Un compte de plateforme VTC piraté est d’abord un incident de sécurité et de données personnelles, sans garantie d’assurance automatique. Sécurisez les accès, documentez les faits et examinez les données exposées, en menant en parallèle les notifications, déclarations et vérifications contractuelles applicables. N’attendez ni un dossier complet ni une décision d’indemnisation pour respecter un délai.
Ces actions de sécurité ne doivent pas retarder les notifications ou déclarations applicables. Si un sinistre est susceptible de mettre en jeu une garantie, avisez aussi l’assureur dans le délai applicable avec les faits disponibles, sans attendre de savoir si une indemnisation sera accordée.
Ce guide présente cinq actions à organiser selon la situation : sécuriser, documenter, qualifier, informer et examiner le contrat. Certaines se mènent en parallèle ; cette méthode ne promet ni couverture, ni remboursement, ni délai de traitement.
Un piratage de compte n'est pas un sinistre par principe
La responsabilité civile professionnelle du chauffeur VTC répond, selon le contrat, aux dommages causés à des tiers dans le cadre de l'activité déclarée. Elle ne couvre pas par principe la compromission d'un compte, la perte de données ou une fraude.
Une couverture dite cyber, de fraude ou de perte de données n'existe que si le contrat la prévoit expressément. C'est une stipulation contractuelle : elle ne se déduit pas de la simple existence d'une responsabilité civile professionnelle.
Pour examiner une éventuelle garantie cyber ou de fraude, relisez les conditions générales et particulières du contrat : garanties souscrites, exclusions, modalités de déclaration, plafonds et franchises. L’intitulé « RC Pro » ne permet pas de présumer une couverture spécifique.
Reprendre la main sur le compte : la séquence sécurité
Lorsqu'un compte est compromis, la priorité est de reprendre le contrôle des accès, puis de documenter. Ces gestes sont des recommandations pratiques ; ils ne remplacent ni une démarche de la plateforme ni une démarche judiciaire.
- Changer le mot de passe : un mot de passe nouveau, long, unique, jamais réutilisé ailleurs.
- Déconnecter les sessions actives depuis les paramètres du compte.
- Vérifier les téléphones, ordinateurs et applications autorisés à accéder au compte.
- Retirer ou bloquer les moyens de paiement enregistrés si la plateforme le permet.
- Contacter la plateforme par son canal officiel, jamais via un lien reçu dans un message suspect.
- Vérifier l'adresse e-mail et le numéro de téléphone associés au compte.
- Examiner aussi les comptes liés : messagerie, téléphone, moyens de paiement.
- Noter la date et l'heure de chaque action effectuée.
Le rapport d'activité 2024 de Cybermalveillance.gouv.fr identifie l'hameçonnage comme une menace majeure pouvant conduire au piratage de comptes, à la fraude ou à une violation de données.
Les documents exposés et l'état du dossier d'assurance
Le compte de plateforme peut contenir des documents sensibles : attestation d'assurance, carte professionnelle, relevés de courses, données de clients transportés. En cas de compromission, ces éléments ont pu être exposés.
Il ne s'agit pas de re-téléverser n'importe quelle pièce. Repartez des documents officiels en cours de validité et vérifiez leur emplacement dans le compte. Pour les justificatifs demandés par les plateformes, consultez notre guide sur les justificatifs d'assurance demandés par les plateformes VTC.
Le piratage d'un compte ne modifie pas vos obligations documentaires habituelles. Un contrôle mensuel du dossier d'assurance reste utile pour partir de pièces fiables après un incident.
Documenter l'incident : ce qu'il faut conserver
Conserver une trace écrite de l'incident est une recommandation pratique utile si vous devez contacter une plateforme, un assureur ou la CNIL. Rassemblez :
- La date et l'heure de la première détection du problème.
- Les messages ou courriels suspects reçus avant la compromission.
- Les actions effectuées : changement de mot de passe, blocage de paiement.
- Les échanges avec la plateforme et les numéros de ticket.
- La liste des données probablement exposées, sans en recopier le contenu.
- D'éventuelles captures d'écran, en masquant toute information inutile.
En cas de litige ultérieur, la question des preuves est détaillée dans notre guide sur les preuves à conserver dans un litige VTC.
L'obligation légale de gestion des violations de données
La CNIL rappelle que le responsable du traitement doit documenter les violations de données personnelles. Si une violation présente un risque pour les droits et libertés, il la notifie à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance ; un retard doit être motivé. L’information des personnes en cas de risque élevé s’examine avec les conditions et exceptions applicables.
Ces obligations s’apprécient selon le rôle de chaque acteur et les données concernées. Identifiez les traitements dont vous êtes responsable et ceux de la plateforme ; la compromission d’un compte ne permet pas, à elle seule, de déterminer qui doit notifier quoi.
Si des données de clients transportés sont exposées, documentez les faits et examinez les rôles et obligations de chaque acteur. Complétez cette analyse au fil des informations disponibles sans retarder une notification requise dans son délai.
Assurance : vérifier le contrat avant de parler de couverture
La seule façon de savoir si un contrat répond à un tel événement est de lire ses conditions générales et particulières. Voici les points à examiner :
- Le libellé des garanties : responsabilité civile, protection juridique, garanties spécifiques.
- Les exclusions : fraude, actes intentionnels, incidents cyber.
- Les conditions de déclaration : délai, forme, pièces à fournir.
- Les plafonds, franchises et avenants éventuels.
Ne vous fiez pas à un intitulé seul. La couverture d'une compromission de compte, d'une fraude ou d'une perte de données ne se présume jamais : elle se lit dans le document concerné.
Questions fréquentes
Mon assurance RC Pro couvre-t-elle le piratage de mon compte ?
La responsabilité civile professionnelle répond aux dommages causés à des tiers selon le contrat. La compromission d'un compte, la fraude ou la perte de données ne sont couvertes que si une garantie spécifique le prévoit expressément. Vérifiez vos conditions générales et particulières.
Dois-je notifier la CNIL ?
Documentez l’incident et identifiez le responsable du traitement concerné. Une violation présentant un risque pour les droits et libertés doit être notifiée par ce responsable dans les meilleurs délais et, si possible, dans les 72 heures de sa connaissance ; un retard se motive. En cas de risque élevé, examinez aussi l’information des personnes et les exceptions applicables.
La plateforme est-elle responsable ?
Contactez la plateforme par son canal officiel pour faire constater et tracer l'incident. Sa responsabilité éventuelle dépend de ses conditions d'utilisation et des faits : elle ne se présume pas. Conservez la trace de vos démarches.
À retenir
Un compte piraté demande de sécuriser les accès, documenter les faits, évaluer les données exposées et examiner les garanties. Organisez en parallèle les avis et déclarations requis : la collecte des pièces et la décision d’indemnisation ne doivent pas retarder le respect des délais.
Cet article ne remplace ni la lecture de vos documents contractuels, ni une analyse propre à votre situation. Aucun tarif, délai, plafond ou indemnisation n'est promis. En cas de doute, posez la question par écrit à votre assureur ou à la plateforme.
Sources officielles
- Cybermalveillance.gouv.fr - Rapport d'activité 2024
- CNIL - Sécurité : gérer les incidents et les violations
- Conditions générales et particulières du contrat concerné : garanties souscrites et modalités de déclaration à vérifier.
Si l’accès au compte est compromis après la perte d’un téléphone, consultez aussi le guide pour préparer la réaction à la perte ou au vol d’un smartphone VTC. Ce renvoi ne doit pas retarder les notifications et déclarations applicables ; menez les démarches nécessaires en parallèle.
