Le 12 novembre 2026, Europol a annoncé le démantèlement des infrastructures de trois logiciels malveillants, Gootloader, CastleRAT et StealC, dans le cadre de l’opération Endgame. Selon le communiqué de l’agence européenne de police, plus de six millions d’identifiants de victimes ont été retrouvés sur les serveurs saisis, et les données des victimes de CastleRAT doivent être transmises à plusieurs plateformes d’alerte, parmi lesquelles Have I Been Pwned. Depuis, de nombreux internautes saisissent leur adresse électronique sur ce site pour savoir si leurs données ont fuité. Lorsque le résultat s’affiche en rouge, trois questions se posent aussitôt : que signifie exactement cette alerte, que faut-il faire dans les premières heures, et existe-t-il un recours contre celui qui a laissé échapper les données ?
Ce guide s’adresse à une personne physique résidant en France qui découvre son adresse, son identifiant ou son mot de passe dans une fuite. Il distingue les réflexes de sécurité, qui relèvent du bon sens technique, et les droits qui naissent du règlement général sur la protection des données (RGPD), du code monétaire et financier et du code pénal. Une entreprise dont les salariés sont touchés trouvera une analyse dédiée dans notre article consacré aux identifiants de salariés volés par un infostealer. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation d’un service ou d’une victime en particulier, sur laquelle l’article ne formule aucun constat.
I. Mon adresse apparaît dans une fuite : comment lire l’alerte et que faire tout de suite ?
A. Fuite chez un service, logiciel espion ou simple liste : ce que recouvre le mot « pwned »
Have I Been Pwned est un service en ligne qui rassemble des fichiers issus d’incidents de sécurité et permet à chacun de vérifier si une adresse électronique ou un identifiant y figure. D’après la foire aux questions publiée sur le site, lorsqu’un fichier est intégré, les adresses électroniques sont chargées sans les mots de passe correspondants, et la recherche publique ne renvoie le résultat que pour une seule adresse à la fois. Certaines fuites dites sensibles, par exemple celles de sites de rencontre, ne sont visibles que par le titulaire de l’adresse après vérification de sa boîte de réception. Le résultat ne révèle donc pas votre mot de passe : il indique dans quels fichiers votre adresse a été retrouvée, et quelles catégories d’informations figuraient dans chacun d’eux.
La même page de questions distingue plusieurs origines, et cette distinction commande toute la suite. Une première catégorie correspond à une fuite au sens strict : un service en ligne a subi une intrusion ou une erreur de configuration, et sa base de clients s’est retrouvée exposée. Une deuxième catégorie regroupe les journaux de logiciels espions, appelés « stealer logs » : un programme malveillant installé sur un ordinateur infecté a enregistré les adresses, les mots de passe et les sites sur lesquels ils étaient saisis. Le site signale d’ailleurs que, dans ce cas, le risque est différent, puisque l’appareil personnel lui-même peut être compromis. D’autres catégories existent encore : les listes constituées pour l’envoi de courriels indésirables, les textes publiés sur des sites de partage, ou les fichiers dont l’authenticité n’a pas pu être établie, qualifiés de non vérifiés, voire de fabriqués. Enfin, le site rappelle qu’une adresse absente de sa base n’est pas pour autant à l’abri, et qu’une adresse peut figurer dans la fuite d’un service auquel son titulaire ne se souvient pas s’être inscrit, à la suite d’un rachat, d’un changement de nom du service ou d’une inscription faite par un tiers.
Pour les données issues de l’opération du 12 novembre, le communiqué d’Europol précise que les identifiants ont été dérobés aux victimes après l’infection de leurs ordinateurs, puis revendus pour servir à d’autres attaques. On se trouve alors dans la deuxième catégorie : ce n’est pas forcément le site dont vous utilisiez le compte qui a été visé, c’est votre propre machine. Cette nuance a une portée juridique. Le RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée de données ou l’accès non autorisé à celles-ci (article 4, point 12, du RGPD). Les obligations de notification et d’information décrites plus loin pèsent sur le responsable du traitement dont la sécurité a été mise en défaut. Lorsque les identifiants ont été aspirés sur votre ordinateur personnel, l’identification d’un tel responsable n’est pas évidente, et la réponse passe d’abord par la sécurisation de l’appareil et par la plainte pénale. Lorsque, au contraire, l’alerte mentionne la fuite d’un service précis, les droits que vous tenez du RGPD à l’égard de ce service deviennent le cœur du dossier.
Une précaution s’impose avant même de lire le résultat. La page de la CNIL consacrée aux fuites et vols de données indique que l’autorité n’est pas en mesure de confirmer la présence de vos données dans un fichier ayant fuité, qu’il est possible d’interroger l’organisme concerné sur ce point, et elle déconseille l’usage des sites qui prétendent détenir les données et pouvoir dire si vous êtes concerné. Le communiqué d’Europol oriente pourtant les victimes vers Have I Been Pwned. Ces deux indications se concilient par la prudence : accéder au service en saisissant vous-même son adresse plutôt qu’en suivant un lien reçu par message, n’y entrer que votre adresse électronique, et ne jamais taper un mot de passe sur un site atteint depuis un courriel ou un SMS. Les escrocs exploitent précisément l’actualité des fuites pour envoyer de faux messages invitant à vérifier si l’on est concerné. Le résultat obtenu reste enfin un indice et non une preuve de l’origine de la fuite ; pour établir quel organisme a laissé échapper vos données, l’outil juridique adapté est le droit d’accès, présenté dans la seconde partie.
B. Sécuriser ses comptes, surveiller sa banque et conserver les preuves
La première urgence est de couper l’accès aux comptes. Commencez par la messagerie électronique, car c’est elle qui permet de réinitialiser la plupart des autres mots de passe. Changez ensuite le mot de passe de chaque service mentionné dans l’alerte, puis celui de tous les comptes sur lesquels vous utilisiez le même mot de passe ou une variante proche. La CNIL recommande de choisir des mots de passe solides, de ne pas réutiliser le même mot de passe pour plusieurs services, de les conserver dans un gestionnaire dédié et d’activer l’authentification multifacteur lorsqu’un service de confiance la propose. Profitez-en pour consulter, dans les paramètres de chaque compte important, la liste des sessions ouvertes et des appareils connectés, et pour révoquer ceux que vous ne reconnaissez pas.
Si l’alerte provient de journaux de logiciels espions, une étape supplémentaire est indispensable. Un ordinateur encore infecté capturera les nouveaux mots de passe au fur et à mesure que vous les saisirez. Il faut donc effectuer les changements depuis un appareil sain, puis faire analyser ou réinstaller la machine suspecte avant de l’utiliser de nouveau pour des opérations sensibles. Cette précaution vaut aussi pour le téléphone si vous y conservez vos accès bancaires ou votre messagerie.
Vient ensuite la vigilance face aux sollicitations. La fiche réflexe de cybermalveillance.gouv.fr rappelle que les données divulguées servent surtout à rendre crédibles des tentatives d’hameçonnage et d’escroquerie, par courriel, SMS ou appel téléphonique, notamment l’arnaque au faux conseiller bancaire. Elle conseille d’authentifier systématiquement votre interlocuteur en contactant vous-même l’organisme à ses coordonnées officielles, et de prendre le temps de vérifier lorsque l’on vous presse d’agir. Nos conseils pour réagir à un SMS ou un courriel d’hameçonnage détaillent les démarches de signalement.
Si des identifiants bancaires, une carte ou un IBAN figurent dans les données exposées, la banque doit être prévenue. Le code monétaire et financier impose à l’utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées (article L. 133-16 du code monétaire et financier). Lorsqu’il a connaissance du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, il en informe sans tarder son prestataire, aux fins de blocage (article L. 133-17). Une opération que vous n’avez pas autorisée doit être signalée sans tarder, et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf si la banque ne vous a pas fourni les informations relatives à l’opération (article L. 133-24). Pour un particulier agissant à des fins non professionnelles, ce texte n’autorise pas les parties à convenir d’un autre délai (même article L. 133-24).
Le remboursement obéit à des règles précises. La banque rembourse le montant de l’opération non autorisée immédiatement après en avoir pris connaissance, et « au plus tard à la fin du premier jour ouvrable suivant », sauf si elle a de bonnes raisons de soupçonner une fraude de l’utilisateur et communique ces raisons par écrit à la Banque de France (article L. 133-18). Le payeur supporte en revanche toutes les pertes si elles résultent d’un agissement frauduleux de sa part ou d’un manquement intentionnel ou par négligence grave à ses obligations de sécurité et d’information, et il ne supporte aucune conséquence financière, sauf fraude de sa part, lorsque la banque n’a pas exigé d’authentification forte (article L. 133-19, IV et V). La charge de la preuve repose sur la banque : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur », et le prestataire doit fournir des éléments pour prouver la fraude ou la négligence grave (article L. 133-23).
La Cour de cassation applique ces textes avec rigueur. Dans un arrêt du 30 avril 2025, elle a censuré une cour d’appel qui avait retenu la négligence grave d’un client ayant cliqué sur un faux courriel, sans vérifier au préalable que les virements litigieux avaient été authentifiés ; elle rappelle que, pour faire supporter les pertes à l’utilisateur, « le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée » (Cass. com., 30 avril 2025, n° 24-10.149). Dans un arrêt publié du 23 octobre 2024, elle a approuvé une cour d’appel qui avait écarté la négligence grave d’un client trompé par un appel dont le numéro affiché était celui de sa conseillère, après avoir relevé qu’« il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client » (Cass. com., 23 octobre 2024, n° 23-16.267). Ces décisions ne signifient pas que toute victime sera remboursée : la négligence grave s’apprécie au cas par cas, selon les circonstances de l’opération. Elles montrent seulement que la présence de vos identifiants dans une fuite ne suffit pas, à elle seule, à faire peser la perte sur vous. Pour les situations de fraude déjà réalisée, notre page consacrée à la fraude bancaire présente les enjeux d’un recours contre la banque.
Reste à constituer un dossier, même si aucun dommage n’est encore apparu. Faites une capture d’écran datée du résultat obtenu, avec le nom de la fuite et la liste des données concernées. Conservez le message d’information éventuellement reçu de l’organisme, les courriels ou SMS suspects avec leurs en-têtes, les relevés bancaires, les échanges avec la banque et les justificatifs des dépenses engagées pour vous protéger. La page de la CNIL sur l’indemnisation des violations de données recommande précisément de garder la notification de l’organisme, les courriels, les captures d’écran, les justificatifs et les plaintes, car ce sont ces éléments qui permettront plus tard de démontrer un préjudice et son lien avec la fuite.
II. Qui doit répondre de la fuite et quels recours exercer ?
A. Identifier l’organisme responsable, obtenir des réponses et saisir la CNIL
Lorsque la fuite provient d’un service, c’est l’organisme qui détermine les finalités et les moyens du traitement, le responsable du traitement, qui porte l’essentiel des obligations. Le RGPD lui impose d’abord de mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, y compris, selon les besoins, le chiffrement et des moyens garantissant la confidentialité et la disponibilité des systèmes (article 32 du RGPD). En cas de violation, il la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes ; il documente en outre toute violation, ses effets et les mesures prises (article 33 du RGPD).
Vous informer directement n’est obligatoire que si la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés. La communication doit alors décrire en termes clairs et simples la nature de la violation, indiquer un point de contact, les conséquences probables et les mesures prises ou proposées (article 34 du RGPD). Le même article dispense l’organisme de cette communication lorsque les données étaient rendues incompréhensibles, par exemple par chiffrement, lorsque des mesures ultérieures empêchent le risque élevé de se matérialiser, ou lorsqu’elle exigerait des efforts disproportionnés, auquel cas une communication publique la remplace. L’autorité de contrôle peut toutefois exiger cette communication si elle estime le risque élevé. Ne pas avoir reçu de message ne prouve donc pas que vous n’êtes pas concerné, et en avoir reçu un ne prouve pas à lui seul une faute de l’organisme.
Lorsque l’organisme a confié ses données à un prestataire, par exemple un hébergeur, ce prestataire agit en principe comme sous-traitant et doit lui notifier toute violation dans les meilleurs délais (article 33, paragraphe 2, du RGPD). La cour d’appel de Douai l’a rappelé dans un litige né de l’incendie d’un centre de données : elle a jugé que l’hébergeur, en sa qualité de sous-traitant, n’était tenu que de notifier l’incident à son client, afin de permettre à ce dernier de remplir ses propres obligations, et que la notification à la CNIL incombait au responsable du traitement (CA Douai, 4 juin 2026, n° 24/00967). En pratique, vos demandes s’adressent à l’organisme auprès duquel vous aviez ouvert un compte, même si l’incident s’est produit chez l’un de ses prestataires ; notre article sur la fuite de données chez un sous-traitant détaille cette répartition des rôles.
Pour savoir ce que cet organisme détenait sur vous et ce qu’il en a fait, le droit d’accès est l’outil central. Vous pouvez obtenir la confirmation que des données vous concernant sont traitées, une copie de ces données, les finalités du traitement, les catégories de données, les destinataires et, lorsque les données n’ont pas été collectées auprès de vous, toute information disponible sur leur source (article 15 du RGPD). Cette dernière information est précieuse lorsque votre adresse apparaît dans la fuite d’un service que vous n’avez jamais utilisé : elle permet de remonter la chaîne de transmission. L’organisme doit vous répondre dans un délai d’un mois à compter de la réception de la demande, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition de vous informer de cette prolongation et de ses motifs dans le premier mois (article 12, paragraphe 3, du RGPD). Si vous n’utilisez plus le compte, vous pouvez aussi demander l’effacement de vos données dans les cas prévus par l’article 17 du RGPD, par exemple lorsqu’elles ne sont plus nécessaires au regard des finalités pour lesquelles elles avaient été collectées. Notre guide pour protéger ses données personnelles sur internet propose une méthode pour rédiger ces demandes.
Si l’organisme ne répond pas ou si vous estimez que vos données n’ont pas été protégées comme elles devaient l’être, vous pouvez introduire une réclamation auprès d’une autorité de contrôle, notamment dans l’État de votre résidence habituelle (article 77 du RGPD). Si l’autorité compétente ne traite pas la réclamation ou ne vous informe pas, dans un délai de trois mois, de son état d’avancement ou de son issue, un recours juridictionnel est ouvert contre elle (article 78, paragraphe 2, du RGPD). Notre article sur la plainte auprès de la CNIL décrit le dépôt et le suivi de cette démarche.
Il faut toutefois mesurer ce qu’une plainte peut produire. La CNIL peut prendre des mesures correctrices ou prononcer une sanction, mais elle précise sur sa page relative à l’indemnisation qu’elle ne peut pas accorder de dommages et intérêts. Le Conseil d’État a validé une sanction prononcée contre un médecin après un contrôle déclenché par un article de presse révélant que des images médicales de patients étaient librement accessibles en ligne ; il a confirmé le constat d’« un manquement aux exigences élémentaires en matière de sécurité informatique qui incombe à tout responsable de traitement », mais il a écarté le manquement à l’obligation de notification, au motif que la CNIL avait elle-même informé le praticien de la violation, et réduit l’amende de 3 000 à 2 500 euros (CE, 22 juillet 2022, n° 449694). Plus récemment, il a rejeté le recours d’un plaignant contre la clôture de sa plainte par un simple rappel des obligations adressé à l’entreprise visée, en jugeant que la CNIL n’avait pas commis d’erreur de droit ni d’erreur manifeste d’appréciation « dans l’exercice du large pouvoir d’appréciation qui est le sien » (CE, 20 octobre 2026, n° 508844). La plainte est donc un levier de mise en conformité, non une voie d’indemnisation. Sur le plan pénal, le fait de traiter des données sans mettre en œuvre les mesures de sécurité prescrites par l’article 32 du RGPD est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-17 du code pénal), mais l’engagement de poursuites relève du ministère public.
B. Porter plainte et demander réparation : ce que le juge exige
La plainte pénale reste utile dans presque toutes les hypothèses, qu’il s’agisse d’une fuite chez un service ou d’un vol sur votre propre appareil. Plusieurs infractions peuvent être en cause, selon les faits que l’enquête établira. Le fait d’accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende, et de cinq ans et 150 000 euros lorsqu’il en résulte une suppression ou une modification de données ou une altération du fonctionnement du système (article 323-1 du code pénal). Le fait d’extraire, de détenir, de reproduire ou de transmettre frauduleusement les données contenues dans un tel système est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende (article 323-3). Si vos identifiants servent ensuite à se faire passer pour vous, l’usurpation d’identité vise notamment le fait de « faire usage d’une ou plusieurs données de toute nature permettant de l’identifier » en vue de troubler votre tranquillité ou de porter atteinte à votre honneur ou à votre considération, y compris sur un réseau de communication au public en ligne (article 226-4-1). Enfin, l’escroquerie peut être retenue lorsque des manœuvres frauduleuses ont conduit une personne à remettre des fonds ou à consentir un acte (article 313-1). La qualification exacte appartient au ministère public puis au juge ; la plainte doit surtout exposer les faits de manière chronologique et joindre les pièces rassemblées.
Le dépôt lui-même ne peut pas vous être refusé. Selon le code de procédure pénale, dans sa rédaction applicable au 14 novembre 2026, « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale », y compris dans un service territorialement incompétent, qui transmet alors la plainte ; tout dépôt donne lieu à un procès-verbal et à la remise immédiate d’un récépissé, qui mentionne notamment les délais de prescription de l’action publique (article 15-3 du code de procédure pénale). Une plainte peut aussi être adressée par voie électronique dans les cas et selon les modalités prévus par décret, mais « La plainte par voie électronique ne peut être imposée à la victime. » (article 15-3-1). Ces deux articles sont en vigueur avec une abrogation différée au 1er janvier 2029, dans le cadre de la refonte du code. Le récépissé est utile bien au-delà de l’enquête : la banque, l’organisme à l’origine de la fuite et, le cas échéant, le juge civil y trouveront la preuve de votre réaction.
Contre l’organisme qui a laissé fuir vos données, l’action en réparation repose principalement sur le RGPD. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du responsable du traitement ou du sous-traitant, et le responsable n’est exonéré que s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable (article 82 du RGPD). Lorsque plusieurs acteurs ont participé au même traitement et sont responsables du dommage, chacun peut être tenu de la totalité, afin de garantir une réparation effective, quitte à se retourner ensuite contre les autres.
La Cour de justice de l’Union européenne a précisé les conditions de ce droit en plusieurs étapes. Elle a d’abord jugé que la simple violation du règlement ne suffit pas pour obtenir réparation, mais que le droit national ne peut pas subordonner la réparation d’un dommage moral à un seuil de gravité, le montant relevant des règles internes de chaque État (CJUE, 4 mai 2023, Österreichische Post, C-300/21). Saisie ensuite à la suite d’une cyberattaque contre l’agence bulgare des recettes publiques, elle a dit qu’un accès non autorisé par des tiers ne suffit pas, à lui seul, à démontrer que les mesures de sécurité étaient inappropriées, mais que le responsable du traitement supporte la charge de prouver le caractère approprié de ces mesures, qu’il n’est pas exonéré du seul fait que le dommage provient de tiers, et que la crainte d’un usage abusif des données peut constituer à elle seule un dommage moral (CJUE, 14 décembre 2023, Natsionalna agentsia za prihodite, C-340/21). Elle a ajouté que la personne qui demande réparation doit établir à la fois la violation et le dommage qu’elle lui a causé, que la réparation est compensatoire et non punitive, et que la crainte ne suffit pas lorsqu’il est établi que le tiers ayant reçu par erreur le document n’en a pas pris connaissance (CJUE, 25 janvier 2024, MediaMarktSaturn, C-687/21). Elle a enfin admis qu’une perte de contrôle d’une durée limitée sur ses données peut suffire à causer un dommage moral, pourvu que la personne démontre l’avoir effectivement subi, aussi minime soit-il, sans devoir prouver de conséquences négatives tangibles supplémentaires (CJUE, 4 octobre 2024, C-200/23).
Les juridictions françaises appliquent cette grille. Dans une affaire jugée à Nice, la messagerie d’un gestionnaire d’agence immobilière avait été piratée ; un locataire avait reçu, depuis cette adresse, des courriels crédibles lui demandant de modifier les coordonnées bancaires de l’agence, et avait versé 8 899,95 euros sur le compte d’un escroc. Le tribunal s’est appuyé sur les articles 24 et 32 du RGPD et sur l’arrêt C-340/21 pour retenir qu’« une présomption simple de manquement envers le responsable de traitement est posée », que l’agence n’apportait aucune réponse sur ses mesures de sécurité ni sur la date à laquelle elle avait eu connaissance de l’incident, et l’a condamnée à indemniser l’intégralité de la somme ; la négligence du locataire, qui n’avait pas interrompu ses virements après la fin du bail, a été jugée comme ayant aggravé le préjudice sans en être la cause (TJ Nice, 18 novembre 2025, n° 22/03193). Il s’agit d’un jugement de première instance, susceptible d’appel, rendu sur des faits particuliers ; il illustre toutefois l’enchaînement que le demandeur doit établir : un incident de sécurité chez l’organisme, une fraude rendue possible par cet incident, puis une perte chiffrée. Le tribunal a aussi visé la responsabilité civile de droit commun, selon laquelle tout fait quelconque de l’homme qui cause à autrui un dommage oblige celui par la faute duquel il est arrivé à le réparer (article 1240 du code civil).
Cette grille montre aussi les limites du recours. Si vos identifiants ont été dérobés sur votre propre ordinateur par un logiciel espion, il n’existe pas nécessairement d’organisme dont la sécurité aurait été prise en défaut, et la réparation se recherche alors principalement contre les auteurs, dans le cadre de la procédure pénale, ce qui suppose qu’ils soient identifiés. Si l’alerte désigne au contraire la fuite d’un service, la demande suppose de démontrer un dommage personnel : frais engagés, opérations frauduleuses non remboursées, temps passé à sécuriser ses comptes, inquiétude réelle et documentée. La page de la CNIL sur l’indemnisation résume ces trois exigences : une violation du RGPD, un préjudice réel et personnellement subi, et un lien de causalité entre les deux.
Reste la question du juge et du temps. L’action contre un responsable du traitement ou un sous-traitant peut être portée devant les juridictions de l’État membre où il dispose d’un établissement ou devant celles de l’État de votre résidence habituelle, sauf lorsque le responsable est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique (article 79, paragraphe 2, du RGPD). La CNIL indique que la demande d’indemnisation relève en principe du tribunal judiciaire lorsque le responsable est une entreprise ou une personne privée, et du tribunal administratif lorsque la responsabilité d’une personne publique est en cause, avec des règles particulières dans ce second cas. Vous pouvez également mandater un organisme ou une association à but non lucratif actif dans la protection des données pour agir en votre nom, et lui confier l’exercice du droit à réparation lorsque le droit national le prévoit (article 80 du RGPD). En droit français, les actions personnelles ou mobilières se prescrivent par cinq ans « à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (article 2224 du code civil). Les décisions consultées pour cet article ne tranchent pas la manière dont ce point de départ s’applique à une fuite découverte par l’intermédiaire d’un service d’alerte tiers ; mieux vaut donc ne pas laisser passer le temps une fois l’alerte connue. Lorsque l’enjeu le justifie, l’avis d’un avocat en protection des données personnelles permet de vérifier l’identité du responsable, la solidité des preuves et le fondement le plus adapté.
Conclusion
Découvrir son adresse sur Have I Been Pwned après l’opération Endgame, ou après toute autre fuite, n’établit ni l’origine de l’incident ni la responsabilité de quiconque. L’alerte est un signal : elle impose de sécuriser rapidement la messagerie et les comptes concernés, d’assainir l’appareil lorsque des journaux de logiciels espions sont en cause, de surveiller sa banque et de garder une trace datée de chaque élément.
Le droit offre ensuite des outils distincts. Le droit d’accès permet d’identifier l’organisme qui détenait les données et la source dont il les tenait. La réclamation auprès de la CNIL peut conduire à des mesures correctrices, sans indemnisation. La plainte pénale documente les faits et ouvre la voie à des poursuites. Le juge civil, enfin, peut accorder réparation au titre du RGPD, à condition que soient démontrés une violation, un dommage personnel et le lien qui les unit, l’organisme devant de son côté justifier du caractère approprié de ses mesures de sécurité.