Le 1er octobre 2026, à l’ouverture du Cybermois, le mois européen de la cybersécurité, la CNIL et Cybermalveillance.gouv.fr ont publié une fiche pratique commune : « Violation de données personnelles : que faire en 3 étapes clés ? ». Elle s’adresse aux particuliers qui reçoivent un message les informant que leurs données ont fuité. Le moment est bien choisi : l’été et la rentrée 2026 ont été marqués en France par plusieurs fuites massives, dans les services de l’État comme chez des prestataires de collectivités. Voici ce que contient la fiche, et comment une entreprise peut s’en servir.
Le point de départ : « mes données ont fuité, et maintenant ? »
La fiche commence par un rappel utile : recevoir un tel message ne signifie pas que vos données ont déjà été utilisées frauduleusement. En revanche, le risque d’hameçonnage, d’usurpation d’identité, d’arnaque ou de piratage de comptes augmente. L’objectif est de réagir vite, de rester vigilant dans les semaines qui suivent et d’adopter de bonnes habitudes sur la durée.
Étape 1 – La première semaine : agir tout de suite, sans paniquer
- Vérifier ce qui a fuité : lire attentivement le message reçu et le conserver, il pourra servir plus tard.
- Changer sans tarder le mot de passe s’il a été compromis, en choisissant un mot de passe solide, et le modifier aussi sur tous les comptes qui utilisaient le même, en commençant par la messagerie principale.
- Activer la double authentification quand c’est possible.
- Se méfier des tentatives d’arnaque : courriels, SMS ou appels inhabituels, alarmants ou trop attrayants ; ne pas cliquer sur les liens, ne rien communiquer par téléphone, se connecter directement via le site ou l’application officiels.
Un encadré est consacré au compte bancaire : informer sa banque si des données bancaires sont concernées, surveiller les mouvements, signaler toute opération non autorisée et en demander le remboursement, faire opposition à la carte si nécessaire.
Étape 2 – Les semaines suivantes : rester vigilant
- Surveiller ses comptes bancaires : activer les notifications de paiement, ne signer aucun mandat de prélèvement douteux et, si la banque le permet, mettre en place une « liste blanche » des créanciers autorisés.
- Protéger son identité : rester attentif à un courrier inattendu, à une demande de crédit inconnue, à un contrat ou un abonnement souscrit à son insu, à une activité inhabituelle sur ses comptes en ligne (Assurance maladie, impôts…).
- Vérifier ses comptes et leurs réglages : appareils connectés et sessions actives, numéro de téléphone et adresse de récupération, et, pour la messagerie, l’absence de redirection automatique ou de règle de filtrage créée à son insu.
- Faire des captures d’écran des activités suspectes.
En cas d’anomalie : contacter rapidement l’organisme concerné pour contester les opérations ou démarches frauduleuses.
Étape 3 – Au quotidien : adopter de bonnes pratiques
- ne communiquer que les informations nécessaires ;
- ne pas transmettre de documents d’identité (pièce d’identité, fiche de paie, avis d’imposition, RIB) sans s’assurer de la légitimité du destinataire ;
- ne pas enregistrer sa carte bancaire lors d’achats en ligne ;
- utiliser plusieurs adresses électroniques selon les usages, et séparer usages professionnels et personnels ;
- supprimer les comptes inutilisés ;
- des mots de passe robustes et différents pour chaque service, la double authentification, des mises à jour régulières et des sauvegardes.
Pourquoi la fiche intéresse aussi les entreprises
Pour vos salariés
Les fuites touchent vos collaborateurs à titre personnel, et leurs conséquences débordent sur l’entreprise : un mot de passe réutilisé entre un compte personnel piraté et la messagerie professionnelle, et c’est votre système qui est exposé. Diffuser la fiche en interne est un geste simple. Le point sur les règles de redirection de messagerie mérite une attention particulière : c’est un classique de la fraude au virement.
Si c’est vous qui devez annoncer une fuite
La fiche donne, en creux, le contenu d’un bon message de notification : quelles données sont concernées, quels risques cela crée, quels gestes faire. C’est précisément ce qu’a reproché la CNIL à l’Hôpital privé de la Loire, sanctionné de 500 000 euros en septembre 2026 : ne pas avoir informé une partie des personnes touchées, qui ont été privées des moyens de se protéger. Joindre la fiche CNIL–Cybermalveillance à votre message aux personnes concernées, ou en reprendre les étapes, est une bonne pratique.
Pour vérifier vos propres réflexes
Commencez par le plus utile : vérifier vos mots de passe. Notre vérificateur de mot de passe évalue leur robustesse, et le générateur de mot de passe en crée de nouveaux.
Le reste du Cybermois 2026
La CNIL signale plusieurs autres actions du Cybermois 2026 : une campagne nationale de sensibilisation intitulée « Se cyber protéger, ce n’est pas si bête », un CyberTour de France avec des étapes à Biarritz, Rennes, Rouen, Lille, Montpellier et Paris, et des opérations « Le numérique, pas de panique ! » programmées en gare, à Paris Gare de Lyon le 22 octobre et à Rennes le 29 octobre 2026.
Sources
- CNIL, « Cybermois 2026 : la CNIL et Cybermalveillance.gouv.fr publient une nouvelle ressource pour adopter les bons réflexes face à une violation de données », 1er octobre 2026 : https://www.cnil.fr/fr/cybermois-2026
- CNIL et Cybermalveillance.gouv.fr, « Violation de données personnelles : que faire en 3 étapes clés ? », octobre 2026 : https://www.cnil.fr/sites/default/files/2026-10/violationdedonnees.pdf
- CNIL, « Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE », 3 septembre 2026 : https://www.cnil.fr/fr/sanction-hopital-prive-loire
