SafePal avis : fiable ou pas après la fuite de données de 39 798 clients ? Faux courriers à QR code, vos cryptos en cas de faillite et vos recours (2026)

SafePal avis, safepal fiable ou pas, safepal faillites : ces recherches viennent de détenteurs de crypto-actifs qui utilisent les portefeuilles physiques ou l’application de ce fabricant. Le 16 août 2026, SafePal a publié sur son blog une note indiquant qu’une faille d’autorisation dans la fonction de suivi des commandes avait permis un accès non autorisé aux informations de commande d’environ 39 798 clients ayant commandé entre le 2 mars 2025 et le 11 avril 2026 : nom, adresse électronique, adresse de livraison, numéro de téléphone et détail des achats. Le 12 novembre 2026, le compte d’assistance de la société a confirmé sur X que des lettres reçues par des clients, munies d’un QR code, ne venaient pas d’elle et étaient liées à cet incident.

D’après la société, l’incident n’a touché ni les phrases de récupération, ni les clés privées, ni les mots de passe des portefeuilles, ni les coordonnées bancaires ou les numéros de carte. Elle indique avoir corrigé la faille, prévenu individuellement chaque client concerné, raccourci à 90 jours la conservation des données de commande, fait retirer plus de trente sites frauduleux et fait vérifier son système de commande par un cabinet de sécurité indépendant, qui n’aurait relevé aucune vulnérabilité. À la date de rédaction, aucune autorité ni aucun juge n’a, à notre connaissance, constaté un manquement ou un dommage, et aucune responsabilité n’est établie. Les conditions acceptées par chaque client priment sur toute analyse générale, et seul un juge peut trancher un litige.

Deux séries de questions se posent : ce que l’incident change pour vos cryptos et comment réagir face aux faux courriers (I), puis les recours pour obtenir réparation, y compris après une perte, et le juge à saisir depuis la France (II).

I. Vos cryptos sont-elles en danger, et que faire d’un courrier qui se réclame du fabricant ?

A. Ce que la société a reconnu, ce que l’incident n’a pas touché et ce que deviendraient vos cryptos en cas de faillite

Selon la note du 16 août 2026 et la foire aux questions publiée sur la page que la société consacre à l’incident, la faille se trouvait dans la fonction de suivi des commandes d’un module lié aux informations de commande : dans certaines conditions, un client pouvait accéder aux informations de commande d’un autre. La société explique avoir reçu début mai 2026 un premier signalement compatible avec ce problème, l’avoir alors traité comme un cas isolé avant d’ouvrir une enquête de sécurité, puis avoir lancé en juillet une revue complète de sa chaîne de traitement des commandes, qui a permis d’en confirmer la cause. Elle ajoute qu’une procédure de suppression programmée des anciennes commandes ne fonctionnait plus correctement entre septembre 2025 et avril 2026, à la suite d’une erreur de configuration, ce qui explique que la période concernée remonte à mars 2025. Elle dit enfin conserver hors ligne une sauvegarde sécurisée des seules données touchées, pour les besoins d’éventuelles enquêtes.

Selon la société, chaque client concerné a reçu le 16 août un courriel de son adresse de sécurité, dont l’objet annonçait que ses informations de commande avaient été touchées, et une page permet de vérifier sa situation à partir du numéro de commande et du pays de livraison. Dans une mise à jour du 18 août, la société a indiqué avoir connaissance de personnes qui prétendaient détenir le fichier et le proposer à la vente, sans pouvoir vérifier ces affirmations. Une mise à jour ultérieure, non datée sur la page, annonce que l’audit du système de commande confié à un cabinet de sécurité indépendant n’a révélé aucune vulnérabilité et que des prestataires de lutte contre l’hameçonnage ont été mobilisés. Ces éléments jouent en faveur de l’entreprise : information individuelle des clients, correction de la faille, audit externe, retrait des sites frauduleux et réduction de la durée de conservation.

Au sens du règlement général sur la protection des données, une violation de données à caractère personnel couvre notamment « l’accès non autorisé à de telles données » ; l’incident décrit par la société correspondrait, à notre lecture, à cette définition de l’article 4. Ce règlement s’applique alors même que le responsable du traitement n’est pas établi dans l’Union : son article 3 vise les traitements de données de personnes qui se trouvent dans l’Union lorsqu’ils sont liés « à l’offre de biens ou de services à ces personnes concernées dans l’Union ». Le Conseil d’État l’a rappelé le 5 juillet 2021, en relevant que la loi française reprend, pour ces traitements, le critère tiré « du ciblage de l’offre de biens ou services ou du comportement du consommateur ».

La politique de confidentialité désigne SkyGenesis Holdings Limited, qu’elle appelle du nom de la marque, comme responsable du traitement. Elle contient une notice destinée aux résidents de l’Union, qui rappelle leurs droits et la possibilité de saisir l’autorité de contrôle de leur pays de résidence, et elle indique un représentant dans l’Union, Prighter Group. Selon l’article 27 du règlement, ce représentant est la personne à qui « les autorités de contrôle et les personnes concernées doivent s’adresser » pour les questions relatives au traitement, et sa désignation est « sans préjudice d’actions en justice qui pourraient être intentées contre le responsable du traitement » lui-même. La même politique prévoit que les données peuvent être transférées notamment à Singapour, à Hong Kong, en Chine continentale et aux États-Unis.

Le règlement impose de communiquer la violation aux personnes concernées lorsqu’elle est « susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique » (article 34) ; la société l’a fait par courriel le 16 août. Il prévoit aussi une notification à l’autorité de contrôle « 72 heures au plus tard après en avoir pris connaissance » (article 33). Les pages que nous avons lues ne disent pas si une autorité européenne a été notifiée. Le moment où la société a pris connaissance de la violation, premier signalement de mai ou confirmation de la cause pendant l’été, pourrait aussi être discuté : il appartiendrait à l’autorité saisie ou au juge d’en décider.

Pour vos cryptos, la différence avec une plateforme d’échange est nette. Un portefeuille physique ne confie pas les actifs au fabricant : la société affirme ne pas pouvoir stocker ni collecter les phrases de récupération, les clés privées ou les mots de passe, et son centre d’aide indique que la restauration s’effectue à partir d’une phrase conforme à la norme publique BIP39/44. Si l’entreprise disparaissait, vos cryptos ne figureraient donc pas, à notre lecture, parmi ses actifs : il n’y aurait rien à déclarer ni à revendiquer pour elles, et la phrase de récupération, conservée hors ligne, permettrait de les restaurer dans un autre portefeuille compatible. Le risque serait ailleurs : fin des mises à jour de l’application et du micrologiciel, garantie de l’appareil privée de débiteur, et créance de dommages et intérêts à faire valoir dans une procédure étrangère, selon un droit que nous n’avons pas étudié. Notre article sur le cold wallet et la clé physique après le piratage d’une grande plateforme détaille ce que la conservation personnelle protège et ce qu’elle ne protège pas, et notre page consacrée au droit des crypto-actifs et aux recours des investisseurs présente les autres situations.

Une réserve concerne les services de compte et de carte proposés dans l’application. Les conditions d’utilisation les présentent comme fournis par Fiat24, un établissement réglementé en Suisse et exploité par SR Saphirstein AG, et précisent que le fabricant n’est pas une banque et ne détient ni ne gère aucun fonds sur ces comptes. Les sommes qui y sont déposées relèveraient donc des conditions de cet établissement et du droit suisse, qui n’ont pas été étudiés ici. La logique est comparable à celle que nous avons décrite pour un autre portefeuille sans dépôt dont les clients cherchaient leurs cryptos disparues : ce que le prestataire ne détient pas, il ne peut ni le perdre dans sa faillite ni le restituer.

Faut-il pour autant transférer vos cryptos ? La société répond que non lorsque seule votre commande est concernée et que vous n’avez saisi votre phrase nulle part. En revanche, si vous l’avez communiquée ou saisie à la suite d’un message, d’un appel, d’un site ou d’une lettre suspects, elle recommande de considérer le portefeuille comme compromis, d’en créer un nouveau sur un appareil ou une application officiels et d’y transférer sans attendre les actifs restants. Le précédent d’un autre fabricant, dont le prestataire d’envoi de courriels avait servi à une campagne d’hameçonnage contre ses clients, montre que ces fichiers de clients servent surtout à rendre les escroqueries crédibles.

B. Faux courriers, appels et courriels : les reconnaître, réagir et porter plainte

Selon le média BeInCrypto, consacré aux crypto-actifs, qui en a rendu compte le 12 novembre 2026, des clients italiens ont reçu à leur domicile des lettres annonçant une faille dans le micrologiciel de leur appareil, avec un QR code renvoyant vers une imitation du site du fabricant hébergée sur Arweave ; la lettre et le site reprenaient leurs véritables nom, adresse et détails de commande. Le même jour, le compte d’assistance de la société a répondu que ces lettres ne venaient pas d’elle, qu’elle n’envoie jamais de courrier postal et ne demande jamais de phrase de récupération, et a invité les destinataires à les signaler en laissant le QR code visible, afin de faire fermer le site. Sa page consacrée à l’incident ajoute qu’elle a connaissance de lettres usurpant son identité et décrit d’autres scénarios : courriels annonçant une vulnérabilité critique du micrologiciel ou une offre de remplacement ou de remboursement de l’appareil, appels de personnes se présentant comme son assistance, voire comme des policiers, des magistrats ou des douaniers, demandes de frais de dédouanement ou de déblocage, fausses applications, et même envoi d’appareils que le client n’a pas commandés.

Les réflexes utiles découlent de ces descriptions :

• ne jamais scanner le QR code d’une lettre, ni saisir sa phrase de récupération, son code ou une clé privée sur un site, dans une application ou dans un formulaire, quel que soit le prétexte invoqué ;
• conserver la lettre et son enveloppe, avec le cachet et le pays d’expédition, les captures d’écran du site frauduleux, les courriels avec leurs en-têtes, les numéros d’appel et leurs horaires ;
• vérifier sa situation sur la page officielle de la société en tapant soi-même son adresse, sans suivre aucun lien reçu ;
• signaler le site frauduleux sur la plateforme Pharos et suivre la fiche du dispositif national d’assistance sur l’hameçonnage ;
• en cas d’inquiétude pour sa sécurité physique, prévenir sans attendre la police ou la gendarmerie, ce que recommande aussi la société, puisque les fichiers en cause associent un nom et une adresse à l’achat d’un portefeuille de cryptos.

La plainte reste le point de départ des recours contre les auteurs. Les officiers et agents de police judiciaire « sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale », selon l’article 15-3 du code de procédure pénale, y compris lorsqu’ils ne sont pas territorialement compétents. Une plainte peut aussi être adressée par voie électronique dans les cas prévus par décret, mais « La plainte par voie électronique ne peut être imposée à la victime » (article 15-3-1 du même code). La fiche Porter plainte de Service-Public décrit les modalités pratiques. Si le parquet ne poursuit pas, la victime peut se constituer partie civile devant le juge d’instruction, en principe lorsqu’« un délai de trois mois s’est écoulé depuis qu’elle a déposé plainte » (article 85 du code de procédure pénale) ou lorsque le parquet lui a fait savoir qu’il ne poursuivrait pas. Notre article sur la plainte après la défaillance d’une plateforme détaille ces étapes.

Plusieurs qualifications pourraient être examinées par le parquet. Une lettre qui se fait passer pour le fabricant afin d’obtenir la phrase de récupération pourrait relever de la tentative d’escroquerie : l’article 313-1 du code pénal vise le fait de tromper une personne « par l’usage d’un faux nom ou d’une fausse qualité », ou par des manœuvres frauduleuses, pour la déterminer « à remettre des fonds, des valeurs ou un bien quelconque », et l’article 313-3 dispose : « La tentative des infractions prévues par la présente section est punie des mêmes peines. » À propos d’appels passés au nom d’une entreprise auprès de ses clients, le juge des référés du tribunal judiciaire de Paris a estimé, le 9 septembre 2025, que les faits dénoncés « sont susceptibles de revêtir la qualification d’usurpation d’identité et de tentative d’escroquerie » (TJ Paris, réf., n° 25/54274). L’article 226-4-1 du code pénal réprime le fait « d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier », mais seulement lorsque ces faits visent à troubler la tranquillité d’une personne ou à porter atteinte à son honneur ou à sa considération ; cette condition devrait être discutée au cas par cas.

Quant à l’accès aux données de commande lui-même, il pourrait relever de l’article 323-1 du code pénal, qui punit le fait « d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et l’utilisation du fichier, de l’article 323-3, qui vise notamment le fait d’extraire, de détenir ou de transmettre frauduleusement les données d’un tel système. Ces qualifications concernent les auteurs, qui restent à identifier, et non la société qui a subi l’accès. Lorsque l’auteur demeure introuvable ou insolvable, l’article 706-14 du code de procédure pénale permet à la victime d’une escroquerie ou d’une atteinte aux systèmes de traitement automatisé de données qui « ne peut obtenir à un titre quelconque une réparation ou une indemnisation effective et suffisante de son préjudice » de demander une indemnité plafonnée, sous conditions de ressources et à condition de se trouver de ce fait dans une situation matérielle ou psychologique grave.

Un dernier piège guette les victimes : les prétendus services de récupération qui les sollicitent après coup, en se présentant parfois comme des enquêteurs ou des juristes. Notre article sur les faux liquidateurs et faux avocats qui promettent de récupérer des fonds décrit ce second temps de l’escroquerie, qui vise précisément les personnes figurant dans des fichiers déjà diffusés.

II. Réparation, pertes et juge compétent : quels recours après la fuite ?

A. Obtenir réparation de la fuite elle-même : ce que le RGPD exige et ce que les juges accordent

Le fondement principal est l’article 82 du règlement général sur la protection des données : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le responsable n’est exonéré que « s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable ».

La Cour de justice de l’Union européenne a précisé, par un arrêt du 14 décembre 2023 (C-340/21), qu’un accès non autorisé par des tiers ne suffit pas, à lui seul, à démontrer que les mesures de sécurité étaient inadaptées, mais que, dans une action en réparation, c’est au responsable de prouver le caractère approprié de ces mesures, et qu’il ne peut s’exonérer du seul fait que le dommage résulte de l’action de tiers. Elle a aussi jugé que la crainte d’un usage abusif de ses données par des tiers, éprouvée à la suite d’une violation du règlement, est susceptible de constituer, à elle seule, un dommage moral. Le tribunal judiciaire de Nice a appliqué cette grille le 18 novembre 2025 : « Le responsable du traitement en cause supporte la charge de prouver le caractère approprié des mesures de sécurité qu’il a mises en œuvre au titre de l’article 32 dudit règlement. »

Le droit à réparation n’est pas pour autant automatique. Par un arrêt publié du 24 juin 2026, la chambre sociale de la Cour de cassation a jugé que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », en rappelant, d’après la jurisprudence européenne, que la personne qui demande réparation « est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». Le même arrêt rappelle que la réparation d’un dommage moral ne peut être subordonnée à un certain degré de gravité. La Cour de justice a enfin jugé, dans une affaire où un document avait été remis par erreur à un tiers dont il était établi qu’il n’en avait pas pris connaissance, que la seule crainte d’une diffusion future ne constituait pas un dommage moral (arrêt du 25 janvier 2024, C-687/21). Dans l’incident décrit par la société, les données ont été obtenues par des tiers, selon elle, et des courriers les reprenant circulent : la crainte d’un usage abusif ne serait donc pas, à notre lecture, purement hypothétique, mais chaque demandeur devrait la documenter.

Les décisions des juges du fond montrent ce qui emporte la conviction. À Nice, la messagerie du gestionnaire d’une agence immobilière avait été compromise ; un locataire avait reçu des courriels crédibles reprenant les éléments de son bail et versé 8 899,95 euros sur le compte d’un tiers. Le tribunal a retenu qu’« une présomption simple de manquement envers le responsable de traitement est posée » et, faute pour l’agence d’apporter une réponse sur ses mesures de sécurité, l’a condamnée à payer la totalité de cette somme, en jugeant que la négligence du locataire avait aggravé son préjudice sans en être la cause. À Bordeaux, le tribunal judiciaire a indemnisé le 3 avril 2025, à hauteur de 2 500 et 5 000 euros, « un préjudice d’inquiétude et de désagréments relationnels » né de la transmission de documents personnels à un escroc par un courtier, tout en rappelant qu’« il appartient à celui qui l’invoque d’apporter tout élément susceptible de permettre à la juridiction d’en apprécier tant la nature exacte, que le quantum du préjudice qui en découle ».

À l’inverse, le tribunal des activités économiques de Paris a rejeté le 23 mai 2025 la demande de la dirigeante de deux sociétés clientes, qui imputait à l’établissement teneur de leurs comptes une fuite de ses données personnelles : aucun élément probant n’établissait une telle fuite, et le préjudice d’anxiété invoqué n’était pas justifié. Le tribunal judiciaire de Valence a de même mis hors de cause, le 7 octobre 2025, une société de conseil en gestion de patrimoine qui établissait que « la fuite ne provient pas de son système informatique ». La preuve de l’origine de la fuite est donc décisive ; dans le cas présent, c’est la société elle-même qui en a décrit la cause.

Transposée à l’incident, cette grille jouerait, à notre lecture, dans les deux sens. La société a reconnu l’accès non autorisé, sa cause technique et la défaillance de la purge des anciennes commandes, éléments qu’un juge pourrait confronter à l’obligation de sécurité de l’article 32 du règlement et aux règles sur la durée de conservation des données. Elle pourrait faire valoir de son côté la correction de la faille, l’audit indépendant, l’information individuelle des clients et la lutte contre les sites frauduleux. Rien ne permet de préjuger de l’issue d’un litige, qui dépendrait des pièces de chaque dossier.

Pour préparer une demande, il est utile de réunir le courriel reçu le 16 août, le résultat de la vérification en ligne, la confirmation de commande, les courriers, courriels et appels frauduleux reçus depuis, le temps passé et les frais engagés, par exemple pour un nouvel appareil ou pour les frais de réseau d’un transfert d’actifs, et, le cas échéant, tout élément médical ou psychologique. Le règlement ouvre aussi un droit d’accès, qui permet de demander au responsable quelles données il détenait et à qui elles ont été transmises ; statuant sur l’appel d’une ordonnance de référé, la cour d’appel de Paris a ainsi enjoint le 1er mars 2024 à une banque de communiquer à une cliente les données personnelles qu’elle détenait sur elle.

La voie administrative est distincte. Toute personne peut introduire une réclamation auprès d’une autorité de contrôle, « en particulier dans l’État membre dans lequel se trouve sa résidence habituelle » (article 77 du règlement). En France, la CNIL « traite les réclamations, pétitions et plaintes introduites par une personne concernée », rappelle le Conseil d’État, et la démarche se fait depuis la page des plaintes de la CNIL. Une sanction est possible : le Conseil d’État a rejeté le 26 avril 2022 le recours d’une société sanctionnée par la CNIL d’une amende de 250 000 euros, en retenant que « la vulnérabilité du système informatique à l’origine de la violation des données de près de 200 000 clients européens » résultait de l’absence de contrôle régulier des mesures prises par son sous-traitant. Mais une amende ne répare pas le préjudice des personnes concernées : notre article sur la plainte à la CNIL et l’indemnisation détaille ce que chaque voie permet d’obtenir.

Les conditions d’utilisation lues le 13 novembre 2026 contiennent des clauses défavorables au client : exclusion de toute responsabilité pour les dommages directs ou indirects, force majeure étendue aux cyberattaques et au piratage, irresponsabilité pour les accès non autorisés aux portefeuilles résultant d’hameçonnage, modification unilatérale à tout moment. Elles ne désignent, à notre lecture, ni loi applicable ni juridiction. Or, selon l’article 6 du règlement Rome I, le contrat conclu avec un consommateur « est régi par la loi du pays où le consommateur a sa résidence habituelle » lorsque le professionnel, notamment, « par tout moyen, dirige cette activité vers ce pays ». La version française du site et la livraison en France, pour laquelle des frais d’expédition sont affichés, pourraient constituer de tels indices, à notre lecture.

Le droit français de la consommation présume alors de manière irréfragable abusive la clause ayant pour objet ou pour effet de « Supprimer ou réduire le droit à réparation du préjudice subi par le consommateur en cas de manquement par le professionnel à l’une quelconque de ses obligations » (article R. 212-1, 6°, du code de la consommation). La Cour de cassation l’a rappelé le 17 décembre 2025 : de telles clauses « sont de manière irréfragable présumées abusives et dès lors interdites ». Et « Les clauses abusives sont réputées non écrites » (article L. 241-1). Quant à la force majeure, l’article 1218 du code civil suppose « un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées » : une faille dans un module de suivi des commandes exploité par le vendeur lui-même s’y prêterait difficilement, à notre lecture, mais seul un juge pourrait le dire.

Les clients touchés peuvent aussi se regrouper. Le règlement permet de mandater une association qui « exerce en son nom le droit d’obtenir réparation visé à l’article 82 lorsque le droit d’un État membre le prévoit » (article 80). En droit français, le régime commun issu de l’article 16 de la loi n° 2025-391 du 30 avril 2025 prévoit que « L’action de groupe est exercée par les associations agréées à cette fin », pour obtenir la cessation d’un manquement ou « la réparation des préjudices, quelle qu’en soit la nature, subis du fait de ce manquement ». L’ancien texte propre aux données personnelles, l’article 37 de la loi Informatique et Libertés, est abrogé depuis le 3 mai 2025. Notre article sur les épargnants qui choisissent d’agir ensemble compare association, action de groupe et plainte collective.

Enfin, si la loi française s’applique, l’action en responsabilité se prescrit en principe par cinq ans : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (article 2224 du code civil). Le courriel du 16 août 2026 pourrait servir de repère pour ce point de départ, sous réserve de l’appréciation du juge et du droit applicable.

B. Si vous avez perdu des cryptos après un faux courrier, et devant quel juge agir

La société invite les clients qui pensent avoir subi une perte financière liée à l’incident à lui écrire par son canal d’assistance dédié. Elle indique faire appel à des experts du traçage sur les chaînes de blocs pour suivre les fonds et aider les autorités lorsque ceux-ci peuvent être identifiés, et elle précise que cette démarche ne vaut ni reconnaissance de responsabilité ni engagement d’indemniser. Ce signalement est utile, mais il ne remplace ni la plainte ni une demande en justice.

Deux débiteurs doivent être distingués. L’escroc d’abord : la plainte, puis la constitution de partie civile, permettent de demander réparation et, le cas échéant, la saisie des fonds identifiés au cours de l’enquête. Le fabricant ensuite, dont la responsabilité ne pourrait être recherchée, au titre de l’article 82 ou du contrat, que si un lien de causalité est établi entre l’accès aux données de commande et la perte. Le demandeur devrait montrer que l’escroquerie a utilisé ces données, par exemple une lettre reprenant son numéro de commande, le modèle acheté ou son adresse, et que la perte en découle. La saisie de la phrase de récupération par la victime lui serait sans doute opposée ; à Nice, dans une affaire différente, le tribunal a retenu l’entière responsabilité de l’agence, en jugeant que le préjudice n’aurait pas existé sans la compromission de sa messagerie et que la négligence du locataire ne pouvait limiter sa réparation. Chaque dossier reste propre à ses faits, et une clause contractuelle qui exclut toute responsabilité en cas d’hameçonnage se heurterait aux règles du code de la consommation déjà citées, si la loi française s’applique.

Pour identifier les auteurs ou les destinataires des fonds, la victime peut demander au juge des mesures d’instruction avant tout procès. L’article 145 du code de procédure civile dispose : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Dans l’affaire parisienne déjà citée, le juge des référés a ordonné à un opérateur de communiquer l’identité civile du titulaire de la ligne utilisée pour usurper l’identité de l’entreprise. Une démarche comparable pourrait viser, à notre lecture, l’hébergeur d’un site frauduleux ou une plateforme d’échange vers laquelle des fonds auraient transité, sous réserve des règles qui encadrent la conservation et la communication de ces données.

Sur le plan fiscal, la perte de cryptos volées ou détournées obéit à des règles propres, présentées dans notre article sur la déclaration des cryptomonnaies volées et les recours. Les incidents récents chez d’autres fabricants, comme l’implant découvert dans des appareils vendus par un revendeur, montrent que les recours diffèrent selon que le défaut touche l’appareil lui-même ou seulement les données de commande.

Reste la question du juge. Pour l’action fondée sur le règlement, l’article 79 prévoit qu’une action contre un responsable du traitement « peut aussi être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle » (règlement général sur la protection des données) : un client résidant en France pourrait donc saisir le juge français. Pour l’action contractuelle d’un consommateur, le règlement Bruxelles I bis réserve, même contre un professionnel établi hors de l’Union, la règle de ses articles 17 et 18 : lorsque le professionnel, « par tout moyen, dirige ces activités vers cet État membre », le consommateur peut agir, « quel que soit le domicile de l’autre partie, devant la juridiction du lieu où le consommateur est domicilié ».

À défaut, les règles françaises s’appliquent. La Cour de cassation a jugé le 7 octobre 2026 que le consommateur « domicilié en France à la date de l’acte introductif d’instance, ne peut être privé, par une clause attributive désignant une juridiction étrangère, du droit de saisir les juridictions françaises » ; les conditions lues ne contiennent d’ailleurs aucune clause de ce type. L’article 14 du code civil permet en outre à un Français d’attraire un étranger devant les tribunaux français « pour les obligations par lui contractées en pays étranger envers des Français ». L’article R. 631-3 du code de la consommation ouvre au consommateur « la juridiction du lieu où il demeurait au moment de la conclusion du contrat ou de la survenance du fait dommageable », et, en matière délictuelle, l’article 46 du code de procédure civile vise « la juridiction du lieu du fait dommageable ou celle dans le ressort de laquelle le dommage a été subi ». Un jugement français devrait ensuite être exécuté là où la société détient des biens, ce qui peut supposer une procédure à l’étranger.

Conclusion : que retenir avant de répondre à un courrier qui se réclame du fabricant ?

SafePal est-il fiable après cette fuite de données ? Les éléments publiés par la société répondent à une partie de la question : l’incident a porté sur des données de commande, non sur les phrases de récupération, les clés privées ou les appareils, et un portefeuille physique ne confie pas les cryptos au fabricant, de sorte qu’une défaillance de l’entreprise ne ferait pas disparaître des actifs qu’elle ne détient pas. Le risque réel est ailleurs : des fichiers associant un nom, une adresse et la détention probable de cryptos alimentent des escroqueries ciblées, par courriel, par téléphone et désormais par courrier postal, comme l’a confirmé le compte d’assistance de la société le 12 novembre 2026.

La conduite à tenir est simple à énoncer : ne jamais saisir sa phrase de récupération sur la foi d’un message ou d’une lettre, conserver toutes les pièces, signaler les sites frauduleux, porter plainte en cas de tentative, et, si la phrase a été saisie, transférer sans attendre les actifs restants vers un nouveau portefeuille. Sur le terrain de la réparation, le règlement général sur la protection des données permet de demander l’indemnisation d’un dommage matériel ou moral, et la jurisprudence européenne fait peser sur le responsable du traitement la preuve du caractère approprié de ses mesures de sécurité ; mais la Cour de cassation exige que chaque demandeur prouve son propre dommage, et les décisions de fond citées n’ont accordé réparation qu’au vu d’éléments précis. Les clauses qui excluent toute responsabilité ne lieraient pas nécessairement un consommateur résidant en France, et le juge français pourrait, sous conditions, être saisi.

Ces constats doivent rester mesurés. À la date de rédaction, aucune autorité de contrôle ni aucune juridiction n’a, à notre connaissance, constaté de manquement de la société ni de dommage, et aucune responsabilité n’est établie ; les faits rapportés ici proviennent pour l’essentiel des communications de l’entreprise, qui met en avant la correction de la faille, l’audit indépendant, l’information individuelle de ses clients et le retrait de dizaines de sites frauduleux. Les conditions acceptées par chaque client priment sur toute analyse générale, les droits étrangers en cause et le régime des fonds déposés auprès de l’établissement suisse partenaire n’ont pas été étudiés, et seul un juge peut apprécier, au vu des pièces de chaque dossier, la loi applicable, sa propre compétence, l’existence d’un manquement et celle d’un préjudice.