Piratage du fisc : la CNIL confirme sa saisine et écarte les plaintes individuelles

La CNIL a publié le 18 août 2026 sa première communication officielle sur le piratage du système d'information de la DGFiP. Elle confirme avoir été notifiée par le ministère de l'Économie et des Finances et détaille, pour la première fois, la nature exacte des données consultées. Message clé pour le grand public : inutile de déposer une plainte individuelle, la CNIL est déjà saisie du dossier.

Ce qui s'est passé

Dans un communiqué publié sur son site, la CNIL précise que le ministère de l'Économie et des Finances lui a notifié la violation affectant le système d'information de la DGFiP, comme l'exige l'article 33 du RGPD. C'est la première fois que l'autorité de contrôle détaille précisément les catégories de données concernées : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale des entreprises, ainsi que des données cadastrales — adresses et surfaces de biens immobiliers. La CNIL confirme un point rassurant : les identifiants et mots de passe des usagers ne seraient pas concernés par cette violation.

Ce piratage avait été revendiqué le 12 août par un individu se présentant sous le pseudonyme ZeroBytes, avant que Bercy ne confirme officiellement la fuite le 14 août. Une semaine plus tard, le Premier ministre Sébastien Lecornu a réuni une cellule de crise interministérielle et commandé un audit à l'ANSSI. La sortie de la CNIL constitue le quatrième temps de ce dossier, et le premier où le régulateur français s'exprime directement.

Pourquoi c'est important

La CNIL rappelle qu'elle est « d'ores et déjà saisie » de ces violations et qu'il n'est donc pas nécessaire de lui adresser une plainte individuelle à ce sujet, sauf si la personne concernée dispose d'éléments spécifiques utiles aux investigations en cours. Cette clarification a un objectif opérationnel clair : éviter que le service des plaintes de la CNIL soit submergé par des centaines de milliers de saisines redondantes concernant un dossier déjà instruit d'office.

Sur le fond, la CNIL annonce qu'elle est susceptible de mener des investigations sur pièces ou sur place pour vérifier si les mesures de sécurité de la DGFiP étaient conformes à l'état de l'art, et qu'elle pourra prononcer des sanctions en cas de manquement au RGPD ou à la loi Informatique et Libertés. C'est la mécanique classique de gestion d'une violation de données : notification à l'autorité de contrôle sous 72h (article 33), puis communication individuelle aux personnes concernées lorsque le risque est élevé (article 34) — ce que le ministère annonce mettre en œuvre en parallèle.

Ce que ça change pour les organisations

Pour les DPO qui suivent ce dossier ou gèrent eux-mêmes une violation de données de grande ampleur, plusieurs enseignements pratiques se dégagent de cette communication CNIL. D'abord, la granularité des catégories de données publiées par la CNIL est un bon modèle de rédaction pour une notification article 33 : plutôt que de rester générique, détailler précisément les catégories de données exposées (et celles épargnées, comme ici les mots de passe) renforce la crédibilité de la communication et rassure les personnes concernées.

Ensuite, la recommandation de la CNIL invitant le public à ne pas multiplier les plaintes individuelles hors éléments nouveaux illustre l'intérêt, pour une organisation victime d'un incident de grande ampleur, de communiquer explicitement sur le fait que l'autorité de contrôle est déjà saisie — cela réduit la charge de traitement côté régulateur et évite une dispersion de l'information. Enfin, la CNIL insiste sur la vigilance face au hameçonnage exploitant les données volées (informations fiscales, adresses) : un rappel à intégrer systématiquement dans toute communication de crise, comme l'illustre une précédente alerte de la CNIL sur les faux organismes ciblant les victimes de violations de données.

Ce que Leto pense de cette décision

Cette communication de la CNIL est un signal de méthode plus que de fond : elle ne révèle pas de nouveau périmètre de victimes, mais elle formalise ce que l'on pressentait — le régulateur ouvre un dossier d'instruction propre plutôt que de traiter cet incident au fil des plaintes individuelles. C'est une bonne pratique de gestion de crise à grande échelle, et une indication que des investigations de fond, potentiellement sanctionnatrices, sont désormais engagées côté CNIL, en parallèle de l'audit ANSSI commandé par Matignon. Les conclusions de ces deux chantiers, attendues en septembre selon le calendrier annoncé par le gouvernement, seront le vrai test de ce dossier.

Sources : CNIL — Piratage du système d'information des impôts : les vérifications sont en cours, Communiqué du ministère de l'Économie et des Finances