Votre téléphone chauffe sans raison, la batterie se vide en quelques heures, des applications que vous n’avez jamais installées apparaissent à l’écran. Votre caméra connectée pivote seule, son voyant s’allume au milieu de la nuit, des inconnus semblent connaître des détails de votre vie domestique. Ces signaux, pris isolément, peuvent avoir une explication banale. Rassemblés, ils dessinent une hypothèse qu’il faut traiter avec méthode : un tiers a pris la main sur votre appareil et accède à vos données personnelles, à vos images, à vos conversations.
La question n’est pas seulement technique. Dès qu’un intrus consulte vos messages, copie vos photos, écoute ce qui se dit chez vous ou suit vos déplacements grâce à un objet connecté, plusieurs régimes juridiques s’enclenchent en même temps : le droit pénal punit l’intrusion dans un système de traitement automatisé de données et l’atteinte à l’intimité de la vie privée, le règlement général sur la protection des données organise la sécurité des traitements et la réparation du préjudice, le droit de la vente permet d’agir contre le vendeur d’un produit dont la sécurité est défaillante. Encore faut-il agir dans le bon ordre, sans effacer les traces qui feront la preuve, et adresser chaque demande au bon interlocuteur.
Cet article décrit la marche à suivre quand votre téléphone, votre caméra, votre enceinte, votre thermostat ou tout autre objet connecté du foyer semble piraté ou vous espionne : comment couper l’accès dans les premières heures, quelles preuves conserver, où porter plainte, quand saisir la CNIL, ce que vous pouvez exiger du vendeur et du fabricant, et comment demander réparation de votre préjudice. Les développements portent sur le droit français et européen applicable en France métropolitaine, à jour des textes en vigueur à la date de rédaction.
I. Couper l’accès et protéger vos données dans les premières heures
A. Reconnaître les signes d’une prise de main et réagir sans attendre
Un téléphone ou un objet connecté compromis envoie des signaux reconnaissables. Les fiches de conduite publiées par le dispositif public d’assistance aux victimes décrivent des indices convergents : consommation anormale de batterie ou de données mobiles, appareil qui chauffe au repos, applications inconnues, messages envoyés à votre insu, fenêtres qui s’ouvrent seules, paramètres modifiés sans votre intervention, connexions à vos comptes depuis des lieux où vous ne vous trouvez pas. Pour une caméra ou une sonnette connectée, ajoutez des signes propres à l’image : orientation modifiée, voyant allumé hors de vos plages d’utilisation, flux consulté depuis un appareil inconnu dans l’historique de l’application, désactivation inexpliquée des notifications. Aucun de ces signes, pris seul, ne prouve une intrusion. Leur accumulation justifie de traiter l’appareil comme compromis jusqu’à preuve du contraire.
La première mesure consiste à couper les voies d’accès de l’intrus sans détruire ce qui servira de preuve. Déconnectez l’appareil du réseau Wi-Fi et du Bluetooth, activez le mode avion sur le téléphone, débranchez électriquement la caméra ou l’objet suspecté. Si le téléphone reste votre outil quotidien, changez depuis un autre appareil sain les mots de passe de vos comptes principaux, en commençant par la messagerie qui sert à réinitialiser tous les autres, puis activez partout la vérification en deux étapes. Révoquez les sessions inconnues dans les paramètres de sécurité de chaque compte : la plupart des grandes plateformes affichent la liste des appareils connectés avec leur localisation approximative et permettent de les déconnecter à distance. Vérifiez également que votre numéro n’a pas été transféré vers une autre carte SIM à votre insu, en interrogeant votre opérateur : le détournement de carte SIM permet à l’intrus de recevoir vos codes de validation et de prendre la main sur vos comptes un par un.
Mettez ensuite à jour tout ce qui peut l’être depuis un appareil sain : système d’exploitation du téléphone, application de pilotage de l’objet connecté, micrologiciel de la caméra ou de la box. Les failles corrigées par ces mises à jour sont précisément celles qu’exploitent les intrusions de masse, qui visent des milliers d’appareils vulnérables plutôt qu’une cible désignée. Modifiez les mots de passe d’administration par défaut des objets connectés, trop souvent conservés tels quels, et désactivez l’accès à distance quand vous n’en avez pas besoin. Si l’appareil le permet, réinitialisez-le aux paramètres d’usine seulement après avoir sauvegardé les éléments de preuve décrits ci-après, car la réinitialisation efface aussi les journaux qui documentent l’intrusion. Quand le doute porte sur un logiciel espion installé par une personne de votre entourage ayant eu accès à l’appareil, ce qui relève du même régime pénal que le piratage à distance, la prudence commande de ne prévenir personne de vos démarches avant d’avoir sécurisé vos comptes et conservé les preuves.
B. Conserver les preuves avant de réparer ou de réinitialiser
Une intrusion dans un téléphone ou un objet connecté se prouve par des traces fragiles : journaux de connexion, historiques de sessions, captures d’écran, messages reçus, factures détaillées de l’opérateur, enregistrements de l’application de pilotage. Ces éléments s’effacent vite, bien souvent par la simple réinitialisation de l’appareil ou par la rotation automatique des journaux. Avant toute réparation, photographiez et exportez tout ce qui documente l’anomalie : écrans listant les appareils connectés à vos comptes avec dates et lieux, notifications de connexion que vous n’avez pas initiées, applications inconnues avec leur date d’installation, relevés de consommation de données, messages ou appels émis à votre insu, historique des mouvements de la caméra. Notez par écrit, daté et signé, la chronologie des faits tels que vous les avez constatés : premier signe observé, date et heure, circonstances, personnes présentes, démarches déjà accomplies. Ce récit, même rédigé par vous seul, fixe la mémoire des faits et donne sa cohérence au dossier.
Faites établir un constat par un commissaire de justice pour les éléments les plus volatils, notamment le contenu affiché par une application ou une interface que l’intrus pourrait modifier à distance. Le procès-verbal de constat fige à une date certaine ce que l’écran affichait et vaut comme preuve de l’existence des traces au jour de sa rédaction. Conservez les factures d’achat de l’appareil, les conditions générales du vendeur et de l’éditeur de l’application, ainsi que toute correspondance avec le support technique : ces pièces serviront à établir la chaîne des responsabilités entre vous, le vendeur et le fabricant. Si des images ou des conversations intimes ont été captées ou diffusées, ne les rediffusez pas vous-même, même pour dénoncer les faits : transmettez-les aux enquêteurs dans leur format d’origine et signalez les contenus illicites sur la plateforme dédiée des services de l’État, qui centralise les signalements de contenus à caractère sexuel non consentis et oriente vers le dépôt de plainte.
Distinguez dès ce stade les rôles, car chaque action suivra le rôle identifié. L’auteur de l’intrusion répond pénalement de son intrusion. Le fabricant et le vendeur de l’appareil répondent de la sécurité du produit et du traitement des données qu’il génère. L’éditeur de l’application de pilotage, lorsqu’il collecte vos images ou vos mesures sur ses propres serveurs, traite lui-même des données personnelles et se voit appliquer les obligations du règlement européen. Cette cartographie commande la suite : plainte contre l’intrus, signalement à la CNIL contre l’organisme qui traite vos données, action en garantie contre le vendeur.
II. Faire sanctionner l’intrusion et obtenir réparation de vos préjudices
A. Porter plainte, signaler et saisir la CNIL dans le bon ordre
L’accès frauduleux à votre téléphone ou à votre objet connecté constitue un délit. L’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le téléphone, la caméra connectée, l’enceinte ou le thermostat piloté par application sont des systèmes de traitement automatisé de données au sens de ce texte : s’y introduire sans votre autorisation ou s’y maintenir après la fin d’une autorisation, par exemple à l’aide d’un mot de passe conservé après une séparation, entre dans la qualification. La jurisprudence applique ce texte avec constance, y compris dans des contextes domestiques ou professionnels apparemment banals : la chambre criminelle a ainsi rejeté le 2 septembre 2025 le pourvoi formé contre un arrêt qui avait condamné un ancien administrateur réseau à trois mois d’emprisonnement avec sursis pour atteinte à un système de traitement automatisé de données, en se prononçant également sur les intérêts civils (Cass. crim., 2 sept. 2025, n° 24-83.605). Quand l’intrus a installé un logiciel espion pour capter vos frappes de clavier ou vos identifiants, la qualification s’aggrave encore : la Cour de cassation a confirmé la condamnation à quatre mois d’emprisonnement avec sursis prononcée contre l’auteur de l’installation d’un dispositif « permettant d’espionner la frappe du clavier et de capter des données » sur les ordinateurs de deux praticiens hospitaliers, avec confiscation des scellés et décision sur les intérêts civils (Cass. crim., 16 janv. 2018, n° 16-87.168).
Lorsque l’intrusion a permis de voir ou d’entendre votre vie privée, une seconde qualification s’ajoute. L’article 226-1 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de fixer, d’enregistrer ou de transmettre « sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé ». Une caméra connectée piratée qui filme votre domicile, ou détournée par un tiers qui observe votre intérieur, place les faits sous ce texte dès lors que l’image est captée ou retransmise sans votre accord. La Cour de cassation sanctionne jusqu’à la tentative : elle a rejeté le pourvoi formé contre la condamnation à trois mois d’emprisonnement avec sursis prononcée pour tentative d’atteinte à l’intimité de la vie privée après l’installation d’une caméra dans un vestiaire afin de filmer une personne se déshabillant (Cass. crim., 31 oct. 2017, n° 16-87.411). Sur le plan civil, l’article 9 du code civil rappelle que « Chacun a droit au respect de sa vie privée » et permet au juge, y compris en référé en cas d’urgence, d’ordonner toutes mesures propres à faire cesser l’atteinte, en plus de la réparation du dommage.
En pratique, déposez plainte au commissariat ou à la gendarmerie de votre domicile en apportant vos preuves et votre chronologie, ou utilisez la plainte en ligne du ministère de l’intérieur pour les faits commis sur internet, qui oriente le dossier vers le service compétent et vaut dépôt après validation. Le dispositif THESEE du ministère de l’intérieur permet de signaler en ligne les arnaques et piratages subis sur internet et de déposer une plainte à distance pour les faits qui y sont éligibles. La fiche réflexe du dispositif public d’assistance aux victimes de cybermalveillance décrit les démarches miroirs du dépôt de plainte : sécurisation des comptes, conservation des traces, signalement sur la plateforme dédiée, orientation vers un prestataire de proximité. Demandez systématiquement le récépissé de dépôt et le numéro de procès-verbal, utiles pour la suite de vos démarches auprès des plateformes et des assureurs. Si l’auteur est identifié, constituez-vous partie civile afin de demander au juge pénal la réparation de vos préjudices dans le même procès.
Parallèlement à la plainte, saisissez la CNIL lorsque le traitement de vos données est en cause. Tel est le cas quand l’éditeur de l’application de pilotage stocke vos images, vos enregistrements vocaux ou vos données de localisation sur ses serveurs, quand le fabricant collecte des mesures d’usage sans base légale claire, ou quand l’organisme refuse de vous répondre. Le règlement européen impose en effet que les données personnelles soient « traitées de manière licite, loyale et transparente au regard de la personne concernée », selon le premier des principes posés par son article 5, que la CNIL détaille dans son guide des principes. Vous disposez auprès de chaque responsable de traitement d’un droit d’accès à vos données, d’un droit d’effacement quand elles n’ont plus lieu d’être traitées et d’un droit d’opposition à la prospection ou au traitement fondé sur l’intérêt légitime. Adressez d’abord une demande écrite et précise à l’organisme, en joignant la preuve de votre identité et en listant ce que vous exigez : copie des données, suppression du compte et des enregistrements, cessation d’une collecte. Si l’organisme ne répond pas dans un délai d’un mois, répond de manière incomplète ou refuse sans motif légitime, la plainte en ligne auprès de la CNIL prend le relais : la Commission instruit, peut mettre en demeure et prononce des sanctions dont plusieurs décisions récentes montrent qu’elles atteignent les acteurs du numérique grand public. Les juges du fond appliquent directement ces principes aux litiges du quotidien : le tribunal judiciaire d’Aix-en-Provence a ainsi jugé le 5 août 2025, dans un litige opposant des particuliers à une agence immobilière, que le recueil d’images relevait du règlement européen et a examiné le traitement au regard de ses articles 2, 5 et 6, relatifs au champ d’application, aux principes et à la licéité (TJ Aix-en-Provence, 5 août 2025, n° 22/03891). Lorsque c’est le responsable du traitement lui-même qui subit une attaque exposant vos données, c’est à lui de notifier la violation à la CNIL dans les meilleurs délais et, si possible, dans les soixante-douze heures de sa découverte, puis de vous en informer directement quand elle fait peser un risque élevé sur vos droits, selon les règles de notification et de communication rappelées par la CNIL. L’absence de cette information, quand elle était due, constitue un grief supplémentaire à soulever dans votre plainte.
B. Exiger du vendeur et du fabricant un produit sûr, puis obtenir réparation
Un téléphone ou un objet connecté dont la sécurité est défaillante n’est pas seulement un mauvais produit : c’est un produit juridiquement non conforme. L’article L217-3 du code de la consommation fait peser sur le vendeur une obligation de délivrer un bien conforme, en précisant qu’« Il répond des défauts de conformité existant au moment de la délivrance du bien », défauts qui engagent le vendeur lorsqu’ils apparaissent dans un délai de deux ans à compter de celle-ci, tandis que l’article L217-7 du même code dispose que ces défauts « sont, sauf preuve contraire, présumés exister au moment de la délivrance » lorsqu’ils apparaissent dans les vingt-quatre mois. Le critère décisif figure à l’article L217-5 du même code : le bien est conforme notamment s’il « est propre à l’usage habituellement attendu d’un bien de même type ». Or l’usage habituellement attendu d’un téléphone ou d’une caméra connectée inclut la confidentialité des données qu’ils traitent : un appareil livré avec un mot de passe d’administration universel non modifiable, une application qui transmet vos images en clair, un micrologiciel qui ne reçoit plus aucune mise à jour de sécurité quelques mois après l’achat ou un service de pilotage abandonné par l’éditeur sans information expose son vendeur à une action en mise en conformité, en remplacement ou en résolution de la vente. Pour les biens comportant des éléments numériques, l’article L217-19 du même code oblige le vendeur à fournir les mises à jour nécessaires au maintien de la conformité « Durant une période à laquelle le consommateur peut légitimement s’attendre », de sorte que l’abandon prématuré du support logiciel constitue un défaut de conformité en soi. L’article L217-4 du même code ajoute que le bien est conforme au contrat notamment s’il répond aux caractéristiques prévues au contrat en ce qui concerne « la fonctionnalité, la compatibilité, l’interopérabilité, ou toute autre caractéristique prévues au contrat » : les promesses de sécurité affichées sur la notice ou le site du vendeur entrent dans ce périmètre. Mettez le vendeur en demeure par écrit, en décrivant la défaillance et en visant ces textes, avant d’agir en justice : la démonstration d’un défaut présentable au juge suppose l’expertise ou au minimum le rapport circonstancié d’un professionnel, joint à vos constats personnels.
Quand le défaut était caché au jour de l’achat et rend l’appareil impropre à son usage sûr, la garantie des vices cachés offre une seconde voie. L’article 1641 du code civil tient le vendeur à raison « des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine ». Une faille de sécurité structurelle, inconnue de l’acheteur et rendant l’appareil perméable aux intrusions, entre dans cette définition lorsque l’expertise établit qu’elle préexistait à la vente. L’acheteur choisit alors entre rendre l’appareil et s’en faire restituer le prix, ou le garder et obtenir une réduction du prix. Cette action, qui se prescrit dans les deux ans de la découverte du vice, se combine utilement avec l’action en non-conformité : l’une vise le vendeur professionnel dans le délai de deux ans suivant la délivrance, l’autre atteint le même vendeur, voire le fabricant sur le fondement délictuel, quand la preuve du vice antérieur est rapportée. Face au fabricant qui conçoit l’objet et organise la collecte des données, le règlement européen ajoute une exigence de sécurité dès la conception et pendant toute la durée du traitement, dont la CNIL précise la portée dans son guide sur la sécurité des données : mesures techniques et organisationnelles proportionnées au risque, chiffrement, contrôle des accès, journalisation. Un objet qui expose par construction les images du domicile ou les localisations de son propriétaire à des tiers non autorisés méconnaît ce niveau de sécurité, et cette méconnaissance fonde à la fois le signalement à la CNIL et la demande de réparation.
La réparation de vos préjudices suit deux chemins qui se complètent. Contre l’auteur de l’intrusion et contre l’organisme qui a méconnu ses obligations de sécurité, l’article 1240 du code civil pose le principe : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le préjudice réparable comprend le préjudice matériel, comme le remplacement de l’appareil, les frais d’expertise, les sommes détournées ou les achats frauduleux passés depuis vos comptes, et le préjudice moral, qui recouvre l’angoisse d’avoir été observé chez soi, la perte de confiance dans ses propres appareils, le temps consacré à sécuriser ses comptes et le trouble dans les conditions d’existence. Pour la violation des données personnelles en tant que telle, l’article 82 du règlement européen, tel que visé par la Cour de cassation, ouvre un droit propre : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (Cass. soc., 24 juin 2026, n° 24-22.792). La Cour de justice de l’Union européenne a précisé le mode d’emploi de ce texte dans un arrêt de principe : la simple violation du règlement ne suffit pas, encore faut-il démontrer un préjudice causé par cette violation, mais en sens inverse aucune règle nationale ne peut subordonner la réparation du dommage moral à un seuil de gravité, car l’article 82 « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » (CJUE, 3e ch., 4 mai 2023, UI c/ Österreichische Post, aff. C-300/21, points 1 et 2 du dispositif, tels que repris par la Cour de cassation dans l’arrêt précité). Concrètement, le sentiment d’avoir perdu le contrôle de ses images ou de ses conversations, documenté par votre chronologie et vos constats, suffit à caractériser un dommage moral réparable, sans que le juge puisse exiger la démonstration d’une gravité exceptionnelle ; le montant, lui, reste fixé selon les règles nationales de la réparation, sous le contrôle des principes d’équivalence et d’effectivité du droit de l’Union, comme le rappelle le troisième point du même dispositif.
Ces principes valent quel que soit l’appareil compromis, et les réflexes décrits ici s’articulent avec les démarches propres au piratage de vos comptes en ligne, dont la récupération de l’accès et l’effacement des contenus usurpés suivent une procédure distincte décrite dans notre analyse consacrée au piratage de compte et à l’effacement des faux profils. Quand l’intrusion vise un appareil professionnel ou expose des données de votre employeur, avertissez sans délai votre hiérarchie ou le délégué à la protection des données : le délai de soixante-douze heures qui pèse sur les responsables de traitement court indépendamment de votre plainte personnelle, et votre silence pourrait engager votre propre responsabilité contractuelle.
Un téléphone qui agit seul, une caméra qui regarde quand personne ne la pilote, un objet connecté qui transmet ce qu’il devrait garder : ces situations appellent une réponse graduée mais rapide. Isoler l’appareil, changer les accès depuis un terminal sain, figer les preuves avant toute réinitialisation, déposer plainte en visant les qualifications pénales exactes, saisir la CNIL quand un traitement de données est en cause, mettre en demeure le vendeur d’un produit dont la sécurité est défaillante, puis demander réparation sur le fondement du droit commun et de l’article 82 du règlement européen. Chaque étape documente la suivante, et c’est cette chaîne complète, de la capture d’écran initiale jusqu’au jugement, qui transforme un sentiment d’impuissance face à la technique en dossier juridique abouti.