Le 4 octobre 2026, la VRT, reprenant une dépêche de l’agence Belga, a révélé que les données personnelles de plus de 700 000 personnes issues d’une base de l’IFAPME, l’organisme wallon de formation en alternance et des indépendants et PME, ont été mises en ligne en accès libre sur un forum du dark web. Selon le site FrenchBreaches, qui recense les fuites de données et dont les constats sont relayés par la VRT, le jeu de données comprend l’identité, l’adresse postale, l’adresse électronique, le numéro de téléphone et la date de naissance des personnes concernées, ainsi que le numéro de registre national et, pour une partie d’entre elles, des coordonnées bancaires. L’organisme avait déjà été victime d’une cyberattaque au mois de février 2026, au cours de laquelle les attaquants s’étaient emparés de ces informations, dont environ 85 000 numéros de compte. La remise en circulation de ces fichiers, cette fois en accès libre, change la nature du risque pour chaque personne fichée : l’exposition n’est plus seulement potentielle, elle est massive et durable. Le numéro de registre national belge est un identifiant permanent, qui ne se change pas comme un mot de passe. Combiné à une identité complète et à un IBAN, il permet de construire des hameçonnages d’une crédibilité redoutable et de préparer des fraudes bancaires ciblées. Cet article explique le droit applicable à cette situation précise : pourquoi cette fuite expose durablement, quelles infractions pénales la réutilisation des données peut constituer, ce que l’organisme aurait dû faire en droit européen des données, et quels recours, réclamation et action en réparation, sont ouverts aux personnes concernées. Il part des faits tels que la presse belge les rapporte et expose les règles françaises, européennes et conventionnelles applicables, sans décrire un autre droit national comme la réponse.
I. Datalek IFAPME : pourquoi 700 000 dossiers en accès libre exposent durablement les victimes
A. Numéro de registre national et IBAN combinés : comment prouver l’exposition et comprendre le risque d’usurpation
Le premier réflexe consiste à vérifier si l’on figure parmi les personnes concernées et à figer la situation. Selon la VRT, les fichiers remis en circulation contiennent, pour chaque personne, l’identité, l’adresse postale, l’adresse électronique, le numéro de téléphone, la date de naissance et le numéro de registre national, ainsi que des données bancaires pour une partie des victimes. Vérifiez toute notification reçue de l’organisme, conservez les courriels et courriers relatifs à la cyberattaque de février, photographiez les messages suspects reçus depuis, relevez vos relevés bancaires et demandez à votre banque la liste des mandats et des bénéficiaires enregistrés. Si un tiers utilise déjà vos données, chaque pièce compte : captures des messages avec leurs en-têtes complets, numéros appelants, adresses d’expéditeurs, liens reçus sans jamais cliquer dessus, relevés des opérations contestées. Faites établir si nécessaire un constat par un commissaire de justice des pages, messages et sites frauduleux : ce procès-verbal fige ce que de simples captures prouvent moins solidement.
La gravité propre à ce dossier tient à la combinaison des données. Le site FrenchBreaches, cité par la VRT, souligne que ces éléments permettent de rattacher à une même personne son identité, son adresse, son courrier électronique, son téléphone, sa date de naissance, son numéro de registre national et, pour certains, ses coordonnées bancaires. La présence du numéro de registre national est jugée particulièrement préoccupante en raison du caractère permanent de ce code d’identification : contrairement à un mot de passe, il ne se remplace pas. Un IBAN seul ne permet pas de prélever directement de l’argent sur un compte, mais associé à une identité complète, il facilite plusieurs fraudes : envoi d’un faux RIB au nom de la victime pour détourner des remboursements ou des salaires, ordres de virement falsifiés, souscriptions de crédits ou d’abonnements au nom d’autrui, et surtout hameçonnage sur mesure. Un message qui cite votre nom, votre adresse, votre date de naissance et les quatre derniers chiffres de votre compte inspire une confiance que les campagnes de masse n’obtiennent jamais : c’est ce qui rend les tentatives qui suivront une fuite aussi dangereuses.
Les profils concernés aggravent l’exposition. L’IFAPME forme en alternance des apprentis, des demandeurs de qualification, des indépendants et des salariés de PME wallonnes : des jeunes qui ouvrent leurs premiers comptes, des indépendants dont le compte professionnel et le compte personnel se confondent parfois, des familles qui gèrent les dossiers de leurs enfants en formation. Chacun de ces profils doit adapter sa vigilance : surveillance des comptes et des crédits souscrits à votre insu, vérification des bénéficiaires de virements permanents, alerte auprès de votre banque dès la première opération inconnue, et information de l’entourage, car les fraudeurs contactent aussi les proches avec les données volées. La fuite ne crée pas seulement un risque financier : elle crée un risque d’usurpation durable, puisque l’identifiant national qui circule restera valable toute la vie des victimes.
En droit pénal français, qui éclaire la qualification des réutilisations même lorsque les victimes résident dans un autre État membre, l’usage des données volées entre dans plusieurs incriminations. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » L’ouverture d’un compte, la souscription d’un abonnement ou l’envoi de messages au nom de la victime avec les données de la fuite caractérisent cet usage. Lorsque les fraudeurs obtiennent des fonds, l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux conseiller bancaire qui appelle avec vos données exactes, le faux service de l’organisme de formation qui réclame un nouveau RIB, le faux support qui fait installer un logiciel de prise en main : ces scénarios cumulent l’usurpation d’une qualité et les manoeuvres. Quand l’escroquerie est commise en bande organisée, ce qui est fréquent dans les réseaux qui exploitent les fuites massives, l’article 313-2 du code pénal porte les peines à sept ans d’emprisonnement et à 750 000 euros d’amende.
B. Hameçonnage, faux RIB et virements : porter plainte et protéger le compte bancaire sans attendre
La plainte pénale reste le socle de tout dossier, même quand les auteurs ne sont pas identifiés. Déposez plainte contre X auprès du service compétent de votre lieu de résidence en visant les faits précis : accès et extraction frauduleux de la base, détention et diffusion des données, puis chaque réutilisation, usurpation, tentative d’escroquerie et opération contestée. En droit français, l’attaque initiale contre le système relève de l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » Et l’article 323-3 du code pénal ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » L’extraction des 700 000 dossiers, leur détention, leur reproduction et leur transmission sur un forum du dark web entrent dans ces prévisions : chaque maillon de la chaîne, du pirate initial au rediffuseur, engage sa responsabilité pénale. Joignez à la plainte l’inventaire des pièces figées, la chronologie des messages suspects et les attestations de votre banque : le dossier pénal servira ensuite au juge civil ou à l’autorité de protection des données.
Côté bancaire, la rapidité décide de tout. Dès la première opération inconnue, faites opposition, contestez par écrit chaque opération non autorisée et demandez le remboursement ainsi que la liste complète des bénéficiaires et des mandats. Si vous détenez un compte en France, l’article L. 133-18 du code monétaire et financier prévoit, pour une opération non autorisée signalée dans les conditions de l’article L. 133-24 : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le texte ajoute que le prestataire rétablit le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. En cas de perte ou de vol de l’instrument de paiement, l’article L. 133-19 du même code limite en principe à 50 euros la part supportée par le payeur avant l’information de la banque, et écarte même cette participation lorsque l’opération a été effectuée sans utilisation des données de sécurité personnalisées. Enfin, l’article L. 133-24 du même code impose de signaler l’opération non autorisée « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Trois conséquences pratiques : contestez par écrit sans attendre, conservez la preuve de chaque signalement avec sa date, et ne laissez pas passer le délai de treize mois, même si l’enquête pénale est toujours en cours.
Méfiez-vous en particulier des sollicitations qui suivent la médiatisation d’une fuite. Aucun organisme de formation, aucune banque et aucune autorité ne demande par téléphone, par SMS ou par courrier électronique un code de validation, un mot de passe complet ou un nouveau RIB à renvoyer à une adresse inconnue. Vérifiez tout changement de coordonnées bancaires par un canal indépendant déjà connu, jamais en rappelant le numéro indiqué dans le message suspect. Ne transmettez ni copie de pièce d’identité ni selfie à un interlocuteur qui vous a contacté le premier. Si un proche reçoit un message alarmant à votre sujet avec vos données exactes, convenez d’un mot ou d’un canal de vérification à l’avance. Les juges tiennent compte du réalisme de ces pièges : dans le jugement niçois précité, statuant sur un locataire qui avait modifié ses coordonnées bancaires après le piratage de la messagerie de son agence, le tribunal retient que la victime, au vu des éléments concordants, a pu légitimement penser devoir opérer les modifications bancaires sollicitées. Chaque tentative, même déjouée, mérite d’être consignée avec sa date et son contenu : ces pièces démontrent ensuite l’ampleur du préjudice moral et des démarches subies.
II. Violation de données : les obligations de l’organisme et vos recours en droit européen
A. Sécurité, notification en 72 heures et information directe : ce que l’organisme de formation devait faire
Le règlement général sur la protection des données, directement applicable dans tous les États membres, impose au responsable du traitement une obligation de sécurité proportionnée au risque. L’article 32, paragraphe 1, du règlement (UE) 2016/679 dispose que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », ce qui comprend notamment la pseudonymisation et le chiffrement des données, ainsi que des moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, le rétablissement de la disponibilité après incident et l’évaluation régulière de l’efficacité des mesures. Pour une base de 700 000 dossiers contenant des identifiants nationaux permanents et des coordonnées bancaires, le niveau de risque est objectivement élevé : chiffrement au repos, cloisonnement des accès, journalisation, tests d’intrusion réguliers et plan de réponse aux incidents constituent le socle attendu. En droit pénal français, cette exigence est relayée par l’article 226-17 du code pénal, qui punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de mettre en oeuvre un traitement de données à caractère personnel sans les mesures de sécurité prescrites par le règlement européen et la loi du 6 janvier 1978.
Les juges français appliquent toutefois une limite importante, illustrée par un jugement du tribunal judiciaire de Nice du 18 novembre 2025 rendu après le piratage de la messagerie d’une agence : « Ces dispositions ne sauraient être comprises en ce sens qu’une divulgation non autorisée de données à caractère personnel ou un accès non autorisé à de telles données par un tiers suffisent pour conclure que les mesures adoptées par le responsable du traitement concerné n’étaient pas appropriées, sans même permettre à ce dernier d’apporter la preuve contraire. » Puis le tribunal ajoute : « Le responsable du traitement en cause supporte la charge de prouver le caractère approprié des mesures de sécurité qu’il a mises en œuvre au titre de l’article 32 dudit règlement. » Autrement dit, le seul fait du piratage ne prouve pas la faute de sécurité, mais c’est à l’organisme de démontrer concrètement que ses mesures étaient adaptées à un risque que la nature des données rendait prévisible. Le même jugement précise : « Le responsable du traitement ne saurait être exonéré de son obligation de réparer le dommage subi par une personne, au titre de l’article 82, paragraphes 1 et 2, de ce règlement, du seul fait que ce dommage résulte d’un accès non autorisé à de telles données par des « tiers », ledit responsable devant prouver que le fait qui a provoqué le dommage concerné ne lui est nullement imputable. » Dans ce dossier, la conservation centralisée de 700 000 identifiants permanents et de 85 000 coordonnées bancaires, puis la remise en circulation en accès libre plusieurs mois après l’attaque de février, fourniront au juge des points de comparaison précis : chiffrement effectif ou non, segmentation, délais de détection, date de connaissance exacte de l’incident et réaction entre février et octobre. Le tribunal niçois relève d’ailleurs qu’en application de la jurisprudence européenne, une présomption simple de manquement pèse sur le responsable du traitement, et sanctionne l’organisme qui n’apporte « aucune réponse sur la question » et échoue ainsi à rapporter la preuve contraire, pas plus que la preuve de la date à laquelle il a eu connaissance de l’incident.
Une fois la violation connue, le responsable du traitement doit prévenir l’autorité puis, en cas de risque élevé, les personnes elles-mêmes. L’article 33, paragraphe 1, du règlement (UE) 2016/679 prévoit : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. » Puis l’article 34, paragraphe 1, du même règlement ajoute : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » Avec des identifiants immuables et des IBAN en circulation libre, le risque élevé est difficilement contestable : chaque personne concernée aurait dû recevoir une information claire sur la nature des données exposées, les risques encourus et les mesures à prendre. Si vous avez appris la fuite par la presse plutôt que par l’organisme, conservez la preuve de cette absence d’information directe et de sa date : elle pèsera dans l’appréciation du manquement. Côté sanctions, l’article 83, paragraphe 2, du règlement impose à l’autorité de tenir compte notamment de « la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi » : 700 000 personnes, des données permanentes, une diffusion en accès libre.
B. Réclamation et action en réparation : comment obtenir la condamnation et l’indemnisation du préjudice
Deux voies se cumulent sans s’exclure. D’abord la réclamation auprès de l’autorité de protection des données. L’article 77, paragraphe 1, du règlement (UE) 2016/679 dispose : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. » Adressez une réclamation précise : identité, exposé daté des faits, pièces de la fuite vous concernant, notification reçue ou preuve de son absence, mesures de protection prises et préjudices déjà subis. L’autorité informe l’auteur de l’état d’avancement et de l’issue, et peut ordonner des mesures, prononcer des sanctions et éclairer le juge sur la réalité de la violation. Pour un dossier comparable d’organisme de formation en France, l’affaire de la cyberattaque contre l’Afpa et ses 1,7 million de victimes montre que les mêmes réflexes s’appliquent : plainte, preuves, signalement à l’autorité et action en réparation.
Ensuite l’action en réparation devant le juge. L’article 82, paragraphe 1, du règlement (UE) 2016/679 ouvre le droit à réparation : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » L’article 79, paragraphe 2, du même règlement fixe la compétence : « Toute action contre un responsable du traitement ou un sous-traitant est intentée devant les juridictions de l’État membre dans lequel le responsable du traitement ou le sous-traitant dispose d’un établissement. Une telle action peut aussi être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle, sauf si le responsable du traitement ou le sous-traitant est une autorité publique d’un État membre agissant dans l’exercice de ses prérogatives de puissance publique. » Cette dernière réserve mérite l’attention d’un avocat dans le cas d’un institut public de formation : selon que l’activité de formation en cause relève ou non de prérogatives de puissance publique, le juge compétent pourra différer, et le dossier devra être orienté en conséquence dès l’assignation. Vérifiez également les délais applicables devant le juge saisi, car le règlement renvoie aux règles nationales pour le montant et la procédure.
Trois apports de la Cour de cassation sécurisent l’indemnisation. Premièrement, dans un arrêt de la chambre sociale du 24 juin 2026 (n° 24-22.792, publié au Bulletin), la Haute juridiction rappelle : « Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Elle reprend la lecture européenne du texte : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », car il faut un dommage, une violation et un lien de causalité, trois conditions cumulatives, mais cette lecture « il s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité ». Aucun seuil de gravité ne peut donc vous être opposé pour écarter par principe votre demande, et la réparation « doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive ». Deuxièmement, cette absence de seuil profite directement aux victimes d’une fuite massive sans fraude encore constatée : l’angoisse durable liée à la circulation d’un identifiant national immuable, documentée par la chronologie des alertes, des démarches et des frais engagés, peut être présentée comme un dommage moral réparable, dès lors que la violation et le lien avec cette angoisse sont établis pièces à l’appui. Troisièmement, la charge de la preuve se répartit ainsi : « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral », tandis qu’il appartient à l’organisme de prouver le caractère approprié de ses mesures, faute de quoi il n’est exonéré qu’en prouvant que le fait dommageable ne lui est nullement imputable, selon l’article 82, paragraphe 3, du règlement. La Cour de cassation a d’ailleurs cassé l’arrêt qui avait indemnisé sans vérifier que la victime établissait un dommage : chiffrez donc chaque chef de préjudice avec pièces, opérations frauduleuses et frais bancaires, coût des oppositions et des démarches, temps passé attesté, courriers et constats. Les personnes concernées peuvent aussi mandater un organisme à but non lucratif actif dans la protection des données pour agir, conformément à l’article 80 du règlement.
Conclusion
Au 5 octobre 2026, les faits établis par la presse belge sont les suivants : une base de plus de 700 000 dossiers issue de l’organisme wallon de formation IFAPME, comprenant identifiants nationaux permanents et coordonnées bancaires pour une partie des victimes, circule en accès libre sur un forum du dark web après la cyberattaque de février, selon la VRT et l’agence Belga relayant les constats du site FrenchBreaches. Les auteurs de l’attaque et de la rediffusion ne sont pas identifiés à ce jour, aucune responsabilité n’est établie et la qualification exacte des manquements de sécurité relève de l’appréciation du juge et de l’autorité de contrôle, au regard des mesures concrètement mises en oeuvre. Pour les victimes, la marche à suivre tient en quatre temps : figer les preuves et surveiller les comptes, contester sans délai toute opération inconnue dans le délai de treize mois applicable aux comptes français, déposer plainte en visant chaque réutilisation, puis exercer les recours européens, réclamation auprès de l’autorité de l’État de résidence et action en réparation sans seuil de gravité, en s’appuyant sur la peur légitime qu’un identifiant immuable circule librement. La diffusion massive ne rend pas le préjudice hypothétique : en droit européen des données, elle le rend durable, et c’est cette durabilité que le juge indemnise.