Piratage de la DGFiP
Posté : 24 août 2026, 15:12
Après le vol des données de 678 000 contribuables, des centaines de victimes se regroupent pour attaquer l'État en justice et réclamer réparation d'un préjudice qui, lui, ne s'efface pas.
Le point important est que le préjudice ne se limite pas au fait que les données aient été volées : pour les victimes, la question est de savoir quelles conséquences concrètes cette fuite peut entraîner et si elles peuvent obtenir réparation auprès de l’État.
Ce qui s’est passé
La DGFiP a confirmé le 14 août 2026 que des intrusions survenues en juin et juillet avaient permis à des attaquants de consulter et extraire des données concernant 678 000 particuliers et professionnels.
Les données concernées peuvent notamment comprendre :
Pourquoi attaquer l'État ?
C'est là que l'affaire devient juridiquement intéressante.
L'avocat Jérémy Roche, spécialiste de la protection des données, a lancé une action regroupant les victimes. Il s'appuie notamment sur l'article 82 du RGPD, qui prévoit un droit à réparation lorsqu'une personne subit un dommage du fait d'une violation du règlement. Plusieurs centaines de personnes auraient déjà rejoint la démarche.
Et surtout, il n'est pas nécessaire d'avoir déjà été escroqué ou d'avoir perdu de l'argent pour qu'un préjudice puisse être invoqué.
Le dossier repose notamment sur le préjudice moral : perte de contrôle sur ses données, inquiétude, sentiment d'insécurité, atteinte à la confidentialité de sa situation patrimoniale et risque accru d'hameçonnage ou d'usurpation d'identité.
Mais il y a une nuance importante
Le simple fait d'être dans les 678 000 personnes concernées ne signifie pas automatiquement que l'État devra verser une indemnité.
Il faudra établir l'existence d'un préjudice indemnisable et le lien avec la violation du RGPD. C'est précisément ce qui rend cette procédure intéressante : la question sera notamment de savoir jusqu'où les tribunaux reconnaissent le préjudice moral lié à l'exposition de données personnelles, même en l'absence de fraude déjà réalisée.
Autrement dit :
« Mes données ont été volées » ≠ automatiquement « j'ai droit à X euros ».
Mais l'argument des victimes est justement que l'exposition de données fiscales particulièrement personnelles constitue déjà une atteinte réelle, dont les conséquences peuvent durer longtemps.
Et la responsabilité de l'État ?
C'est probablement le point le plus sensible.
La DGFiP reconnaît que ses contrôles d'accès n'avaient pas permis de détecter immédiatement que les intrusions avaient débouché sur des vols de données, en raison de la sophistication de l'attaque. Les investigations ont ensuite établi les extractions.
Le gouvernement a d'ailleurs demandé un audit approfondi de la sécurité des systèmes de la DGFiP, tandis qu'un conseil de défense doit se tenir d'ici la mi-septembre.
https://www.ledauphine.com/economie/202 ... hatgpt.com
Le point important est que le préjudice ne se limite pas au fait que les données aient été volées : pour les victimes, la question est de savoir quelles conséquences concrètes cette fuite peut entraîner et si elles peuvent obtenir réparation auprès de l’État.
Ce qui s’est passé
La DGFiP a confirmé le 14 août 2026 que des intrusions survenues en juin et juillet avaient permis à des attaquants de consulter et extraire des données concernant 678 000 particuliers et professionnels.
Les données concernées peuvent notamment comprendre :
- l'identité et les coordonnées ;
- l'identifiant fiscal ;
- le revenu fiscal de référence ;
- le quotient familial et le nombre de parts ;
- le taux de prélèvement à la source ;
- pour les entreprises, la raison sociale et le SIREN ;
- certaines données cadastrales, notamment des informations relatives aux biens immobiliers.
Pourquoi attaquer l'État ?
C'est là que l'affaire devient juridiquement intéressante.
L'avocat Jérémy Roche, spécialiste de la protection des données, a lancé une action regroupant les victimes. Il s'appuie notamment sur l'article 82 du RGPD, qui prévoit un droit à réparation lorsqu'une personne subit un dommage du fait d'une violation du règlement. Plusieurs centaines de personnes auraient déjà rejoint la démarche.
Et surtout, il n'est pas nécessaire d'avoir déjà été escroqué ou d'avoir perdu de l'argent pour qu'un préjudice puisse être invoqué.
Le dossier repose notamment sur le préjudice moral : perte de contrôle sur ses données, inquiétude, sentiment d'insécurité, atteinte à la confidentialité de sa situation patrimoniale et risque accru d'hameçonnage ou d'usurpation d'identité.
Mais il y a une nuance importante
Le simple fait d'être dans les 678 000 personnes concernées ne signifie pas automatiquement que l'État devra verser une indemnité.
Il faudra établir l'existence d'un préjudice indemnisable et le lien avec la violation du RGPD. C'est précisément ce qui rend cette procédure intéressante : la question sera notamment de savoir jusqu'où les tribunaux reconnaissent le préjudice moral lié à l'exposition de données personnelles, même en l'absence de fraude déjà réalisée.
Autrement dit :
« Mes données ont été volées » ≠ automatiquement « j'ai droit à X euros ».
Mais l'argument des victimes est justement que l'exposition de données fiscales particulièrement personnelles constitue déjà une atteinte réelle, dont les conséquences peuvent durer longtemps.
Et la responsabilité de l'État ?
C'est probablement le point le plus sensible.
La DGFiP reconnaît que ses contrôles d'accès n'avaient pas permis de détecter immédiatement que les intrusions avaient débouché sur des vols de données, en raison de la sophistication de l'attaque. Les investigations ont ensuite établi les extractions.
Le gouvernement a d'ailleurs demandé un audit approfondi de la sécurité des systèmes de la DGFiP, tandis qu'un conseil de défense doit se tenir d'ici la mi-septembre.
https://www.ledauphine.com/economie/202 ... hatgpt.com