Fuite de données de l'État : modèle de plainte 226-17

L’essentiel. Si vos données figurent parmi celles exfiltrées lors des incidents ayant touché France Travail, l’ANTS, ÉduConnect ou la CAF entre 2024 et 2026, vous disposez d’une voie de recours individuelle : la plainte simple au procureur de la République fondée sur l’article 226-17 du Code pénal. Elle est gratuite, se dépose sans avocat, par lettre recommandée. L’article 226-17 réprime de cinq ans d’emprisonnement et 300 000 € d’amende — porté à 1,5 M€ pour les personnes morales — le fait de traiter des données sans mettre en œuvre les mesures de sécurité prescrites par le RGPD. Cet article vous fournit un modèle prêt à l’emploi et la marche à suivre.

Une série d’incidents dans la sphère publique

Depuis 2024, plusieurs administrations et opérateurs publics ont subi des incidents de sécurité ayant conduit à l’exfiltration de données personnelles d’usagers. À partir de sources publiques :

• France Travail (mars 2024) : 43 millions d’inscrits potentiellement concernés, données incluant le NIR ;
• CAF (août 2024, puis déc. 2025) : 60 000 comptes, puis un fichier de 22 millions de lignes attribué à la sphère CAF ;
• HubEE / DINUM (janv. 2026) : plateforme interministérielle d’échange de pièces justificatives, plusieurs administrations affectées ;
• Éducation nationale / ÉduConnect (déc. 2025, rendu public en avril 2026) : environ 3,5 millions d’élèves selon les éléments publiés ;
• ANTS (avril 2026) : 18 à 19 millions d’enregistrements, vulnérabilité de type IDOR évoquée par les chercheurs ayant analysé l’incident.

Cumulés, ces incidents portent sur plus de 90 millions d’enregistrements administratifs personnels — dont une part significative concerne directement la majorité des Français adultes, à un titre ou à un autre.

Élément à signaler s’agissant de l’ANTS : selon les informations rendues publiques par le parquet de Paris, un mineur de 15 ans aurait été interpellé et placé en garde à vue en avril 2026 dans le cadre de l’enquête sur la mise en vente des données. Si cette circonstance se confirmait, elle interrogerait le caractère approprié des mesures de sécurité mises en œuvre — sans que la présente plainte ne préjuge des conclusions de l’enquête.

À ce jour, la réaction publique se résume le plus souvent à un courriel d’information aux personnes concernées, un lien vers cybermalveillance.gouv.fr et un conseil général de vigilance.

Pourquoi la voie CNIL atteint vite ses limites face aux administrations

L’article 20-III de la loi du 6 janvier 1978 (la loi Informatique et Libertés) plafonne les amendes que la CNIL peut prononcer contre les autorités publiques à 20 millions d’euros. Au-delà de ce plafond, la voie administrative présente trois limites du point de vue de l’usager :

• Une amende administrative payée par une administration n’emporte pas, par elle-même, de mise en cause personnelle des décideurs — et elle est in fine supportée par le contribuable.
• Les enquêtes peuvent s’étendre sur plusieurs années : l’instruction relative à France Travail est, à la date de cet article, ouverte depuis plus de deux ans sans sanction publiée.
• Les usagers ne sont pas associés à la procédure et n’ont pas de voie d’indemnisation directe.

C’est précisément pour compléter cette voie administrative que le législateur a, dès 1978, prévu un délit pénal dédié à la défaillance des mesures de sécurité. Cet outil reste largement sous-utilisé par les particuliers. Voici comment l’activer.

L’article 226-17 du Code pénal — le levier oublié

L’article 226-17 du Code pénal punit de 5 ans d’emprisonnement et 300 000 € d’amende le fait, pour un responsable de traitement, de procéder à un traitement de données personnelles sans avoir mis en œuvre les mesures de sécurité prescrites par le RGPD (articles 24, 25, 30 et 32 du règlement (UE) 2016/679). Il constitue le pendant pénal de l’obligation de sécurité que le responsable de traitement doit garantir sur les données personnelles qu’il détient.

Trois leviers sont spécifiques au contexte étatique.

1. Les EPA sont pénalement responsables

L’article 121-2 du Code pénal exclut uniquement la personne morale « État » de la responsabilité pénale. Cette exclusion ne couvre pas :

• les établissements publics administratifs (ANTS, France Travail, etc.) ;
• les organismes de droit privé chargés d’une mission de service public (CAF / Cnaf, caisses de Sécurité sociale).

Pour ces entités, l’amende encourue est portée au quintuple par l’article 131-38 du Code pénal, soit 1,5 million d’euros, et la condamnation pénale produit un effet politique considérable.

2. Les personnes physiques restent susceptibles d’être poursuivies

Y compris dans le cas des administrations centrales (ministères, DINUM) qui échappent à la responsabilité pénale comme personnes morales : les personnes physiques ayant pris ou omis de prendre les décisions relatives à la sécurité du dispositif demeurent susceptibles d’être poursuivies à titre individuel sous l’article 226-17. La plainte n’a pas à les nommer — c’est l’enquête qui les identifie le cas échéant.

3. Le procureur doit traiter la plainte

L’article 40-2 du Code de procédure pénale impose au procureur de vous aviser de la suite donnée à votre plainte. Surtout, passé un délai de trois mois à compter du dépôt de votre plainte simple, si aucune suite satisfaisante n’est donnée, vous pouvez déclencher vous-même l’ouverture d’une instruction en vous constituant partie civile devant le doyen des juges d’instruction (art. 85 du Code de procédure pénale).

Si des centaines ou des milliers de plaintes affluent sur le même dossier, le parquet ne peut pas systématiquement classer sans structurer une réponse.

Voie pénale ou voie CNIL : pourquoi c’est différent

Les deux voies ne sont pas exclusives : vous pouvez adresser en parallèle une réclamation à la CNIL et déposer une plainte pénale. Elles poursuivent des objectifs distincts et se renforcent mutuellement.

Qui peut porter plainte ?

Toute personne dont les données ont été exfiltrées par une administration ou un opérateur public, dès lors qu’elle peut établir :

1. Sa qualité d’usager (inscrit, allocataire, parent d’élève, titulaire d’un compte) — une notification, une facture, un courrier de l’organisme suffisent ;
2. Le fait de la fuite — communiqué officiel, article de presse, ou notification de violation reçue de l’organisme ;
3. Une carence dans les mesures de sécurité — l’ampleur de la fuite et la nature des données exfiltrées suffisent à fonder une présomption sérieuse, à charge pour l’enquête de la confirmer.

Vous n’avez pas besoin :

• de prouver un préjudice financier déjà réalisé (le préjudice moral suffit) ;
• d’avoir reçu un courriel personnel de l’administration (le constat médiatique de la fuite suffit) ;
• de faire appel à un avocat pour la plainte simple.

Le modèle standard — version copiable

Comment l’utiliser

1. Copiez le texte ci-dessous dans un traitement de texte.
2. Remplacez les 4 champs entre [CROCHETS] par vos informations (nom, adresse, téléphone, email).
3. Conservez uniquement les paragraphes de la section I correspondant aux services dont vous êtes usager — supprimez les autres.
4. Imprimez, signez, joignez une copie de pièce d’identité, envoyez en lettre recommandée avec AR au procureur de la République.

[NOM ET PRÉNOM] [ADRESSE COMPLÈTE] [TÉLÉPHONE] — [EMAIL]

[VILLE], le [DATE]

Lettre recommandée avec accusé de réception

Monsieur le Procureur de la République Tribunal judiciaire de Paris Parvis du Tribunal de Paris, 75017 Paris

Objet : Plainte simple — faits susceptibles de constituer le délit prévu et réprimé par l’article 226-17 du Code pénal.

Monsieur le Procureur de la République,

J’ai l’honneur de porter à votre connaissance les faits ci-après, qui me paraissent susceptibles de constituer le délit prévu et réprimé par l’article 226-17 du Code pénal.

I — Faits. Je suis usager de services publics qui ont fait l’objet, entre 2024 et 2026, d’incidents de sécurité publiquement reconnus ayant conduit à l’exfiltration de mes données personnelles. (Conserver uniquement les paragraphes correspondant aux services dont vous êtes usager.)

[ANTS] — L’Agence nationale des titres sécurisés a publiquement reconnu, en avril 2026, qu’une intrusion dans son portail moncompte.ants.gouv.fr avait conduit à l’exfiltration de données personnelles concernant 18 à 19 millions d’usagers, dont moi-même, en ma qualité de titulaire d’un compte ANTS. Selon les éléments rendus publics par les analystes ayant publié sur l’incident, la vulnérabilité exploitée serait de type IDOR (Insecure Direct Object Reference) — un défaut de contrôle d’accès permettant la consultation des données d’un autre usager par simple modification d’un identifiant dans une requête. Cette description, qu’il appartient à l’enquête de confirmer, paraît correspondre à un défaut d’application des règles élémentaires de l’état de l’art en matière de contrôle d’accès.

[France Travail] — France Travail (anciennement Pôle Emploi) et Cap emploi ont publiquement reconnu, en mars 2024, qu’une intrusion dans leurs systèmes avait conduit à l’exfiltration de données personnelles concernant 43 millions d’inscrits, dont moi-même, en ma qualité d’inscrit. Les données concernées incluraient le numéro de sécurité sociale (NIR), dont le traitement est encadré par l’article 87 du RGPD et le décret n° 2019-341 du 19 avril 2019.

[ÉduConnect] — Le ministère de l’Éducation nationale a publiquement reconnu, en avril 2026, qu’une faille de sécurité du téléservice ÉduConnect, identifiée en décembre 2025, avait été exploitée avant correction et avait conduit à l’exfiltration de données concernant environ 3,5 millions d’élèves, parmi lesquelles mes propres données ou celles d’un enfant pour lequel j’utilise le service. Une part substantielle des personnes concernées étant mineures, le traitement relève également de l’article 8 du RGPD.

[CAF] — La Caisse nationale des allocations familiales (Cnaf) a publiquement reconnu, en décembre 2025, la diffusion d’un fichier d’environ 22 millions de lignes de données personnelles attribuées à la sphère CAF, dont les miennes, en ma qualité d’allocataire. Ces données peuvent inclure le numéro de sécurité sociale (NIR) et des éléments relatifs à la situation sociale.

II — Qualification envisagée. L’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et 300 000 € d’amende le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites aux articles 24, 25, 30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD). Sans préjuger des conclusions de votre enquête, l’ampleur des exfiltrations rapportées — qui concernent des dizaines de millions de personnes — et la nature des données concernées semblent nécessiter un examen approfondi de la conformité des mesures de sécurité effectivement mises en œuvre par les entités précitées au regard des exigences de l’article 32 du RGPD.

En application de l’article 121-2 du Code pénal, la responsabilité pénale est susceptible d’être engagée :

• à l’encontre de l’Agence nationale des titres sécurisés (établissement public administratif sous tutelle du ministère de l’Intérieur), de France Travail (établissement public administratif institué par la loi n° 2023-1196 du 18 décembre 2023), et de la Caisse nationale des allocations familiales (établissement public national à caractère administratif, art. L. 223-2 CSS) — ces trois entités constituant des personnes morales distinctes de l’État au sens de l’alinéa 1ᵉʳ, l’amende encourue étant portée au quintuple par l’article 131-38 du Code pénal, soit 1 500 000 € ;
• s’agissant du téléservice ÉduConnect, opéré directement par le ministère de l’Éducation nationale, la responsabilité pénale de la personne morale est exclue par l’article 121-2 alinéa 1ᵉʳ ; la présente plainte est en conséquence dirigée, pour ce volet, exclusivement contre toute personne physique, organe ou préposé au sens de l’article 121-1 du Code pénal, dont l’enquête établirait la responsabilité personnelle.

La présente plainte est en outre dirigée contre toute personne dont l’enquête établirait la responsabilité personnelle, étant précisé qu’elle ne vise aucune personne physique nommément ou implicitement, l’identification des responsabilités individuelles relevant exclusivement des investigations du parquet et, le cas échéant, du juge d’instruction.

III — Préjudice. Ces exfiltrations m’exposent à un risque sérieux d’hameçonnage ciblé et d’usurpation d’identité, ainsi que, le cas échéant, à un risque de fraude documentaire compte tenu de la divulgation de données telles que le NIR. Je subis en outre un préjudice moral lié à la nécessité constante d’une vigilance. Je me réserve la faculté de chiffrer mon préjudice moral et matériel à un stade ultérieur de la procédure.

IV — Demandes. Je sollicite l’ouverture d’une enquête préliminaire afin de faire constater la conformité ou non aux mesures prescrites par les articles 24, 25, 30 et 32 du RGPD au sein des entités précitées, à la date de chaque incident, d’identifier le cas échéant les responsables, et d’engager le cas échéant des poursuites sur le fondement de l’article 226-17 du Code pénal.

En ma qualité de plaignant au sens de l’article 40-2 du Code de procédure pénale, je sollicite d’être avisé de la suite donnée à la présente plainte, ainsi que des motifs de toute décision de classement sans suite.

Je me réserve expressément la faculté de me constituer partie civile par voie d’action devant le doyen des juges d’instruction sur le fondement des articles 85 et 86 du Code de procédure pénale en cas de classement sans suite ou d’absence de réponse dans le délai de trois mois.

Je vous prie d’agréer, Monsieur le Procureur de la République, l’expression de ma haute considération.

[SIGNATURE] [NOM ET PRÉNOM]

Pièces jointes : (1) copie d’une pièce d’identité ; (2) justificatif de qualité d’usager (facture, courriel d’ouverture de compte, attestation, ou notification de violation reçue de l’organisme).

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2.0 — juillet 2026.

Pas envie de copier-coller ? Utilisez notre générateur gratuit — vous cochez les services dont vous êtes usager, vous remplissez 4 champs, vous téléchargez le PDF prêt à signer. ➜ Générer ma plainte (gratuit, sans inscription)

Quel tribunal saisir ?

Deux options vous sont ouvertes :

• Le procureur de votre domicile (tribunal judiciaire de votre ville) : compétence territoriale par lieu du préjudice.
• Le procureur de Paris (section J3 / JUNALCO — pôle national de cybercriminalité) : voie la plus efficace pour les dossiers à dimension nationale (ANTS, France Travail, ÉduConnect, CAF).

Adresse du parquet de Paris : Tribunal judiciaire de Paris, Parvis du Tribunal de Paris, 75017 Paris.

Ce qui se passe ensuite

Après réception de votre plainte, plusieurs issues sont possibles :

1. Poursuite — le procureur ouvre une enquête, le dossier suit son cours ; vous en êtes avisé (art. 40-2 CPP).
2. Classement sans suite — vous pouvez alors vous constituer partie civile devant le doyen des juges d’instruction (art. 85 CPP), ce qui force l’ouverture d’une instruction. Une consignation est demandée, dont le montant est fixé par le juge et vous est en principe restitué.
3. Absence de réponse au-delà de trois mois — le même mécanisme de constitution de partie civile devient ouvert (art. 85 CPP).

Conservez précieusement votre AR de lettre recommandée et la copie de la plainte.

Combien de temps avez-vous pour agir ? La prescription

L’article 226-17 constitue un délit. L’action publique se prescrit en principe par six ans à compter de la commission des faits (art. 8 du Code de procédure pénale), la question de la date de découverte pouvant être discutée pour les infractions dites occultes ou dissimulées. En pratique, pour les incidents survenus entre 2024 et 2026, le délai reste très largement ouvert. Mais rien ne sert d’attendre : plus tôt la plainte est déposée, plus les éléments techniques sont disponibles et exploitables par l’enquête.

Constitution de partie civile : la procédure détaillée

La constitution de partie civile par voie d’action (art. 85 et suivants du CPP) est la vraie force de frappe du dispositif, car elle oblige l’ouverture d’une information judiciaire. Concrètement :

• Elle n’est recevable qu’après un classement sans suite ou l’écoulement d’un délai de trois mois depuis le dépôt de la plainte simple restée sans réponse (art. 85, al. 2).
• Elle se dépose auprès du doyen des juges d’instruction du tribunal compétent.
• Le juge fixe une consignation (somme destinée à garantir le sérieux de la démarche), restituée en l’absence d’abus.
• À ce stade, l’accompagnement par un avocat devient recommandé, notamment si plusieurs plaignants souhaitent se regrouper.

C’est cette étape qui transforme une plainte individuelle en levier réel : une fois l’instruction ouverte, le juge dispose de pouvoirs d’investigation autonomes.

Action de groupe RGPD : l’autre voie collective

Parallèlement au pénal, la loi Informatique et Libertés (art. 37) ouvre la possibilité d’une action de groupe en matière de protection des données. Elle peut être exercée par des associations, des organisations syndicales ou des associations de consommateurs remplissant les conditions légales, pour faire cesser un manquement et, le cas échéant, obtenir réparation des préjudices subis par un ensemble de personnes placées dans une situation similaire.

Les plaintes individuelles déposées sous l’article 226-17 documentent l’ampleur du préjudice collectif et facilitent la structuration d’une éventuelle action de groupe. Les deux démarches ne s’opposent pas : elles se nourrissent l’une l’autre.

L’effet d’échelle : pourquoi votre plainte compte

Plusieurs centaines ou milliers de plaintes individuelles déposées sur un même dossier produisent un effet que la voie isolée ne permet pas :

• elles obligent le parquet à structurer une réponse plutôt qu’à opposer un classement uniforme ;
• elles documentent l’ampleur du préjudice collectif, utile pour une éventuelle action de groupe ;
• elles donnent un cadre matériel à un examen approfondi de la conformité par les autorités compétentes.

Si vous déposez une plainte, vous pouvez en faire état publiquement — auprès de vos proches, des associations de défense des droits, ou sur les réseaux. C’est par l’agrégation que des démarches individuelles deviennent visibles.

Et du côté des organisations : prévenir plutôt que subir

Ces incidents rappellent une évidence pour tout responsable de traitement : l’obligation de sécurité de l’article 32 du RGPD est une obligation permanente, qui doit être documentée à jour et opposable en cas de contrôle ou de contentieux. Cela suppose une cartographie des traitements, une notification des violations en 72 h prête à déclencher, et une traçabilité des mesures techniques et organisationnelles. Pour une organisation qui gère des dizaines de traitements, un logiciel RGPD permet d’industrialiser cette documentation de conformité et d’en conserver la preuve dans le temps.

Précautions à prendre — éviter le risque de dénonciation calomnieuse

Une plainte qui s’appuierait sur des faits inexacts pourrait, dans certains cas, exposer son auteur aux peines de l’article 226-10 du Code pénal (dénonciation calomnieuse). Ce risque est très limité dès lors que la plainte respecte trois principes simples :

1. N’affirmez que des faits publics, sourcés. Communiqués officiels de l’entité, communications du parquet, articles de presse, notifications reçues. Le modèle ci-dessus est rédigé en ce sens : il rapporte des faits publics et demande à l’enquête d’établir la qualification.
2. Ne nommez personne nominativement. La plainte vise l’entité et « toute personne dont l’enquête établirait la responsabilité ». Vous ne désignez aucun individu déterminé.
3. Utilisez le conditionnel et la prudence. Tournures recommandées : « il appartient à l’enquête d’établir », « sans préjuger des conclusions », « paraît interroger », « selon les éléments publics rendus disponibles ». Le modèle fourni respecte ces tournures.

À ces conditions, vous exercez simplement votre droit de dénoncer au procureur de la République des faits susceptibles de constituer une infraction (art. 40, al. 2 CPP), sans exposition au risque de dénonciation calomnieuse.

Autres précautions

• Ce modèle est mis à disposition gratuitement par Thiébaut Devergranne, docteur en droit, à titre informatif. Aucune relation client/avocat ne résulte de son utilisation.
• Vérifiez que vous êtes concerné par la fuite avant de déposer plainte (notification reçue, recherche Have I Been Pwned, communiqué officiel mentionnant votre catégorie d’usagers).
• Pour les cas complexes (données sensibles au sens de l’article 9 du RGPD, mineurs, préjudice financier avéré), faites-vous accompagner par un avocat spécialisé.

FAQ

Puis-je porter plainte si je n’ai pas reçu de notification personnelle ?

Oui. La qualité d’usager (inscrit, allocataire, parent d’élève, titulaire de compte) et le constat public de la fuite suffisent à fonder votre plainte. La notification individuelle facilite la preuve de votre qualité d’usager, mais elle n’est pas une condition. Un communiqué officiel ou un article de presse mentionnant votre catégorie d’usagers peut servir de justificatif.

Combien coûte une plainte au titre de l’article 226-17 ?

La plainte simple au procureur est gratuite ; seul le timbre de la lettre recommandée avec AR est à votre charge (environ 6 €). Aucun avocat n’est requis à ce stade. Ce n’est qu’en cas de constitution de partie civile devant le juge d’instruction qu’une consignation, fixée par le juge et en principe restituable, est demandée.

Quelle différence avec une réclamation à la CNIL ?

La réclamation CNIL peut aboutir à une amende administrative, mais celle-ci est plafonnée à 20 M€ pour les autorités publiques et n’entraîne pas de mise en cause personnelle des décideurs. La plainte pénale 226-17 vise la responsabilité pénale (jusqu’à 1,5 M€ pour un établissement public), ouvre une voie d’indemnisation et peut aboutir à la mise en examen de personnes physiques. Les deux voies sont cumulables.

Combien de temps ai-je pour déposer plainte ?

Le délit se prescrit en principe par six ans à compter des faits (art. 8 CPP). Pour les incidents de 2024 à 2026, le délai reste largement ouvert, mais il est préférable d’agir rapidement pour que les éléments techniques restent exploitables par l’enquête.

Le procureur est-il obligé de donner suite ?

Il n’est pas obligé de poursuivre, mais il doit vous aviser de sa décision (art. 40-2 CPP). En cas de classement sans suite, ou d’absence de réponse dans un délai de trois mois, vous pouvez vous constituer partie civile devant le doyen des juges d’instruction (art. 85 CPP), ce qui contraint l’ouverture d’une instruction.

Puis-je me regrouper avec d’autres victimes ?

Oui. Vous pouvez déposer des plaintes individuelles coordonnées sur un même dossier, ce qui renforce leur poids, et envisager une action de groupe RGPD (art. 37 de la loi Informatique et Libertés) via une association ou un syndicat habilité. L’agrégation des démarches est précisément ce qui rend le dispositif efficace.

En savoir plus

• Fuite de données : procédure de gestion et notification RGPD
• Notifier une violation à la CNIL en 72 h : le modèle
• Sanctions pénales et administratives du RGPD
• Article 32 RGPD : sécurité des traitements
• Notification d’une cyberattaque

Cet article a été rédigé par Thiébaut Devergranne, docteur en droit (PhD), 20 ans d’expérience en droit des données personnelles, fondateur de donneespersonnelles.fr.