Vos données ont fuité : quoi faire, dans l’ordre

1. Savoir ce qui est parti

L’organisme concerné doit signaler la violation à la CNIL et en informer les personnes qu’elle expose. Cette notification constitue le point de départ de toute démarche. Elle arrive souvent tard, et reste en général imprécise : une formule telle que « certaines données de contact ont pu être consultées » n’indique pas si une pièce d’identité figurait parmi les éléments compromis.

Conservez ce message. Il porte deux dates, celle de l’incident et celle de la notification, dont vous aurez besoin pour la suite.

2. Demander à l’organisme ce qu’il détient exactement

Cette étape est déterminante et fréquemment omise. Le droit d’accès permet de demander la liste des données qu’un organisme détient sur vous, leur origine, et les destinataires à qui elles ont été transmises. La demande s’adresse à son délégué à la protection des données, et la réponse prend en général un mois. La CNIL explique la démarche et propose des modèles de courrier.

Si vous tenez le registre de vos envois — la liste, gardée sur votre appareil, de ce que vous avez transmis — vous pouvez comparer sa réponse à ce que vous savez lui avoir remis, au lieu de vous fier à sa seule déclaration.

3. Vérifier quels comptes bancaires existent à votre nom

Ce contrôle, rarement effectué, est celui qui permet de détecter une usurpation aboutie. FICOBA — le fichier national des comptes bancaires et assimilés, tenu par l’administration fiscale — recense les comptes ouverts en France. Si quelqu’un a ouvert un compte avec vos papiers, il y figure.

Pour votre propre compte, depuis le 6 janvier 2025, la démarche est en ligne :

• connectez-vous à votre espace particulier sur impots.gouv.fr ;
• ouvrez la rubrique « Autres services » ;
• choisissez le module « demande formulée pour son propre compte » — ou « pour un enfant mineur » si vous agissez pour votre enfant.

La réponse n’est pas immédiate : vous êtes averti par e-mail, et le résultat arrive dans la messagerie sécurisée de votre espace. Les autres situations — héritiers, tuteurs et curateurs, représentants d’une entreprise ou d’une association, époux en instance de divorce agissant par avocat ou notaire — passent par une demande écrite adressée au Centre national de traitement FBFV.

Ce que vous recevez : la liste des comptes ouverts en France à votre nom, et de ceux clos depuis moins de dix ans. Ce que vous ne recevez pas : les soldes et les opérations — FICOBA recense l’existence des comptes, pas leur contenu. La procédure détaillée est décrite sur service-public.gouv.fr.

4. Verrouiller ce qui peut l’être

• Vos comptes en ligne : changez le mot de passe des services concernés, et de tous ceux où vous l’aviez réutilisé. Activez la double authentification là où elle existe.
• Vos moyens de paiement : surveillez les débits, y compris les petits montants — un prélèvement d’un euro sert souvent à tester une carte avant de s’en servir vraiment. Un usage frauduleux de carte bancaire se signale via le téléservice Perceval, accessible depuis service-public.fr, en plus de l’opposition auprès de votre banque.
• Votre boîte e-mail : c’est la clé de tout le reste. Si elle figure dans la fuite, traitez-la en priorité.

5. Les sollicitations frauduleuses consécutives

Une violation de données n’entraîne pas seulement un risque d’usurpation : elle expose à des sollicitations frauduleuses. Le nom, le numéro de téléphone et divers éléments de profil circulent, et les semaines suivantes s’accompagnent d’appels et de messages frauduleux — faux conseiller bancaire, fausse livraison, prétendu service public. Ces campagnes sont d’autant plus convaincantes que l’interlocuteur dispose déjà du nom, de l’établissement bancaire ou de l’adresse de la personne appelée, c’est-à-dire des informations issues de la violation.

Un filtre d’appels et de SMS aide à couper court. SpamAngel filtre les appels et messages frauduleux sur iOS et Android et suit les campagnes en cours, sans avoir à savoir quels numéros vous consultez ni quels messages vous recevez. Le principe est le même que celui de Fili : le service rendu ne doit pas se payer en données personnelles.

Transparence : SpamAngel est édité par l’auteur de Fili.

6. Signaler

• À la CNIL — cnil.fr permet de déposer une plainte en ligne contre un organisme qui a mal protégé vos données, ou qui ne répond pas à votre droit d’accès.
• À Cybermalveillance — cybermalveillance.gouv.fr, le dispositif national d’assistance, propose un diagnostic et oriente vers les démarches adaptées.
• Plainte — en cas d’usurpation avérée (un crédit, un abonnement, un compte ouvert en votre nom), déposez plainte. C’est ce dépôt qui vous permettra de faire annuler les engagements pris à votre place.

7. Pour les envois suivants

Les données déjà diffusées ne peuvent être retirées. Demeurent sous votre contrôle les copies que vous transmettrez par la suite, et vous en transmettrez, puisque les demandes se poursuivront.

• Ne remettez plus de copie nue. Une pièce qui annonce sa destination — « exclusivement dédié à la location immobilière » — devient embarrassante ailleurs. Voir le guide sur la mention à écrire.
• Gardez trace de vos envois. Quoi, à qui, quand. C’est ce qui transforme la prochaine notification de violation en demande précise plutôt qu’en angoisse vague.
• Ne donnez que ce qui est exigible. Pour un dossier de location, une liste de référence est publiée : voir le guide correspondant.

La portée d’un filigrane

Les grandes fuites françaises des dernières années sont des fuites de bases de données : ce qui circule, ce sont vos informations telles qu’un organisme les a saisies — nom, date de naissance, coordonnées, numéro de sécurité sociale, coordonnées bancaires. Pas l’image de votre carte d’identité. Un filigrane n’a aucune prise là-dessus, et personne ne peut reprendre ce qui est sorti.

Son action porte sur l’autre versant du problème : les copies que vous transmettez vous-même, et qui alimentent les dossiers frauduleux lorsqu’elles entrent en circulation. Marquées, elles deviennent identifiables dès lors qu’elles réapparaissent dans un autre contexte. La portée est réelle, et elle est circonscrite.