D’après la radio-télévision publique flamande VRT, qui cite l’agence Belga et le site spécialisé FrenchBreaches, les données personnelles d’environ 700 000 personnes issues de la base d’un organisme wallon de formation en alternance auraient été remises en ligne en accès libre sur un forum du dark web au début du mois d’octobre 2026, après une cyberattaque survenue en février. Numéros de registre national belge, coordonnées bancaires dont 85 000 numéros de compte, noms, adresses, e-mails, numéros de téléphone et dates de naissance : l’inventaire rapporté par la presse est précis et, par nature, anxiogène pour les personnes qui ont suivi une formation dans ce réseau, y compris d’éventuels résidents français. À la date de rédaction, aucune autorité de contrôle, aucune décision de justice et aucun acte officiel n’ont constaté les circonstances exactes de l’intrusion, l’étendue réelle des données diffusées ni une quelconque responsabilité : les faits sont rapportés ici strictement d’après la presse, ce que la source ne dit pas est écrit au conditionnel, et toute qualification juridique reste une hypothèse soumise à l’appréciation du juge. Les contrats signés avec l’organisme priment sur toute analyse générale.
Pour un lecteur français, la question est concrète : que faire quand vos nom, adresse, e-mail, téléphone, date de naissance et références bancaires circulent sur le dark web à la suite d’une fuite survenue à l’étranger, en l’occurrence en Belgique ? Le droit applicable est en grande partie européen, donc identique des deux côtés de la frontière : le règlement général sur la protection des données (RGPD) organise l’information des personnes concernées, les plaintes devant les autorités et la réparation devant le juge. Encore faut-il agir dans le bon ordre : vérifier si vous êtes concerné, exiger d’être informé, signaler et porter plainte, conserver les preuves, puis demander réparation. Ce dossier explique chaque étape, avec les textes exacts et ce que les tribunaux français accordent réellement.
I. Fuite de données sur le dark web : que faire et qui alerter en premier
A. Comment savoir si vos données sont concernées et exiger d’être informé
Le premier réflexe consiste à déterminer si vos données figurent parmi celles qui auraient été diffusées. Selon la VRT, l’organisme visé aurait été averti de la cyberattaque dès le mois de février 2026, et la remise en ligne sur un forum du dark web n’aurait été repérée qu’en octobre par un site qui recense les fuites. Si vous avez été apprenant, stagiaire, formateur ou simple candidat de ce réseau wallon, même pour une courte formation, même il y a plusieurs années, vous pourriez être concerné : les bases de formation conservent longtemps les dossiers d’inscription, avec pièces d’identité, relevés bancaires pour les remboursements de frais et coordonnées complètes. Vérifiez vos anciens e-mails, courriers et espaces en ligne : un responsable de traitement qui subit une violation de données présentant un risque élevé pour vos droits doit vous prévenir personnellement, et cette notification laisse une trace écrite précieuse pour la suite.
Cette obligation d’information personnelle découle directement de l’article 34, paragraphe 1, du RGPD : quand une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement doit communiquer cette violation à la personne concernée dans les meilleurs délais (règlement (UE) 2016/679 du 27 avril 2016). La diffusion en accès libre, sur un forum du dark web, de numéros d’identification nationaux associés à des coordonnées bancaires correspondrait typiquement à ce risque élevé, car la combinaison d’un identifiant officiel, d’une adresse et d’un IBAN rend les tentatives d’escroquerie ciblée nettement plus crédibles : la VRT relève elle-même que des e-mails, SMS ou appels frauduleux paraissent plus convaincants quand ils mobilisent des données personnelles authentiques. Si vous n’avez reçu aucune information alors que votre inscription dans ce fichier est établie par vos propres pièces, ce silence peut déjà constituer un premier manquement à documenter.
En parallèle, l’organisme doit prévenir son autorité de contrôle. L’article 33, paragraphe 1, du RGPD dispose : en cas de violation de données personnelles, le responsable du traitement doit en principe notifier cette violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (règlement (UE) 2016/679). Vous pouvez interroger l’autorité sur l’existence de cette notification et exercer votre droit d’accès : l’article 15, paragraphe 1, du RGPD prévoit que toute personne peut obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées et, si oui, l’accès à ces données (règlement (UE) 2016/679). Adressez cette demande par écrit, de préférence par lettre recommandée avec accusé de réception ou par e-mail avec accusé de lecture, en joignant une copie de votre pièce d’identité : la réponse, ou l’absence de réponse sous un mois, fera partie de votre dossier de preuves.
Sur le plan pratique, prenez immédiatement des mesures de protection, même avant toute confirmation : changez les mots de passe des comptes qui partagent l’adresse e-mail figurant dans le dossier de formation, activez la double authentification partout où elle existe, surveillez vos relevés bancaires ligne par ligne pendant plusieurs mois, et traitez avec une méfiance systématique tout appel, SMS ou e-mail qui cite vos données exactes pour réclamer un paiement, un code ou une « vérification ». Un numéro IBAN seul ne permet pas, à lui seul, de prélever de l’argent sur votre compte, mais combiné à votre identité complète, il peut servir à fabriquer de faux ordres, de fausses factures ou des prélèvements frauduleux à contestation. Conservez chaque message suspect avec ses en-têtes complets, chaque relevé et chaque courrier : ces pièces serviront à établir le préjudice si vous demandez réparation.
B. CNIL, autorité belge et plainte pénale : où signaler la fuite quand elle vient de l’étranger
Quand la fuite provient d’un organisme établi dans un autre État membre, les personnes concernées résidant en France peuvent saisir l’autorité française. L’article 77, paragraphe 1, du RGPD énonce que toute personne qui considère que le traitement de ses données méconnaît le règlement peut introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée (règlement (UE) 2016/679). Concrètement, un résident français dont les données auraient été diffusées depuis la Belgique peut déposer sa plainte auprès de la CNIL, qui coopère ensuite avec son homologue belge dans le cadre du guichet unique européen. La plainte se dépose en ligne sur le site de la CNIL (service des plaintes de la CNIL) : décrivez les faits avec dates, joignez la notification reçue ou la preuve de son absence, votre demande d’accès et sa réponse, ainsi que les captures des messages frauduleux éventuellement reçus.
La plainte devant l’autorité de contrôle ne remplace ni la plainte pénale contre les auteurs de l’intrusion, ni l’action en réparation contre l’organisme qui conservait vos données. Côté pénal, l’attaque elle-même relève en droit français des atteintes aux systèmes de traitement automatisé de données : l’article 323-1 du code pénal punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de « trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal, Légifrance), et l’article 323-3 du même code punit « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient » de « cinq ans d’emprisonnement et de 150 000 € d’amende » (article 323-3 du code pénal, Légifrance). L’extraction massive d’un fichier de 700 000 enregistrements puis sa remise en ligne correspondraient, si les faits rapportés par la presse étaient établis, à ces incriminations, et la revente ou la rediffusion des données pourrait en outre caractériser le recel. Déposez plainte au commissariat ou à la gendarmerie, ou par pré-plainte en ligne, en apportant tout élément qui rattache vos données à la fuite : notification reçue, messages d’escroquerie citant vos références exactes, relevés bancaires anormaux.
Symétriquement, l’organisme qui conservait vos données pourrait lui-même répondre pénalement d’un défaut de sécurité. L’article 226-17 du code pénal punit « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité » de « cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-17 du code pénal, Légifrance). Or l’article 32, paragraphe 1, du RGPD impose au responsable du traitement de mettre doivent mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, en citant notamment la pseudonymisation et le chiffrement des données (règlement (UE) 2016/679). Des numéros de compte et des identifiants nationaux stockés en clair, une intrusion non détectée pendant des mois entre février et octobre, une absence de cloisonnement des accès : chacun de ces points, s’il était démontré, nourrirait l’appréciation d’un manquement à la sécurité. Seule une enquête technique et, le cas échéant, une décision de l’autorité de contrôle ou du juge permettront de trancher, et c’est précisément l’objet des plaintes décrites ci-dessus.
II. Faire condamner l’organisme qui a perdu vos données et être indemnisé
A. Prouver la faute, le dommage et le lien entre les deux
L’action en réparation ouverte aux personnes concernées repose sur l’article 82, paragraphe 1, du RGPD : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (règlement (UE) 2016/679). Trois éléments doivent être réunis : une violation du règlement, un dommage matériel ou moral, et un lien entre les deux. La violation peut résulter d’un défaut de sécurité au sens de l’article 32, d’une absence de notification au sens des articles 33 et 34, ou d’un traitement contraire aux principes de l’article 5, qui exige des données adéquates, pertinentes et limitées au nécessaire au regard des finalités du traitement (principe dit de minimisation des données) (règlement (UE) 2016/679). Conserver des coordonnées bancaires et des copies de pièces d’identité d’anciens stagiaires pendant de longues années après la fin de la formation pourrait, selon les circonstances, être discuté au regard de ce principe, mais seul le juge, au vu du dossier complet et des justifications de l’organisme, pourra l’apprécier.
La Cour de justice de l’Union européenne a posé deux bornes décisives dans son arrêt du 4 mai 2023, Österreichische Post (affaire C-300/21). D’une part, la simple violation du règlement ne suffit pas, à elle seule, à ouvrir droit à réparation : il faut démontrer un dommage réel, même s’il est moral. D’autre part, la Cour juge que l’article 82 interdit aux juges nationaux de subordonner la réparation du dommage moral à un seuil minimal de gravité du préjudice (arrêt du 4 mai 2023, Österreichische Post (affaire C-300/21)). Autrement dit, pas d’indemnisation automatique du seul fait de la fuite, mais pas non plus de seuil de gravité à franchir : une anxiété avérée, des démarches imposées, une exposition durable à l’escroquerie peuvent suffire dès lors qu’elles sont prouvées. C’est ici que le dossier de pièces constitué dès les premières semaines prend toute sa valeur : attestations, constats d’huissier des pages du forum si elles sont accessibles, copies des tentatives d’escroquerie, justificatifs de temps passé et de frais engagés.
Les tribunaux français appliquent strictement cette exigence de preuve du lien causal. Dans un jugement du 12 juin 2025 visant l’opérateur Free après la cyberattaque d’octobre 2024, le tribunal judiciaire de Paris a relevé : « S’agissant de la fuite de données personnelles, M. [E] justifie par un courrier de la société Free en date du 27 octobre 2024 que la société a été victime d’une cyberattaque entraînant un accès non autorisé à une partie de ses données personnelles. » Mais il a rejeté la demande complémentaire : rien ne permettait, en l’état, de rattacher les SMS indésirables et l’adhésion à un service en ligne à cette perte de données, ce type de sollicitations étant extrêmement fréquent pour tous les utilisateurs (tribunal judiciaire de Paris, 12 juin 2025, RG 25/00731, sur courdecassation.fr). La leçon est nette : le spam banal ne suffit pas ; il faut des éléments qui singularisent le préjudice, comme des messages citant votre numéro de registre ou votre IBAN exacts, un faux conseiller qui connaît votre parcours de formation, ou des opérations bancaires anormales datées d’après la diffusion.
L’organisme mis en cause peut tenter de s’exonérer, mais la partie est difficile pour lui : l’article 82, paragraphe 3, du RGPD prévoit qu’le responsable du traitement ou le sous-traitant n’est exonéré que s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable (règlement (UE) 2016/679). C’est donc à lui de démontrer que l’attaque ne lui est nullement imputable, par exemple en établissant qu’il avait chiffré les données, cloisonné les accès, testé régulièrement ses défenses et réagi sans délai, conformément à l’article 32. Une cyberattaque, même sophistiquée, n’équivaut pas automatiquement à une cause étrangère exonératoire : tout dépend des mesures effectivement déployées avant l’intrusion. Dans le débat judiciaire, l’absence de chiffrement des données bancaires, la conservation de données anciennes sans nécessité démontrée ou le délai de plusieurs mois avant la détection pèseraient, s’ils étaient établis, en faveur de la responsabilité de l’organisme. À l’inverse, la preuve d’un système de sécurité complet et audité jouerait en sa faveur, et il faudra en tenir compte avant d’engager un procès.
B. Combien les juges accordent et devant quel tribunal agir
Les montants accordés par les tribunaux français pour des pertes de données personnelles restent modérés mais réels, et ils dessinent une fourchette utile pour évaluer une demande. Le 31 juillet 2024, le tribunal judiciaire de Paris a condamné l’opérateur Bouygues Telecom à verser 2 000 euros de dommages et intérêts après la perte, par son service après-vente, du téléphone d’un client contenant des années de photos et vidéos personnelles : « La perte de ces données est en lien direct avec la faute commise par la société Bouygues Telecom. En conséquence, la société Bouygues Telecom sera condamnée à payer à M. [U] [C] la somme de 2000 euros en réparation du préjudice moral subi par la perte de ces données. » (tribunal judiciaire de Paris, 31 juillet 2024, RG 23/01184, sur courdecassation.fr). Le contexte diffère d’une cyberattaque — il s’agissait d’une perte matérielle par un prestataire, sur le fondement de la responsabilité contractuelle — mais la décision montre qu’un préjudice moral lié à des données personnelles irrémédiablement perdues se chiffre en milliers d’euros dès lors que le lien avec la faute est direct.
Le 4 novembre 2025, le tribunal judiciaire de Saint-Étienne a, sur le fondement de l’article 1240 du code civil — « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil, Légifrance) — condamné un opérateur à 1 000 euros d’indemnisation du préjudice moral d’une cliente inscrite à tort sur un fichier d’impayés après une confusion de dossiers, avec intérêts au taux légal : « CONDAMNE la SA Bouygues Telecom à payer à Madame [L] [K] la somme de 1 000€ en indemnisation de son préjudice, somme qui sera augmentée des intérêts au taux légal, à compter du présent jugement » (tribunal judiciaire de Saint-Étienne, 4 novembre 2025, RG 25/00145, sur courdecassation.fr). Stress, anxiété, sentiment d’injustice, temps et énergie consacrés aux démarches : le tribunal a regardé l’ensemble comme un préjudice moral unique indemnisé à hauteur de 1 000 euros, tout en rejetant la part financière non justifiée. Pour une fuite vers le dark web, une demande combinant un préjudice moral documenté et, le cas échéant, un préjudice financier chiffré pièce par pièce se situerait dans une logique comparable, sans espérer de somme automatique : chaque euro réclamé doit être prouvé.
Devant quel juge agir quand l’organisme est établi en Belgique et la personne concernée en France ? L’article 79, paragraphe 1, du RGPD ouvre à « chaque personne concernée » un dispose d’un droit à un recours juridictionnel effectif lorsqu’elle considère que les droits que lui confère le règlement ont été violés par un traitement effectué en violation de celui-ci (règlement (UE) 2016/679), et son paragraphe 2 précise qu’cette action peut aussi être portée devant les juridictions de l’État membre de la résidence habituelle de la personne concernée, sauf lorsque le responsable ou le sous-traitant est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique (règlement (UE) 2016/679). Un résident français pourrait donc, sous réserve de l’analyse complète du statut de l’organisme wallon, saisir le tribunal judiciaire de son domicile en France, ce qui évite un procès à l’étranger. En pratique parisienne, le tribunal judiciaire de Paris connaît déjà de ce contentieux des fuites de données, comme le montrent les décisions citées, et la procédure devant le pôle civil de proximité permet aux litiges modestes d’être jugés rapidement, parfois en quelques mois.
Deux points de procédure méritent l’attention avant d’assigner. D’abord, la Cour de cassation rappelle que le juge contrôle la proportionnalité des traitements de données opérés dans le procès lui-même : dans un arrêt du 3 octobre 2024, la deuxième chambre civile a jugé, au visa de l’article 6 du RGPD, que la communication en justice de données personnelles de tiers n’est licite que dans les cas prévus par ce texte, dont le traitement « nécessaire à l’exécution d’un contrat », « nécessaire au respect d’une obligation légale » ou « nécessaire à l’exécution d’une mission d’intérêt public », en tenant compte de la minimisation des données (Cour de cassation, 2e chambre civile, 3 octobre 2024, n° 21-20.979, sur courdecassation.fr). Ne versez donc aux débats que les données strictement utiles à votre démonstration, expurgées des informations de tiers. Ensuite, l’action se prescrit par cinq ans : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (article 2224 du code civil, Légifrance). La découverte de la remise en ligne sur le dark web en octobre 2026 fait courir un délai propre pour les préjudices qui en découlent, distinct de celui de la cyberattaque de février : conservez la preuve datée de cette découverte. Les lecteurs confrontés à une cyberattaque contre un organisme français de formation trouveront un exposé complémentaire de la démarche dans notre dossier consacré à la cyberattaque visant un organisme français de formation et aux réflexes plainte et indemnisation.
Conclusion
La remise en ligne en accès libre, sur un forum du dark web, des données de quelque 700 000 personnes issues d’un organisme wallon de formation, telle que rapportée début octobre 2026 par la VRT d’après l’agence Belga et un site de suivi des fuites, illustre la seconde vie des cyberattaques : des mois après l’intrusion, des identifiants officiels et des références bancaires peuvent refaire surface et alimenter des escroqueries ciblées. Pour les résidents français qui figureraient dans ce fichier, le RGPD offre un chemin complet et praticable depuis la France : droit d’être informé personnellement en cas de risque élevé, notification de l’incident sous 72 heures à l’autorité, réclamation auprès de la CNIL du pays de résidence, plainte pénale contre les auteurs sur le fondement des articles 323-1 et 323-3 du code pénal, et action en réparation sur le fondement de l’article 82 du règlement devant le juge de la résidence habituelle, sans seuil de gravité mais avec une preuve rigoureuse du dommage et de son lien avec la fuite. Les décisions françaises récentes montrent que des indemnisations de 1 000 à 2 000 euros pour préjudice moral sont accessibles quand le dossier est solide, et rejetées quand le lien causal reste affirmé sans preuve.
Il faut refermer ce dossier par les réserves qui l’ont ouvert : à la date de rédaction, aucune source officielle n’a constaté les circonstances de l’intrusion, le contenu exact des données rediffusées ni la moindre responsabilité de l’organisme concerné, dont le nom n’est d’ailleurs repris ici d’aucune source officielle ; tout ce qui précède repose sur des articles de presse et doit être lu au conditionnel pour ce qu’ils ne démontrent pas. Les mesures de sécurité que l’organisme aurait déployées, sa coopération avec les autorités et l’information de ses usagers, si elles étaient établies, joueraient en sa faveur devant le juge comme devant l’autorité de contrôle. Les contrats et conditions générales signés lors de l’inscription priment sur toute analyse générale, et seul le juge, saisi d’un dossier complet et contradictoire, pourra dire si une faute a été commise, si un dommage en est résulté et quelle réparation est due.