Votre compte Instagram ne vous répond plus, votre adresse électronique a été modifiée à votre insu, ou des proches vous signalent un profil qui porte votre nom et vos photos sans que vous l’ayez créé. Deux situations proches mais juridiquement distinctes appellent alors deux séries de réflexes : la prise de contrôle de votre propre compte, d’un côté, et la création d’un faux profil qui usurpe votre identité, de l’autre. Dans les deux cas, le temps joue contre vous, car le pirate peut écrire à vos contacts, collecter des données ou commettre des escroqueries sous votre nom pendant que vous cherchez la bonne procédure.
Le droit français offre pourtant des leviers précis : récupération du compte auprès de la plateforme, signalement et retrait des contenus illicites, plainte pénale pour usurpation d’identité et accès frauduleux, identification de l’auteur en justice, réclamation devant la CNIL et réparation du préjudice devant le juge. Cet article décrit, dans l’ordre où il faut agir, comment récupérer l’accès à votre compte, comment faire retirer un faux profil, comment faire sanctionner l’auteur et comment obtenir réparation de votre préjudice.
I. Comment récupérer votre compte et faire cesser l’usurpation ?
A. Votre compte Instagram a été piraté : quels réflexes conservent vos droits ?
La première heure détermine la suite. Avant toute tentative de récupération, conservez les preuves : captures d’écran des messages d’alerte reçus par courriel, du profil modifié, des publications ou messages que vous n’avez pas émis, relevé de l’adresse électronique de notification qui a remplacé la vôtre. Ces éléments serviront à la plateforme, à la plainte et, le cas échéant, au juge. Ne supprimez rien et notez les dates et heures de chaque constatation.
Vérifiez ensuite votre messagerie : lorsque l’adresse électronique associée au compte est modifiée, Instagram envoie un message depuis l’adresse [email protected] pour vous en avertir. Ce message contient en principe une fonction permettant de revenir sur la modification si vous n’en êtes pas à l’origine. Agissez depuis ce message sans tarder, car le pirate cherche généralement à verrouiller l’accès en changeant successivement l’adresse électronique, le numéro de téléphone puis le mot de passe.
Si vous ne parvenez plus à vous connecter, la procédure de récupération passe par la page dédiée du réseau social, accessible à l’adresse instagram.com/hacked, qui guide la sécurisation du compte, ainsi que par l’espace de récupération de compte mis en place par Meta pour Facebook, Instagram et Threads. La page d’aide officielle consacrée au compte piraté recommande d’essayer toutes les étapes proposées, car certaines ne sont pas disponibles selon le type de compte : lien de connexion, confirmation d’identité, parfois vérification par vidéo. Conservez une trace écrite de chaque demande adressée à la plateforme, avec sa date : ces échanges prouveront votre diligence si le litige se prolonge.
Parallèlement, sécurisez tout ce qui touche au compte compromis. La CNIL recommande des mots de passe complexes, différents pour chaque service, et déconseille d’enregistrer les mots de passe dans le navigateur d’un ordinateur partagé. Si le pirate a obtenu votre mot de passe Instagram par hameçonnage, considérez que tous les comptes partageant ce mot de passe sont exposés : messagerie, banque en ligne, autres réseaux sociaux. Activez partout la vérification en deux étapes, qui exige un second facteur, code reçu par SMS ou application d’authentification, en plus du mot de passe. Cette mesure n’empêche pas à elle seule toutes les intrusions, notamment en cas d’interception du second facteur, mais elle complique notablement la tâche de l’attaquant et démontre votre diligence. Changez les mots de passe des autres services qui utilisaient le même identifiant ou le même mot de passe, activez la double authentification partout où elle existe et vérifiez les sessions ouvertes. Prévenez votre entourage proche par un autre canal que le compte piraté : vos contacts sont la cible secondaire classique, le pirate leur écrivant sous votre identité pour réclamer de l’argent ou diffuser des liens frauduleux. Pensez aussi à révoquer, depuis les réglages de sécurité du compte une fois l’accès récupéré, les applications tierces et les sites auxquels vous aviez accordé un accès : un jeton d’accès détourné permet au pirate de revenir même après un changement de mot de passe. Demandez également une copie de vos informations et contenus, afin de disposer d’une sauvegarde si des publications ont été supprimées pendant la prise de contrôle. Un message bref, envoyé par SMS ou par un autre réseau, limite la propagation du préjudice et constituera aussi une preuve de votre réaction rapide.
Sachez enfin que la récupération peut prendre du temps. Le dispositif public cybermalveillance.gouv.fr prévient que les plateformes n’ont aucune obligation contractuelle de réactivité et que leur procédure de récupération peut s’avérer très fastidieuse : de nombreux justificatifs peuvent être demandés et la procédure peut durer plusieurs jours. Cette lenteur ne vous laisse pas sans recours : si la plateforme ne répond pas ou refuse de restituer l’accès, les voies juridiques décrites ci-dessous, plainte, identification judiciaire de l’auteur, saisine de la CNIL et action devant le juge, prennent le relais. Chaque relance écrite restée sans réponse renforce d’ailleurs votre dossier.
B. Un faux profil circule à votre nom : comment le faire retirer rapidement ?
La situation diffère lorsque votre propre compte fonctionne encore mais qu’un second profil, créé par un tiers, utilise votre nom, vos photos ou vos informations pour se faire passer pour vous. La CNIL décrit l’usurpation d’identité en ligne comme l’utilisation, sans votre accord, d’informations permettant de vous identifier, qu’il s’agisse de vos nom et prénom, de votre adresse électronique ou de photographies. La même page distingue le faux profil destiné à nuire à votre réputation du message frauduleux destiné à soutirer des informations : relevez d’abord à laquelle de ces deux hypothèses correspond votre cas, car la qualification pénale et les preuves utiles en dépendent.
Commencez par constituer un dossier de signalement solide : adresse URL exacte du faux profil, captures d’écran du profil et de ses publications, comparaison avec votre véritable profil, et tout élément montrant que les informations sont bien les vôtres et non celles d’un homonyme. La CNIL recommande de vérifier d’abord l’hypothèse de l’homonyme, puis de réunir les adresses URL, les captures et les justificatifs pertinents. Pour la preuve de votre identité auprès de la plateforme, une copie en noir et blanc de votre carte d’identité et, si une photo de vous est usurpée, une photo récente de vous sont les justificatifs usuels.
Signalez ensuite le faux profil par tous les canaux disponibles. Le signalement intégré à l’application, motif usurpation d’identité, est le plus rapide. Doublez-le d’un signalement écrit et motivé adressé à l’hébergeur, car le droit européen impose aux plateformes un mécanisme de notification des contenus illicites : l’article 16 du règlement sur les services numériques impose aux hébergeurs un mécanisme de signalement des contenus illicites, accessible et utilisable par voie électronique. Votre notification doit donc être précise et étayée : explanation des raisons pour lesquelles le profil est illicite, adresse URL exacte, vos coordonnées. Joignez à votre notification les captures d’écran et la comparaison entre le faux profil et votre profil authentique, en surlignant les éléments repris : photographie, nom, biographie, liste d’abonnés en commun. Si le faux profil a déjà contacté vos proches ou publié des contenus en votre nom, ajoutez ces messages au dossier : ils établissent le trouble à votre tranquillité et l’atteinte à votre considération, conditions de l’infraction d’usurpation d’identité. Une notification complète prive la plateforme de l’argument selon lequel elle ne pouvait pas identifier le contenu litigieux.
En droit français, l’hébergeur qui, dûment notifié d’un contenu manifestement illicite, n’agit pas promptement pour le retirer engage sa responsabilité. La Cour de cassation l’a rappelé le 26 février 2025 à propos d’un hébergeur de fichiers, en sanctionnant le défaut de retrait prompt après notification sur le fondement de la loi pour la confiance dans l’économie numérique (arrêt n° 23-15.966). La Cour énonce la règle applicable : la responsabilité civile de l’hébergeur peut être engagée « seulement si, dès le moment où elles ont eu connaissance de leur caractère manifestement illicite, elles n’ont pas agi promptement pour retirer ces données ou en rendre l’accès impossible ». Le raisonnement vaut pour un faux profil constitutif d’usurpation d’identité : une fois notifiée précisément, la plateforme doit retirer le compte litigieux ou en rendre l’accès impossible dans un délai raisonnable. Si elle s’abstient, sa responsabilité civile peut être recherchée et le refus documenté servira devant la CNIL comme devant le juge.
Parallèlement au signalement, exercez vos droits sur vos données personnelles. Le faux profil traite des données qui vous concernent, nom, image, parfois adresse ou coordonnées, sans aucun fondement légitime. Le règlement européen sur la protection des données vous donne le droit d’obtenir l’effacement de données personnelles vous concernant dans les meilleurs délais, et le responsable du traitement est tenu d’effacer ces données lorsque l’un des motifs prévus s’applique, notamment l’absence de fondement licite : c’est ce que rappelle la CNIL, qui invite la victime à exiger directement du responsable du site la suppression de ses informations personnelles. Adressez à Meta, en tant que responsable du traitement, une demande écrite d’effacement du faux profil, distincte du signalement pour usurpation : les deux procédures se cumulent et leurs délais courent en parallèle. La plateforme doit vous répondre dans les meilleurs délais et en tout état de cause dans un délai maximal d’un mois à compter de la réception de la demande, délai prolongeable de deux mois en cas de complexité, avec information du demandeur. À défaut de réponse ou en cas de refus, la réclamation devant la CNIL et le recours devant le juge, décrits dans la seconde partie, deviennent vos leviers.
Lorsque l’auteur du faux profil est inconnu, l’identification judiciaire reste possible sans attendre. Le tribunal judiciaire de Paris a ainsi, par ordonnance de référé du 15 juillet 2026, fait droit à la demande d’une victime d’usurpation sur Facebook visant à obtenir de Meta Platforms Ireland Limited les données d’identification du créateur des comptes litigieux, en retenant l’article 226-4-1 du code pénal et l’article 6 de la loi pour la confiance dans l’économie numérique comme fondement du motif légitime. Conservez cette référence : même face à un profil anonyme, le juge des référés peut ordonner la communication des données d’identification conservées par l’hébergeur. La méthode complète pour obtenir une indemnisation quand l’auteur reste introuvable, avec les fondements de l’action contre la plateforme elle-même, est détaillée dans l’article du cabinet consacré à l’usurpation d’identité en ligne, au faux profil et aux comptes ouverts à votre nom, qui constitue le guide général du contentieux de l’usurpation.
II. Comment faire sanctionner l’auteur et obtenir réparation ?
A. Pourquoi et comment porter plainte pour un compte piraté ou usurpé ?
Le piratage d’un compte et la création d’un faux profil relèvent de plusieurs qualifications pénales, et le choix des infractions visées dans la plainte conditionne l’enquête. L’usurpation d’identité est définie par l’article 226-4-1 du code pénal : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». Trois conditions cumulatives s’en déduisent : l’usage de données permettant de vous identifier, une intention de nuire à votre tranquillité, à votre honneur ou à votre considération, et, précision importante, la commission sur un réseau de communication au public en ligne est punie des mêmes peines. Un faux profil Instagram qui reprend votre nom et vos photos pour publier en votre nom remplit en général ces trois conditions.
Le piratage de votre propre compte relève en outre des infractions informatiques. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », avec des peines aggravées lorsque l’intrusion a entraîné la suppression ou la modification de données ou une altération du fonctionnement du système. Le tribunal judiciaire de Paris a expressément retenu que ces dispositions sont susceptibles de s’appliquer aux actes commis par le pirate d’un compte, dans une ordonnance de référé du 12 novembre 2024 rendue après le piratage subi par deux sociétés. Visez donc les deux fondements dans votre plainte, usurpation d’identité et accès frauduleux, et ajoutez l’escroquerie si le pirate a sollicité de l’argent auprès de vos contacts : l’article 313-1 du code pénal la définit comme « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale », ce qui correspond exactement au pirate qui se fait passer pour vous afin de réclamer des fonds : la multiplication des qualifications sérieuses oriente l’enquête et ouvre la voie à la constitution de partie civile.
Le dépôt de plainte s’effectue au commissariat de police ou à la brigade de gendarmerie de votre domicile, avec l’ensemble de vos preuves, captures, messages, relevés de modifications du compte. Une pré-plainte en ligne permet de préparer le rendez-vous, mais la signature devant les enquêteurs reste nécessaire pour l’enregistrement. Lorsque le pirate vous a extorqué quelque chose ou a cherché à escroquer vos contacts en usurpant votre identité, le dépôt de plainte en ligne sur la plateforme THESEE du ministère de l’Intérieur est également possible, comme le recommande le dispositif cybermalveillance en cas de piratage de compte de réseau social. En parallèle, signalez les faits sur la plateforme 17Cyber pour être assisté dans vos démarches et sur Pharos pour le contenu illicite. Si vous n’avez encore qu’un soupçon, sans certitude d’usurpation, le service public indique qu’une main courante peut être déposée : elle fige la date de votre déclaration et pourra être transformée en plainte lorsque les faits se confirmeront (service-public.fr, fiche usurpation d’identité).
La plainte n’est pas seulement répressive : elle conditionne l’identification de l’auteur. Apportez aux enquêteurs un dossier ordonné : captures datées, adresses URL, messages reçus de l’adresse de notification de la plateforme, relevé des modifications constatées, liste de vos demandes à la plateforme avec leurs dates, attestations des proches démarchés par le pirate. Organisez ces pièces dans l’ordre chronologique et conservez les originaux numériques, car les enquêteurs peuvent avoir besoin des métadonnées. Si l’auteur reste inconnu au stade du dépôt, cela n’empêche pas la plainte : l’enquête, notamment par réquisitions auprès de l’hébergeur, sert précisément à l’identifier. Les hébergeurs conservent les données d’identification de leurs utilisateurs, et le juge peut en ordonner la communication. L’article 145 du code de procédure civile permet ainsi d’ordonner en référé, avant tout procès, toute mesure d’instruction légalement admissible : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige ». C’est sur ce fondement que le tribunal judiciaire de Paris a ordonné à Meta de livrer les données d’identification du créateur de faux profils dans l’ordonnance du 15 juillet 2026 déjà citée. Demandez à votre conseil d’articuler la plainte pénale et, si nécessaire, une assignation en référé aux fins d’identification : l’enquête pénale et la mesure civile d’instruction se complètent au lieu de se concurrencer.
Enfin, la constitution de partie civile permet de demander réparation directement devant le juge pénal. La chambre criminelle de la Cour de cassation a ainsi, le 2 septembre 2025, rejeté le pourvoi formé contre une condamnation pour maintien frauduleux dans un système de traitement automatisé de données et laissé subsister la condamnation de l’auteur à indemniser le préjudice moral de la victime (arrêt n° 24-83.605). La leçon est double : l’intrusion informatique dans un compte se poursuit et se répare pénalement, et la victime qui s’est constituée partie civile obtient l’indemnisation de son préjudice moral sans avoir à engager un procès civil séparé. Ne négligez donc pas la constitution de partie civile, y compris pour un préjudice qui vous semblerait modeste : les frais engagés, le temps perdu et l’atteinte à votre image entrent dans le préjudice réparable.
B. Comment saisir la CNIL et le juge pour effacer vos données et chiffrer votre préjudice ?
Lorsque la plateforme ne retire pas le faux profil, ne restitue pas votre compte ou ne répond pas à vos demandes, l’arsenal de la protection des données prend le relais. Procédez par écrit et dans l’ordre, car chaque étape conditionne la suivante. Adressez d’abord au responsable du traitement, en pratique Meta pour Instagram, des demandes précises fondées sur le règlement européen : droit d’accès à vos données, droit d’effacement du faux profil ou des contenus ajoutés par le pirate à votre compte, droit d’opposition à l’utilisation de votre image. Chaque demande doit être datée et conservée avec son accusé de réception. Comme indiqué plus haut, le responsable du traitement doit répondre dans un délai maximal d’un mois, prolongeable de deux mois en cas de complexité, et motiver tout refus.
En cas d’absence de réponse, de réponse incomplète ou de refus, vous pouvez introduire une réclamation auprès de la CNIL, sans préjudice de tout autre recours, comme l’indique le service public qui désigne la Commission nationale de l’informatique et des libertés comme l’autorité à saisir. La réclamation s’effectue en ligne sur le site de la CNIL et doit joindre vos demandes préalables et les réponses reçues : la Commission vérifie en premier lieu que vous avez exercé vos droits auprès du responsable du traitement. La CNIL peut ensuite instruire le dossier, mettre en demeure l’organisme et, si nécessaire, prononcer des mesures correctrices. Pour un faux profil Instagram, la réclamation porte utilement sur le défaut d’effacement et sur l’absence de réponse dans le délai d’un mois, deux manquements que vos écrits permettront d’établir simplement.
Parallèlement à la réclamation, le juge peut être saisi pour ordonner l’effacement et indemniser le préjudice. Le règlement européen ouvre un recours juridictionnel effectif contre le responsable du traitement, et le juge des référés peut ordonner le retrait des contenus et la communication des données d’identification, comme l’illustrent les ordonnances parisiennes citées dans cet article. La Cour de cassation a précisé le 3 juin 2026, à propos d’une demande d’effacement d’un article de presse archivé, que le droit au respect de la vie privée et la liberté d’expression ont la même valeur normative et qu’« il appartient au juge saisi de mettre ces droits en balance en fonction des intérêts en jeu et de privilégier la solution la plus protectrice de l’intérêt le plus légitime » (arrêt n° 25-14.228). Le fondement civil de cette protection figure à l’article 9 du code civil : « Chacun a droit au respect de sa vie privée », texte qui permet au juge de prescrire toutes mesures propres à faire cesser l’atteinte. Pour un faux profil de réseau social, la balance penche en général nettement vers l’effacement, car aucun intérêt d’information légitime ne s’attache à un profil mensonger, mais l’argument doit être plaidé avec méthode : montrez le caractère faux du profil, l’absence d’intérêt public et les répercussions concrètes subies.
La réparation financière obéit à un régime précis qu’il faut connaître avant de chiffrer. La Cour de cassation vise « l’article 82, paragraphe 1, du règlement (UE) 2016/679 » et rappelle : « Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (arrêt n° 24-22.792). Mais ce droit n’est pas automatique : la Cour de cassation a jugé le 24 juin 2026, au visa de ce texte, que le juge ne peut allouer des dommages et intérêts sans que la victime démontre l’existence et l’étendue de son préjudice (arrêt n° 24-22.792). Documentez donc chaque poste : temps passé à la récupération et aux signalements, frais éventuels, perte de messages ou de contenus professionnels, atteinte à votre image auprès de vos contacts, escroqueries commises sous votre nom, troubles et inquiétude. Captures, attestations de proches démarchés par le pirate, relevés de temps et justificatifs de frais transforment un préjudice allégué en préjudice prouvé, et c’est cette preuve qui fait l’indemnité.
À Paris et en Île-de-France, ce parcours suit les mêmes règles avec des guichets identifiés. La plainte se dépose au commissariat de votre arrondissement ou auprès de la brigade compétente, après une pré-plainte en ligne si vous le souhaitez. Les demandes d’identification et de retrait relèvent du tribunal judiciaire de Paris, qui concentre une jurisprudence fournie en référé sur les obligations des plateformes. La CNIL, installée place de Fontenoy dans le septième arrondissement de Paris, reçoit les réclamations en ligne. Mentionnez systématiquement votre lieu de résidence dans vos écrits : il détermine la juridiction territorialement compétente et, pour la réclamation européenne, l’autorité de contrôle la mieux placée.
Un compte Instagram piraté ou un faux profil à votre nom n’est donc ni une fatalité technique ni un simple incident de plateforme : c’est un fait susceptible de qualifications pénales précises, un traitement illicite de vos données personnelles et un préjudice réparable. Récupérez et signalez dans les premières heures, déposez plainte avec des qualifications complètes, exercez vos droits par écrit dans le délai d’un mois, saisissez la CNIL en cas d’échec et faites chiffrer un préjudice documenté devant le juge. Menées dans cet ordre, ces démarches cumulent leurs effets : le compte est restitué ou le faux profil retiré, l’auteur est identifié et poursuivi, et le préjudice restant est indemnisé. L’erreur à éviter est l’inaction ou l’action isolée : attendre que la plateforme réagisse sans déposer plainte fait perdre des preuves et des délais, tandis que multiplier les signalements sans conserver d’écrits prive le juge et la CNIL des pièces dont ils ont besoin pour vous donner raison.