Votre téléphone sonne. Un homme ou une femme se présente comme conseiller de votre banque, parfois du service antifraude. Il connaît votre nom, votre adresse, les quatre derniers chiffres de votre carte, parfois votre numéro de compte. Il vous alerte sur des opérations suspectes et vous demande de valider, de dicter un code reçu par SMS ou d’ajouter un bénéficiaire pour mettre vos fonds à l’abri. Quelques minutes plus tard, votre compte est débité d’un virement que vous n’avez jamais voulu. Ces informations précises dont disposait votre interlocuteur viennent souvent d’une fuite de données personnelles subie par un organisme qui détenait votre dossier. Deux terrains s’ouvrent alors : obtenir de votre banque le blocage et le remboursement des sommes parties, puis faire traiter la fuite à l’origine et obtenir réparation de ce second préjudice. Cet article suit cet ordre, car chaque démarche prépare la suivante.
I. Faire bloquer les paiements et exiger le remboursement de votre banque
A. Les gestes qui protègent vos fonds et fabriquent vos preuves
Le premier réflexe consiste à couper l’accès du fraudeur à vos comptes. Faites sans délai opposition sur votre carte bancaire et vos moyens de paiement, puis alertez votre banque de l’ensemble des paiements et des virements frauduleux, en demandant le remboursement, la suspension ou le retour des fonds. Le site officiel d’assistance aux victimes recommande de faire sans délai opposition à la carte bancaire après l’appel d’un faux conseiller, et explique que l’escroc s’appuie souvent sur des informations personnelles précises pour paraître crédible, parfois jusqu’à usurper le numéro de téléphone de la banque (Cybermalveillance.gouv.fr, fraude au faux conseiller bancaire). Le numéro d’opposition de votre banque figure sur son site et sur ses distributeurs, et le serveur interbancaire reste joignable jour et nuit. Conservez l’heure exacte de chaque appel et de chaque opposition : ces horodatages prouveront que vous avez agi sans tarder.
Déposez ensuite plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, en joignant tout ce que vous détenez : relevés, captures des SMS, numéro appelant, courriels, enregistrements de l’historique de connexion. Si la fraude porte aussi sur votre carte bancaire, signalez les faits sur la plateforme Perceval du ministère de l’Intérieur, même après un remboursement : ce signalement aide les autorités à identifier les auteurs, mais il ne remplace pas le dépôt de plainte (Service-public.fr, signalement Perceval). Sur le plan pénal, la collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite, car « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-18 du code pénal). L’usage de vos données identifiantes par un tiers qui se fait passer pour votre banque peut constituer une usurpation d’identité : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende » (article 226-4-1 du code pénal). Enfin, l’intrusion dans vos comptes en ligne relève de l’accès frauduleux : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal). Votre banque pourra exiger une copie du dépôt de plainte pour instruire votre demande de remboursement : la plainte n’est donc pas symbolique, elle conditionne la suite.
Écrivez enfin à votre banque une contestation formelle, par lettre recommandée avec accusé de réception ou par message sécurisé conservé : décrivez les faits, listez chaque opération contestée avec sa date et son montant, et demandez expressément le remboursement. Ce courrier fait courir les obligations de la banque et fige la date de votre signalement. Gardez-en une copie avec l’accusé de réception : en cas de refus de la banque, le médiateur bancaire puis le juge partiront de cette pièce maîtresse du dossier.
B. Le remboursement : principe, délai couperet et bataille de la négligence grave
Le principe posé par le code monétaire et financier est favorable au client : en cas d’opération non autorisée dûment signalée, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du code monétaire et financier). Une opération n’est autorisée que si vous avez donné votre consentement : « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution » (article L. 133-6 du code monétaire et financier, cité par la cour d’appel de Paris le 17 décembre 2025). Or valider un virement sous la pression d’un escroc qui se fait passer pour votre banque n’est pas un consentement éclairé : l’opération reste non autorisée et doit être remboursée. Si la banque tarde, la loi prévoit des pénalités : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours, selon ce même article L. 133-18 (article L. 133-18 du code monétaire et financier).
Ce remboursement suppose toutefois un signalement dans les temps : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Passé ce délai de treize mois à compter du débit, et sauf si la banque ne vous a pas fourni les informations sur l’opération, votre contestation devient irrecevable : vérifiez donc vos relevés dès le premier soupçon et ne laissez pas passer les semaines.
La banque oppose presque toujours la même défense : vous auriez commis une négligence grave en donnant vos codes. Cette défense existe dans la loi : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L. 133-19, IV, du code monétaire et financier), et ces obligations consistent notamment en ce que « l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » (article L. 133-16 du code monétaire et financier). La Cour de cassation juge que cette négligence grave s’apprécie strictement, sans tenir compte de la bonne foi du client qui a transmis ses données (Cour de cassation, chambre commerciale, 1er juillet 2020, n° 18-21.487). Communiquer vos identifiants, vos codes ou un code reçu par SMS à un interlocuteur téléphonique, même convaincant, caractérise généralement cette négligence.
Mais cette défense ne prospère que si la banque a elle-même respecté son obligation d’authentification forte. La loi prévoit que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 » (article L. 133-19, V, du code monétaire et financier), et que le prestataire applique cette authentification forte lorsque le payeur accède à son compte en ligne, initie un paiement électronique ou agit à distance dans une situation à risque (article L. 133-44, I, du code monétaire et financier). Surtout, le juge doit vérifier ce point avant tout débat sur votre comportement : la Cour de cassation a cassé une décision qui retenait la négligence grave d’un client trompé par un inconnu sans avoir recherché, comme il lui incombait, si l’opération avait été exécutée sans que la banque exige l’authentification forte (Cour de cassation, chambre commerciale, 30 août 2023, n° 22-11.707). Et quand la banque n’avait fait qu’inciter son client à activer le dispositif sans l’exiger, la Cour a rejeté son pourvoi en jugeant que le prestataire doit appliquer l’authentification forte pour les paiements à distance et rembourser à défaut, sauf fraude du payeur lui-même (Cour de cassation, chambre commerciale, 22 octobre 2025, n° 24-19.749). Dans cette affaire, le client avait pourtant répondu à un courriel présentant des anomalies grossières et transmis des codes confidentiels : sa négligence grave, établie, n’a pas dispensé la banque du remboursement.
À l’inverse, quand la banque prouve que l’authentification forte a réellement fonctionné et que le client a livré lui-même toutes les clés, le remboursement est refusé. La cour d’appel de Paris l’a jugé dans une affaire de faux conseiller HSBC : historique de connexions et du boîtier de sécurité à l’appui, ajout d’un bénéficiaire puis virement validés avec les données personnelles du client, qui avait fini par donner ses codes à un homme convaincant connaissant ses nom, prénom, adresse et numéro de carte. La cour a retenu que l’opération, bien que frauduleuse dans son origine, n’avait pas à être remboursée et a infirmé le jugement qui avait condamné la banque (cour d’appel de Paris, pôle 5 chambre 6, 17 décembre 2025, RG 23/18685). Retenez aussi que la simple utilisation enregistrée de vos codes par la banque ne suffit pas à prouver votre faute : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière » (article L. 133-23 du code monétaire et financier, rappelé par la même cour d’appel). C’est à la banque de prouver la fraude ou la négligence grave, pas à vous de prouver votre innocence.
En pratique, si la banque refuse par écrit en invoquant votre négligence, saisissez le médiateur bancaire, service indépendant, en joignant votre contestation, la réponse de refus et votre dépôt de plainte. Si la médiation échoue, le tribunal judiciaire peut être saisi pour obtenir le remboursement, les intérêts de retard majorés et, le cas échéant, des dommages et intérêts.
Préparez dès le premier jour un dossier unique, classé par ordre chronologique : notification de violation ou indice de fuite, relevés bancaires entourant les opérations, contestation adressée à la banque et sa réponse, récépissé de dépôt de plainte, échanges avec l’organisme à l’origine de la fuite, plainte CNIL et décision éventuelle de la Commission. Ce dossier servira deux fois, devant le médiateur ou le juge pour le remboursement bancaire d’une part, puis devant le juge civil pour la réparation du préjudice de fuite sur le fondement de l’article 82 du RGPD d’autre part. Les victimes qui éparpillent leurs pièces entre plusieurs interlocuteurs perdent souvent un recours pour une preuve manquante : la chronologie complète fait la force des deux demandes.
II. Faire traiter la fuite à l’origine et obtenir réparation de ce second préjudice
A. Remonter à la source : notification de violation, plainte CNIL et dépôt de plainte ciblé
Quand l’escroc connaissait vos données personnelles avec précision, demandez-vous d’où elles viennent : courrier d’un organisme vous annonçant une fuite, messages inhabituels, démarchage anormal. Si vous avez reçu une notification de violation, conservez-la précieusement : elle établit le lien entre la fuite et la fraude. La loi impose en effet à l’organisme qui a subi la fuite, lorsqu’elle est susceptible d’engendrer un risque élevé pour vos droits, de vous prévenir directement : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais » (article 34, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 (RGPD)). De son côté, ce responsable doit prévenir l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques » (article 33, paragraphe 1, du RGPD). Si aucun organisme ne vous a rien dit mais que les données utilisées par l’escroc ne pouvaient venir que d’un fichier précis, signalez-le : l’absence de notification alors que le risque était élevé constitue elle-même un manquement. Le parcours complet de la victime qui reçoit un tel courrier, de la vérification à la réparation, est décrit dans notre analyse du courrier vous annonçant une fuite de vos données.
Vous pouvez ensuite saisir la CNIL par une plainte contre l’organisme à l’origine de la fuite, distincte de votre litige avec la banque. Toute personne concernée « a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement » (article 77, paragraphe 1, du RGPD).
Avant de saisir la CNIL, écrivez d’abord à l’organisme et conservez les preuves de votre demande : la CNIL exige cette démarche préalable et indique que l’organisme doit répondre dans les meilleurs délais, sous un mois maximum (CNIL, adresser une plainte). Votre plainte doit comporter les informations utiles et les pièces indispensables : échanges avec l’organisme, notification de violation reçue, preuve du lien avec la fraude bancaire. La CNIL s’engage à vous informer de l’avancement au moins dans un délai de trois mois suivant son dépôt, et si la clôture ne vous satisfait pas, vous pouvez adresser un recours gracieux à la présidente de la CNIL dans les deux mois suivant la décision de clôture, selon cette même page (CNIL, adresser une plainte). La procédure pas à pas, les délais de réponse et les recours contre une plainte restée sans suite sont détaillés dans notre guide de la plainte CNIL.
Parallèlement, si l’enquête pénale sur la fuite elle-même peut avancer, indiquez au service d’enquête quel organisme détenait vos données et pourquoi la fuite provient vraisemblablement de son système : accès non autorisé puni par l’article 323-1 du code pénal, collecte frauduleuse punie par l’article 226-18 du même code. Plus votre plainte documente la chaîne fuite puis fraude, plus l’enquête pourra remonter vers les auteurs et vers les responsabilités de l’organisme négligent.
B. Obtenir réparation : l’indemnisation du préjudice lié à la fuite et à la fraude
Le remboursement bancaire et la réparation du préjudice de violation de données sont deux actions distinctes qui se cumulent. Même remboursé par votre banque, vous conservez un préjudice propre : temps passé, démarches, angoisse d’une usurpation d’identité durable, surveillance de vos comptes pendant des mois, parfois crédit refusé ou compte fragilisé. Le RGPD ouvre à ce titre une action directe : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82, paragraphe 1, du RGPD). Le responsable ne s’exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable, ce qui suppose une sécurité réelle et documentée de ses systèmes.
Trois précisions de la Cour de justice encadrent cette action. D’abord, la simple violation du règlement ne suffit pas : la Cour juge qu’il faut démontrer un dommage concret pour ouvrir droit à réparation (Cour de justice de l’Union européenne, 4 mai 2023, C-300/21, Österreichische Post, point 1 du dispositif). Conservez donc les preuves de votre dommage : relevés, attestations, échanges, conséquences mesurables sur votre vie quotidienne. Ensuite, aucun seuil de gravité ne peut vous être opposé pour un préjudice moral : la Cour interdit aux juges nationaux de subordonner cette réparation à un degré minimal de gravité du préjudice (même arrêt, point 2 du dispositif). Une angoisse réelle et documentée suffit, sans avoir à démontrer un traumatisme exceptionnel. Enfin, le montant se fixe selon les règles nationales de réparation, dans le respect de l’équivalence et de l’effectivité du droit de l’Union (même arrêt, point 3 du dispositif) : c’est le juge judiciaire français qui chiffre, au vu de vos pièces.
Documentez ce préjudice moral dès les premiers jours : notez les nuits sans sommeil, les heures passées au téléphone avec la banque, les déplacements au commissariat, la crainte d’une réutilisation de vos pièces d’identité. Ces éléments datés et précis permettront au juge d’évaluer concrètement votre angoisse, sans exiger de vous un seuil de gravité que le droit européen prohibe.
Devant le juge, articulez les deux volets sans les confondre. Contre la banque, demandez le remboursement de l’opération non autorisée sur le fondement des articles L. 133-18 et suivants du code monétaire et financier, avec les intérêts majorés en cas de retard, en rappelant qu’il lui appartient de prouver l’authentification forte exigée puis votre négligence grave, et que votre faute éventuelle ne la dispense pas de sa propre obligation de sécurité. Contre l’organisme à l’origine de la fuite, demandez la réparation du préjudice matériel et moral sur le fondement de l’article 82 du RGPD, en produisant la notification de violation ou la preuve de la fuite, votre plainte CNIL et, le cas échéant, la sanction prononcée par la CNIL, qui pèse lourd dans l’appréciation du manquement même si elle n’oblige pas le juge civil. Les deux demandes peuvent prospérer ensemble : la négligence que la banque vous reproche pour refuser le remboursement ne prive pas de fondement votre action contre l’organisme dont la fuite a armé l’escroc.
Un faux conseiller qui connaît vos données par cœur n’est jamais un hasard : c’est le symptôme d’une fuite en amont et d’une fraude en aval. Agissez dans l’ordre qui protège et qui prouve : opposition et contestation écrites immédiates, dépôt de plainte documenté, demande de remboursement dans le délai de treize mois suivant le débit sous peine de forclusion, puis démarche préalable auprès de l’organisme fautif et plainte CNIL. Chaque pièce nourrit les deux actions, bancaire et données personnelles, et c’est cette discipline probatoire qui transforme une double victimisation en double réparation.