues par la plateforme sans distinguer les contenus frauduleux des traitements légitimes du compte restauré, fragilisent la demande et retardent la décision.
Reste la question centrale pour de nombreuses victimes : le préjudice moral et financier subi du fait du piratage peut-il être indemnisé sur le fondement du RGPD. L’article 82, paragraphe 1, du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte un droit à réparation contre le responsable du traitement ou le sous-traitant (texte du chapitre VIII du règlement sur le site de la CNIL). Ce droit vise le responsable ou le sous-traitant dont la violation du règlement a causé le dommage, et non directement l’auteur du piratage, contre lequel l’indemnisation passe par la voie pénale et la constitution de partie civile. Surtout, la Cour de cassation vient d’en préciser strictement les conditions. Par arrêt du 24 juin 2026, numéro de pourvoi 24-22.792, publié au Bulletin, la chambre sociale casse un arrêt de la cour d’appel de Paris qui avait alloué 5 000 euros de dommages et intérêts en retenant que le non-respect du RGPD avait nécessairement causé un préjudice au salarié (décision consultable sur Judilibre, ECLI:FR:CCASS:2026:SO00571). La Cour énonce : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». Elle s’appuie sur la jurisprudence de la Cour de justice de l’Union européenne, qui juge que la simple violation des dispositions du règlement ne suffit pas pour conférer un droit à réparation, tout en refusant d’exiger un seuil minimal de gravité du dommage moral, et qui impose au demandeur d’établir non seulement la violation, mais aussi le dommage matériel ou moral qu’elle lui a causé, la réparation ayant une fonction compensatoire et non punitive.
Concrètement, la victime d’un compte piraté qui agit contre la plateforme sur le fondement de l’article 82 doit donc prouver trois éléments cumulatifs : une violation caractérisée du RGPD imputable au responsable ou au sous-traitant, par exemple un défaut de sécurité, une absence de détection d’intrusion ou un refus d’effacement, un dommage précis subi de ce fait, et un lien de causalité entre les deux. L’angoisse durable liée à la perte de contrôle de ses correspondances privées, l’atteinte à la réputation professionnelle du fait de messages envoyés aux contacts, le temps considérable consacré à la récupération et à la sécurisation, les frais exposés pour le constat, les démarches et l’assistance, ou encore les pertes financières liées aux escroqueries commises depuis le compte constituent des chefs de préjudice invocables, à condition d’être documentés pièce par pièce : certificats médicaux en cas de retentissement avéré, attestations de clients perdus, factures, relevés d’opérations frauduleuses, échanges avec la plateforme. Une demande qui se borne à invoquer le piratage et à réclamer une somme forfaitaire, sans Violation précise du règlement ni dommage établi, sera rejetée en application de la jurisprudence de 2026.
L’indemnisation peut aussi être recherchée contre l’auteur du piratage lui-même, lorsqu’il est identifié, par la constitution de partie civile devant le juge pénal ou par l’assignation devant le juge civil sur le fondement de la responsabilité de droit commun. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Les préjudices réparables incluent les sommes détournées, les frais de sécurisation et de constat, la perte d’exploitation pour les comptes professionnels et le préjudice moral lié à l’exposition de la vie privée et à l’usurpation de l’image. Le juge apprécie souverainement l’existence et l’étendue de chaque poste, et la fonction de la réparation reste compensatoire : il s’agit de replacer la victime, autant que possible, dans la situation antérieure, et non de punir l’auteur par des dommages et intérêts. Deux erreurs reviennent fréquemment dans les dossiers et doivent être évitées. La première consiste à réclamer l’indemnisation du seul fait du piratage, sans rattacher chaque préjudice à une faute ou à une violation précise et prouvée. La seconde consiste à confondre l’auteur du piratage et la plateforme : on ne demande pas à la plateforme la réparation des escroqueries commises par l’intrus, sauf à démontrer qu’un manquement de l’opérateur à ses obligations de sécurité a rendu possible ou aggravé le dommage. Tenir ces deux plans distincts, d’un côté la responsabilité pénale et civile de l’intrus, de l’autre la responsabilité de l’opérateur en cas de violation du RGPD, conditionne le succès de l’action en réparation.
Conclusion
Le compte piraté se traite comme un sinistre dont chaque étape conditionne la suivante : reprise technique du compte sans effacer les traces, constitution immédiate d’un dossier de preuves horodatées, signalements conservés à la plateforme, plainte pénale qualifiant avec précision l’accès frauduleux et, le cas échéant, l’extraction de données et l’usurpation d’identité, demande d’identification de l’auteur en référé sur le fondement de l’article 145 du code de procédure civile, puis plainte devant la CNIL une fois les démarches préalables documentées et action en effacement et en réparation devant le juge judiciaire. La jurisprudence de 2026 durcit l’exigence probatoire sur le terrain indemnitaire : la violation du RGPD ne se présume pas et ne s’induit pas du seul piratage, et le dommage ne se déduit pas de la seule violation. Seule une victime capable de démontrer une violation précise, un préjudice concret et le lien entre les deux obtiendra l’effacement et l’indemnisation recherchés. Agir vite, écrire à chaque étape et conserver chaque réponse reste, face à un compte détourné, la stratégie la plus sûre.