Votre téléphone a disparu dans le métro, il vous a été arraché dans la rue ou vous l’avez simplement perdu. Passé le choc, une évidence s’impose : l’appareil concentre votre boîte mail, votre banque en ligne, vos photos, vos conversations, vos moyens de paiement sans contact et souvent la réception des codes de sécurité qui protègent vos autres comptes. Celui qui le détient peut lire vos messages, demander la réinitialisation de vos mots de passe, payer avec votre carte et usurper votre identité auprès de vos contacts. Chaque heure compte, et chaque démarche compte double : elle protège vos données et elle conditionne vos recours.
La réponse tient en deux mouvements. D’abord, les réflexes des premières heures : localiser, verrouiller puis effacer l’appareil à distance, couper l’accès à vos comptes, suspendre la ligne et faire opposition. Ensuite, le parcours juridique : porter plainte, exiger l’effacement de vos données auprès des organismes qui les conservent, saisir la CNIL et le juge, et obtenir la réparation de votre préjudice. Le règlement général sur la protection des données (RGPD), le code pénal et le code monétaire et financier, éclairés par deux décisions rendues en 2025 et 2026, dessinent ce parcours avec précision. Cet article décrit d’abord les gestes qui empêchent l’accès à vos données, puis les recours qui permettent d’effacer vos traces et de chiffrer votre préjudice. Il s’adresse aussi bien au particulier dont le téléphone personnel concentrait toute la vie numérique qu’au salarié doté d’un appareil professionnel mêlant données personnelles et données de l’employeur, car les deux situations appellent les mêmes réflexes immédiats avant de diverger sur les responsabilités.
I. Dans les premières heures : empêcher l’accès à vos données
A. Localiser, verrouiller puis effacer le téléphone à distance
La première chose à faire consiste à tenter de localiser et de verrouiller l’appareil à distance. Le site Service-Public l’indique pour le vol comme pour la perte : vous pouvez utiliser une application de localisation ou les outils intégrés comme « Localiser mon iPhone » ou « Localiser mon appareil Android » (Service-Public, vol d’un téléphone portable ; Service-Public, perte d’un téléphone portable). La fonction de localisation doit avoir été activée avant la disparition pour que ces outils répondent. Si la localisation aboutit et désigne un lieu précis, le même site prévient : Si la localisation aboutit et désigne un lieu précis, prévenez la police ou la gendarmerie et n’agissez pas seul, comme le recommande Service-Public (Service-Public, vol d’un téléphone portable). Se rendre seul à l’adresse affichée expose à un affrontement inutile et peut compromettre la procédure.
Le verrouillage à distance fige l’écran d’accueil et affiche un message avec un numéro où vous joindre. Quand le retour de l’appareil devient improbable, ou quand il contient des données sensibles, l’effacement à distance prend le relais : La plupart des téléphones récents offrent un effacement à distance des contenus, photos et SMS, avec désactivation de l’accès aux mails et aux autres applications (Service-Public, perte d’un téléphone portable). L’effacement supprime les photos, les SMS, les conversations et les jetons de session stockés dans les applications, et il désactive l’accès aux mails et aux autres comptes restés connectés. Décidez vite : tant que l’appareil reste localisable, il reste aussi exploitable par celui qui le détient. Conservez dans tous les cas les captures d’écran de la localisation, de l’heure du verrouillage et de l’ordre d’effacement : elles prouveront la diligence dont vous avez fait preuve.
Cette anticipation se prépare avant la disparition. La Commission nationale de l’informatique et des libertés (CNIL) consacre une publication entière aux bons réflexes en cas de perte ou de vol de matériel informatique nomade, smartphones compris, et y rappelle que la sécurisation des supports mobiles repose sur des mesures simples et peu coûteuses (CNIL, perte ou vol de matériel informatique nomade : les bons réflexes). Code de déverrouillage robuste, chiffrement du téléphone activé, sauvegarde automatique vers un espace dont vous seul détenez les accès, verrouillage automatique après quelques secondes : ces réglages déterminent si le voleur trouve un coffre-fort ou un tiroir ouvert. Un téléphone sans code d’écran, avec la boîte mail restée connectée et l’application bancaire accessible sans nouvelle authentification, offre à celui qui s’en empare la totalité de votre identité numérique.
Pensez aussi aux objets connectés appairés : montre, tablette, ordinateur resté synchronisé avec le téléphone. La messagerie synchronisée sur l’ordinateur familial ou professionnel permet de recevoir les codes de validation envoyés par SMS ou par application. Déconnectez les sessions actives depuis un autre appareil dès que possible, et révoquez les autorisations accordées aux applications tierces qui utilisaient votre compte comme identifiant de connexion.
Si l’appareil perdu ou volé servait aussi un usage professionnel, prévenez votre employeur le jour même, en plus de l’opérateur et de la banque. L’entreprise peut déclencher l’effacement sélectif des données professionnelles via son outil de gestion de flotte, révoquer vos accès au réseau interne et tracer les connexions inhabituelles à votre messagerie professionnelle. Demandez au délégué à la protection des données de l’entreprise quelles données vous concernant figuraient sur l’appareil et dans ses sauvegardes, et exigez la confirmation écrite de leur suppression quand elles ne sont plus nécessaires. Cette démarche protège à la fois les secrets de l’entreprise et vos propres données, car un téléphone mixte expose les deux.
B. Couper les accès : mots de passe, ligne, carte bancaire et preuves à garder
Changez ensuite vos mots de passe, en commençant par la boîte mail, le compte bancaire et les réseaux sociaux. Service-Public recommande ce changement rapide parce que les mots de passe restent stockés dans la mémoire des applications du téléphone, et qu’un voleur peut les retrouver et utiliser vos comptes (Service-Public, vol d’un téléphone portable). Procédez dans un ordre réfléchi : la boîte mail d’abord, car elle sert de pivot pour réinitialiser presque tous les autres mots de passe ; les comptes bancaires et les moyens de paiement ensuite ; les réseaux sociaux et les plateformes de commerce enfin. Activez sur chacun la déconnexion de toutes les sessions existantes quand l’option existe. Si votre second facteur de vérification arrivait par SMS sur le numéro volé, basculez-le vers une application d’authentification ou vers votre nouveau numéro dès que la ligne est rétablie, et désactivez l’ancien mode de réception.
Joignez immédiatement votre opérateur pour faire suspendre votre ligne, c’est-à-dire désactiver votre carte SIM afin d’empêcher toute utilisation frauduleuse. Service-Public précise que cette déclaration se fait depuis l’espace client sur le site de l’opérateur ou par son numéro d’urgence, et avertit que les communications passées par le voleur avant cette déclaration restent facturées (Service-Public, vol d’un téléphone portable). Lors de cet appel, demandez le numéro IMEI de l’appareil, son identifiant à quinze chiffres : la police ou la gendarmerie l’exigera pour la plainte, et il permettra d’identifier le téléphone s’il est retrouvé. Notez l’heure exacte de l’appel, le nom de l’interlocuteur et le numéro de dossier : ces éléments établiront que vous avez agi sans tarder.
Alertez votre banque sans attendre et faites opposition sur la carte associée au téléphone, y compris quand vous pensez que la carte physique est restée en votre possession : le paiement sans contact et les portefeuilles numériques enregistrés dans l’appareil suffisent à débiter votre compte. Le code monétaire et financier impose à l’utilisateur d’informer son prestataire dès qu’il a connaissance de la perte, du vol ou de toute utilisation non autorisée : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » (article L. 133-17 du code monétaire et financier). Ce signalement rapide plafonne votre exposition : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € » (article L. 133-19 du code monétaire et financier).
L’inertie, en revanche, se paie. Le tribunal judiciaire de Paris a débouté en juin 2025 le titulaire d’un compte dont le téléphone avait été volé et dont le compte avait subi des virements frauduleux : l’intéressé n’établissait pas avoir fait bloquer sa carte SIM auprès de son opérateur, il avait informé sa banque des transactions litigieuses plus d’un mois après les faits, et le tribunal a retenu qu’il avait ainsi commis une négligence grave au sens du régime des opérations non autorisées (TJ Paris, 9e ch. 1re sect., 24 juin 2025, RG 22/12428). Le même texte qui vous protège prévoit en effet l’exception : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L. 133-19 du code monétaire et financier). La leçon pratique est directe : bloquez la SIM, informez la banque par écrit dès les premiers débits suspects, déposez plainte et conservez chaque récépissé. Ces pièces feront la différence entre le remboursement et le rejet.
Constituez dès le premier jour un dossier : récépissé de plainte, attestation de suspension de ligne de l’opérateur, courriers et relevés bancaires, captures de la localisation et de l’effacement à distance, liste des comptes dont vous avez changé les mots de passe avec leurs dates. Si vous êtes assuré contre le vol, déclarez le sinistre dans le délai prévu par votre contrat et communiquez l’IMEI à l’assureur. Relevez enfin les numéros d’urgence de votre opérateur et de votre banque dans un endroit accessible sans votre téléphone, carnet conservé à part ou proche de confiance, afin de pouvoir agir même sans accès à vos mails ni à votre espace client.
II. Faire reconnaître vos droits et obtenir réparation
A. Porter plainte et qualifier les faits : du vol à l’usurpation d’identité
En cas de vol, portez plainte au plus vite auprès d’un commissariat ou d’une brigade de gendarmerie, en donnant le numéro IMEI de l’appareil ; en cas de simple perte, la plainte n’est pas exigée, mais la suspension de la ligne reste immédiate (Service-Public, vol d’un téléphone portable ; Service-Public, perte d’un téléphone portable). Le code pénal définit le point de départ : « Le vol est la soustraction frauduleuse de la chose d’autrui » (article 311-1 du code pénal). La plainte déclenche l’enquête, permet l’inscription du téléphone dans les fichiers de police et conditionne, le cas échéant, l’indemnisation par l’assurance. Décrivez avec précision les circonstances, le lieu, l’heure, les témoins éventuels et la valeur de l’appareil et des accessoires.
Les faits qui suivent le vol appellent souvent d’autres qualifications. Quand le voleur ouvre votre messagerie, consulte vos comptes ou se maintient dans vos applications, il entre dans le champ de l’atteinte aux systèmes de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal). Quand il copie vos contacts, vos photos ou vos documents pour les exploiter ou les revendre, c’est la collecte illicite de données qui s’applique : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-18 du code pénal). Et quand il se fait passer pour vous auprès de votre banque, de votre employeur ou de vos proches, l’usurpation d’identité est constituée : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende » (article 226-4-1 du code pénal).
Signalez chaque fait nouveau par un complément de plainte : messages envoyés en votre nom, demandes de crédit, créations de comptes, tentatives de connexion que les alertes de sécurité de vos services vous révèlent. Ces compléments nourrissent l’enquête et établissent la chronologie du préjudice. Si un faux compte ou une utilisation frauduleuse de votre identité apparaît en ligne, le parcours d’effacement et de signalement propre à l’usurpation complète la plainte, comme le décrit l’article consacré à l’usurpation d’identité en ligne : effacement, plainte et réparation. Quand des débits bancaires non autorisés s’ajoutent au vol, la contestation écrite auprès de la banque dans les plus brefs délais reste la condition du remboursement, ainsi que l’a montré le jugement parisien de 2025 cité plus haut : informer tard et sans preuve du blocage de la ligne conduit au rejet.
Surveillez enfin votre identité dans la durée : relevés bancaires scrutés pendant plusieurs mois, alertes de connexion activées sur chaque service, vigilance sur le courrier et les appels inhabituels. Les données copiées avant l’effacement à distance, liste de contacts, copies de pièces d’identité photographiées, relevés stockés dans la galerie, peuvent resservir des semaines plus tard pour un démarchage frauduleux ou une tentative d’ouverture de compte. Vérifiez aussi vos factures d’opérateur des deux mois suivants : seules les communications passées avant la suspension de la ligne peuvent vous être facturées, et toute facturation postérieure au blocage doit être contestée par écrit, récépissé de suspension à l’appui.
B. Effacement, CNIL et juge : contraindre les organismes et chiffrer le préjudice
Le vol n’efface pas vos droits sur vos données. Après avoir effacé le contenu du téléphone lui-même, adressez-vous aux organismes qui conservent une copie de vos informations : opérateur pour les données de localisation et de facturation, éditeurs d’applications, plateformes de sauvegarde, employeur quand l’appareil servait aussi un usage professionnel. Le RGPD vous donne un droit direct : chacun peut obtenir du responsable du traitement l’effacement de ses données dans les meilleurs délais, notamment quand elles ne sont plus nécessaires, quand le consentement est retiré sans autre fondement juridique, ou après un traitement illicite (article 17, paragraphe 1, du RGPD). Ce droit joue notamment quand les données ne sont plus nécessaires au regard des finalités de leur collecte, quand vous retirez votre consentement sans autre fondement juridique, ou quand les données ont fait l’objet d’un traitement illicite, par exemple après leur récupération par le voleur. Identifiez dans chaque demande le compte concerné, les catégories de données visées et le motif d’effacement invoqué, et joignez une preuve d’identité : l’organisme doit pouvoir vérifier qu’il s’adresse bien à la personne concernée.
L’organisme saisi ne peut ni garder le silence ni répondre vaguement. Il doit vous informer des mesures prises dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande (article 12, paragraphe 3, du RGPD). S’il refuse de donner suite, il doit vous en avertir sans tarder et au plus tard dans un délai d’un mois, en motivant son inaction et en rappelant la réclamation possible devant l’autorité de contrôle et le recours juridictionnel (article 12, paragraphe 4, du RGPD). Un refus non motivé, une réponse hors délai ou une réponse qui renvoie vers des pages d’aide génériques sans traiter votre cas ouvrent donc directement la voie du recours. Avant l’effacement, exercez si besoin votre droit d’accès pour savoir exactement ce que l’organisme conserve : catégories de données, destinataires, durées de conservation. Ce droit d’accès éclaire aussi la suite, car il révèle les transmissions que le voleur a pu détourner.
Quand l’organisme refuse ou ne répond pas, la plainte devant la CNIL prend le relais. Déposez-la en ligne en joignant vos demandes initiales, les réponses reçues et les preuves du vol : récépissé de plainte pénale, attestation de suspension de ligne, captures de l’effacement à distance. Le parcours complet de cette plainte, ses délais et ses suites sont décrits dans l’article consacré à la plainte devant la CNIL restée sans réponse : le parcours complet. Si vos données ont fuité par l’intermédiaire d’un service après le vol, parce que le voleur a accédé à votre espace client ou parce qu’un prestataire a tardé à bloquer l’accès, les obligations de sécurité des organismes entrent en jeu. Le règlement impose d’abord la notification à l’autorité : en cas de violation, le responsable la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf quand la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés (article 33, paragraphe 1, du RGPD). Quand la violation présente un risque élevé pour vos droits et libertés, le responsable doit vous la communiquer dans les meilleurs délais (article 34, paragraphe 1, du RGPD). La conduite à tenir dans ce cas figure dans l’article sur la fuite de données personnelles : vérifier, protéger et obtenir réparation.
L’effacement connaît toutefois des limites que le juge apprécie au cas par cas. La première chambre civile de la Cour de cassation l’a rappelé en juin 2026 à propos d’une demande de suppression d’un article de presse ancien : « il appartient au juge saisi de mettre ces droits en balance en fonction des intérêts en jeu et de privilégier la solution la plus protectrice de l’intérêt le plus légitime » (Cass. 1re civ., 3 juin 2026, n° 25-14.228). En l’espèce, la Cour a rejeté le pourvoi et laissé l’article en ligne, le droit à l’information du public l’ayant emporté sur la demande d’anonymisation. La leçon vaut pour vos demandes : l’effacement prospère quand les données ne servent plus aucun intérêt légitime, comme une géolocalisation conservée après la clôture du compte ou des sauvegardes maintenues malgré votre opposition, et il échoue quand un intérêt supérieur justifie la conservation, comme une obligation légale de conservation des données de facturation par l’opérateur. Formulez donc chaque demande en visant des données précises devenues inutiles, plutôt qu’en réclamant une suppression totale que l’organisme refusera.
La réparation, enfin, se demande au responsable du traitement puis au juge. Le RGPD ouvre ce droit sans détour : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du RGPD). Chiffrez chaque poste : débits bancaires non remboursés, frais de renouvellement des titres et documents, coût d’un nouvel appareil quand l’assurance ne couvre pas, temps consacré aux démarches, et préjudice moral lié à l’exposition de votre vie privée, messages intimes lus, photos diffusées, anxiété durable. Produisez les justificatifs poste par poste : relevés, factures, attestations, constats. La plainte devant la CNIL vise le contrôle et la sanction de l’organisme ; la demande d’argent, elle, se porte devant le juge judiciaire, qui l’évalue pièces à l’appui. C’est l’articulation normale des deux voies : l’autorité fait cesser le manquement, le juge répare le dommage.
Un téléphone volé ou perdu n’est donc pas seulement un objet à remplacer : c’est une identité numérique à reconquérir. Localiser puis effacer l’appareil, changer les mots de passe dans le bon ordre, suspendre la ligne et faire opposition sans tarder, porter plainte avec l’IMEI, exiger l’effacement de vos données auprès de chaque organisme, saisir la CNIL en cas de refus et chiffrer chaque poste de préjudice devant le juge : à chaque étape, la rapidité et les preuves écrites font la différence entre une parenthèse refermée et un contentieux perdu. Le jugement parisien de 2025 le montre à l’envers, la négligence documentée fait échec au remboursement, tandis que la victime diligente, qui bloque, signale et conserve chaque récépissé, se donne les moyens d’effacer ses données et d’obtenir réparation.