Fuite de données de l'État : modèle de plainte 226-17

L’essentiel. Si vos données figurent parmi celles exfiltrées lors des incidents ayant touché la DGFiP (impôts, cadastre), France Travail, l’ANTS, ÉduConnect ou la CAF entre 2024 et 2026, vous disposez d’une voie de recours individuelle : la plainte simple au procureur de la République fondée sur l’article 226-17 du Code pénal. Elle est gratuite, se dépose sans avocat, par lettre recommandée. L’article 226-17 réprime de cinq ans d’emprisonnement et 300 000 € d’amende — porté à 1,5 M€ pour les personnes morales — le fait de traiter des données sans mettre en œuvre les mesures de sécurité prescrites par le RGPD. Cet article vous fournit un modèle prêt à l’emploi et la marche à suivre.

Une série d’incidents dans la sphère publique

Depuis 2024, plusieurs administrations et opérateurs publics ont subi des incidents de sécurité ayant conduit à l’exfiltration de données personnelles d’usagers. À partir de sources publiques :

• France Travail (mars 2024) : 43 millions d’inscrits potentiellement concernés, données incluant le NIR ;
• CAF (août 2024, puis déc. 2025) : 60 000 comptes, puis un fichier de 22 millions de lignes attribué à la sphère CAF ;
• HubEE / DINUM (janv. 2026) : plateforme interministérielle d’échange de pièces justificatives, plusieurs administrations affectées ;
• Éducation nationale / ÉduConnect (déc. 2025, rendu public en avril 2026) : environ 3,5 millions d’élèves selon les éléments publiés ;
• ANTS (avril 2026) : 18 à 19 millions d’enregistrements, vulnérabilité de type IDOR évoquée par les chercheurs ayant analysé l’incident ;
• DGFiP — impôts et cadastre (juin-juillet 2026, reconnu les 13-14 août 2026) : environ 678 000 particuliers et professionnels selon le ministère, trois intrusions distinctes confirmées le 18 août (voir ci-dessous).

Cumulés, ces incidents portent sur plus de 90 millions d’enregistrements administratifs personnels — dont une part significative concerne directement la majorité des Français adultes, à un titre ou à un autre. L’été 2026 a par ailleurs vu s’ajouter l’Insee (données de 12 800 agents, juin), une nouvelle intrusion à l’Éducation nationale (données d’agents, 25-26 juillet), Bloctel (accès frauduleux à un compte professionnel, 3 millions de numéros dont 600 000 inscrits, août) et France VAE (août), selon les communications de ces organismes et la presse spécialisée.

Août 2026 : le cas DGFiP

Le ministère chargé des finances a reconnu, par communiqués des 13 et 14 août 2026 (communiqué n° 953), des « accès illégitimes » au système d’information de la Direction générale des Finances publiques (DGFiP) survenus en juin et juillet 2026, « reposant sur des usurpations d’identifiants d’un agent de la DGFiP et d’un tiers habilité ». Selon le communiqué du 14 août, les données de 678 000 particuliers et professionnels ont été consultées ou extraites : revenu fiscal de référence, quotient familial et taux de prélèvement à la source pour les particuliers ; raison sociale et SIREN pour les professionnels ; adresses et surfaces de biens immobiliers pour le volet cadastral. Les identifiants, mots de passe et espaces personnels impots.gouv.fr ne sont pas concernés selon l’administration.

Lors d’un point presse du 18 août 2026, la directrice générale des Finances publiques a fait état de trois intrusions : la base des échanges agents-usagers (environ 350 000 particuliers et 250 000 professionnels), le serveur professionnel de données cadastrales (environ 433 000 personnes : vendeurs, acheteurs, notaires et autres déclarants) et le portail des successions vacantes (journal des demandes ; fuite « de moindre portée » selon l’administration, portail coupé le 17 août). Ces chiffres par intrusion, donnés oralement, ne se recoupent pas exactement avec le total consolidé de 678 000 du 14 août — une même personne pouvant relever de plusieurs bases — et seul ce dernier chiffre est officiel à ce jour. Selon ses déclarations rapportées par la presse, les comptes compromis avaient été détectés et coupés en juin et juillet sans que l’exfiltration ne soit confirmée avant la revendication publique de l’attaquant et une alerte de l’ANSSI le 12 août ; l’attaquant aurait procédé à des tests manuels « ensuite massifiés, en restant sous les seuils de détection ». Le ministre de l’Action et des Comptes publics a présenté des excuses publiques et annoncé la généralisation de l’authentification multifacteur au ministère d’ici la fin de l’année. Ces éléments, rapportés ici tels que publiés, ne préjugent pas des conclusions de l’enquête.

Trois conséquences pratiques pour l’usager :

1. La CNIL a indiqué, le 18 août, qu’elle était « d’ores et déjà saisie » et qu’« il n’est pas nécessaire de saisir la CNIL d’une plainte individuelle à ce sujet ». Cette position concerne la réclamation de l’article 77 du RGPD ; elle est sans incidence sur le droit de porter plainte au pénal.
2. La CNIL ne peut de toute façon pas prononcer d’amende contre la DGFiP : l’article 20-III de la loi Informatique et Libertés exclut expressément « les cas où le traitement est mis en œuvre par l’État ». La voie administrative est donc, pour ce dossier, dépourvue de sanction pécuniaire.
3. Le parquet de Paris a annoncé le 15 août l’ouverture d’une enquête confiée à l’Office anticybercriminalité pour extraction frauduleuse de données, accès et maintien frauduleux en bande organisée et association de malfaiteurs — c’est-à-dire contre les auteurs de l’intrusion. La question distincte de la conformité du responsable de traitement à l’article 32 du RGPD (article 226-17 du Code pénal) est précisément l’objet de la plainte proposée ici.

Point d’attention juridique : la DGFiP est une direction d’administration centrale, sans personnalité morale. Elle relève donc de la personne morale État, exclue de la responsabilité pénale par l’article 121-2 alinéa 1ᵉʳ du Code pénal. Comme pour ÉduConnect, la plainte ne peut viser que des personnes physiques (sans en désigner aucune) — et, le cas échéant, toute personne morale autre que l’État dont l’enquête établirait qu’elle a procédé ou fait procéder, en qualité de responsable de traitement ou de sous-traitant, à un traitement des données concernées sans mettre en œuvre les mesures prescrites. Le communiqué mentionne un « tiers habilité » dont les identifiants ont été usurpés : son identité et son rôle ne sont pas publics, et aucun manquement ne lui est imputé ici. Le justificatif de qualité d’usager idéal est la notification individuelle reçue de la DGFiP (courriel @dgfip.finances.gouv.fr ou courrier, à partir du 17 août 2026) : le générateur propose une case « j’ai reçu la notification » et adapte la plainte ; à défaut, la plainte indique que vos données y figurent « selon toute vraisemblance » et demande à l’enquête de l’établir.

Enfin, l’indemnisation ne passe pas ici par le juge pénal : contre l’État, elle relève de la responsabilité administrative pour faute (art. 82 RGPD), par demande préalable adressée au ministre puis, en cas de rejet ou de silence gardé deux mois, recours de plein contentieux devant le tribunal administratif (art. R. 421-1 du Code de justice administrative).

Élément à signaler s’agissant de l’ANTS : selon les informations rendues publiques par le parquet de Paris, un mineur de 15 ans aurait été interpellé et placé en garde à vue en avril 2026 dans le cadre de l’enquête sur la mise en vente des données. Si cette circonstance se confirmait, elle interrogerait le caractère approprié des mesures de sécurité mises en œuvre — sans que la présente plainte ne préjuge des conclusions de l’enquête.

À ce jour, la réaction publique se résume le plus souvent à un courriel d’information aux personnes concernées, un lien vers cybermalveillance.gouv.fr et un conseil général de vigilance.

Pourquoi la voie CNIL atteint vite ses limites face aux administrations

L’article 20-III de la loi du 6 janvier 1978 (la loi Informatique et Libertés) exclut toute amende administrative de la CNIL lorsque « le traitement est mis en œuvre par l’État » (ministères, directions d’administration centrale comme la DGFiP ou les services de l’Éducation nationale) ; les autres personnes publiques (établissements publics tels que l’ANTS, France Travail ou la Cnaf) restent soumises aux plafonds de droit commun — 10 millions d’euros pour un manquement à l’article 32, 20 millions d’euros pour les manquements les plus graves (art. 83 §4 et §5 RGPD). Au-delà de ces plafonds, la voie administrative présente trois limites du point de vue de l’usager :

• Une amende administrative payée par une administration n’emporte pas, par elle-même, de mise en cause personnelle des décideurs — et elle est in fine supportée par le contribuable.
• Les enquêtes peuvent s’étendre sur plusieurs années : l’instruction relative à France Travail est, à la date de cet article, ouverte depuis plus de deux ans sans sanction publiée.
• Les usagers ne sont pas associés à la procédure et n’ont pas de voie d’indemnisation directe.

C’est précisément pour compléter cette voie administrative que le législateur a, dès 1978, prévu un délit pénal dédié à la défaillance des mesures de sécurité. Cet outil reste largement sous-utilisé par les particuliers. Voici comment l’activer.

L’article 226-17 du Code pénal — le levier oublié

L’article 226-17 du Code pénal punit de 5 ans d’emprisonnement et 300 000 € d’amende le fait, pour un responsable de traitement, de procéder à un traitement de données personnelles sans avoir mis en œuvre les mesures de sécurité prescrites par le RGPD (articles 24, 25, 30 et 32 du règlement (UE) 2016/679). Il constitue le pendant pénal de l’obligation de sécurité que le responsable de traitement doit garantir sur les données personnelles qu’il détient.

Trois leviers sont spécifiques au contexte étatique.

1. Les EPA sont pénalement responsables

L’article 121-2 du Code pénal exclut uniquement la personne morale « État » de la responsabilité pénale. Cette exclusion ne couvre pas :

• les établissements publics administratifs (ANTS, France Travail, etc.) ;
• les organismes de droit privé chargés d’une mission de service public (CAF / Cnaf, caisses de Sécurité sociale).

Pour ces entités, l’amende encourue est portée au quintuple par l’article 131-38 du Code pénal, soit 1,5 million d’euros, et la condamnation pénale produit un effet politique considérable.

2. Les personnes physiques restent susceptibles d’être poursuivies

Y compris dans le cas des administrations centrales (ministères, DINUM) qui échappent à la responsabilité pénale comme personnes morales : les personnes physiques ayant pris ou omis de prendre les décisions relatives à la sécurité du dispositif demeurent susceptibles d’être poursuivies à titre individuel sous l’article 226-17. La plainte n’a pas à les nommer — c’est l’enquête qui les identifie le cas échéant.

3. Le procureur doit traiter la plainte

L’article 40-2 du Code de procédure pénale impose au procureur de vous aviser de la suite donnée à votre plainte. Surtout, passé un délai de trois mois à compter du dépôt de votre plainte simple, si aucune suite satisfaisante n’est donnée, vous pouvez déclencher vous-même l’ouverture d’une instruction en vous constituant partie civile devant le doyen des juges d’instruction (art. 85 du Code de procédure pénale).

Si des centaines ou des milliers de plaintes affluent sur le même dossier, le parquet ne peut pas systématiquement classer sans structurer une réponse.

Voie pénale ou voie CNIL : pourquoi c’est différent

Les deux voies ne sont pas exclusives : vous pouvez adresser en parallèle une réclamation à la CNIL et déposer une plainte pénale. Elles poursuivent des objectifs distincts et se renforcent mutuellement.

Qui peut porter plainte ?

Toute personne dont les données ont été exfiltrées par une administration ou un opérateur public, dès lors qu’elle peut établir :

1. Sa qualité d’usager (inscrit, allocataire, parent d’élève, titulaire d’un compte) — une notification, une facture, un courrier de l’organisme suffisent ;
2. Le fait de la fuite — communiqué officiel, article de presse, ou notification de violation reçue de l’organisme ;
3. Une carence dans les mesures de sécurité — l’ampleur de la fuite et la nature des données exfiltrées suffisent à fonder une présomption sérieuse, à charge pour l’enquête de la confirmer.

Vous n’avez pas besoin :

• de prouver un préjudice financier déjà réalisé (le préjudice moral suffit) ;
• d’avoir reçu un courriel personnel de l’administration (le constat médiatique de la fuite suffit) ;
• de faire appel à un avocat pour la plainte simple.

Le modèle standard — version copiable

Comment l’utiliser

1. Copiez le texte ci-dessous dans un traitement de texte.
2. Remplacez les 4 champs entre [CROCHETS] par vos informations (nom, adresse, téléphone, email).
3. Conservez uniquement les paragraphes de la section I correspondant aux services dont vous êtes usager — supprimez les autres.
4. Imprimez, signez, joignez une copie de pièce d’identité, envoyez en lettre recommandée avec AR au procureur de la République.

[NOM ET PRÉNOM] [ADRESSE COMPLÈTE] [TÉLÉPHONE] — [EMAIL]

[VILLE], le [DATE]

Lettre recommandée avec accusé de réception

Monsieur le Procureur de la République Tribunal judiciaire de Paris Parvis du Tribunal de Paris, 75017 Paris

Objet : Plainte simple du chef de l’article 226-17 du Code pénal (défaut de mise en œuvre des mesures de sécurité prescrites par l’article 32 du RGPD).

Madame, Monsieur le Procureur de la République,

J’ai l’honneur de porter à votre connaissance les faits ci-après, qui me paraissent susceptibles de constituer le délit prévu et réprimé par l’article 226-17 du Code pénal.

I — Faits. Je suis usager de services publics qui ont fait l’objet, entre 2024 et 2026, d’incidents de sécurité publiquement reconnus ayant conduit à l’exfiltration de mes données personnelles. (Conserver uniquement les paragraphes correspondant aux services dont vous êtes usager.)

[ANTS] — L’Agence nationale des titres sécurisés a publiquement reconnu, en avril 2026, qu’une intrusion dans son portail moncompte.ants.gouv.fr avait conduit à l’exfiltration de données personnelles concernant 18 à 19 millions d’usagers, dont moi-même, en ma qualité de titulaire d’un compte ANTS. Selon les éléments rendus publics par les analystes ayant publié sur l’incident, la vulnérabilité exploitée serait de type IDOR (Insecure Direct Object Reference) — un défaut de contrôle d’accès permettant la consultation des données d’un autre usager par simple modification d’un identifiant dans une requête. Cette description, qu’il appartient à l’enquête de confirmer, paraît correspondre à un défaut d’application des règles élémentaires de l’état de l’art en matière de contrôle d’accès.

[France Travail] — France Travail (anciennement Pôle Emploi) et Cap emploi ont publiquement reconnu, en mars 2024, qu’une intrusion dans leurs systèmes avait conduit à l’exfiltration de données personnelles concernant 43 millions d’inscrits, dont moi-même, en ma qualité d’inscrit. Les données concernées incluraient le numéro de sécurité sociale (NIR), dont le traitement est encadré par l’article 87 du RGPD et le décret n° 2019-341 du 19 avril 2019.

[ÉduConnect] — Le ministère de l’Éducation nationale a publiquement reconnu, en avril 2026, qu’une faille de sécurité du téléservice ÉduConnect, identifiée en décembre 2025, avait été exploitée avant correction et avait conduit à l’exfiltration de données concernant environ 3,5 millions d’élèves, parmi lesquelles mes propres données ou celles d’un enfant pour lequel j’utilise le service. Une part substantielle des personnes concernées étant mineures, le traitement relève également de l’article 8 du RGPD.

[CAF] — La Caisse nationale des allocations familiales (Cnaf) a publiquement reconnu, en décembre 2025, la diffusion d’un fichier d’environ 22 millions de lignes de données personnelles attribuées à la sphère CAF, dont les miennes, en ma qualité d’allocataire. Ces données peuvent inclure le numéro de sécurité sociale (NIR) et des éléments relatifs à la situation sociale.

[DGFiP] — Le ministère chargé des finances a publiquement reconnu, par communiqués des 13 et 14 août 2026 (communiqué n° 953 du 14 août 2026), que des accès illégitimes au système d’information de la Direction générale des Finances publiques (DGFiP), survenus en juin et juillet 2026 et reposant, selon ce communiqué, sur des « usurpations d’identifiants d’un agent de la DGFiP et d’un tiers habilité », avaient permis la consultation et l’extraction de données concernant un total d’environ 678 000 particuliers et professionnels, [si vous avez reçu la notification individuelle :] dont moi-même, ainsi qu’en atteste la notification individuelle que la DGFiP m’a adressée (pièce jointe n° 3) [sinon :] au nombre desquels je figure, selon toute vraisemblance, en ma qualité d’usager des services de la DGFiP (contribuable, propriétaire d’un bien immobilier ou professionnel déclarant), l’information individuelle des personnes concernées n’étant pas achevée à ce jour ; je sollicite que l’enquête établisse si mes données figurent parmi celles extraites. Selon le même communiqué, les données concernées comprennent, pour les particuliers, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source, pour les professionnels, la raison sociale et le numéro SIREN, ainsi que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers. Lors d’un point presse du 18 août 2026, la directrice générale des Finances publiques a fait état de trois fuites distinctes, la troisième — de moindre portée selon l’administration — affectant le portail des successions vacantes. Selon ses propos rapportés par la presse spécialisée, les comptes compromis auraient été détectés et coupés en juin et juillet 2026 sans que l’exfiltration ait été confirmée avant le 12 août 2026 ; il appartiendra à l’enquête de déterminer si les mesures de contrôle d’accès, d’authentification, de journalisation et de détection en place à la date des faits répondaient aux exigences de l’article 32 du RGPD. La présente plainte ne porte pas sur les faits d’intrusion, dont le parquet de Paris est déjà saisi (enquête préliminaire dont l’ouverture a été annoncée le 15 août 2026, confiée à l’Office anticybercriminalité), mais sur cette question distincte ; j’en sollicite, le cas échéant, la jonction à cette procédure.

II — Qualification envisagée. L’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et 300 000 € d’amende le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites aux articles 24, 25, 30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD). Sans préjuger des conclusions de votre enquête, l’ampleur des exfiltrations rapportées — qui concernent des dizaines de millions de personnes — et la nature des données concernées semblent nécessiter un examen approfondi de la conformité des mesures de sécurité effectivement mises en œuvre par les entités précitées au regard des exigences de l’article 32 du RGPD.

En application de l’article 121-2 du Code pénal, la responsabilité pénale est susceptible d’être engagée :

• à l’encontre de l’Agence nationale des titres sécurisés (établissement public administratif sous tutelle du ministère de l’Intérieur), de France Travail (établissement public administratif institué par la loi n° 2023-1196 du 18 décembre 2023), et de la Caisse nationale des allocations familiales (établissement public national à caractère administratif, art. L. 223-2 CSS) — ces trois entités constituant des personnes morales distinctes de l’État au sens de l’alinéa 1ᵉʳ, l’amende encourue étant portée au quintuple par l’article 131-38 du Code pénal, soit 1 500 000 € ;
• s’agissant du téléservice ÉduConnect, opéré directement par le ministère de l’Éducation nationale, et de la Direction générale des Finances publiques, direction d’administration centrale du ministère chargé des finances (décret n° 2008-310 du 3 avril 2008), tous deux dépourvus de personnalité morale propre, la responsabilité pénale de la personne morale État est exclue par l’article 121-2 alinéa 1ᵉʳ ; la présente plainte est en conséquence dirigée, pour ces volets, contre toute personne physique — autorité, agent ou préposé — dont l’enquête établirait la responsabilité personnelle, conformément à l’article 121-1 du Code pénal, ainsi que, s’agissant de la DGFiP, contre toute personne morale autre que l’État dont l’enquête établirait qu’elle a procédé ou fait procéder, en qualité de responsable de traitement ou de sous-traitant au sens de l’article 4 du RGPD, à un traitement des données concernées sans mettre en œuvre les mesures prescrites.

La présente plainte est en outre dirigée contre toute personne dont l’enquête établirait la responsabilité personnelle, étant précisé qu’elle ne vise aucune personne, physique ou morale, nommément ou implicitement, l’identification des responsabilités individuelles relevant exclusivement des investigations du parquet et, le cas échéant, du juge d’instruction.

III — Préjudice. Ces exfiltrations m’exposent à un risque sérieux d’hameçonnage ciblé et d’usurpation d’identité, ainsi que, le cas échéant, à un risque de fraude documentaire compte tenu de la divulgation de données telles que le NIR. Je subis en outre un préjudice moral lié à la nécessité constante d’une vigilance. Je me réserve la faculté de chiffrer mon préjudice moral et matériel à un stade ultérieur de la procédure.

IV — Demandes. Je sollicite l’ouverture d’une enquête préliminaire afin de faire constater la conformité ou non aux mesures prescrites par les articles 24, 25, 30 et 32 du RGPD au sein des entités précitées, à la date de chaque incident, d’identifier le cas échéant les responsables, et d’engager le cas échéant des poursuites sur le fondement de l’article 226-17 du Code pénal.

En ma qualité de plaignant au sens de l’article 40-2 du Code de procédure pénale, je sollicite d’être avisé de la suite donnée à la présente plainte, ainsi que des motifs de toute décision de classement sans suite.

Je me réserve expressément la faculté de me constituer partie civile par voie d’action devant le doyen des juges d’instruction sur le fondement des articles 85 et 86 du Code de procédure pénale en cas de classement sans suite ou d’absence de réponse à l’expiration d’un délai de trois mois à compter de la réception de la présente.

Je vous prie d’agréer, Madame, Monsieur le Procureur de la République, l’expression de ma haute considération.

[SIGNATURE] [NOM ET PRÉNOM]

Pièces jointes : (1) copie d’une pièce d’identité ; (2) justificatif de qualité d’usager (facture, courriel d’ouverture de compte, attestation, avis d’imposition ou de taxe foncière — numéro fiscal et montants masqués —, extrait Kbis) ; (3) le cas échéant, copie de la notification de violation adressée par l’organisme (courriel ou courrier).

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2.1 — août 2026 (ajout DGFiP).

Pas envie de copier-coller ? Utilisez notre générateur gratuit — vous cochez les services dont vous êtes usager, vous remplissez 4 champs, vous téléchargez le PDF prêt à signer. ➜ Générer ma plainte (gratuit, sans inscription)

Quel tribunal saisir ?

Deux options vous sont ouvertes :

• Le procureur de votre domicile (tribunal judiciaire de votre ville) : compétence territoriale par lieu du préjudice.
• Le procureur de Paris (section J3 — cybercriminalité) : voie la plus efficace pour les dossiers à dimension nationale (DGFiP, ANTS, France Travail, ÉduConnect, CAF). Pour la DGFiP, le parquet de Paris est déjà saisi (enquête annoncée le 15 août 2026).

Adresse du parquet de Paris : Tribunal judiciaire de Paris, Parvis du Tribunal de Paris, 75017 Paris.

Ce qui se passe ensuite

Après réception de votre plainte, plusieurs issues sont possibles :

1. Poursuite — le procureur ouvre une enquête, le dossier suit son cours ; vous en êtes avisé (art. 40-2 CPP).
2. Classement sans suite — vous pouvez alors vous constituer partie civile devant le doyen des juges d’instruction (art. 85 CPP), ce qui force l’ouverture d’une instruction. Une consignation est demandée, dont le montant est fixé par le juge et vous est en principe restitué.
3. Absence de réponse au-delà de trois mois — le même mécanisme de constitution de partie civile devient ouvert (art. 85 CPP).

Conservez précieusement votre AR de lettre recommandée et la copie de la plainte.

Combien de temps avez-vous pour agir ? La prescription

L’article 226-17 constitue un délit. L’action publique se prescrit en principe par six ans à compter de la commission des faits (art. 8 du Code de procédure pénale), la question de la date de découverte pouvant être discutée pour les infractions dites occultes ou dissimulées. En pratique, pour les incidents survenus entre 2024 et 2026, le délai reste très largement ouvert. Mais rien ne sert d’attendre : plus tôt la plainte est déposée, plus les éléments techniques sont disponibles et exploitables par l’enquête.

Constitution de partie civile : la procédure détaillée

La constitution de partie civile par voie d’action (art. 85 et suivants du CPP) est la vraie force de frappe du dispositif, car elle oblige l’ouverture d’une information judiciaire. Concrètement :

• Elle n’est recevable qu’après un classement sans suite ou l’écoulement d’un délai de trois mois depuis le dépôt de la plainte simple restée sans réponse (art. 85, al. 2).
• Elle se dépose auprès du doyen des juges d’instruction du tribunal compétent.
• Le juge fixe une consignation (somme destinée à garantir le sérieux de la démarche), restituée en l’absence d’abus.
• À ce stade, l’accompagnement par un avocat devient recommandé, notamment si plusieurs plaignants souhaitent se regrouper.

C’est cette étape qui transforme une plainte individuelle en levier réel : une fois l’instruction ouverte, le juge dispose de pouvoirs d’investigation autonomes.

Action de groupe RGPD : l’autre voie collective

Parallèlement au pénal, la loi Informatique et Libertés (art. 37) ouvre la possibilité d’une action de groupe en matière de protection des données. Elle peut être exercée par des associations, des organisations syndicales ou des associations de consommateurs remplissant les conditions légales, pour faire cesser un manquement et, le cas échéant, obtenir réparation des préjudices subis par un ensemble de personnes placées dans une situation similaire.

Les plaintes individuelles déposées sous l’article 226-17 documentent l’ampleur du préjudice collectif et facilitent la structuration d’une éventuelle action de groupe. Les deux démarches ne s’opposent pas : elles se nourrissent l’une l’autre.

L’effet d’échelle : pourquoi votre plainte compte

Plusieurs centaines ou milliers de plaintes individuelles déposées sur un même dossier produisent un effet que la voie isolée ne permet pas :

• elles obligent le parquet à structurer une réponse plutôt qu’à opposer un classement uniforme ;
• elles documentent l’ampleur du préjudice collectif, utile pour une éventuelle action de groupe ;
• elles donnent un cadre matériel à un examen approfondi de la conformité par les autorités compétentes.

Si vous déposez une plainte, vous pouvez en faire état publiquement — auprès de vos proches, des associations de défense des droits, ou sur les réseaux. C’est par l’agrégation que des démarches individuelles deviennent visibles.

Et du côté des organisations : prévenir plutôt que subir

Ces incidents rappellent une évidence pour tout responsable de traitement : l’obligation de sécurité de l’article 32 du RGPD est une obligation permanente, qui doit être documentée à jour et opposable en cas de contrôle ou de contentieux. Cela suppose une cartographie des traitements, une notification des violations en 72 h prête à déclencher, et une traçabilité des mesures techniques et organisationnelles. Pour une organisation qui gère des dizaines de traitements, un logiciel RGPD permet d’industrialiser cette documentation de conformité et d’en conserver la preuve dans le temps.

Précautions à prendre — éviter le risque de dénonciation calomnieuse

Une plainte qui s’appuierait sur des faits inexacts pourrait, dans certains cas, exposer son auteur aux peines de l’article 226-10 du Code pénal (dénonciation calomnieuse). Ce risque est très limité dès lors que la plainte respecte trois principes simples :

1. N’affirmez que des faits publics, sourcés. Communiqués officiels de l’entité, communications du parquet, articles de presse, notifications reçues. Le modèle ci-dessus est rédigé en ce sens : il rapporte des faits publics et demande à l’enquête d’établir la qualification.
2. Ne nommez personne nominativement. La plainte vise l’entité et « toute personne dont l’enquête établirait la responsabilité ». Vous ne désignez aucun individu déterminé.
3. Utilisez le conditionnel et la prudence. Tournures recommandées : « il appartient à l’enquête d’établir », « sans préjuger des conclusions », « paraît interroger », « selon les éléments publics rendus disponibles ». Le modèle fourni respecte ces tournures.

À ces conditions, vous exercez simplement votre droit de dénoncer au procureur de la République des faits susceptibles de constituer une infraction (art. 40, al. 2 CPP), sans exposition au risque de dénonciation calomnieuse.

Autres précautions

• Ce modèle est mis à disposition gratuitement par Thiébaut Devergranne, docteur en droit, à titre informatif. Aucune relation client/avocat ne résulte de son utilisation.
• Vérifiez que vous êtes concerné par la fuite avant de déposer plainte (notification reçue, recherche Have I Been Pwned, communiqué officiel mentionnant votre catégorie d’usagers).
• Pour les cas complexes (données sensibles au sens de l’article 9 du RGPD, mineurs, préjudice financier avéré), faites-vous accompagner par un avocat spécialisé.

FAQ

Puis-je porter plainte si je n’ai pas reçu de notification personnelle ?

Oui. La qualité d’usager (inscrit, allocataire, parent d’élève, titulaire de compte) et le constat public de la fuite suffisent à fonder votre plainte. La notification individuelle facilite la preuve de votre qualité d’usager, mais elle n’est pas une condition. Un communiqué officiel ou un article de presse mentionnant votre catégorie d’usagers peut servir de justificatif. Pour la DGFiP, joignez si possible la notification individuelle reçue à partir du 17 août 2026.

La CNIL dit qu’il n’est pas nécessaire de lui adresser une plainte (DGFiP) : cela vaut-il aussi pour la plainte pénale ?

Non. La CNIL vise la réclamation de l’article 77 du RGPD, dont elle est déjà saisie. La plainte pénale de l’article 226-17 relève du procureur de la République, pas de la CNIL ; elle porte sur une question distincte (la responsabilité pénale des personnes, et non la conformité administrative du traitement) et reste ouverte. Rappelons au surplus que la CNIL ne peut prononcer aucune amende contre un traitement mis en œuvre par l’État (art. 20-III de la loi Informatique et Libertés).

Combien coûte une plainte au titre de l’article 226-17 ?

La plainte simple au procureur est gratuite ; seul le timbre de la lettre recommandée avec AR est à votre charge (environ 6 €). Aucun avocat n’est requis à ce stade. Ce n’est qu’en cas de constitution de partie civile devant le juge d’instruction qu’une consignation, fixée par le juge et en principe restituable, est demandée.

Quelle différence avec une réclamation à la CNIL ?

La réclamation CNIL peut aboutir à une amende administrative, mais celle-ci est exclue lorsque le traitement est mis en œuvre par l’État (art. 20-III LIL), plafonnée à 10 M€ (art. 32) ou 20 M€ pour les établissements publics, et n’entraîne pas de mise en cause personnelle des décideurs. La plainte pénale 226-17 vise la responsabilité pénale (jusqu’à 1,5 M€ pour un établissement public), ouvre une voie d’indemnisation et peut aboutir à la mise en examen de personnes physiques. Les deux voies sont cumulables.

Combien de temps ai-je pour déposer plainte ?

Le délit se prescrit en principe par six ans à compter des faits (art. 8 CPP). Pour les incidents de 2024 à 2026, le délai reste largement ouvert, mais il est préférable d’agir rapidement pour que les éléments techniques restent exploitables par l’enquête.

Le procureur est-il obligé de donner suite ?

Il n’est pas obligé de poursuivre, mais il doit vous aviser de sa décision (art. 40-2 CPP). En cas de classement sans suite, ou d’absence de réponse dans un délai de trois mois, vous pouvez vous constituer partie civile devant le doyen des juges d’instruction (art. 85 CPP), ce qui contraint l’ouverture d’une instruction.

Puis-je me regrouper avec d’autres victimes ?

Oui. Vous pouvez déposer des plaintes individuelles coordonnées sur un même dossier, ce qui renforce leur poids, et envisager une action de groupe RGPD (art. 37 de la loi Informatique et Libertés) via une association ou un syndicat habilité. L’agrégation des démarches est précisément ce qui rend le dispositif efficace.

En savoir plus

• Fuite de données : procédure de gestion et notification RGPD
• Notifier une violation à la CNIL en 72 h : le modèle
• Sanctions pénales et administratives du RGPD
• Article 32 RGPD : sécurité des traitements
• Notification d’une cyberattaque

Cet article a été rédigé par Thiébaut Devergranne, docteur en droit (PhD), 20 ans d’expérience en droit des données personnelles, fondateur de donneespersonnelles.fr.