Depuis la cyberattaque du portail ANTS détectée en avril 2026, une question revient dans les recherches et les échanges en ligne : peut-on porter plainte parce que ses données ont fuité, même si aucune fraude n’a encore été commise ?
La question est légitime. Le ministère de l’Intérieur a indiqué, dans son point d’étape du 21 avril 2026, que l’incident de sécurité pouvait concerner les données d’identification de 11,7 millions de comptes particuliers : identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte, et parfois adresse postale, lieu de naissance ou téléphone. Les démarches liées aux titres sécurisés touchent directement l’identité administrative : carte nationale d’identité, passeport, permis de conduire, certificat d’immatriculation.
Mais il faut distinguer trois démarches. La plainte pénale sert à dénoncer une infraction. La plainte CNIL sert à signaler un manquement à la protection des données. La demande d’indemnisation suppose de démontrer un préjudice. Mélanger ces trois voies conduit souvent à une démarche inefficace.
L’enjeu pratique est donc simple : si vous êtes concerné par le piratage ANTS, faut-il déposer plainte contre X, viser l’Etat, saisir la CNIL, attendre une fraude concrète, ou préparer un dossier de preuves ?
Fuite de données ANTS : ce que l’on sait officiellement
Le point officiel à retenir est celui-ci : l’ANTS a détecté un incident de sécurité sur le portail ants.gouv.fr en avril 2026. Les investigations étaient encore en cours lors du communiqué du ministère de l’Intérieur du 21 avril 2026. Le ministère évoquait une possible divulgation de données issues de comptes particuliers et professionnels.
Les données listées sont des données d’identification. Elles ne sont pas toutes présentes dans chaque compte, mais leur combinaison peut suffire à nourrir des tentatives d’hameçonnage, de faux messages administratifs, de création de comptes frauduleux ou d’usurpation d’identité.
Ce contexte ne signifie pas que chaque personne concernée est déjà victime d’une infraction individualisée. Il signifie qu’un risque sérieux existe et que les preuves doivent être conservées dès maintenant.
Porter plainte : utile seulement si une infraction peut être décrite
Une plainte pénale doit viser des faits. Elle peut viser X lorsque l’auteur est inconnu. Elle n’a pas besoin d’identifier le pirate, mais elle doit décrire une infraction ou au moins des faits susceptibles de recevoir une qualification pénale.
Dans un dossier ANTS, la plainte devient pertinente dans plusieurs situations :
- une démarche inconnue apparaît sur votre compte ANTS ;
- un faux message ANTS, FranceConnect, impôts, Ameli ou banque vous demande de confirmer vos données ;
- un crédit, un contrat, une ligne téléphonique ou un compte a été ouvert à votre nom ;
- une carte grise, un permis, une demande administrative ou une transaction de véhicule ne vient pas de vous ;
- une personne utilise vos nom, date de naissance, adresse ou pièces pour commettre une fraude ;
- vous avez saisi des coordonnées bancaires ou des codes à la suite d’un faux message ;
- vous recevez des relances, amendes, demandes de paiement ou courriers d’organismes que vous ne reconnaissez pas.
Dans ces cas, la plainte doit être précise. Il faut joindre le message reçu, l’adresse d’expéditeur, les captures d’écran, les URL, les dates de connexion, les courriers, les références de dossier ANTS, les relances de banque ou de crédit, les échanges avec l’administration et tout élément prouvant l’usage frauduleux de votre identité.
En revanche, si vous n’avez qu’un message général vous informant que vos données ont pu être concernées, une plainte pénale immédiate risque d’être peu exploitable. Il peut être plus utile de conserver l’information officielle, de sécuriser vos comptes, de surveiller les signes d’usage frauduleux et de préparer un dossier prêt à être déposé si un fait concret apparaît.
Plainte contre l’Etat : attention au mauvais réflexe
Beaucoup d’internautes formulent la question ainsi : « Puis-je porter plainte contre l’Etat après le piratage ANTS ? »
En pénal, la bonne question n’est pas d’abord « contre qui », mais « pour quels faits ». L’accès frauduleux à un système de traitement automatisé de données relève notamment de l’article 323-1 du Code pénal. L’usurpation d’identité relève de l’article 226-4-1 du Code pénal lorsqu’une personne utilise l’identité ou les données d’une autre pour troubler sa tranquillité ou porter atteinte à son honneur ou à sa considération.
Si vous êtes victime d’un usage frauduleux de vos données, la plainte peut être déposée contre X. Elle vise les auteurs de la fraude ou de l’usurpation, même si l’enquête doit ensuite déterminer les responsabilités.
Une action contre l’administration pour obtenir réparation d’une faute dans la protection des données ne suit pas automatiquement le même chemin. Elle suppose d’analyser la nature du service, la faute alléguée, le dommage, le lien de causalité, les démarches préalables et la juridiction compétente. Ce n’est pas la même chose qu’une plainte pénale pour usurpation d’identité.
Le réflexe utile est donc de séparer les dossiers :
- dossier pénal contre X si une fraude, une usurpation ou un hameçonnage vous vise ;
- dossier CNIL si vous contestez la gestion de vos données ou l’information reçue ;
- dossier indemnitaire si vous pouvez établir un dommage personnel, daté et documenté.
Saisir la CNIL : dans quel cas ?
La CNIL distingue la notification de violation par l’organisme responsable et la plainte déposée par un particulier. Le responsable de traitement doit documenter les violations de données et notifier à la CNIL celles qui présentent un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, les personnes concernées doivent aussi être informées.
Pour un particulier, la saisine de la CNIL peut être pertinente si l’information reçue est insuffisante, si vos demandes d’accès ou d’explication restent sans réponse, si vous contestez la manière dont vos données ont été traitées, ou si vous estimez qu’un organisme n’a pas respecté ses obligations de sécurité, d’information ou de réponse.
La CNIL n’est pas le commissariat. Elle ne poursuit pas l’escroc qui utilise votre identité pour ouvrir un compte bancaire ou demander un crédit. Elle contrôle et sanctionne, le cas échéant, les manquements à la protection des données. Les deux démarches peuvent donc coexister, mais elles ne remplacent pas l’une l’autre.
Dans un dossier solide, il faut conserver :
- le courriel ou courrier officiel reçu après l’incident ;
- les captures d’écran de votre compte ANTS ;
- les demandes envoyées à l’ANTS ou à France Titres ;
- les réponses reçues ;
- les messages frauduleux reçus après la fuite ;
- les preuves de préjudice si une fraude a déjà eu lieu.
Indemnisation : le préjudice doit être prouvé
La fuite de données peut créer du stress, de l’anxiété et un risque accru de fraude. Mais devant un juge, il ne suffit pas d’affirmer une inquiétude générale. Il faut établir un préjudice personnel et un lien avec les faits reprochés.
Une décision du tribunal des activités économiques de Paris du 23 mai 2025 illustre cette exigence de preuve. Dans un dossier de fraude bancaire, une demande de dommages-intérêts pour atteinte aux données personnelles et préjudice moral a été rejetée faute d’éléments probants sur la fuite alléguée et faute de justification du préjudice d’anxiété invoqué. La décision ne signifie pas qu’un préjudice moral lié à une fuite de données est impossible. Elle rappelle seulement qu’il faut le documenter.
Pour un usager ANTS, les éléments utiles peuvent être les suivants :
- preuve d’une tentative d’ouverture de crédit ou de compte ;
- inscription ou alerte Banque de France ;
- relance d’un organisme financier ;
- dépôt de plainte pour usurpation ;
- refus administratif ou blocage lié à une démarche frauduleuse ;
- frais bancaires, opposition, assistance, changement de documents ;
- échanges montrant une utilisation de vos données après l’incident ;
- certificats ou justificatifs si le préjudice moral est réel et suivi.
Plus le préjudice est concret, plus le dossier devient exploitable. Une simple peur abstraite sera plus fragile. Une succession de démarches frauduleuses, de blocages et de frais documentés change l’analyse.
Main courante ou plainte ?
La main courante peut être utile si vous voulez dater une inquiétude ou signaler un fait sans demander immédiatement des poursuites. Justice.fr rappelle qu’en cas de soupçon d’usurpation d’identité, une main courante peut être déposée, et que la plainte devient pertinente lorsque la victime constate qu’une infraction a été commise.
Dans le contexte ANTS, la main courante peut servir si vous avez reçu l’information officielle, constaté des tentatives suspectes, mais pas encore identifié d’usage frauduleux. Elle ne remplace pas la plainte lorsqu’un crédit, un contrat, une démarche administrative ou une fraude est déjà lancé à votre nom.
La plainte doit être privilégiée dès qu’un fait pénalement identifiable existe. Si les faits sont liés à une escroquerie sur internet, à un piratage de compte, à un hameçonnage ou à une usurpation, il faut aussi vérifier si une plateforme de plainte en ligne comme THESEE est adaptée. Dans les dossiers complexes, la plainte au commissariat, à la gendarmerie ou par courrier au procureur peut être plus complète.
Les mesures à prendre dans les 48 heures
Première mesure : changez les mots de passe liés à vos comptes administratifs et à votre adresse e-mail. Si votre boîte mail est compromise, toutes les autres démarches deviennent vulnérables.
Deuxième mesure : activez la double authentification dès qu’elle est disponible, notamment sur les comptes liés à FranceConnect, impôts, assurance maladie, banque, messagerie et démarches administratives.
Troisième mesure : vérifiez votre compte ANTS. Recherchez les démarches inconnues, changements d’adresse, demandes de titres, demandes de certificat d’immatriculation, modifications de coordonnées et messages internes.
Quatrième mesure : conservez les preuves. Ne supprimez pas les faux SMS, faux mails, messages vocaux, captures d’écran, liens, courriers ou alertes. Exportez-les avec la date et l’heure.
Cinquième mesure : surveillez vos comptes bancaires, vos courriers administratifs et vos alertes de crédit. Si vous recevez une demande inconnue, réagissez vite et gardez une trace écrite.
Sixième mesure : si un préjudice apparaît, déposez plainte et envoyez la copie aux organismes concernés pour bloquer les démarches frauduleuses.
Paris et Île-de-France : pourquoi agir vite
À Paris et en Île-de-France, les dossiers d’usurpation d’identité se croisent souvent avec des fraudes bancaires, des abonnements, des locations de véhicule, des achats en ligne, des dossiers administratifs ou des contraventions liées à une plaque d’immatriculation.
La difficulté vient du volume. Si plusieurs organismes sont touchés, chaque interlocuteur peut demander une pièce différente : plainte, justificatif d’identité, attestation de contestation, déclaration sur l’honneur, capture du compte ANTS, courrier recommandé, opposition bancaire, demande de rectification ou preuve de domicile.
Il faut donc organiser le dossier comme une chronologie. Date de l’information ANTS. Date du premier message suspect. Date de la première fraude. Date de la plainte. Date des oppositions. Date des réponses administratives. Cette chronologie évite que chaque organisme traite le problème comme un incident isolé.
Ce qu’il faut retenir
Après le piratage ANTS, il n’y a pas une seule démarche valable pour tout le monde. Si vous n’avez qu’une information générale, sécurisez vos comptes, conservez les preuves et surveillez les usages suspects. Si une fraude apparaît, déposez plainte contre X avec des pièces précises. Si vous contestez la protection ou l’information sur vos données, saisissez la CNIL. Si vous demandez une indemnisation, préparez la preuve du préjudice.
Le point central est la preuve. Une plainte vague contre l’Etat a peu de chances d’aider si elle ne décrit pas d’infraction et de dommage. Un dossier daté, avec messages, captures, démarches inconnues, relances et justificatifs, peut au contraire devenir exploitable rapidement.
Pour une analyse générale de l’usurpation d’identité après l’incident ANTS, vous pouvez aussi consulter notre article dédié : Cyberattaque ANTS et usurpation d’identité : que faire, porter plainte et protéger ses preuves.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Analyse d’une usurpation d’identité, d’une plainte contre X, d’une saisine CNIL, d’un faux message ANTS, d’un crédit ouvert à votre nom ou d’un blocage administratif après la fuite de données.
Appelez le cabinet au 06 89 11 34 45 ou utilisez la page contact du cabinet Kohen Avocats.
Le cabinet intervient à Paris et en Île-de-France pour les victimes d’usurpation d’identité, de cyberfraude, de faux documents, d’escroquerie et de procédures pénales liées aux données personnelles.
Sources
- Ministère de l’Intérieur, point d’étape du 21 avril 2026 sur l’incident ANTS.
- Service-public.fr, Piratage d’un compte d’utilisateur.
- Justice.fr, Usurpation d’identité.
- Cybermalveillance.gouv.fr, Piratage de compte : que faire ?.
- CNIL, Notifier une violation de données personnelles.
- CNIL, Adresser une plainte à la CNIL.
- Article 323-1 du Code pénal, accès frauduleux à un système de traitement automatisé de données.
- Article 226-4-1 du Code pénal, usurpation d’identité.
- Tribunal des activités économiques de Paris, 23 mai 2025, n° 2024025826.
