Fuite de données : ce qui circule à votre nom, et ce que vous risquez
Une fuite de données, c'est quand des informations personnelles détenues par un organisme (enseigne, opérateur, administration) sortent de ses systèmes et se retrouvent copiées, diffusées ou revendues. La loi parle de violation de données.
En 2025, la CNIL en a reçu 6 167 notifications, un record. Si vous avez un email, un compte en ligne ou une démarche administrative, il est très probable que certaines de vos données circulent déjà. Ce n'est pas une fatalité : elles se neutralisent, à condition de savoir lesquelles.
Résumer cet article avec :
6 167
violations de données notifiées à la CNIL en 2025
CNIL, 18/05/2026
1 sur 2
de ces violations vient d'un piratage
CNIL, 18/05/2026
11,7 M
comptes ANTS concernés par la fuite d'avril 2026
Ministère de l'Intérieur, 21/04/2026
17,8 Md
adresses email recensées par Have I Been Pwned
haveibeenpwned.com, 12/10/2026
En bref
- La CNIL a reçu 6 167 notifications de violations de données en 2025, +9,5 % sur un an, son plus haut niveau ; une sur deux venait d'un piratage (rapport annuel du 18 mai 2026).
- Depuis le 1er août 2026, 99 violations de données ont été portées à la connaissance de l'ANSSI, dont 67 confirmées (CERT-FR, 30 septembre 2026).
- Les plus grosses fuites touchent des services que presque tout le monde utilise : ANTS (11,7 millions de comptes), France Travail (environ 43 millions de personnes, chiffre alors à confirmer), Free (24 millions de contrats).
- Une donnée qui a fuité ne disparaît pas. Elle se neutralise : mots de passe changés, double authentification, et méfiance face aux appels qui « savent » déjà tout de vous.
Qu'est-ce qu'une fuite de données, exactement ?
Le RGPD définit la violation de données comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel […] ou l'accès non autorisé à de telles données » (article 4). Dit simplement : vos informations sont sorties de là où elles devaient rester.
Dans la pratique, trois situations reviennent : un piratage (un attaquant s'introduit dans les systèmes et copie la base clients), une erreur (fichier envoyé au mauvais destinataire, base laissée accessible), ou une faille chez un prestataire de l'organisme : la CNIL relève que les violations de 2025 impliquent souvent des prestataires. Dans tous les cas, ce qui compte pour vous est la même chose : quelles données, et qui peut s'en servir.
Où en est-on en France ?
Les fuites ne touchent plus seulement des sites obscurs : administrations, opérateurs et grandes enseignes sont concernés. Voici les plus importantes, avec le chiffre officiel publié par l'organisme ou l'autorité.
| Organisme | Ampleur officielle | Données concernées | Source |
|---|---|---|---|
| ANTS (France Titres)Avril 2026 | 11,7 millions de comptes | Identité, email, date de naissance ; parfois adresse, lieu de naissance, téléphone | Ministère de l'Intérieur, 21/04/2026 |
| DGFiP (impôts)Août 2026 | 678 000 particuliers et professionnels | Revenu fiscal de référence, taux de prélèvement, adresse | Bercy, 14/08/2026 |
| Free et Free MobileOctobre 2024 | 24 millions de contrats | Coordonnées d'abonnés, dont des IBAN | CNIL, 13/01/2026 |
| France TravailMars 2024 | Environ 43 millions de personnes (chiffre alors à confirmer) | Nom, numéro de sécurité sociale, email, adresse, téléphone | CNIL, 13/03/2024 |
Nous ne publions que les chiffres confirmés par l'organisme ou une autorité : les volumes revendiqués par les pirates, souvent gonflés, n'apparaissent pas ici. La liste complète, mise à jour au fil des incidents, se trouve dans fuites de données récentes en France.
Votre exposition en 30 secondes
Cochez ce qui vous concerne. Rien n'est envoyé : le calcul se fait sur votre appareil.
Ce qui fuit, et ce qu'un escroc en fait
Une donnée seule vaut peu. Le danger vient du recoupement : des fichiers différents sont fusionnés pour reconstituer un profil complet, nom, date de naissance, téléphone, email et parfois IBAN.
Adresse email
Hameçonnage ciblé : un faux message de votre banque, des impôts ou d'un transporteur, avec votre nom.
Mot de passe
Connexion automatique à vos autres comptes si vous l'avez réutilisé, même légèrement modifié.
Téléphone
SMS piégés, appels de faux conseillers, démarchage agressif.
Nom et date de naissance
De quoi « prouver » à votre place qu'on est votre banque ou votre caisse, et commencer une usurpation d'identité.
Adresse postale
Faux courriers (huissier, amende, impôts) et recoupement avec d'autres fichiers.
IBAN
Scénarios de faux conseiller crédibles (« je vois votre compte ») et tentatives de prélèvement.
Numéro de sécurité sociale
Faux messages de l'Assurance maladie ou de France Travail très convaincants, usurpation.
Les arnaques qui suivent une fuite
Le scénario le plus coûteux est celui du faux conseiller bancaire : l'escroc appelle en citant votre nom, votre date de naissance ou votre IBAN, puis invente une opération suspecte pour vous faire valider un paiement ou « sécuriser » votre argent par virement. Comme il connaît déjà tout de vous, il paraît légitime.
Viennent ensuite les messages ciblés qui imitent l'organisme piraté (« suite à l'incident de sécurité, confirmez vos informations »), les emails de phishing et SMS personnalisés, les connexions automatiques à vos comptes avec d'anciens mots de passe, et les débuts d'usurpation d'identité.
Qu'un appelant connaisse votre date de naissance, votre adresse ou votre numéro de compte ne prouve plus rien. Aucune banque ni administration ne vous demandera un code reçu par SMS ou un virement pour « protéger » votre argent.
Combien de temps une donnée fuitée reste-t-elle en circulation ?
Indéfiniment. Un fichier volé est copié, fusionné avec d'autres puis revendu ; des années plus tard, il réapparaît dans de nouvelles compilations. Have I Been Pwned référence encore la fuite LinkedIn de 2012. C'est pourquoi un ancien mot de passe reste dangereux tant qu'il sert quelque part, et pourquoi la vigilance face aux appels qui citent vos informations doit durer.
Vous ne pouvez pas effacer une fuite. Vous pouvez la rendre inutile.
Encore faut-il savoir ce qui a fuité. L'audit cherche votre email, votre téléphone et votre nom dans les bases de fuites, et vous remet un plan d'action précis. Rapport sous 24 h.
- Votre email, votre téléphone et votre nom cherchés dans les bases de fuites, là où les outils gratuits s'arrêtent
- Les données exactes qui ont fuité, mots de passe compris (masqués)
- Ce qu'un escroc peut faire avec, et comment le repérer
- Votre plan d'action pas à pas, et vos recours avec un modèle de courrier
Niveau d'exposition
Critique
7
fuites confirmées
Opérateur télécom (fichier clients)
2026 · gravité élevée
- Téléphone
- 06 12 •• •• 34
- IBAN
- FR76 •••• •••• •••• ••42
+ 6 autres fuites, dont une liste de mots de passe volés et un réseau social
Plan d'action
- Prévenir votre banque que votre IBAN a fuité
- Remplacer le mot de passe « Ma•••• » partout où il sert
- Activer la double authentification
Extrait d'un rapport type, données inventées — voir l'exemple complet
Voir un exemple d'audit réelQue faire après une fuite de données, dans l'ordre ?
- 1
Vérifiez ce qui vous concerne
Lisez le message de l'organisme (sans cliquer sur ses liens) et vérifiez votre email sur un outil de recherche de fuites.
- 2
Changez le mot de passe de votre messagerie
Puis celui de chaque compte qui partageait un mot de passe compromis. Un mot de passe différent par site.
- 3
Activez la double authentification
Messagerie, banque, réseaux sociaux, sites marchands où votre carte est enregistrée.
- 4
Surveillez vos comptes
Relevés bancaires, sessions actives, règles de transfert de votre messagerie. Une opération non autorisée se conteste auprès de la banque au plus tard 13 mois après.
- 5
Fermez ce qui ne sert plus
Chaque compte inutilisé est une fuite potentielle : demandez sa suppression et l'effacement de vos données.
La CNIL et Cybermalveillance.gouv.fr ont publié le 1er octobre 2026 un dépliant, « Violation de données personnelles, que faire en 3 étapes clés ? », qui détaille ces actions du jour de la découverte jusqu'à J+30. Si de l'argent a déjà été prélevé ou viré, suivez notre guide que faire après une arnaque.
Vos droits face à l'organisme qui a fuité
Être informé
L'organisme doit notifier la fuite à la CNIL, si possible dans les 72 heures (article 33 du RGPD), et vous prévenir directement si elle présente un risque élevé pour vous (article 34).
Savoir ce qu'il détient, et le faire supprimer
Droit d'accès (article 15) et droit à l'effacement (article 17). Il doit répondre dans un délai d'un mois, prolongeable de deux mois pour une demande complexe (article 12).
Saisir la CNIL
Sans réponse dans le délai, ou en cas de refus injustifié, adressez une plainte en ligne sur cnil.fr, avec une copie de votre demande.
Demander réparation
En cas de dommage matériel ou moral causé par la fuite (article 82), devant le juge civil. Il faut prouver le dommage et son lien avec la fuite : faites-vous conseiller par un avocat ou par France Victimes (116 006, gratuit).
Si vos données servent à une escroquerie ou à une usurpation d'identité, portez plainte : en ligne, via THESEE pour une escroquerie sur Internet, ou au commissariat. Les délais à connaître sont rassemblés dans les délais à respecter après une fraude.
Questions fréquentes
C'est la copie, la divulgation ou la perte de données personnelles détenues par un organisme : clients d'une enseigne, usagers d'une administration, abonnés d'un opérateur. Le RGPD parle de « violation de données à caractère personnel » ; c'est le terme qu'emploient la CNIL et les courriers officiels.
« Violation de données » est le terme juridique, qui couvre tous les cas : piratage, erreur d'envoi, perte d'un ordinateur. « Vol de données » désigne le cas où quelqu'un s'empare volontairement des données, souvent par piratage. « Fuite de données » est le mot courant pour les données qui sortent de l'organisme et se retrouvent diffusées ou revendues.
Pour votre email, Have I Been Pwned (en anglais) et Mozilla Monitor (en français) sont gratuits. Ils ne cherchent ni votre téléphone ni votre nom, et ne montrent pas les valeurs qui ont fuité. Notre guide « comment savoir si vos données ont fuité » détaille la méthode, et l'audit Stop Escroc fait la recherche complète (email, téléphone, nom, mots de passe) là où ces outils s'arrêtent.
Oui. Nom, date de naissance, téléphone et adresse suffisent à monter une arnaque crédible : un faux conseiller qui « connaît » déjà ces informations obtient beaucoup plus facilement un code ou un virement. Une fuite ne signifie pas pour autant que vos données seront utilisées : elle augmente le risque, elle ne le rend pas certain.
Il doit notifier la fuite à la CNIL, si possible dans les 72 heures après en avoir eu connaissance (article 33 du RGPD), et vous informer directement si la fuite présente un risque élevé pour vous (article 34). Méfiez-vous des faux messages de « fuite » : ne cliquez sur aucun lien, allez vous-même sur le site de l'organisme.
Le RGPD prévoit un droit à réparation pour toute personne qui subit un dommage matériel ou moral du fait d'une violation (article 82). Il faut démontrer le dommage et son lien avec la fuite, devant le juge civil. Figurer dans une fuite, sans préjudice démontré, n'ouvre pas automatiquement droit à une indemnité.
Non, pas les copies déjà diffusées : un fichier volé est copié et revendu sans fin. Vous pouvez en revanche demander à l'organisme quelles données il détient sur vous (droit d'accès) et leur suppression (droit à l'effacement), ce qui réduit ce qui pourra fuiter demain.
Pour aller plus loin
Sources : CNIL, rapport annuel 2025 (18/05/2026), page Cybermois 2026 (01/10/2026), sanction Free et Free Mobile (13/01/2026) et fuite France Travail (13/03/2024) ; CERT-FR, point de situation (30/09/2026) ; ministère de l'Intérieur via franceinfo (21/04/2026) ; Bercy, communiqué (14/08/2026) ; RGPD, articles 4, 12, 15, 17, 33, 34 et 82 ; haveibeenpwned.com (12/10/2026). Ce guide ne constitue pas un conseil juridique. Mis à jour le 12 octobre 2026.