Votre compte Instagram ne vous répond plus. Le mot de passe a changé dans la nuit, une adresse électronique inconnue apparaît dans les paramètres, vos proches reçoivent des messages qui demandent de l’argent ou un code reçu par SMS. Ou, autre scénario, un faux compte utilise votre nom et vos photos, démarchant vos contacts ou publiant des contenus que vous n’avez jamais validés. La question qui suit est toujours la même, posée dans l’urgence : que faire quand mon compte Facebook ou Instagram a été piraté, comment faire fermer un faux compte qui usurpe mon identité, et comment obtenir réparation si la plateforme traîne.
Le réflexe courant consiste à tout mélanger : signaler au réseau social, déposer plainte, écrire à la Commission nationale de l’informatique et des libertés, demander à Google de retirer les liens, réclamer des dommages et intérêts. Chacune de ces voies existe, mais chacune répond à une logique distincte, avec ses délais, ses preuves et ses limites. Le piratage de votre propre compte relève d’abord de la sécurisation et de la récupération d’accès, puis de l’effacement des données détournées. La création d’un faux compte par un tiers relève de l’usurpation d’identité et du droit à l’effacement. La responsabilité de la plateforme, celle de l’auteur du piratage et vos droits de personne concernée ne se confondent pas.
Cet article décrit une méthode complète, applicable aux comptes Instagram, Facebook, TikTok et Snapchat utilisés depuis la France : identifier les traitements, les parties et leurs rôles, récupérer l’accès sans détruire les preuves, exiger l’effacement du faux compte et le déréférencement des liens, déposer une plainte pénale utile, saisir la Commission nationale de l’informatique et des libertés et le juge pour obtenir réparation. Les textes cités ont été vérifiés dans leur version en vigueur et les décisions citées ont été lues dans leur texte intégral.
I. Récupérer le compte et faire effacer ce qui usurpe votre identité
Avant d’agir, il faut nommer les acteurs. Vous êtes la personne concernée au sens du règlement européen sur la protection des données. La société qui exploite le réseau social, par exemple Meta Platforms Ireland Limited pour Instagram et Facebook en Europe, est le plus souvent responsable du traitement de vos données de compte. La personne qui s’est introduite dans votre compte ou qui a créé un faux profil à votre nom est l’auteur d’un accès frauduleux et, le cas échéant, d’une usurpation d’identité. Votre fournisseur d’accès, votre opérateur de messagerie et, parfois, votre banque quand des paiements ont été détournés, sont des acteurs secondaires dont les relevés servent de preuves. Cette cartographie conditionne tout : c’est au responsable du traitement que vous adressez vos demandes d’accès, de rectification et d’effacement, c’est contre l’auteur du piratage que vous portez plainte, et c’est devant la Commission puis devant le juge que vous faites sanctionner un manquement persistant.
A. Sécuriser, prouver puis récupérer l’accès sans effacer les traces utiles
La première heure compte double : elle sert à reprendre la main et à figer les preuves. Changez depuis un appareil sain le mot de passe de l’adresse électronique de récupération, activez la double authentification sur cette messagerie puis sur le réseau social dès que l’accès est rétabli, révoquez les sessions actives et les applications tierces connectées, et capturez chaque élément anormal : messages reçus par vos proches, demandes de fonds, publications ajoutées, modifications de l’adresse ou du numéro de rattachement, notifications de connexion depuis un lieu inconnu. Conservez les en-têtes des courriels de notification, les relevés d’appels et de SMS, les captures datées et les numéros d’identification des transactions contestées. Ces pièces serviront à la plateforme, à la plainte et, plus tard, à la démonstration du préjudice.
Le signalement à la plateforme suit ses canaux dédiés : centre d’aide pour compte piraté, formulaire d’usurpation d’identité pour faux compte, vérification d’identité par pièce ou vidéo lorsque le service la demande. Formulez une demande écrite qui distingue la récupération d’accès, la contestation des modifications effectuées par le tiers et la conservation des journaux de connexion. Le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données, impose au responsable du traitement une communication claire : « en des termes clairs et simples », selon son article 12. Concrètement, la plateforme doit accuser réception, indiquer les suites et respecter un délai de réponse d’un mois, prolongeable dans les conditions du texte. Relancez par écrit à l’échéance et conservez chaque échange.
En parallèle, exercez votre droit d’accès prévu à l’article 15 du même règlement : « l’accès auxdites données à caractère personnel ». Demandez la copie des données du compte, l’historique des connexions, les adresses IP et appareils utilisés sur la période du piratage, ainsi que les catégories de destinataires auxquels vos données ont été communiquées pendant cette fenêtre. Ces éléments permettent d’établir quelles données ont été exposées, si des messages ont été adressés à des tiers depuis votre compte et si une extraction frauduleuse de votre carnet de contacts a eu lieu, au sens de l’article 323-3 du code pénal qui punit « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ».
La sécurité du traitement n’est pas une formule. L’article 32 du règlement exige du responsable du traitement et du sous-traitant qu’ils « un niveau de sécurité adapté au risque », avec la pseudonymisation, le chiffrement et les moyens de rétablir la disponibilité. Si la plateforme a laissé passer des connexions manifestement anormales sans alerte ni blocage, ou si la récupération reste impossible malgré une identité établie, ce point nourrira la réclamation et l’action en responsabilité. La Commission nationale de l’informatique et des libertés explique la conduite à tenir face à une usurpation, et le service public détaille la plainte pour usurpation d’identité : ces deux pages officielles décrivent le triptyque récupération, signalement à la plateforme et plainte. Le dispositif public Cybermalveillance.gouv.fr consacre une fiche réflexe au piratage de compte, utile pour cadrer les premières mesures techniques avant toute démarche juridique.
Ne négligez pas le volet financier immédiat : si le pirate a utilisé un moyen de paiement enregistré, faites opposition auprès de votre banque selon la procédure de contestation des opérations non autorisées, signalez l’usage frauduleux de votre identité à votre opérateur si une carte SIM a été échangée à votre insu, et demandez à la plateforme la liste des achats ou publicités réglés depuis le compte. Chaque opération contestée donne lieu à un écrit distinct, car le contentieux bancaire et le contentieux des données suivent des régimes différents. Lorsque le compte servait à une activité professionnelle, par exemple une boutique adossée à Instagram, la question de la réversibilité et de la copie des données clients se pose dans les mêmes termes que pour tout compte fermé par l’exploitant : la méthode d’effacement et de récupération décrite dans l’analyse consacrée au compte fermé dont les données sont conservées malgré l’opposition du client reste transposable pour exiger la copie et l’effacement dans des délais contrôlables.
B. Faire fermer le faux compte, faire effacer les données et faire déréférencer les liens
Quand le problème est un faux compte plutôt que votre compte piraté, le fondement change : vous demandez l’effacement de données vous concernant traitées sans base légale par un responsable qui héberge le profil litigieux. L’article 17 du règlement, intitulé « Droit à l’effacement («droit à l’oubli») », dispose que « l’effacement, dans les meilleurs délais ». le texte vise aussi les données devenues inutiles au regard des finalités, le retrait du consentement, l’opposition fondée et le traitement illicite. Un faux compte qui reprend votre nom et vos photographies sans votre accord entre dans le champ du traitement illicite : exigez l’effacement du profil, des photographies, des messages et de toute copie indexée, en visant expressément cet article et en joignant la preuve de votre identité et les adresses exactes des contenus.
Ajoutez le droit d’opposition de l’article 21 : « le droit de s’opposer à tout moment ». Cette demande vise la réutilisation de votre nom et de votre image à des fins de démarchage ou de mise en relation non sollicitée, ainsi que le maintien en ligne du profil après signalement. Si vos photographies ont été reprises, le terrain de l’atteinte à la vie privée renforce la demande : l’article 226-1 du code pénal punit le fait de fixer, enregistrer ou transmettre sans consentement « l’image d’une personne se trouvant dans un lieu privé », ce qui couvre de nombreux clichés détournés de leur contexte familial ou amical pour alimenter un faux profil.
Le juge des référés ordonne régulièrement le retrait et le déréférencement quand l’illicite est manifeste et le trouble actuel. Par ordonnance du 16 janvier 2024, le tribunal judiciaire de Paris, statuant en référé sous le numéro 23/58912, a été saisi sur le fondement des articles 835 du code de procédure civile, 51 et 56 de la loi du 6 janvier 1978 et des articles 17 et 21 du règlement européen, d’une demande tendant à ordonner à Google le déréférencement de liens préjudiciables apparaissant sur des recherches effectuées à partir du nom de la demanderesse, sous astreinte. L’ordonnance montre la structure d’une demande efficace : identifier chaque adresse exacte, rattacher chaque lien à une recherche nominative précise, démontrer l’absence de motif légitime au maintien et chiffrer une astreinte dissuasive. Transposée au faux compte de réseau social, la méthode consiste à lister l’adresse du profil, celles de chaque publication reprenant vos données et celles de chaque résultat de moteur de recherche qui les relaie, puis à demander au juge, à défaut d’exécution spontanée, d’enjoindre sous astreinte le retrait par l’hébergeur et le déréférencement par l’exploitant du moteur.
Le déréférencement suit une voie propre, adressée à l’exploitant du moteur de recherche, distincte de la demande adressée au réseau social. Formulez une demande par moteur, avec l’identité du demandeur, les requêtes nominatives concernées, les adresses à retirer et le motif d’effacement tiré de l’article 17, en expliquant pourquoi l’intérêt du public à accéder à ces pages depuis votre nom ne prévaut pas. En cas de refus ou d’absence de réponse dans le délai annoncé, la réclamation devant la Commission puis le recours juridictionnel prennent le relais. Conservez la preuve de chaque signalement, car le juge apprécie la diligence du demandeur et la résistance du responsable : un dossier qui montre trois signalements précis restés sans effet dans un délai raisonnable porte davantage qu’une plainte générale contre les réseaux sociaux.
Distinguez enfin ce qui relève du contrat et ce qui relève de la protection des données. Les conditions d’utilisation du réseau social organisent la résiliation, la suspension pour manquement et la conservation des journaux à des fins de sécurité. Le règlement européen organise vos droits indépendamment du contrat : la fermeture de votre compte à votre demande n’autorise pas la plateforme à conserver indéfiniment vos messages ni à maintenir le faux compte litigieux au motif qu’une enquête interne serait en cours. Si la plateforme oppose une conservation pour la constatation ou la défense de droits en justice, elle doit en préciser le fondement, la durée et le périmètre. À défaut, l’effacement s’impose dans les meilleurs délais, avec information des destinataires auxquels les données ont été communiquées lorsque cela reste possible.
II. Punir l’auteur, faire sanctionner la plateforme et obtenir réparation
La seconde phaseLook déplace le litige du terrain technique vers le terrain judiciaire. L’auteur du piratage encourt des peines d’emprisonnement et d’amende, la plateforme qui a manqué à ses obligations de sécurité et de réponse aux droits s’expose à une sanction administrative et à une condamnation civile, et vous pouvez obtenir la réparation de vos préjudices matériels et moraux. Ces trois voies se cumulent : la plainte pénale ne remplace pas la réclamation devant la Commission, et la sanction administrative ne vaut pas indemnisation. Chacune exige ses preuves et ses délais propres.
A. Porter plainte contre l’auteur et saisir la Commission contre la plateforme
L’usurpation d’identité sur un réseau public en ligne est une infraction autonome. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », avant de préciser que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». La création d’un faux profil à votre nom pour soutirer de l’argent à vos contacts, pour nuire à votre réputation ou pour troubler votre tranquillité entre directement dans cette définition, dès lors que l’usage de vos données identifiantes et l’intention de nuire ou de troubler sont établis. Le dépôt de plainte s’effectue au commissariat, à la gendarmerie ou par plainte en ligne avec signature ultérieure, en visant expressément cet article et en joignant les captures, les témoignages des proches démarchés et les références des signalements adressés à la plateforme.
Le piratage de votre propre compte constitue en outre une atteinte aux systèmes de traitement automatisé de données. L’article 323-1 du code pénal punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et l’article 323-3 ajoute la répression de l’extraction et de la modification frauduleuse des données. La Cour de cassation applique ces textes avec constance. Par arrêt du 16 janvier 2018, la chambre criminelle a rejeté le pourvoi formé contre une condamnation pour accès frauduleux et atteinte au secret des correspondances après l’installation d’un dispositif d’espionnage sur des ordinateurs professionnels, retenant une peine d’emprisonnement avec sursis, la confiscation et des réparations civiles. Par arrêt du 2 septembre 2025, la même chambre a rejeté le pourvoi d’un ancien administrateur réseau condamné à trois mois d’emprisonnement avec sursis pour maintien frauduleux dans le système de son ancien employeur. Ces décisions montrent que le maintien dans un compte après la fin des droits, comme l’intrusion initiale par hameçonnage ou devinette de mot de passe, suffit à caractériser l’infraction, et que la qualité d’ancien salarié, d’ancien prestataire ou de proche n’exonère pas.
Visez dans la plainte les deux séries d’infractions quand les faits les portent : usurpation d’identité pour le faux profil et les messages adressés à vos contacts, accès et maintien frauduleux (article 323-2 du code pénal réprimant l’entrave au fonctionnement d’un système) ainsi qu’extraction de données pour la prise de contrôle de votre compte et la copie de votre carnet d’adresses. Demandez l’exploitation des journaux de connexion conservés par la plateforme et par votre fournisseur de messagerie, en sollicitant du procureur les réquisitions nécessaires avant l’expiration des durées de conservation. Constituez-vous partie civile dès que l’auteur est identifié ou contre inconnu pour préserver vos droits à réparation dans le procès pénal, tout en conservant la voie civile devant le juge judiciaire pour le surplus.
Contre la plateforme, la voie est administrative avant d’être judiciaire. L’article 77 du règlement ouvre à « toute personne concernée » « le droit d’introduire une réclamation », en particulier dans l’État de sa résidence habituelle, si elle estime que le traitement de ses données méconnaît le règlement. En France, cette autorité est la Commission nationale de l’informatique et des libertés. La réclamation n’est recevable qu’après une demande préalable restée sans réponse satisfaisante auprès du responsable du traitement, sauf urgence caractérisée : joignez vos signalements, leurs dates, les réponses reçues et les contenus toujours en ligne. La Commission peut mettre en demeure, prononcer des mesures correctrices et des sanctions pécuniaires, et son bilan annuel des sanctions montre une activité soutenue contre les manquements à la sécurité et aux droits des personnes. Son intervention ne vous indemnise pas, mais elle constate le manquement et ordonne souvent la mise en conformité qui débloque le dossier.
La violation de données subie par la plateforme elle-même obéit à un régime de notification strict que votre réclamation peut invoquer. L’article 33 du règlement impose au responsable du traitement, « une violation de données à caractère personnel », d’en notifier la violation « dans les meilleurs délais » et, si possible, dans les soixante-douze heures après en avoir pris connaissance, et l’article 34 exige la communication à la personne concernée « susceptible d’engendrer un risque élevé » pour les droits et libertés. Si votre compte a servi à diffuser une escroquerie à vos contacts, si des pièces d’identité ont été extraites ou si des données de localisation ont été exposées, interrogez la plateforme sur sa qualification de l’incident et sur les notifications effectuées. L’absence de notification comme une notification tardive ou incomplète constituent des griefs autonomes devant la Commission et devant le juge.
B. Chiffrer les préjudices et les faire réparer par le juge
Le droit à réparation est direct. L’article 82 du règlement dispose que « réparation du préjudice subi » pour toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement. Le texte ajoute que « responsable du dommage causé par le traitement » en cas de violation, le sous-traitant ne répondant que des obligations qui lui incombent proprement ou d’une action hors instructions licites. Vous pouvez donc agir contre la société exploitant le réseau social devant le juge judiciaire français, sans attendre l’issue de la réclamation, en vertu de l’article 79 du règlement qui garantit à « chaque personne concernée » « un recours juridictionnel effectif » en cas de violation de ses droits. L’action se porte devant le tribunal judiciaire du lieu de votre domicile ou du lieu de la violation, avec assignation visant les manquements précis : défaut de sécurité, refus d’effacement, maintien du faux compte après signalements répétés, absence d’information sur la violation.
Le chiffrage distingue trois postes. Le préjudice matériel comprend les sommes détournées depuis le compte, les achats non autorisés, les frais bancaires, les frais de sécurisation et, pour un compte professionnel, la perte de chiffre d’affaires documentée par les journaux de vente et les attestations. Le préjudice moral couvre l’atteinte à la réputation quand le faux compte a tenu des propos ou diffusé des images compromettantes, l’angoisse liée à l’exposition des messages privés et le temps consacré aux démarches, justifié par un journal daté des signalements et relances. Le préjudice lié à la perte de contrôle des données, reconnu par la jurisprudence européenne quand la violation crée un risque avéré d’usage frauduleux, se prouve par les alertes reçues, les tentatives d’hameçonnage ultérieures et les attestations des proches démarchés. Ne présentez que des postes documentés : un tableau qui aligne chaque manquement, chaque pièce et chaque montant porte mieux qu’une demande globale non ventilée.
La charge de la preuve suit le droit commun du règlement : il vous appartient d’établir la violation et le dommage, puis au responsable de démontrer qu’il n’est en rien responsable de l’événement ayant causé le dommage pour s’exonérer. Concrètement, produisez les conditions d’utilisation applicables à la date des faits, vos demandes datées, les réponses ou silences de la plateforme, les constats d’huissier ou constats numériques des contenus toujours en ligne, les récépissés de plainte et de réclamation, et les justificatifs bancaires et professionnels. Demandez au juge, outre l’indemnisation, l’effacement sous astreinte, la communication des mesures de sécurité mises en œuvre et, le cas échéant, la publication du dispositif. L’astreinte se liquide sur justification de la persistance : conservez des constats réguliers jusqu’à exécution complète, y compris sur les moteurs de recherche.
Les délais commandent la stratégie. La plainte pénale se prescrit, pour les délits visés, dans un délai qui court à compter du jour où l’infraction est apparue et a pu être constatée dans des conditions permettant l’exercice de l’action publique, avec des règles spécifiques pour les infractions occultes ou dissimulées. La réclamation devant la Commission n’interrompt pas à elle seule la prescription civile, et l’action en responsabilité civile suit son propre délai. Agissez donc en parallèle dès les premières semaines : sécurisation et signalements immédiats, demande d’accès et d’effacement dans le mois, plainte pénale sans attendre la réponse de la plateforme, réclamation à la Commission à l’expiration du délai de réponse, assignation civile quand le trouble persiste ou que le préjudice est consolidé. Cette chronologie évite l’écueil du dossier qui attend la réponse d’un guichet pendant que l’autre voie se prescrit.
Deux frontières doivent rester nettes pour ne pas affaiblir le dossier. La première sépare la protection des données du droit de la presse et de la propriété intellectuelle : si le faux compte diffuse des propos injurieux ou des photographies dont vous êtes l’auteur, les fondements de la diffamation ou du droit d’auteur peuvent s’ajouter, mais ils ne remplacent pas les demandes d’effacement et de réparation fondées sur le règlement européen, et leurs délais particuliers, notamment le délai de prescription abrégé en matière de presse, exigent une articulation soigneuse. La seconde sépare les obligations de sécurité du réseau social de vos propres obligations de prudence : l’usage d’un mot de passe unique et robuste, l’activation de la double authentification et la vigilance face à l’hameçonnage sont attendus de tout utilisateur, et le juge en tiendra compte dans l’appréciation des responsabilités sans pour autant effacer un manquement caractérisé de la plateforme à ses propres mesures de sécurité et à son devoir de réponse.
Un compte piraté ou un faux compte à votre nom n’est jamais une fatalité technique. La méthode tient en quatre temps : figer les preuves et reprendre la main, exiger par écrit l’accès, l’effacement et le déréférencement sur des fondements précis, poursuivre l’auteur au pénal sur l’usurpation et l’accès frauduleux, et faire constater par la Commission puis réparer par le juge les manquements persistants de la plateforme. Menée avec des demandes datées, des pièces ordonnées et des fondements distincts pour chaque destinataire, cette voie restaure le contrôle de vos données et donne au préjudice une traduction indemnitaire vérifiable.