Fuite de données : porter plainte et faire valoir ses droits en France et en Belgique

Deux situations sont à distinguer. Vos données ont fuité mais rien d'autre ne s'est produit : vous pouvez exercer vos droits auprès de l'organisation et de l'autorité de protection des données. Vous avez subi un préjudice (arnaque, usurpation d'identité, prélèvement) : il faut aussi porter plainte.

En France

Être conseillé : 17Cyber et Cybermalveillance.gouv.fr

Le service 17Cyber oriente les victimes de cybermalveillance et les met en relation avec les forces de l'ordre si nécessaire. Le site Cybermalveillance.gouv.fr propose un diagnostic en ligne et des fiches réflexes.

Porter plainte

• Escroquerie en ligne : la plateforme THESEE, accessible depuis service-public.fr, permet de déposer plainte en ligne pour de nombreuses escroqueries sur Internet.
• Fraude à la carte bancaire : signalez-la sur la plateforme Perceval (service-public.fr) après avoir fait opposition.
• Usurpation d'identité ou autre infraction : déposez plainte au commissariat ou à la gendarmerie, ou préparez-la en ligne avec la pré-plainte.

Saisir la CNIL

Si l'organisation responsable de la fuite ne répond pas à vos demandes ou ne vous a pas informé alors que le risque était élevé, vous pouvez déposer une plainte auprès de la CNIL. La CNIL peut contrôler et sanctionner l'organisation, mais elle n'accorde pas d'indemnisation : celle-ci se demande devant un juge.

En Belgique

Porter plainte

• Déposez plainte auprès de la police locale. Certaines infractions peuvent être déclarées en ligne via Police-on-web.
• Signalez les messages frauduleux à suspicious@safeonweb.be et consultez les conseils de Safeonweb, le service du Centre pour la cybersécurité Belgique.
• En cas de vol ou de perte de carte d'identité, faites-la bloquer via DocStop (00800 2123 2123).

Saisir l'Autorité de protection des données

L'Autorité de protection des données (APD) reçoit les plaintes contre les organisations qui ne respectent pas le RGPD, notamment en cas de fuite mal gérée. Elle propose d'abord une médiation.

Vos droits face à l'organisation

Le RGPD vous permet de demander à l'organisation :

• quelles données vous concernant ont été touchées, et quand ;
• quelles mesures elle a prises ;
• la suppression de vos données si elle n'a plus de raison de les conserver.

Écrivez à son délégué à la protection des données (DPO), dont l'adresse figure dans sa politique de confidentialité. Elle doit répondre dans un délai d'un mois.

Obtenir une indemnisation

L'article 82 du RGPD permet à toute personne ayant subi un préjudice matériel ou moral du fait d'une violation du règlement d'en obtenir réparation. Concrètement, il faut saisir le juge civil et démontrer le manquement de l'organisation, le préjudice subi et le lien entre les deux. Des actions de groupe sont également possibles en France, portées par des associations agréées.

Questions fréquentes

Faut-il porter plainte si seules mes données ont fuité, sans arnaque ?

Ce n'est pas obligatoire. Gardez les preuves de la fuite : elles serviront si une usurpation ou une arnaque survient plus tard.

Combien de temps ai-je pour contester un prélèvement frauduleux ?

Pour un paiement non autorisé, la loi prévoit un délai maximal de 13 mois à compter du débit. Signalez-le à votre banque le plus tôt possible.

La CNIL ou l'APD peuvent-elles m'indemniser ?

Non. Elles peuvent contrôler et sanctionner l'organisation, mais l'indemnisation des victimes relève des tribunaux.