Quarante mille cinq cents recherches par mois en France pour « téléphone reconditionné » : l’achat d’un mobile d’occasion ou reconditionné est entré dans les habitudes. Mais derrière la bonne affaire se cache un risque documenté : l’appareil contient parfois encore les photos, les messages, les mots de passe ou les comptes de son ancien propriétaire. Et à l’inverse, celui qui revend ou confie son téléphone sans l’avoir correctement effacé expose sa vie privée à un inconnu. Deux décisions récentes du tribunal judiciaire de Paris, rendues en 2024, montrent que ces situations finissent devant le juge et qu’elles se chiffrent : 300 euros pour une perte de données liée à un téléphone reconditionné, 2 000 euros de préjudice moral pour des données effacées puis un appareil perdu par un professionnel. Cet article explique ce qu’il faut faire dans chaque camp : l’acheteur qui découvre les données d’un autre, le vendeur dont les données circulent, et les recours contre le professionnel qui a manqué à ses obligations.

I. Vous venez d’acheter un téléphone d’occasion ou reconditionné qui contient encore les données de l’ancien propriétaire

A. Les gestes immédiats : ne pas exploiter les données, figer la preuve, alerter le vendeur par écrit

Le premier réflexe détermine la suite. Les photos, messages, documents bancaires ou identifiants restés dans l’appareil appartiennent à quelqu’un d’autre : les ouvrir par curiosité, les copier ou les utiliser expose à des poursuites. L’article 323-1 du code pénal punit : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Un téléphone verrouillé par un compte resté connecté constitue un tel système : fouiller la galerie ou la messagerie de l’ancien propriétaire, même sans intention de nuire, entre dans le champ de ce texte. Et si des données d’identification sont réutilisées, l’article 226-4-1 du code pénal ajoute : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » La prudence commande donc de cesser toute navigation dans les contenus d’autrui dès leur découverte.

La deuxième étape consiste à figer la preuve de l’état de l’appareil : photographier avec un autre appareil les écrans montrant la présence de comptes ou de fichiers qui ne sont pas les vôtres, conserver le bon de commande, la facture, l’annonce et tous les échanges avec le vendeur. Ces pièces serviront si le litige porte sur la garantie ou sur la responsabilité du professionnel. La troisième étape est d’alerter le vendeur par écrit, de préférence par lettre recommandée avec accusé de réception ou par un message conservé sur la plateforme d’achat : décrire précisément ce qui a été constaté, demander par écrit l’effacement à distance des comptes restés liés à l’appareil et la levée du verrouillage d’activation, et fixer un délai de réponse. Ce courrier crée la trace qui manquait à beaucoup de demandeurs déboutés du surplus de leurs prétentions. Dans un jugement du 15 mars 2024, le tribunal judiciaire de Paris a ainsi condamné une plateforme de reconditionné à rembourser 880,15 euros à l’acheteur d’un téléphone en panne deux semaines après l’achat, tout en rejetant la demande fondée sur des « manœuvres commerciales » faute de preuve, l’acheteur n’ayant versé qu’un article de presse postérieur à sa requête, jugé insuffisant pour caractériser de telles pratiques.

Un point technique mérite une attention particulière : le verrouillage d’activation lié au compte de l’ancien propriétaire. Tant que ce verrou n’est pas levé, l’appareil reste rattaché à son compte et toute réinitialisation sauvage risque de le rendre inutilisable, ce qui compliquerait ensuite la mise en œuvre de la garantie. Il faut donc demander au vendeur, par le même écrit, de procéder lui-même à la dissociation du compte et de fournir un appareil réinitialisé selon la procédure du fabricant. Si l’achat est passé par une plateforme en ligne, utilisez aussi son dispositif de signalement pour litige : la réclamation interne horodatée complète le dossier et prouve que le vendeur a été mis en mesure de corriger la situation avant toute action en justice. Conservez chaque accusé de réception : en cas de silence ou de refus, ces pièces établissent la mauvaise foi du vendeur et justifient le passage à l’étape suivante.

B. Vos droits contre le vendeur professionnel : garantie de conformité, effacement des données, réparation du préjudice

Lorsque le téléphone a été acheté auprès d’un professionnel, la garantie légale de conformité s’applique aux biens d’occasion et reconditionnés comme aux biens neufs. L’article L. 217-3 du code de la consommation dispose : « Le vendeur délivre un bien conforme au contrat ainsi qu’aux critères énoncés à l’article L. 217-5 » Un appareil livré avec les données personnelles d’un tiers et des comptes encore connectés n’est pas conforme à ce qu’un acheteur peut légitimement attendre d’un téléphone reconditionné, censé avoir subi des tests complets et une remise en état avant sa remise en vente. L’administration rappelle, dans sa page du 20 novembre 2025 sur les objets d’occasion et reconditionnés, que la garantie légale de conformité ne joue que pour les achats d’un particulier ou d’une association auprès d’un vendeur professionnel, et que pour un bien d’occasion ou reconditionné la présomption d’antériorité du défaut vaut pendant un an, contre deux ans pour le neuf (voir aussi la fiche Service public, achat d’un produit : garantie légale de conformité). Pendant cette première année, l’acheteur n’a donc pas à prouver que le défaut existait au jour de la vente : la présence de données résiduelles, constatée par huissier ou par des captures datées, suffit à renverser la charge de la preuve vers le vendeur.

Le consommateur choisit alors la sanction. L’article L. 217-9 du code de la consommation prévoit : « Le consommateur sollicite auprès du vendeur la mise en conformité du bien, en choisissant entre la réparation et le remplacement. » Concrètement, l’acheteur peut exiger un appareil correctement effacé et reconditionné, ou son remplacement ; si ces solutions sont impossibles ou n’interviennent pas dans les trente jours, il peut obtenir la résolution de la vente et le remboursement intégral contre restitution de l’appareil. C’est exactement ce qu’a jugé le tribunal judiciaire de Paris le 15 mars 2024 : face à un téléphone reconditionné tombé en panne quinze jours après son achat et à un vendeur qui opposait une exclusion de garantie pour un choc contredit par un diagnostic du fabricant, le tribunal a condamné la plateforme à rembourser le prix, 880,15 euros, dès restitution du téléphone par l’acheteur. Le même jugement ajoute une indemnisation spécifique aux données : « la demande de dommages et intérêts de Monsieur [T] pour perte de données doit être accueillie à hauteur de 300 euros », alors même que l’acheteur n’établissait pas précisément la valeur des notes et photos perdues. Le juge a retenu que, du point de vue du juge et compte tenu de l’espèce, l’acheteur avait nécessairement subi un préjudice. Cette solution compte : elle reconnaît un préjudice de perte de données personnelles indemnisable en tant que tel, distinct du prix de l’appareil.

À côté de la garantie, le droit des données personnelles donne un levier propre. Le règlement général sur la protection des données impose au vendeur professionnel qui traite des appareils contenant des données de tiers des obligations de sécurité et d’effacement. L’article 5 du règlement (UE) 2016/679 impose que les données soient traitées de façon licite, loyale et transparente au regard de la personne concernée, et l’article 17 reconnaît à toute personne le droit d’obtenir du responsable du traitement l’effacement de ses données dans les meilleurs délais, avec l’obligation pour ce dernier d’y procéder sans tarder. L’acheteur qui découvre des données d’autrui peut donc mettre le vendeur en demeure de procéder à l’effacement complet et d’attester de la procédure de reconditionnement appliquée. En cas d’inaction, une plainte auprès de la CNIL documente le manquement et prépare l’action en réparation : l’article 1240 du code civil rappelle que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Lorsque la vente est intervenue par l’intermédiaire d’une plateforme, il faut assigner le bon défendeur : dans l’affaire jugée en mars 2024, la plateforme se présentait comme simple intermédiaire, chaque contrat étant conclu avec le vendeur ; le tribunal a condamné l’exploitant de l’enseigne, désigné par son extrait Kbis, à raison de son rôle dans la transaction. Vérifier l’identité juridique exacte du vendeur, sur la facture et au registre du commerce, avant d’agir, évite une assignation dirigée contre une coquille vide.

Lorsque le téléphone a été commandé en ligne, un autre droit s’ajoute, sans condition de défaut : la rétractation. L’article L. 221-18 du code de la consommation dispose : « Le consommateur dispose d’un délai de quatorze jours pour exercer son droit de rétractation d’un contrat conclu à distance ». Ce délai court à compter de la réception de l’appareil et permet de le renvoyer pour être remboursé, sans avoir à démontrer le défaut de conformité. C’est souvent la voie la plus rapide quand le vendeur conteste : plutôt que de débattre de l’origine des données résiduelles, l’acheteur exerce sa rétractation dans les quatorze jours, parallèlement à la mise en demeure au titre de la garantie. Sur le fond, le critère de conformité joue en faveur de l’acheteur : l’article L. 217-5 du code de la consommation exige que « le bien est conforme s’il répond aux critères suivants : 1° Il est propre à l’usage habituellement attendu d’un bien de même type ». Or l’usage normalement attendu d’un téléphone reconditionné suppose un appareil vidé de toute donnée de tiers, avec des comptes dissociés et un espace de stockage disponible : un mobile livré avec la photothèque et la messagerie d’un inconnu ne remplit pas ce critère. La mise en demeure doit donc viser ces deux fondements, garantie de conformité et protection des données, et chiffrer chaque préjudice : prix payé, temps passé, risque d’utilisation frauduleuse des comptes restés ouverts, et perte des données personnelles que l’acheteur avait lui-même commencées à transférer sur l’appareil défectueux.

II. Vous avez vendu, donné ou confié votre téléphone sans l’avoir correctement effacé : vos données sont entre des mains inconnues

A. Couper les accès et limiter la casse : effacement à distance, révocation des sessions, plainte en cas d’usage frauduleux

Le cas symétrique est celui du vendeur : le téléphone cédé contient encore la messagerie, les photos, les identifiants bancaires ou les doubles de pièces d’identité. La Commission nationale de l’informatique et des libertés recommande, dans sa fiche du 11 décembre 2020 consacrée à l’effacement des données avant de se séparer d’un appareil, de supprimer ses données à chaque cession, vente ou échange, y compris quand le mobile est confié à son opérateur dans le cadre d’un échange avec un nouvel appareil, afin d’éviter qu’une autre personne ne les retrouve, cette opération étant de manière générale irréversible. Quand l’effacement n’a pas été fait avant la remise, il reste des mesures d’urgence : déclencher l’effacement à distance depuis le compte du fabricant, révoquer les sessions actives de la messagerie et des réseaux sociaux, changer les mots de passe en commençant par la boîte mail principale qui commande les réinitialisations, prévenir la banque si des moyens de paiement ou des relevés sont accessibles, et demander à l’opérateur le blocage de la ligne en cas de carte SIM restée dans l’appareil. Chaque action doit être horodatée et conservée : historique des connexions, captures des sessions révoquées, récépissés de dépôt de plainte.

Si les données sont effectivement exploitées par le détenteur de l’appareil, la réponse pénale existe. L’accès aux comptes restés connectés et l’utilisation des identifiants relèvent de l’article 323-1 du code pénal cité plus haut, et l’usage de pièces d’identité ou de coordonnées pour se faire passer pour l’ancien propriétaire relève de l’article 226-4-1. Le dépôt de plainte doit décrire avec précision les faits constatés : connexions inconnues, messages envoyés à votre nom, achats passés avec vos moyens de paiement, comptes modifiés. La plainte fige la chronologie et ouvre l’enquête sur l’adresse IP et les journaux de connexion ; elle fonde aussi la constitution de partie civile pour le préjudice financier et moral. Parallèlement, toute personne dont les données sont traitées sans base légale par le détenteur actuel de l’appareil peut exercer son droit d’accès : l’article 15 du règlement général sur la protection des données lui donne le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées et, dans l’affirmative, l’accès à ces données ainsi qu’aux informations sur leurs finalités, leurs destinataires et leur durée de conservation. Adressée au professionnel qui a revendu l’appareil sans l’effacer, cette demande l’oblige à répondre et à indiquer les destinataires des données, ce qui éclaire la chaîne des responsabilités.

Quand la carte SIM est restée dans l’appareil cédé, demandez immédiatement à l’opérateur le blocage de la ligne et la délivrance d’une nouvelle carte : les appels, les SMS de validation et les codes à usage unique reçus par le détenteur du téléphone lui ouvrent l’accès à vos comptes bancaires et administratifs. Vérifiez ensuite les comptes sensibles un par un, en commençant par la messagerie principale, les banques et l’espace fiscal, et relevez toute connexion inconnue. Si le téléphone a été confié à un professionnel pour réparation ou reprise et qu’il a disparu, exigez par écrit la traçabilité de l’appareil : bon de dépôt, numéro de suivi, nom du sous-traitant. Dans l’affaire jugée en juillet 2024, c’est l’incapacité du professionnel à justifier du sort de l’appareil, combinée à l’absence d’information prouvée sur la sauvegarde préalable, qui a fondé sa condamnation. Le dépôt de plainte en ligne puis en commissariat pour les usages frauduleux constatés complète le dispositif : chaque fait daté et documenté renforce la demande d’indemnisation qui suivra.

B. Engager la responsabilité du professionnel et obtenir réparation : réparation, perte de l’appareil, préjudice moral

Le professionnel qui reçoit un téléphone pour le réparer, le reprendre ou le reconditionner devient dépositaire des données qu’il contient. Sa responsabilité contractuelle est engagée s’il les efface sans prévenir, s’il les laisse fuir ou s’il perd l’appareil. L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le tribunal judiciaire de Paris a appliqué ce texte le 31 juillet 2024 à un opérateur qui avait effacé l’intégralité des données d’un téléphone confié en réparation avant de déclarer l’appareil perdu : le tribunal a relevé que le professionnel « ne démontre pas avoir informé » son client « du risque de suppression des données contenues dans son téléphone portable dans le cadre des opérations de réparation et de la nécessité de réaliser une sauvegarde avant remise du téléphone pour réparation », et que les clauses de non-responsabilité invoquées figuraient dans des documents « non visés » par le client. La leçon est double : le professionnel doit informer et faire signer avant toute intervention, et le client doit exiger cet écrit avant de remettre son appareil. Faute de preuve de cette information, la responsabilité du professionnel a été retenue et le tribunal l’a condamné à payer « la somme de 2000 euros en réparation du préjudice moral subi par la perte de ces données », les attestations établissant que le téléphone contenait des photos et vidéos personnelles accumulées depuis plusieurs années.

Pour le reconditionneur qui remet en vente un appareil sans l’avoir effacé, la faute se situe à la croisée du droit de la consommation et du droit des données personnelles. L’article 32 du règlement général sur la protection des données exige du responsable du traitement et de son sous-traitant des mesures techniques et organisationnelles appropriées garantissant un niveau de sécurité adapté au risque, y compris la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement. Un processus de reconditionnement sérieux comporte donc une étape d’effacement vérifié et documenté, appareil par appareil, avec traçabilité des numéros de série. L’absence d’une telle procédure, révélée par la découverte de données d’un ancien propriétaire dans un lot remis en vente, caractérise un manquement à la sécurité du traitement, invocable devant la CNIL et devant le juge civil à l’appui d’une demande de dommages et intérêts. La victime joint à sa demande l’ensemble des pièces déjà réunies : facture, captures d’écran, courrier de mise en demeure resté sans réponse, récépissé de plainte CNIL, dépôt de plainte pénale le cas échéant. L’articulation des actions compte : agir d’abord contre le vendeur sur le terrain de la conformité pour obtenir le remboursement ou le remplacement, puis sur le terrain des données personnelles pour l’effacement et la réparation du préjudice moral, donne au dossier sa cohérence et évite les demandes confuses que les tribunaux rejettent.

En pratique, la plainte auprès de la CNIL se dépose en ligne et doit exposer la chronologie complète : date d’achat ou de remise de l’appareil, découverte des données résiduelles ou de leur exploitation, démarches écrites auprès du vendeur et réponses reçues. Le signalement sur la plateforme publique de la répression des fraudes documente parallèlement le manquement du professionnel au regard du droit de la consommation. Ces démarches administratives ne remplacent pas l’action judiciaire, mais elles en constituent le socle probatoire : un vendeur déjà signalé pour des pratiques identiques et mis en demeure sans résultat aborde mal une audience. L’action en justice se porte devant le tribunal judiciaire, sur les fondements cumulés de la garantie légale de conformité pour le remboursement et du droit commun de la responsabilité, contractuelle contre le professionnel qui a manqué à ses obligations de sauvegarde et d’information, délictuelle contre celui qui a exploité des données sans droit. Les deux jugements parisiens de 2024 montrent que les tribunaux accueillent ces demandes quand les pièces sont réunies : remboursement du prix contre restitution de l’appareil, indemnisation de la perte de données même imparfaitement chiffrée, et réparation du préjudice moral lié à des années de souvenirs perdus.

Un téléphone reconditionné ou d’occasion n’est donc pas seulement un objet : c’est un support de données dont chaque maillon de la chaîne répond. L’acheteur qui découvre les traces d’un autre ne les exploite pas, les fait constater et écrit au vendeur ; le vendeur qui s’est séparé de son appareil sans l’effacer coupe les accès à distance et révoque ses sessions ; et chacun exige du professionnel la preuve de ses procédures d’effacement et de sauvegarde. Les tribunaux indemnisent la perte de données personnelles quand elle est établie, de 300 euros pour des notes et photos perdues dans un litige de reconditionné à 2 000 euros de préjudice moral pour des années de souvenirs effacés puis un appareil perdu. Documenter tôt, écrire vite, viser le bon défendeur : c’est ce qui transforme un mauvais achat ou une revente imprudente en réparation obtenue.