Un message de sécurité annonçant une connexion inconnue, des courriels envoyés à votre insu, un mot de passe qui ne fonctionne plus : le piratage d’un compte Google touche bien plus qu’une simple boîte Gmail. Le compte Google concentre la messagerie, les photos, les documents Drive, l’historique YouTube, les contacts et souvent les accès à des services tiers connectés via « Se connecter avec Google ». Chaque heure perdue expose à l’usurpation d’identité, à l’escroquerie de vos proches et à l’exploitation de vos données personnelles.
La réaction doit suivre deux lignes en parallèle. D’abord récupérer l’accès et sécuriser le compte selon la procédure officielle de Google, sans effacer les traces qui serviront ensuite. Ensuite exercer les droits que le règlement général sur la protection des données reconnaît à toute personne concernée, signaler les faits, déposer plainte et chiffrer la réparation du préjudice. La première partie de cet article décrit la récupération et la sécurisation pas à pas, la seconde expose les recours auprès de la CNIL, du juge pénal et du juge civil.
I. Récupérer l’accès au compte et le sécuriser sans perdre les preuves
A. La récupération officielle du compte Google pas à pas
Google met à disposition une page d’aide dédiée aux comptes compromis. La démarche commence par la page de récupération du compte, accessible depuis n’importe quel navigateur, en indiquant l’adresse Gmail concernée et en répondant aux questions de vérification : dernier mot de passe mémorisé, code reçu sur le téléphone ou l’adresse de récupération, date approximative de création du compte. La page d’aide de Google consacrée aux comptes piratés organise la réaction en trois temps : repérer les activités suspectes, récupérer l’accès au compte, puis renforcer sa sécurité. Suivez cet ordre sans l’inverser : la sécurisation avant la récupération complète peut verrouiller vos propres tentatives.
Plusieurs réflexes augmentent les chances de succès. Utilisez si possible l’appareil et la connexion habituels, car Google compare la tentative de récupération avec vos habitudes de connexion. Remplissez le formulaire de récupération avec le maximum de réponses exactes plutôt que de multiplier les tentatives approximatives, qui peuvent verrouiller temporairement la procédure. Si la récupération par le mot de passe échoue, le formulaire de récupération de Google propose des voies alternatives, notamment la vérification sur un appareil déjà connecté ou l’envoi d’un code sur les coordonnées de récupération enregistrées avant le piratage.
Préparez le formulaire de récupération comme un dossier : date approximative de création du compte, derniers mots de passe mémorisés même anciens, noms des libellés créés dans Gmail, adresses de correspondants fréquents, services Google utilisés comme YouTube ou Google Photos, modèle du téléphone habituellement connecté. Chaque réponse exacte augmente le score de vérification, tandis que les réponses inventées le dégradent : laissez vide ce que vous ignorez plutôt que de deviner. Espacez les tentatives de quelques heures en cas d’échec, et utilisez toujours le même appareil et la même connexion habituelle.
Dès l’accès retrouvé, vérifiez l’activité récente du compte : connexions inconnues, messages de transfert automatique ajoutés dans les paramètres Gmail, adresses de transfert vers une boîte inconnue, applications tierces autorisées, appareils connectés. Chaque anomalie doit être corrigée immédiatement : supprimez les adresses de transfert frauduleuses, révoquez les accès des applications inconnues, déconnectez les sessions ouvertes sur des appareils que vous ne reconnaissez pas. Notez par écrit, avec dates et heures, tout ce que vous constatez : ces notes datées constitueront plus tard des éléments de preuve.
Si la récupération échoue malgré plusieurs tentatives espacées, ne créez pas dans la précipitation un nouveau compte identique pour « repartir de zéro » avant d’avoir sauvegardé la procédure : conservez les courriels de Google relatifs à vos tentatives, les captures d’écran des messages d’erreur et les références des formulaires remplis. En cas de compte professionnel ou scolaire géré par un administrateur, contactez cet administrateur sans délai : lui seul peut réinitialiser l’accès depuis la console d’administration, et l’employeur ou l’établissement, en tant que responsable du traitement, devra de son côté appliquer ses propres obligations de sécurité.
Parallèlement, prévenez votre entourage : si le pirate a envoyé des messages frauduleux depuis votre adresse, vos proches peuvent recevoir des demandes d’argent ou des liens piégés. Un avertissement rapide, depuis un autre canal, limite la propagation du préjudice et démontre votre diligence. La plateforme officielle Service-Public rappelle que le signalement du piratage d’une messagerie électronique est possible en ligne via la plateforme THESEE, tout en précisant que ce signalement ne remplace pas la plainte (Piratage d’un compte d’utilisateur).
B. Sécuriser durablement le compte et figer les preuves du piratage
La récupération n’est qu’une moitié du travail : un compte repris sans être sécurisé sera compromis de nouveau. Changez d’abord le mot de passe pour une phrase longue et unique, que vous n’utilisez sur aucun autre service, puis activez la validation en deux étapes. Google propose plusieurs seconds facteurs : notification sur le téléphone, clé de sécurité physique, codes de secours à conserver hors ligne. Vérifiez et mettez à jour les informations de récupération, adresse électronique secondaire et numéro de téléphone, car le pirate a pu les modifier pour garder une porte d’entrée.
Pensez également aux services tiers reliés au compte par la fonction de connexion fédérée : applications mobiles, sites marchands, réseaux sociaux où vous cliquez sur le bouton de connexion Google. Depuis les paramètres de sécurité du compte, passez en revue les accès tiers et révoquez ceux que vous ne reconnaissez pas ou que vous n’utilisez plus, puis changez directement sur chaque service sensible le mot de passe qui aurait pu transiter par la messagerie compromise. Si le même mot de passe servait ailleurs, changez-le partout sans délai, en commençant par la banque, la messagerie professionnelle et les comptes administratifs.
Passez ensuite en revue l’ensemble des services connectés au compte : mots de passe enregistrés dans le gestionnaire Google, moyens de paiement Google Pay, sauvegardes de photos, documents partagés sur Drive. Si des données bancaires ou des copies de pièces d’identité figuraient dans la messagerie ou le Drive, considérez que le pirate a pu les copier et adaptez la suite : opposition bancaire si nécessaire, vigilance sur les ouvertures de comptes ou de lignes téléphoniques à votre nom, dépôt de plainte pour usurpation d’identité. Le volet pénal de ces faits est détaillé dans la seconde partie de cet article.
La conservation des preuves commence dès les premières minutes et conditionne tous les recours ultérieurs. Effectuez des captures d’écran datées des messages d’alerte de Google, des connexions inconnues affichées dans l’historique du compte, des courriels frauduleux envoyés depuis votre adresse et des réponses de vos correspondants. Exportez les en-têtes complets des messages suspects, qui contiennent les adresses IP et les serveurs de transit. Si des proches ont reçu des demandes d’argent, demandez-leur de conserver les messages et de vous transmettre une attestation décrivant ce qu’ils ont reçu et les conséquences subies, par exemple un virement effectué.
Ne supprimez rien prématurément : ni les messages du pirate dans les dossiers envoyés ou la corbeille, ni les règles de transfert qu’il a créées, avant de les avoir documentés. Un constat d’huissier, devenu constat de commissaire de justice, peut figer l’état du compte, les messages frauduleux et les paramètres détournés ; son coût doit être mis en balance avec l’ampleur du préjudice, mais il offre une force probante que de simples captures ne possèdent pas toujours devant le juge. Conservez également toute la correspondance avec l’assistance Google, y compris les numéros de dossier, car elle établira les démarches accomplies et les délais de réaction du fournisseur.
Enfin, si le piratage résulte d’un hameçonnage, conservez le message initial, son expéditeur réel, son lien et sa pièce jointe éventuelle sans cliquer de nouveau. L’hameçonnage qui a permis l’intrusion pourra être signalé sur la plateforme officielle dédiée, et le message conservé servira à la plainte. La page Service-Public consacrée à l’hameçonnage et celle relative aux arnaques sur internet décrivent les canaux de signalement et de plainte en ligne, notamment THESEE et la plateforme PHAROS pour les contenus illicites.
II. Exercer ses droits sur les données et obtenir réparation du préjudice
A. Les droits RGPD face au fournisseur et le recours à la CNIL
Le compte Google contient des données à caractère personnel au sens du règlement général sur la protection des données, précisé en droit interne par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, et le piratage ne fait pas disparaître les droits de la personne concernée. Le droit d’accès permet d’obtenir la confirmation que des données vous concernant sont traitées et d’en recevoir copie, ainsi que les informations sur les finalités, les catégories de données et les destinataires. Le droit de rectification permet de faire corriger les données inexactes, par exemple des informations de profil modifiées par le pirate : « La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. » (Règlement (UE) 2016/679, article 16).
Le droit à l’effacement autorise à exiger la suppression des données qui ne sont plus nécessaires, qui ont fait l’objet d’un traitement illicite ou qui doivent être effacées en application du droit d’opposition : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais » (Règlement (UE) 2016/679, article 17). Concrètement, après un piratage, ce droit permet de demander la suppression des contenus compromis, des copies résiduelles ou des données que le pirate a pu téléverser sur le compte. Le responsable du traitement doit répondre « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », délai qui peut être prolongé de deux mois en cas de demandes complexes, à condition d’en informer la personne concernée (Règlement (UE) 2016/679, article 12, paragraphe 3).
Ces demandes s’adressent d’abord au responsable du traitement, en pratique Google pour le compte grand public, via ses formulaires dédiés à la protection des données. Formulez chaque demande par écrit, de préférence avec accusé de réception ou depuis une interface qui génère un numéro de suivi, en identifiant précisément le compte concerné, le droit exercé et les données visées. Joignez la preuve de votre identité sans transmettre plus de pièces que nécessaire. Si le compte a été supprimé à votre demande après récupération, conservez la confirmation de suppression et les références des demandes : elles prouveront l’exercice des droits en cas de litige ultérieur.
Si le fournisseur ne répond pas dans le délai d’un mois, répond de façon incomplète ou refuse sans motif valable, la réclamation auprès de la CNIL, autorité nationale chargée de veiller au respect de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, devient le recours naturel. Le règlement ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, lorsqu’elle considère que le traitement de ses données constitue une violation du règlement. L’autorité saisie doit ensuite tenir l’auteur informé : « L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. » (Règlement (UE) 2016/679, article 77). En France, la plainte se dépose en ligne auprès de la CNIL (Adresser une plainte à la CNIL), après avoir exercé les droits directement auprès de l’organisme concerné, sauf urgence particulière : conservez donc la preuve de votre démarche préalable et de son échéance.
Il faut distinguer cette réclamation, dirigée contre le traitement de vos données par le fournisseur, de l’obligation de notification qui pèse sur les responsables de traitement victimes d’une violation. Lorsqu’une violation de données est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable doit la notifier à l’autorité « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » (Règlement (UE) 2016/679, article 33, paragraphe 1). La CNIL précise les cas dans lesquels cette notification s’impose et les informations qu’elle doit contenir (Violations de données personnelles : les règles à suivre). Dans le cas d’un compte individuel piraté par hameçonnage, c’est généralement l’utilisateur qui est la victime directe de l’intrusion, et non Google qui aurait subi une violation de ses systèmes ; la réclamation individuelle et la plainte pénale restent alors les voies adaptées, sans attendre une hypothétique notification du fournisseur.
Pour les résidents de Paris et d’Île-de-France, aucune juridiction locale spécifique ne s’impose à ce stade : la réclamation CNIL se fait en ligne quel que soit le domicile, et l’action en justice ultérieure pourra être portée devant la juridiction du lieu de votre résidence habituelle, ce que le règlement autorise expressément. Rassemblez dès maintenant un dossier unique : chronologie des faits, preuves du piratage, copies des demandes adressées au fournisseur, réponses reçues, plainte CNIL et récépissé de dépôt de plainte pénale. Ce dossier servira à la fois au régulateur et au juge.
B. La plainte pénale et la réparation du préjudice devant le juge
Le piratage d’une messagerie constitue une infraction pénale en droit français. L’accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende, peine portée à cinq ans et 150 000 euros lorsqu’il en est résulté une suppression ou une modification de données ou une altération du fonctionnement du système : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (Code pénal, article 323-1). Lorsque le pirate copie vos messages, vos photos ou vos documents pour les exploiter, il commet en outre l’extraction frauduleuse de données : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (Code pénal, article 323-3). Lorsque le pirate utilise votre identité pour écrire à vos proches ou ouvrir des comptes, l’usurpation d’identité s’ajoute : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » (Code pénal, article 226-4-1).
Sur le plan pratique, deux démarches se complètent. Le signalement sur la plateforme THESEE permet d’informer les services d’enquête en ligne lorsque la messagerie ou le compte a été piraté, mais il ne vaut pas plainte et ne déclenche pas à lui seul l’exercice de vos droits de partie civile. Le dépôt de plainte, au commissariat, à la gendarmerie ou par courrier au procureur de la République, voire par la plainte en ligne pour certaines infractions, reste indispensable pour obtenir une enquête et pour vous constituer partie civile, voie ouverte à toute victime directe : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction. » (Code de procédure pénale, article 2). Apportez le dossier préparé : chronologie, captures, en-têtes de messages, attestations de proches, correspondances avec Google, préjudices financiers documentés. Si des fonds ont été détournés, joignez les relevés et les oppositions.
La jurisprudence récente illustre que l’intrusion dans une messagerie ouvre droit à réparation même sans perte financière directe. Dans un arrêt du 2 septembre 2025, la chambre criminelle de la Cour de cassation a rejeté le pourvoi d’un prévenu condamné pour maintien frauduleux dans un système de traitement automatisé de données et a validé l’indemnisation de la victime : la cour d’appel avait retenu que « la perte de confiance éprouvée par M. [G], suite aux agissements de M. [L], était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal retenu à la charge du prévenu ». La Cour a approuvé cette analyse et maintenu la réparation de 10 000 euros allouée au titre du préjudice moral (Cass. crim., 2 sept. 2025, n° 24-83.605). Cet arrêt concerne une messagerie professionnelle compromise par un administrateur réseau, mais le raisonnement sur la perte de confiance et le préjudice moral vaut pour toute intrusion frauduleuse dans une messagerie personnelle : relevés bancaires consultés, correspondances privées lues, photos copiées.
Parallèlement à la voie pénale, le règlement ouvre une action civile autonome en réparation. Son article 82 dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (Règlement (UE) 2016/679, article 82, paragraphe 1). La Cour de justice de l’Union européenne a précisé le régime de ce droit dans son arrêt du 4 mai 2023 (affaire C-300/21, Österreichische Post) : la simple violation du règlement ne suffit pas à ouvrir droit à réparation, car un préjudice effectif causé par cette violation reste nécessaire ; en revanche, la réparation du dommage moral ne peut pas être subordonnée à un seuil de gravité, et le montant de l’indemnisation relève ensuite des règles nationales de réparation. Autrement dit, il faut démontrer un dommage réel, mais aucun seuil de gravité ne peut être exigé pour le préjudice moral.
Le chiffrage de la demande doit donc distinguer les postes. Le préjudice matériel regroupe les sommes détournées, les achats frauduleux, les frais engagés pour sécuriser les comptes, le coût du constat de commissaire de justice et les pertes de revenus liées au temps consacré aux démarches, chacun justifié par facture ou relevé. Le préjudice moral couvre l’atteinte à la vie privée, l’angoisse liée à l’exposition des correspondances et des photos, la perte de confiance dans la sécurité des échanges et, le cas échéant, l’humiliation résultant de messages envoyés en votre nom. Détaillez chaque poste avec sa pièce : relevés bancaires, attestations de proches, certificats médicaux si l’épisode a entraîné un retentissement psychologique avéré, factures. Pour une méthode de chiffrage poste par poste, les principes exposés dans notre analyse des montants que le juge accorde en réparation des violations de données personnelles s’appliquent directement au cas du compte piraté.
L’action en réparation peut être portée devant le juge judiciaire contre le responsable du traitement ou le sous-traitant, sans préjudice de la réclamation CNIL : « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés » (Règlement (UE) 2016/679, article 79, paragraphe 1). L’action peut être intentée devant les juridictions de l’État membre de votre résidence habituelle. Selon les montants et l’urgence, le référé permet de solliciter rapidement des mesures d’instruction ou une provision, tandis que le fond tranchera la responsabilité et l’intégralité des préjudices. La constitution de partie civile devant le juge pénal, lors du dépôt de plainte, offre une voie complémentaire pour obtenir réparation dans le cadre du procès de l’auteur, lorsque celui-ci est identifié et poursuivi.
Conclusion
Le piratage d’un compte Google ou Gmail impose une réaction en deux temps : récupérer l’accès par la procédure officielle, sécuriser le compte et figer les preuves, puis exercer les droits reconnus par le règlement européen, saisir la CNIL en cas de réponse insuffisante du fournisseur, déposer plainte et chiffrer chaque poste de préjudice. Les textes applicables sont précis, les délais le sont aussi : un mois pour la réponse du responsable du traitement, 72 heures pour la notification des violations par les organismes, prescription à surveiller au pénal. La jurisprudence récente confirme que l’intrusion dans une messagerie cause un préjudice moral réparable sans seuil de gravité, dès lors qu’un dommage effectif est démontré. Conservez chaque preuve dès la première alerte : c’est ce dossier, constitué dans les premières heures, qui déterminera le succès des recours devant la CNIL comme devant le juge.
Sources officielles :
- [Règlement (UE) 2016/679 sur la protection des données] (UE) 2016/679 sur la protection des données](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679)
- Code pénal, article 323-1
- Code pénal, article 323-3
- Code de procédure pénale, article 2
- Code pénal, article 226-4-1
- Cass. crim., 2 sept. 2025, n° 24-83.605
- CNIL, Violations de données personnelles : les règles à suivre
- CNIL, Adresser une plainte
- Service-Public, Piratage d’un compte d’utilisateur