Un compte de plateforme VTC piraté est d'abord un incident de sécurité et de données personnelles. Il n'est pas automatiquement un sinistre d'assurance : tout dépend de ce que prévoient vos contrats. L'ordre des opérations compte plus que le vocabulaire. Reprenez d'abord la main sur le compte, sécurisez les accès, documentez les faits, examinez les documents exposés et, seulement ensuite, demandez-vous si une garantie d'assurance peut entrer en jeu.

smartphone avec alerte de sécurité et documents protégés, aucune marque
smartphone avec alerte de sécurité et documents protégés, aucune marque

Cet article propose une séquence pratique en cinq temps : sécuriser, documenter, qualifier, informer, vérifier le contrat. Il ne promet aucune couverture, aucun remboursement, aucun délai. Chaque situation dépend du compte concerné, de la plateforme et des conditions du contrat d'assurance.

Un piratage de compte n'est pas un sinistre par principe

La responsabilité civile professionnelle du chauffeur VTC répond, selon le contrat, aux dommages causés à des tiers dans le cadre de l'activité déclarée. Elle ne couvre pas par principe la compromission d'un compte, la perte de données ou une fraude.

Une couverture dite cyber, de fraude ou de perte de données n'existe que si le contrat la prévoit expressément. C'est une stipulation contractuelle : elle ne se déduit pas de la simple existence d'une responsabilité civile professionnelle.

Le document de référence intitulé conditions-cyber-et-rc-pro ne figure pas dans le pack de sources fourni. Il convient donc de vérifier dans les conditions générales et particulières du contrat concerné : garanties souscrites, exclusions, conditions de déclaration et plafonds éventuels. Rien ne doit être affirmé sans lecture de ces documents.

Reprendre la main sur le compte : la séquence sécurité

Lorsqu'un compte est compromis, la priorité est de reprendre le contrôle des accès, puis de documenter. Ces gestes sont des recommandations pratiques ; ils ne remplacent ni une démarche de la plateforme ni une démarche judiciaire.

  • Changer le mot de passe : un mot de passe nouveau, long, unique, jamais réutilisé ailleurs.
  • Déconnecter les sessions actives depuis les paramètres du compte.
  • Vérifier les téléphones, ordinateurs et applications autorisés à accéder au compte.
  • Retirer ou bloquer les moyens de paiement enregistrés si la plateforme le permet.
  • Contacter la plateforme par son canal officiel, jamais via un lien reçu dans un message suspect.
  • Vérifier l'adresse e-mail et le numéro de téléphone associés au compte.
  • Examiner aussi les comptes liés : messagerie, téléphone, moyens de paiement.
  • Noter la date et l'heure de chaque action effectuée.

Le rapport d'activité 2024 de Cybermalveillance.gouv.fr identifie l'hameçonnage comme une menace majeure pouvant conduire au piratage de comptes, à la fraude ou à une violation de données.

Les documents exposés et l'état du dossier d'assurance

Le compte de plateforme peut contenir des documents sensibles : attestation d'assurance, carte professionnelle, relevés de courses, données de clients transportés. En cas de compromission, ces éléments ont pu être exposés.

Il ne s'agit pas de re-téléverser n'importe quelle pièce. Repartez des documents officiels en cours de validité et vérifiez leur emplacement dans le compte. Pour les justificatifs demandés par les plateformes, consultez notre guide sur les justificatifs d'assurance demandés par les plateformes VTC.

Le piratage d'un compte ne modifie pas vos obligations documentaires habituelles. Un contrôle mensuel du dossier d'assurance reste utile pour partir de pièces fiables après un incident.

Documenter l'incident : ce qu'il faut conserver

Conserver une trace écrite de l'incident est une recommandation pratique utile si vous devez contacter une plateforme, un assureur ou la CNIL. Rassemblez :

  • La date et l'heure de la première détection du problème.
  • Les messages ou courriels suspects reçus avant la compromission.
  • Les actions effectuées : changement de mot de passe, blocage de paiement.
  • Les échanges avec la plateforme et les numéros de ticket.
  • La liste des données probablement exposées, sans en recopier le contenu.
  • D'éventuelles captures d'écran, en masquant toute information inutile.

En cas de litige ultérieur, la question des preuves est détaillée dans notre guide sur les preuves à conserver dans un litige VTC.

L'obligation légale de gestion des violations de données

La CNIL rappelle que toute violation de données doit être documentée. Si la violation présente un risque pour les droits et libertés, elle doit être notifiée à la CNIL dans les 72 heures. Les personnes concernées doivent être informées en cas de risque élevé, selon les règles applicables.

Il s'agit d'une obligation légale, mais elle dépend du contenu réellement exposé et de la qualification de l'incident. Une compromission de compte ne présente pas toujours un risque élevé : l'analyse se fait au cas par cas, à partir des données réellement concernées.

Si des données de clients transportés sont exposées, documentez et évaluez avec précaution avant toute notification. Ne présumez pas, vérifiez.

Assurance : vérifier le contrat avant de parler de couverture

La seule façon de savoir si un contrat répond à un tel événement est de lire ses conditions générales et particulières. Voici les points à examiner :

  • Le libellé des garanties : responsabilité civile, protection juridique, garanties spécifiques.
  • Les exclusions : fraude, actes intentionnels, incidents cyber.
  • Les conditions de déclaration : délai, forme, pièces à fournir.
  • Les plafonds, franchises et avenants éventuels.

Ne vous fiez pas à un intitulé seul. La couverture d'une compromission de compte, d'une fraude ou d'une perte de données ne se présume jamais : elle se lit dans le document concerné.

Questions fréquentes

Mon assurance RC Pro couvre-t-elle le piratage de mon compte ?

La responsabilité civile professionnelle répond aux dommages causés à des tiers selon le contrat. La compromission d'un compte, la fraude ou la perte de données ne sont couvertes que si une garantie spécifique le prévoit expressément. Vérifiez vos conditions générales et particulières.

Dois-je notifier la CNIL ?

Documentez d'abord l'incident. Si la violation présente un risque pour les droits et libertés, elle doit être notifiée à la CNIL dans les 72 heures, et les personnes concernées doivent être informées en cas de risque élevé. Tout dépend de l'analyse des données exposées.

La plateforme est-elle responsable ?

Contactez la plateforme par son canal officiel pour faire constater et tracer l'incident. Sa responsabilité éventuelle dépend de ses conditions d'utilisation et des faits : elle ne se présume pas. Conservez la trace de vos démarches.

À retenir

Un compte piraté se traite dans un ordre précis : sécuriser les accès, documenter les faits, évaluer les données exposées, prévenir qui doit l'être, puis vérifier le contrat d'assurance avant d'imaginer une couverture.

Cet article ne remplace ni la lecture de vos documents contractuels, ni une analyse propre à votre situation. Aucun tarif, délai, plafond ou indemnisation n'est promis. En cas de doute, posez la question par écrit à votre assureur ou à la plateforme.

Sources officielles