« J’ai demandé aux équipes de la Cnil de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques. » L’annonce est de Marie-Laure Denis, présidente de la CNIL, dans « Cash Investigation » (France 2) diffusée jeudi 10 septembre au soir — interview enregistrée lundi et visionnée par l’AFP avant diffusion. Objet : le piratage des données fiscales de 678 000 personnes.
Selon les constats de la CNIL, deux issues sont possibles : « soit une mise en demeure d’ici la fin de l’année […], soit une orientation vers une sanction ». Aucune n’est acquise.
Un contrôle sur place « dans les tout prochains jours »
Le contrôle n’a pas commencé : « tout prochains jours » est la seule échéance donnée, sans date fixée. Le mécanisme, documenté par la CNIL depuis le 18 août : des investigations « sur pièces ou sur place » pour vérifier si les mesures de sécurité sont conformes à l’état de l’art de la sécurité informatique.
Ce que la CNIL peut — et ne peut pas — faire à l’État
La CNIL ne peut pas infliger d’amende à l’État. Elle peut en revanche sanctionner des manquements au RGPD ou à la loi Informatique et Libertés. Pour l’avocat Arnaud Franchini (Village de la Justice), la violation ne se situe pas dans le piratage mais dans la sécurité et la notification : l’obligation de moyens renforcée s’apprécie au regard du risque, et un pirate tiers n’exonère pas automatiquement. Une analyse, pas un constat de manquement.
Ce qui a fuité, ce qui n’a pas fuité
Des intrusions en juin et juillet, via des identifiants usurpés d’un agent de la DGFiP et d’un tiers habilité, revendiquées les 12 et 13 août par un acteur se disant « ZeroBytes », confirmées par Bercy le 14 août. 678 000 particuliers et professionnels : données fiscales — revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale — et cadastrales (adresses, surfaces). Identifiants, mots de passe et espaces usagers n’ont pas été compromis : le vol expose à des usages frauduleux des données, pas à une prise de contrôle des comptes. La DGFiP a saisi la CNIL, coupé préventivement des accès sensibles et annoncé plainte et contact individuel des personnes concernées.
ANTS, France Travail, FICOBA : une série d’incidents qui dépasse le fisc
La présidente a aussi demandé un contrôle de l’Agence nationale des titres sécurisés (ANTS), ciblée en avril : près de 12 millions de données de particuliers et de professionnels volées. Village de la Justice relève une série — France Travail amendée de 5 millions d’euros en janvier, accès illégitime à FICOBA reconnu en février avec environ 1,2 million de coordonnées bancaires, extraction DGFiP en août — chaque fois via des accès légitimes usurpés. Après une cellule de crise, le Premier ministre Sébastien Lecornu a commandé un audit à l’ANSSI. « L’État a un devoir d’exemplarité particulier. Ça fait partie justement du contrat de confiance entre l’État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l’État », a-t-elle commenté.
Vigilance : les réflexes indiqués aux personnes concernées
Inutile de déposer une plainte individuelle : la CNIL est déjà saisie, sauf éléments spécifiques ou utiles aux investigations. Ses recommandations : surveiller toute activité suspecte liée à ses données, notamment fiscales, vérifier ses comptes, signaler toute anomalie et se méfier des demandes « urgentes » par courriel ou téléphone — le hameçonnage peut s’appuyer sur les données volées. La DGFiP contactera individuellement chaque personne concernée — par courriel ou courrier — avec les données susceptibles d’avoir été consultées et les mesures de vigilance à adopter. La limite reste entière : entre mise en demeure et orientation vers une sanction, l’issue n’est pas écrite.
