Fuite de données : que faire, définition et obligations RGPD en 2026
Une fuite de données désigne l'exposition, accidentelle ou malveillante, de données personnelles à des personnes non autorisées. Si vous êtes concerné, trois réflexes s'imposent sans attendre : changer vos mots de passe et activer la double authentification, surveiller vos comptes bancaires, et vous méfier des tentatives d'hameçonnage qui suivent presque toujours. Vous pouvez ensuite exercer vos droits auprès de l'organisme et, au besoin, saisir la CNIL. Côté entreprise, toute violation doit être consignée dans un registre et, dès qu'elle présente un risque, notifiée à la CNIL dans les 72 heures.
La fuite de données est devenue l'un des risques numériques les plus courants, et la France en paie le prix fort. En 2025, la CNIL a reçu près de 5 840 notifications de violations de données, soit une hausse d'environ 47 % sur un an, avec des dizaines de millions de comptes compromis. Free, France Travail, des opérateurs, des enseignes, des administrations : rares sont les secteurs épargnés. Que vous soyez un particulier dont les informations circulent après un piratage ou une organisation confrontée à une brèche, ce guide détaille ce qu'est une fuite de données, comment réagir concrètement, et quelles obligations le RGPD fait peser sur ceux qui traitent vos informations.
Fuite de données : définition, causes et risques
Sur le plan juridique, une fuite de données correspond à ce que le RGPD appelle une violation de données à caractère personnel. L'article 4-12 du RGPD la définit comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, ou la divulgation non autorisée de données personnelles, ou l'accès non autorisé à celles-ci. En clair, vos informations personnelles et confidentielles se retrouvent exposées, parfois à votre insu, entre les mains de tiers non autorisés. Il n'est d'ailleurs pas nécessaire qu'un pirate revende un fichier sur le dark web : un courriel envoyé au mauvais destinataire ou une base laissée accessible en ligne constitue déjà une fuite de données.
Les causes d'une fuite de données sont variées. On trouve d'abord la cyberattaque : des pirates ou des hackers exploitent une vulnérabilité pour réussir une intrusion dans le système d'information (piratage d'un serveur, rançongiciel, exploitation d'une faille, hameçonnage d'un salarié). Viennent ensuite l'erreur humaine (mauvais paramétrage, pièce jointe erronée, perte d'un ordinateur ou d'une clé USB) et la malveillance interne d'une personne ayant accès aux systèmes. La CNIL souligne que la majorité des incidents reposent sur des failles élémentaires de cybersécurité : mots de passe faibles, absence de double authentification ou surveillance insuffisante des accès, plutôt que sur des attaques sophistiquées. Le responsable du traitement, c'est-à-dire l'organisme qui décide du traitement des données, reste pourtant tenu d'en garantir la protection des données personnelles.
Toutes les données n'ont pas la même sensibilité. Une fuite de données peut concerner des identifiants et mots de passe, des coordonnées (nom, adresse, téléphone, e-mail), des informations bancaires comme un IBAN ou un numéro de carte de crédit, des documents d'identité, ou encore des données particulièrement protégées touchant à la santé, aux opinions ou à la vie privée. Plus les informations exposées sont précises, plus les risques sont élevés : usurpation d'identité, hameçonnage ciblé nourri par vos vraies données, fraude bancaire, souscription de crédits à votre nom, ou démarchage abusif. En 2025, plusieurs violations massives ont ainsi touché des millions de Français, confirmant que le phénomène concerne aujourd'hui aussi bien les particuliers que les grandes organisations.
Le tableau ci-dessous récapitule, selon le type de données touchées par la fuite de données, le risque principal et le réflexe à activer en priorité.
| Donnée exposée | Risque principal | Réflexe prioritaire |
|---|---|---|
| Identifiants et mots de passe | Piratage de vos comptes en ligne | Changer les mots de passe et activer la double authentification |
| Coordonnées (e-mail, téléphone) | Hameçonnage ciblé et démarchage abusif | Rester vigilant, ne jamais répondre aux sollicitations non sollicitées |
| Données bancaires (IBAN, carte) | Prélèvements et fraude à la carte | Surveiller ses comptes, faire opposition, signaler via Perceval |
| Pièce d'identité | Usurpation d'identité, crédits ouverts à votre nom | Déposer plainte, surveiller les demandes de crédit |
| Données sensibles (santé, opinions) | Atteinte à la vie privée, chantage | Saisir la CNIL, exercer son droit à l'effacement |
C'est pourquoi une fuite de données, même limitée en apparence, mérite toujours une réaction méthodique.
Victime d'une fuite de données : que faire ?
La première question de toute victime est simple : fuite de données, que faire concrètement ? La logique tient en quelques étapes, à enclencher dans le bon ordre. Une fuite de données ouvre souvent la voie à une arnaque orchestrée par des escrocs ou des fraudeurs qui cherchent à exploiter vos informations au plus vite. Commencez donc par confirmer l'incident auprès de l'organisme concerné : si vous recevez un message vous informant d'une fuite de données, vérifiez son authenticité par les canaux officiels de l'entreprise, sans cliquer sur les liens du courriel, et demandez précisément quelles informations vous concernant ont été exposées.
Changez ensuite vos mots de passe sur le service touché, et sur tout autre compte où vous utilisiez le même identifiant. Activez la double authentification partout où c'est possible : c'est la protection la plus efficace lorsque des identifiants circulent après une fuite de données. Si vos données bancaires ont pu être exposées, surveillez votre compte bancaire, signalez toute opération suspecte ou frauduleuse et, en cas de doute, faites opposition sur votre carte auprès de votre banque. En cas de fraude à la carte bancaire (carte de crédit ou carte bleue), le signalement Perceval, accessible sur service-public.fr, vous délivre un récépissé utile face à votre banque. Ne communiquez jamais votre code secret ni le numéro complet de votre carte à un tiers.
Restez également vigilant face à l'hameçonnage. Une fuite de données est très souvent suivie de tentatives d'escroquerie : appels, SMS, spam ou emails frauduleux qui exploitent vos vraies informations pour paraître crédibles. Avant de cliquer sur un lien, vérifiez toujours l'URL du site, et ne communiquez jamais de code, de mot de passe ou de coordonnées bancaires à un interlocuteur qui vous sollicite. Maintenir un antivirus à jour limite aussi le risque qu'un logiciel malveillant ne vienne pirater vos comptes. Pensez enfin à conserver toutes les preuves (captures d'écran datées, courriels, relevés) : elles seront précieuses pour un signalement, une plainte ou une demande d'indemnisation. Pour savoir si vous êtes concerné, vous pouvez vérifier votre adresse e-mail sur un service comme Have I Been Pwned et consulter les fiches réflexes de cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes.
Enfin, vous disposez de recours. Vous pouvez exercer vos droits (accès, effacement, opposition) auprès de l'organisme, demander le déréférencement de contenus vous concernant auprès des moteurs de recherche, et saisir la CNIL si vos données ne sont pas retirées ou si l'organisme ne répond pas. En cas de préjudice, un dépôt de plainte reste possible, et une action de groupe peut être menée par une association lorsque de nombreuses victimes sont touchées par la même fuite de données.
Fuite de données en entreprise : obligations RGPD et sanctions
Pour une organisation, une fuite de données déclenche des obligations précises et des délais courts. Toute violation doit d'abord être documentée dans un registre interne, qu'elle soit notifiée ou non, conformément à l'article 33.5 du RGPD. Le responsable du traitement doit ensuite analyser la gravité de la violation afin de déterminer si une notification, puis une information des personnes, s'imposent. Ce registre permet à la CNIL de vérifier, en cas de contrôle, que l'entreprise a correctement analysé et tracé chaque incident.
Lorsque la fuite de données est susceptible d'engendrer un risque pour les personnes, l'entreprise doit la notifier à la CNIL dans un délai de 72 heures après en avoir pris connaissance (article 33 du RGPD). Si le risque pour les droits et libertés des personnes est élevé, elle doit en outre informer directement les personnes concernées dans les meilleurs délais (article 34), en des termes clairs, en décrivant la nature de la fuite de données, ses conséquences possibles et les mesures à prendre. La sanction Free de janvier 2026 rappelle que des notifications trop vagues, ne permettant pas aux clients de comprendre les risques, sont elles-mêmes sanctionnables.
Les manquements coûtent cher. Le RGPD prévoit, à l'article 83, des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En janvier 2026, la CNIL a ainsi prononcé une sanction de 42 millions d'euros contre Free et Free Mobile après une fuite de données ayant exposé les informations, dont des IBAN, de plusieurs millions d'abonnés, et une amende de 5 millions d'euros à l'encontre de France Travail. Au-delà des amendes, un défaut de sécurisation des données peut engager la responsabilité pénale au titre de l'article 226-17 du Code pénal, et ouvrir aux victimes un droit à réparation du préjudice subi (article 82 du RGPD). Prévenir une fuite de données — par le chiffrement, des systèmes sécurisés, une véritable politique de cybersécurité et la sensibilisation des équipes — reste donc bien moins coûteux que d'avoir à la gérer, et place la protection des données au cœur de la confiance numérique.
Questions fréquentes
Comment savoir si mes données ont fuité ?
Vérifiez votre adresse e-mail sur un service de référence comme Have I Been Pwned, qui recense les bases compromises, et lisez attentivement les messages officiels des organismes dont vous êtes client. En cas de doute sur un incident, le site cybermalveillance.gouv.fr propose des fiches réflexes et une assistance gratuite pour confirmer si vous êtes touché par une fuite de données.
Fuite de données : que faire en premier ?
Changez immédiatement le mot de passe du service concerné et de tout compte partageant le même identifiant, puis activez la double authentification. Si des données bancaires ont pu être exposées, surveillez vos relevés et prévenez votre banque. Conservez enfin toutes les preuves et méfiez-vous des sollicitations qui suivent souvent une fuite de données.
Quel délai une entreprise a-t-elle pour signaler une fuite de données ?
Lorsque la violation présente un risque pour les personnes, l'entreprise doit la notifier à la CNIL dans les 72 heures suivant sa prise de connaissance, en application de l'article 33 du RGPD. Si le risque est élevé, elle doit aussi informer sans délai les personnes concernées, conformément à l'article 34.
Peut-on être indemnisé après une fuite de données ?
Oui. L'article 82 du RGPD reconnaît un droit à réparation du préjudice matériel ou moral résultant d'une fuite de données. La victime peut agir individuellement devant les tribunaux ou rejoindre une action de groupe menée par une association agréée lorsque de nombreuses personnes sont concernées par le même incident.
Une fuite de données peut-elle entraîner une usurpation d'identité ?
C'est l'un des principaux risques. Avec vos nom, coordonnées et documents, un fraudeur peut se faire passer pour vous, ouvrir des comptes ou souscrire des crédits. C'est pourquoi il faut surveiller ses comptes après une fuite de données et signaler rapidement toute activité anormale.
Faire entendre votre expertise au bon endroit
Création de contenu éditorial qui porte votre voix.
