Vous avez reçu une notification ou vous suspectez une fuite vous concernant
Free, France Travail, Auchan, Cultura, la CAF en 2024, puis Almerys et EduConnect au printemps 2026 : des millions de Français ont reçu un email ou un SMS signalant que leurs données personnelles avaient été compromises. D'autres découvrent par hasard que leurs informations circulent sur internet, sans avoir été prévenus. Dans les deux cas, la question est la même : que faire maintenant ?
Ce guide est écrit pour vous - particulier victime ou potentiellement victime d'une fuite de données personnelles. Il vous explique étape par étape comment confirmer la fuite, ce que vous devez faire dans les premières 72 heures, comment porter plainte, et comment obtenir réparation si vous avez subi un préjudice.
💡 Vous êtes DPO ou responsable de traitement cherchant les obligations légales de votre organisation ? Ce guide ne s'adresse pas à vous. Consultez notre guide sur la détection et l'identification d'une violation de données (Page 1) et notre guide sur les obligations RGPD en cas de violation de données (Page 3 - notification CNIL, art. 33 et 34).
Comment savoir si vous êtes victime d'une fuite de données ?
Avant d'agir, vous devez confirmer que vos données font partie des informations compromises. Voici les trois sources de vérification les plus fiables.
Vérifiez sur Have I Been Pwned
Le site haveibeenpwned.com est la référence mondiale pour savoir si votre adresse e-mail a été exposée dans une fuite de données répertoriée. Entrez simplement votre adresse e-mail : le service compare instantanément votre adresse à des centaines de bases de données compromises, sans stocker votre adresse ni la transmettre à des tiers.
Si votre adresse apparaît dans les résultats, le site vous indique :
Le service est entièrement gratuit. Vous pouvez également vous abonner gratuitement pour recevoir une alerte automatique par e-mail si votre adresse apparaît dans une nouvelle fuite identifiée. C'est une précaution utile à prendre même si vous n'avez rien détecté aujourd'hui.
En complément d'Have I Been Pwned, plusieurs services bancaires et gestionnaires de mots de passe (1Password, Bitwarden, Dashlane) proposent désormais une surveillance automatique des fuites connues et vous alertent directement si vos identifiants sont détectés dans une base compromise.
Repérez les signaux d'alerte
Même sans notification officielle, plusieurs signaux concrets doivent alerter :
La notification directe de l'entreprise concernée
Si une fuite présente un risque élevé pour vos droits, le RGPD impose à l'entreprise concernée de vous prévenir directement - par e-mail, SMS ou courrier postal. Cette notification doit obligatoirement :
Si vous avez reçu une telle notification, prenez-la au sérieux même si le ton est rassurant. La simple réception d'une notification officielle signifie que l'entreprise a évalué le risque comme élevé pour vos droits et libertés. Ne classez pas ce message comme spam : c'est le point de départ de vos démarches.
Si vous pensez être concerné par une fuite connue mais n'avez reçu aucune notification, consultez le site de l'entreprise concernée - certaines publient des FAQ dédiées - ou contactez directement leur service client.
Confirmer la fuite et évaluer l'impact sur vos données
Une fois que vous avez identifié qu'une fuite vous concerne, il faut évaluer concrètement quelles données ont été exposées et quel niveau de risque vous courez réellement. Toutes les fuites n'ont pas le même impact selon la nature des données compromises.
Quelles données ont été exposées ?
Selon les informations compromises, les risques et les mesures d'urgence à prendre diffèrent radicalement :
Données de contact basiques (nom, e-mail, téléphone, adresse) : risque modéré de phishing et de démarchage frauduleux. Soyez vigilant sur tous les messages entrants dans les semaines qui suivent, vérifiez soigneusement l'expéditeur avant de cliquer sur un lien, et méfiez-vous des appels téléphoniques qui vous semblent "trop au courant" de votre situation personnelle.
Mots de passe ou hachages de mots de passe : risque élevé de compromission de vos comptes, surtout si vous réutilisez le même mot de passe sur plusieurs services. C'est la faille la plus courante - les fraudeurs testent systématiquement les identifiants volés sur d'autres services populaires (Gmail, Facebook, Amazon, banques en ligne). Action urgente requise : changer immédiatement le mot de passe concerné ET tous les services où vous utilisez la même combinaison.
Données bancaires (IBAN, numéro de carte, RIB) : risque très élevé de prélèvements frauduleux ou de virements non autorisés. L'IBAN seul permet de créer un mandat de prélèvement frauduleux. Un numéro de carte avec CVV permet des achats en ligne immédiats. Contactez votre banque dès que possible.
Numéro de sécurité sociale (NIR) : risque d'usurpation d'identité administrative - fraude aux remboursements maladie, ouverture de droits frauduleux à votre nom. Signalez-le immédiatement à votre CPAM et à l'Assurance Maladie.
Données d'identité complètes (nom + prénom + date de naissance + adresse + pièce d'identité) : risque maximal d'usurpation d'identité - ouverture de crédits, contrats téléphoniques, location de logement à votre nom. Signalez immédiatement à la police ou à la gendarmerie.
Données de santé : risque de discrimination, de chantage ou de revente à des assureurs. La CNIL traite ces violations avec une priorité maximale - signalez-y directement.
La combinaison de données : le vrai facteur de risque
Ce qui rend une fuite véritablement dangereuse, c'est souvent la combinaison de plusieurs types de données. Nom + e-mail seuls = risque limité. Nom + adresse + date de naissance + numéro de sécurité sociale = combinaison permettant une usurpation d'identité complète.
Consultez la notification reçue ou le site de l'entreprise concernée pour connaître précisément les catégories de données exposées. Si l'entreprise reste vague, vous pouvez exercer votre droit d'accès (voir section "Exercer vos droits RGPD" ci-dessous) pour obtenir la liste exacte des données vous concernant, dans un délai légal de 30 jours.
Dans les fuites massives comme celles de Free (2024) ou France Travail (2024-2025), les cybercriminels croisent plusieurs bases pour constituer des profils complets. Même si les données de la fuite vous semblent peu sensibles isolément, elles peuvent être combinées avec d'autres données déjà disponibles sur internet.
Les grandes fuites de 2026 : ce qu'elles changent pour vous
Trois affaires de 2026 illustrent pourquoi une fuite vous concerne parfois sans que vous l'ayez choisi, via un sous-traitant ou une plateforme que vous n'avez jamais contactée directement.
Almerys (mai 2026, données de tiers-payant santé) : plus de 15 millions de numéros de sécurité sociale auraient été exposés à la suite d'une intrusion chez cet opérateur de tiers-payant santé. Les données concernées comprenaient l'état civil, la date de naissance, le numéro de sécurité sociale (NIR) et le nom de la mutuelle, sans données bancaires ni médicales. L'incident a fait l'objet d'un signalement à la CNIL et à l'ANSSI, et d'une enquête ouverte par le parquet de Paris (BL2C).
EduConnect (avril-mai 2026, données d'élèves) : le ministère de l'Éducation nationale a confirmé une fuite de données d'élèves provenant du service EduConnect, causée par l'usurpation du compte d'un personnel habilité. La CNIL a été notifiée et une plainte a été déposée.
Oracle PeopleSoft / ShinyHunters (mai-juin 2026, données RH et étudiants) : l'exploitation d'une vulnérabilité zero-day d'Oracle PeopleSoft (CVE-2026-35273, criticité 9,8/10) a touché plus de 100 organisations, l'enseignement supérieur en tête, exposant des données RH et de scolarité.
Le point commun : vos données peuvent fuiter via un acteur que vous n'avez jamais choisi. C'est votre mutuelle, votre employeur ou votre administration qui a confié vos données à ce sous-traitant ou à cet éditeur. Vos droits (notification, accès, plainte, réparation) restent entiers et s'exercent vis-à-vis de l'organisme qui a collecté vos données.
Blocage urgent : que faire dans les premières 72 heures
Dès que vous confirmez que vos données ont été exposées, certaines actions doivent être prises immédiatement - avant même de déposer plainte. Voici la liste de priorité selon la nature des données compromises.
Données bancaires exposées : actions immédiates
Si un IBAN, un numéro de carte bancaire ou des identifiants de compte ont fuité, voici les étapes dans l'ordre de priorité :
En cas de prélèvement SEPA non autorisé, vous disposez de 13 mois pour le contester auprès de votre banque (article L.133-24 du Code monétaire et financier) - ne tardez pas mais sachez que vous avez ce délai de protection.
Changez vos mots de passe compromis
Si vos identifiants de connexion (e-mail + mot de passe) ont été exposés, voici l'ordre d'action :
Activez la double authentification (2FA)
Même avec un mot de passe compromis, un fraudeur ne peut pas accéder à votre compte si la double authentification est activée. Activez-la en priorité sur les services suivants :
Privilégiez une application d'authentification (Google Authenticator, Authy, Microsoft Authenticator) plutôt que le SMS, qui reste vulnérable au SIM swapping - une technique par laquelle un fraudeur convainc votre opérateur de transférer votre numéro de téléphone sur une nouvelle SIM qu'il contrôle.
Vérifiez vos comptes gouvernementaux et votre identité administrative
Si votre numéro de sécurité sociale ou des données d'identité complètes ont fuité :
Déposer une plainte : Pharos, commissariat ou THESEE
Déposer une plainte est une étape importante pour deux raisons : c'est un acte officiel qui déclenche une enquête judiciaire potentielle, et c'est souvent une condition pour faire valoir vos droits (indemnisation, assurance contre la cybercriminalité, procédures bancaires). Ne négligez pas cette étape même si vous pensez que les chances de retrouver le responsable sont faibles - les données de votre plainte contribuent aux enquêtes sur les réseaux de cybercriminels.
Signaler sur Pharos (pour les contenus illicites en ligne)
Pharos (Plateforme d'Harmonisation, d'Analyse, de Recoupement et d'Orientation des Signalements) est la plateforme du ministère de l'Intérieur pour signaler des contenus illicites en ligne. Rendez-vous sur internet-signalement.gouv.fr pour signaler :
Ce signalement ne constitue pas une plainte pénale au sens strict, mais il permet aux services de police spécialisés (OCLCTIC - Office Central de Lutte contre la Criminalité liée aux Technologies de l'Information et de la Communication) de détecter les tendances et d'identifier des réseaux actifs.
Déposer plainte au commissariat ou à la gendarmerie
Pour engager une procédure judiciaire formelle, déposez une plainte au commissariat de police ou à la brigade de gendarmerie de votre domicile. Toute personne est en droit de déposer plainte - les services de police et de gendarmerie sont tenus de la recevoir.
Apportez lors du dépôt :
Précisez clairement dans votre plainte les qualifications pénales selon ce qui s'est passé : "accès frauduleux à un système informatique" (article 323-1 du Code pénal), "vol de données personnelles", "utilisation frauduleuse de données bancaires" (article L163-4 du Code monétaire et financier), ou "usurpation d'identité" (article 226-4-1 du Code pénal).
Si le policier ou gendarme tente de vous orienter vers un simple signalement, insistez poliment pour une plainte formelle - vous avez le droit légal de déposer plainte si vous avez subi ou risquez de subir un préjudice identifiable.
Porter plainte en ligne via THESEE (sans se déplacer)
THESEE (Traitement Harmonisé des Enquêtes et Signalements pour les E-Escroqueries) est la plateforme du ministère de l'Intérieur permettant de déposer une plainte en ligne pour les escroqueries commises sur internet. Elle est accessible 24h/24 sur masecurite.interieur.gouv.fr.
THESEE est particulièrement adapté pour :
Vous recevez immédiatement un récépissé numérique faisant foi - conservez-le précieusement pour vos démarches bancaires et d'indemnisation. La plainte est transmise au commissariat ou à la gendarmerie territorialement compétent.
Exercer vos droits RGPD auprès de l'entreprise concernée
La fuite de vos données ne fait pas disparaître vos droits sur ces données. Au contraire, une violation de données renforce votre intérêt à les exercer pour limiter les dommages futurs et obtenir une transparence totale sur ce qui a été exposé.
Droit d'accès : savoir précisément quelles données ont été compromises
En vertu de l'article 15 du RGPD, vous avez le droit d'obtenir de l'entreprise concernée une copie complète de toutes les données vous concernant qu'elle détient. Dans le contexte d'une fuite, cela vous permet de connaître précisément quelles informations ont été compromises - bien au-delà de ce que l'entreprise mentionne dans sa notification officielle, qui peut être volontairement générale.
Pour exercer votre droit d'accès :
Droit d'opposition, de limitation et d'effacement
Après une fuite, vous pouvez exercer plusieurs droits selon votre situation :
Ces droits s'exercent directement auprès de l'entreprise responsable, par écrit. En cas de refus non justifié ou de non-réponse dans les délais légaux, vous pouvez saisir la CNIL - qui pourra mettre l'entreprise en demeure de répondre.
Recours et indemnisation
Si vous avez subi un préjudice concret - fraude bancaire, usurpation d'identité, atteinte documentée à votre vie privée, préjudice moral - vous avez le droit d'obtenir réparation. Voici vos options, de la plus simple à la plus formelle.
Saisir la CNIL
La CNIL est l'autorité française de contrôle du RGPD. En tant que particulier, vous pouvez la saisir gratuitement si :
La plainte se dépose directement sur cnil.fr/plaintes via un formulaire guidé en ligne. La CNIL examine votre plainte, peut demander des explications à l'entreprise, et si elle constate un manquement grave, peut engager une procédure de sanction pouvant aller jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial (amendes RGPD, article 83).
Important : la CNIL ne peut pas vous indemniser directement - son rôle est de contrôler et sanctionner les entreprises, pas de distribuer des dommages et intérêts aux victimes. Pour obtenir une compensation financière, vous devrez passer par la voie judiciaire.
Action en justice individuelle
Si vous avez subi un préjudice documenté et chiffrable, vous pouvez engager une action en réparation devant le tribunal judiciaire compétent. Le fondement juridique est l'article 82 du RGPD, qui prévoit explicitement que toute personne ayant subi un dommage matériel ou moral du fait d'une violation du RGPD a le droit d'obtenir réparation du responsable de traitement ou du sous-traitant.
Pour construire votre dossier :
La jurisprudence française et européenne sur les dommages et intérêts liés aux violations RGPD est en développement rapide depuis 2023. Des décisions de juridictions européennes ont accordé des indemnisations allant de quelques centaines à plusieurs milliers d'euros par victime, selon la gravité du préjudice et les manquements de l'entreprise.
Actions collectives
Depuis 2018, la loi française permet des actions de groupe en matière de protection des données personnelles (loi Informatique et Libertés modifiée). Ces actions sont portées par des associations agréées de défense des droits numériques ou des consommateurs - la Quadrature du Net, UFC-Que Choisir, 60 Millions de Consommateurs, par exemple.
Si vous êtes victime d'une fuite massive (Free, France Travail, Auchan, etc.), vérifiez si une action collective est en cours - les associations concernées communiquent via leur site web et leurs réseaux sociaux. Rejoindre une action collective permet d'obtenir une réparation sans avoir à financer seul les frais de procédure.
France Victimes : accompagnement gratuit
France Victimes propose un accompagnement juridique et psychologique gratuit aux victimes de crimes et délits, y compris de cybercriminalité et de vols de données. Appelez le 116 006 (numéro national gratuit, disponible 7j/7) pour être mis en contact avec une association d'aide aux victimes locale. Ces associations peuvent vous aider à constituer votre dossier, vous accompagner dans vos démarches administratives et judiciaires, et vous orienter vers un avocat si nécessaire.
👉 Vous êtes responsable de traitement ? Les démarches de votre organisation en cas de fuite sont différentes. Consultez notre guide complet sur les obligations RGPD des entreprises en cas de violation de données - notification CNIL sous 72h (art. 33), information des personnes concernées (art. 34), documentation obligatoire au registre des violations.
Suivi à long terme : rester vigilant après une fuite
Les effets d'une fuite de données ne disparaissent pas après les premières semaines de crise. Certaines informations comme votre numéro de sécurité sociale ou votre date de naissance ne peuvent pas être changées - elles restent potentiellement exploitables pendant des années. Voici comment maintenir une protection durable.
Surveillance bancaire et crédit prolongée
Après une fuite impliquant des données financières ou d'identité, maintenez une surveillance active pendant au moins 12 à 24 mois :
Veille identitaire en continu
Pour rester informé des nouvelles fuites vous concernant et détecter une exploitation de vos données :
Cas particulier : l'usurpation d'identité
Si vous constatez qu'un fraudeur a ouvert des comptes, souscrit des crédits ou signé des contrats à votre nom, les démarches sont plus complexes mais parfaitement gérables avec de la méthode :
L'usurpation d'identité peut prendre plusieurs mois à démêler complètement. Constituez un dossier physique ou numérique avec toutes vos démarches, dates, numéros de référence de dossier et correspondances. Ce dossier sera votre référence tout au long du processus.
Articles complémentaires
Comment identifier un piratage de vos données personnelles
Violation de données : obligations RGPD de l'entreprise
Cybersécurité : 5 bonnes pratiques essentielles
RGPD : générer et gérer des mots de passe sécurisés
Questions fréquemment posées
Comment savoir si mes données personnelles ont été volées ?
Vérifiez gratuitement sur haveibeenpwned.com en entrant votre adresse e-mail - le service recense des milliers de bases de données compromises. Autres signaux d'alerte : e-mails de phishing qui vous appellent par votre nom complet, tentatives de connexion non demandées sur vos comptes, transactions bancaires non reconnues, ou courriers pour des contrats que vous n'avez pas souscrits. Abonnez-vous aux alertes gratuites du site pour être notifié automatiquement des futures fuites vous concernant.
Que faire en urgence si mes données bancaires ont été exposées dans une fuite ?
Appelez votre banque immédiatement (numéro indiqué sur le dos de votre carte) pour signaler la situation. Si votre numéro de carte avec CVV a fuité, faites opposition. Vérifiez vos relevés des 30 derniers jours pour identifier d'éventuelles transactions non reconnues et contestez-les - votre banque est légalement tenue de vous rembourser les opérations non autorisées. Demandez également votre situation FICP à la Banque de France pour vérifier qu'aucun crédit frauduleux n'a été ouvert à votre nom.
Comment déposer une plainte pour vol de mes données personnelles ?
Trois options selon votre situation : (1) Pharos (internet-signalement.gouv.fr) pour signaler des contenus illicites en ligne utilisant vos données. (2) Commissariat ou gendarmerie pour une plainte pénale formelle - apportez toutes vos preuves (captures d'écran, relevés, notification reçue). (3) THESEE (masecurite.interieur.gouv.fr) pour déposer une plainte en ligne pour escroqueries internet, sans déplacement, avec récépissé immédiat.
Puis-je être indemnisé si je suis victime d'une fuite de données personnelles ?
Oui. L'article 82 du RGPD prévoit explicitement votre droit à réparation si vous subissez un dommage matériel ou moral du fait d'une violation du RGPD. Vous pouvez porter l'action devant le tribunal judiciaire compétent. Pour les fuites massives, vérifiez si une action collective est en cours auprès d'associations de consommateurs (UFC-Que Choisir, Quadrature du Net). France Victimes (116 006) peut vous accompagner gratuitement dans vos démarches.
Comment saisir la CNIL en tant que victime particulière d'une fuite de données ?
Rendez-vous sur cnil.fr/plaintes et remplissez le formulaire en ligne - la démarche est gratuite et accessible à tout particulier. La CNIL peut contraindre l'entreprise à respecter vos droits (répondre à votre exercice de droits, vous notifier correctement, sécuriser les données restantes) et, si elle constate un manquement grave, engager une procédure de sanction. Attention : la CNIL ne distribue pas d'indemnisation aux victimes. Pour obtenir une réparation financière, vous devrez saisir le tribunal judiciaire.
Combien de temps mes données restent-elles exploitables après une fuite ?
Cela dépend des données exposées. Un mot de passe changé immédiatement perd sa valeur en quelques heures. En revanche, votre numéro de sécurité sociale, votre date de naissance ou votre adresse peuvent être exploités pendant des années - ces données ne "expirent" pas. Pour les fuites impliquant des données d'identité, restez vigilant au minimum 12 à 24 mois après la fuite. Abonnez-vous aux alertes de haveibeenpwned.com, surveillez vos comptes bancaires régulièrement, et vérifiez périodiquement votre situation à la Banque de France.
Mes données ont fuité via une plateforme que je ne connais pas (Almerys, un sous-traitant) : suis-je quand même concerné ?
Oui. Beaucoup de fuites récentes (Almerys pour le tiers-payant santé, Oracle PeopleSoft pour des données RH et scolarité) proviennent d'un sous-traitant ou d'un éditeur de logiciel que vous n'avez jamais contacté directement. C'est votre mutuelle, votre employeur ou votre administration qui leur a confié vos données. Vous restez la personne concernée au sens du RGPD : la notification doit vous parvenir et vos droits (accès, plainte, réparation) s'exercent vis-à-vis du responsable de traitement, c'est-à-dire l'organisme qui a collecté vos données, même si la faille s'est produite chez son sous-traitant.
Qui doit notifier la CNIL en cas de fuite de données ?
La notification à la CNIL incombe au responsable de traitement, c'est-à-dire l'organisme qui a décidé de collecter et d'utiliser les données (votre banque, votre mutuelle, votre employeur), pas à vous en tant que victime. En vertu de l'article 33 du RGPD, il dispose de 72 heures après avoir pris connaissance de la violation pour la notifier à la CNIL, sauf si la fuite est peu susceptible d'engendrer un risque pour vos droits. Si la fuite a eu lieu chez un sous-traitant, ce dernier doit alerter sans délai le responsable de traitement, qui reste seul tenu de notifier la CNIL. Si vous êtes vous-même responsable de traitement, consultez notre guide sur les obligations RGPD en cas de violation.
Que faire si les données clients de mon entreprise ont été volées ?
Si vous êtes responsable de traitement et que des données de vos clients ont été volées, vos obligations sont différentes de celles d'un particulier victime : il faut qualifier la violation, la documenter dans un registre dédié, notifier la CNIL sous 72 heures (article 33 du RGPD) si un risque existe, et informer les personnes concernées en cas de risque élevé (article 34). Ces démarches, ainsi que la chaîne de responsabilité avec vos sous-traitants, sont détaillées dans notre guide sur les obligations de l'entreprise en cas de violation de données.
Comment prouver que mon organisation a bien respecté le RGPD après une fuite ?
La preuve repose sur la documentation. En cas de violation, vous devez pouvoir présenter à la CNIL le registre des violations (qui consigne chaque incident, ses effets et les mesures prises, en vertu de l'article 33.5 du RGPD), la trace de la notification dans le délai de 72 heures, et la preuve des mesures de sécurité en place avant l'incident (chiffrement, journalisation, gestion des accès). C'est cette traçabilité, et non l'absence de fuite, qui démontre votre conformité. Un outil de gestion de la conformité comme Leto centralise le registre des violations et le suivi des sous-traitants pour reconstituer cette chaîne de preuve - demander une démo.
