Piratage du fisc : la CNIL va contrôler la DGFiP, sans pouvoir lui infliger d'amende

La CNIL va contrôler la Direction générale des finances publiques (DGFiP). Sa présidente, Marie-Laure Denis, l'a annoncé le 10 septembre 2026 dans l'émission Cash Investigation, sur France 2, après le vol des données personnelles de près de 700 000 personnes sur le système d'information des impôts au cours de l'été. Pour un DPO, l'intérêt n'est pas l'effet d'autorité : cette annonce expose à ciel ouvert la mécanique qui relie une notification de violation, un contrôle sur place et une mesure correctrice.

Ce que la CNIL a annoncé

Le ministère de l'Économie et des Finances a rendu les violations publiques le 14 août 2026. Quatre jours plus tard, le 18 août, la CNIL publiait un communiqué indiquant qu'elle en avait été notifiée et que les vérifications étaient en cours. Les données concernées sont fiscales (revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale des entreprises) et cadastrales (adresses et surfaces de biens immobiliers). Selon la CNIL, les identifiants et les mots de passe n'ont pas été compromis.

Le 10 septembre, la présidente de la CNIL est allée plus loin : elle a demandé aux équipes de la commission de se rendre « dans les tout prochains jours » dans les locaux de la DGFiP. L'objet du contrôle est double : reconstituer la manière dont les accès illégitimes sont survenus, et évaluer les mesures de sécurité en place. Marie-Laure Denis a décrit la suite possible : selon les constats, « soit une mise en demeure d'ici la fin de l'année (...), soit une orientation vers une sanction ». L'Agence nationale des titres sécurisés (ANTS) fera elle aussi l'objet d'un contrôle, après l'attaque d'avril 2026 qui a touché près de 12 millions de particuliers et de professionnels, et dont Leto avait suivi la chaîne de notification RGPD.

Un contrôle qui ne peut pas déboucher sur une amende

C'est le point que les DPO du secteur public connaissent et que les autres découvrent à cette occasion : la CNIL ne peut pas infliger d'amende administrative à l'État. L'article 20 de la loi n° 78-17 du 6 janvier 1978 fixe le plafond de l'amende « à l'exception des cas où le traitement est mis en œuvre par l'État ». La DGFiP étant une direction du ministère de l'Économie et des Finances, aucune amende administrative ne peut la viser.

Cela ne veut pas dire qu'il ne se passe rien. Le même article 20 laisse ouvertes la mise en demeure, le rappel à l'ordre, l'injonction assortie d'une astreinte pouvant atteindre 100 000 euros par jour, la limitation ou l'interdiction d'un traitement. L'absence d'amende n'est donc pas l'absence de manquement, et une mise en demeure, que la CNIL peut décider de rendre publique, pèse lourd sur un opérateur public. C'est le sens du « devoir d'exemplarité » de l'État invoqué par la présidente de la CNIL. L'ANTS, elle, n'est pas dans la même situation : selon les comptes rendus de l'émission, elle pourrait être sanctionnée financièrement.

Pour le reste, la séquence est celle de n'importe quel dossier de violation : notification, vérifications, contrôle sur place, puis appréciation des mesures de sécurité au regard de l'article 32 du RGPD. Leto a documenté les deux étapes précédentes, la succession des incidents et l'angle gestion des identités puis le plan de riposte de Bercy. Le contrôle en est la suite logique, pas un coup de théâtre.

Ce que ça change pour les organisations

• Reconstituer la chronologie d'incident avant qu'une autorité ne la demande : survenance, prise de connaissance, notification, information des personnes. Quatre dates distinctes, qu'un contrôle compare.
• Documenter les mesures de l'article 32, pas seulement les appliquer : décisions d'architecture, comptes rendus de tests, arbitrages de risque écrits.
• Cartographier les comptes à privilèges et les accès aux traitements de gros volumes, et savoir qui détient quoi.
• Tracer l'arbitrage rendu au titre de l'article 34, y compris lorsqu'il conclut à l'absence de risque élevé.
• Tenir un dossier de contrôle prêt à ouvrir : registre des violations, preuves de notification, journalisation. Notre guide sur la réaction à une violation de données détaille cette trame.

Ce que Leto en pense

L'enseignement de cette annonce n'est pas que l'État serait mal protégé : c'est que le régime de sanction diffère du régime de contrôle. Une organisation qui ne risque pas d'amende reste contrôlée, mise en demeure et exposée publiquement. Et une organisation privée lit sans effort, dans ce dossier, la grille que la CNIL appliquera chez elle : traçabilité des accès, délais tenus, preuves écrites. Autant la préparer avant le courrier de contrôle, ce que Leto outille au quotidien, du registre des traitements au suivi des violations. Une démo suffit à voir à quoi ressemble un dossier prêt.

Sources

• Le Monde, « Piratage du site des impôts : la CNIL va contrôler le fisc après le vol de données massif survenu durant l'été », 11 septembre 2026
• CNIL, « Piratage du système d'information des impôts : les vérifications sont en cours », 18 août 2026
• franceinfo, « La Cnil annonce un contrôle au sein du fisc après le vol massif de données constaté à l'été 2026 », septembre 2026
• Le Journal du Net, « La CNIL annonce un contrôle de la Direction générale des finances publiques (...) », septembre 2026
• Légifrance, article 20 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés