Piratage de la DGFiP : des données fiscales au risque physique

Le piratage de la DGFiP pose une question concrète : que peut faire un tiers lorsqu’il dispose d’informations sur les revenus d’une personne et peut les rapprocher de son patrimoine immobilier ? Pour un entrepreneur dont l’identité est publique, cette association pourrait faciliter une escroquerie ciblée, voire nourrir un risque pour sa sécurité personnelle. Elle ne prouve cependant ni qu’un tel rapprochement a eu lieu pour chaque victime, ni qu’une agression en a résulté.

Piratage de la DGFiP : ce que Bercy a confirmé

Dans son communiqué du 14 août 2026, le ministère des Finances fait état d’intrusions intervenues en juin et juillet. Elles reposaient sur l’usurpation des identifiants d’un agent et d’un tiers habilité.

Les investigations avaient alors établi des consultations et extractions concernant 678 000 particuliers et professionnels. Bercy mentionne notamment le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Il confirme aussi la consultation de données cadastrales relatives aux adresses et aux surfaces de biens immobiliers. En revanche, les espaces des usagers et leurs mots de passe n’avaient pas été compromis, selon ce communiqué.

Ces informations peuvent conserver une utilité pour les fraudeurs après la fermeture des accès. Notre analyse de BrixHub et de la circulation des données volées décrit cet enjeu. Pour l’entreprise, il faut aussi penser aux salariés et aux proches : des informations personnelles peuvent rendre une sollicitation trompeuse plus crédible, comme l’explique notre article sur les fuites de données et leurs risques pour les entreprises.

Protéger les personnes et établir un éventuel préjudice

Le second enjeu concerne la réparation. Dans son arrêt du 14 décembre 2023 sur le piratage de l’administration fiscale bulgare, la Cour de justice de l’Union européenne admet qu’une crainte fondée d’utilisation abusive puisse constituer un dommage moral. L’indemnisation reste soumise à l’examen de la situation individuelle.

Nous avons interrogé Me Djamel Belhaouci sur ces deux dimensions du piratage de la DGFiP : la protection des personnes et les conditions d’un recours. Ses réponses suivent dans leur intégralité.

1. Revenus et adresses sont-ils associés dans les données volées ? Qui doit être le plus vigilant ?

Me Djamel Belhaouci. Il faut être précis : à ce stade, on ne peut pas affirmer que, pour chacune des 678 000 personnes, le revenu et l’adresse du domicile figurent ensemble dans un même fichier.

Ce qui est établi, c’est qu’il y a eu deux intrusions distinctes. La première, fin juin, a porté sur des données de revenu fiscal de référence d’au moins 678 000 particuliers et entreprises ; la seconde, fin juillet, a visé un autre système. Il s’agit du Serveur professionnel de données cadastrales (SPDC), et la fuite associerait l’identité et l’adresse des titulaires de droits sur des parcelles. La DGFiP évoque environ 200 000 comptes pour ce second volet. Pour les particuliers, la première fuite concerne le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source. Certains articles de presse mentionnent aussi des dates de naissance et des adresses dans le premier fichier. Je reste prudent sur ce point tant que l’administration ne l’a pas confirmé.

Le risque ne tient donc pas forcément à un fichier unique. Il tient au croisement : entre les deux extractions, ou avec d’autres fuites déjà en circulation. C’est précisément ce que craignent les observateurs. Si l’attaque contre le cadastre se confirme dans toute son ampleur, les cybercriminels pourraient savoir, pour une partie des contribuables, à la fois ce qu’une personne gagne et ce qu’elle possède.

Un risque de croisement à distinguer du passage à l’acte

Le parallèle avec les affaires de cryptoactifs doit rester mesuré. Personne ne peut dire aujourd’hui que ces données ont servi à un passage à l’acte. Mais le contexte justifie la vigilance. Le Parquet national anti-criminalité organisée recense 18 faits en 2024, 67 en 2025 et 47 en 2026. En 2025, une agente des impôts a par ailleurs été mise en examen. La justice lui reproche d’avoir utilisé son statut pour transmettre des informations sensibles à un commanditaire. Les données fiscales intéressent donc déjà des réseaux criminels.

La première démarche, pour chacun, est de lire attentivement le courrier ou le courriel de la DGFiP. L’administration informe individuellement chaque personne touchée des données qui ont pu être consultées ou extraites. Ce document est aussi la première pièce d’un éventuel dossier indemnitaire : il faut le conserver.

Les profils exposés et les précautions recommandées

Les profils qui doivent être les plus attentifs :

• les foyers à revenu fiscal de référence élevé ;
• les propriétaires de biens importants, surtout s’ils sont concernés par le volet cadastral ;
• les dirigeants et entrepreneurs, dont l’identité est déjà publique par ailleurs ;
• les détenteurs de cryptoactifs, ou les personnes perçues comme telles ;
• toute personne ayant une visibilité publique, en ligne ou dans les médias.

Pour un dirigeant ou une personne disposant d’un patrimoine important, je recommande :

• de réduire son exposition publique : réseaux sociaux, mentions de son domicile, photos qui permettent de localiser la résidence ou d’identifier ses habitudes et celles de ses proches ;
• d’utiliser, lorsqu’elles existent, les possibilités de ne pas rendre publique son adresse personnelle dans les registres d’entreprises ;
• de demander un diagnostic de sûreté du domicile au référent sûreté de la police ou de la gendarmerie, puis de renforcer les protections si nécessaire ;
• de sensibiliser ses proches et son personnel aux démarches inhabituelles : faux livreurs, faux agents, appels qui citent des informations exactes ;
• pour les détenteurs de cryptoactifs, de ne jamais évoquer ses avoirs et de ne pas garder chez soi l’accès à l’ensemble de ses actifs ;
• de signaler sans attendre tout repérage ou comportement suspect aux forces de l’ordre, et de conserver toute trace d’escroquerie ou de tentative.

2. Faut-il attendre la CNIL ? Que doit prouver un contribuable, et selon quelle procédure ?

Me Djamel Belhaouci. Attendre la CNIL est un choix stratégique, pas une obligation juridique. Le RGPD prévoit d’un côté une réclamation auprès de l’autorité de contrôle (article 77), de l’autre un recours juridictionnel et une action en réparation (articles 79 et 82). Ces voies sont indépendantes. Une victime peut agir sans attendre la CNIL, et la CNIL ne peut de toute façon accorder aucune indemnisation. Elle ne peut pas non plus infliger d’amende à l’État pour les traitements qu’il met en œuvre ; ses pouvoirs se limitent alors à des mesures correctrices. Son intérêt est ailleurs : ses constatations sur les défaillances de sécurité seraient un élément de preuve précieux. Comme la prescription est en principe de quatre ans, attendre quelques mois ne fait pas perdre de droits.

La sécurité du traitement et la preuve du dommage

Sur la charge de la preuve, la décision de référence est particulièrement pertinente. Il s’agit de l’arrêt de la CJUE du 14 décembre 2023 (C-340/21), rendu à propos du piratage de l’administration fiscale bulgare, une situation très proche de celle de la DGFiP. La Cour y pose trois principes :

• une fuite ne suffit pas, à elle seule, à démontrer que les mesures de sécurité étaient inappropriées ;
• en revanche, c’est au responsable du traitement, donc ici à l’État, de prouver que ses mesures étaient appropriées ;
• l’intervention d’un pirate n’exonère pas automatiquement le responsable du traitement.

Les informations publiques donnent déjà des pistes : l’intrusion a eu lieu avec des identifiants usurpés, selon la presse en l’absence de double authentification. Les vols de données n’ont été constatés qu’après la revendication du piratage par son auteur.

Le contribuable, lui, doit prouver trois choses :

• qu’il est concerné, grâce au courrier de la DGFiP ;
• qu’il a subi un préjudice, matériel ou moral ;
• qu’il existe un lien de causalité entre la fuite et ce préjudice.

Une réclamation préalable auprès de l’administration

La procédure est celle du contentieux administratif, puisque l’action vise l’État :

• adresser une réclamation indemnitaire préalable, chiffrée et motivée, à l’administration, de préférence par lettre recommandée avec accusé de réception ;
• en cas de refus, ou de silence pendant deux mois, saisir le tribunal administratif compétent d’un recours de plein contentieux ; le ministère d’avocat est en principe obligatoire pour une demande de somme d’argent ;
• agir dans le délai de la prescription quadriennale.

3. D’où vient l’estimation de 500 à 1 000 euros ? L’angoisse suffit-elle ?

Me Djamel Belhaouci. Je dois être précis : il n’existe pas aujourd’hui de barème, et la jurisprudence française publiée sur l’indemnisation du préjudice moral consécutif à une fuite de données reste peu abondante. La fourchette que j’évoquais est une hypothèse haute. Elle vaut pour une victime capable de documenter des conséquences concrètes, pas pour la simple appartenance au fichier.

Le cadre européen est désormais clair :

• CJUE, 4 mai 2023, Österreichische Post, C-300/21 : la seule violation du RGPD ne suffit pas, il faut un dommage et un lien de causalité. Il n’existe en revanche aucun seuil de gravité minimal, et le montant relève du droit national.
• CJUE, 14 décembre 2023, C-340/21 : la crainte d’une utilisation abusive des données peut, à elle seule, constituer un préjudice moral. Le juge doit toutefois vérifier que cette crainte est fondée au regard des circonstances.
• CJUE, 25 janvier 2024, MediaMarktSaturn, C-687/21, et 20 juin 2024, C-590/22 : un risque purement hypothétique ne suffit pas, et c’est à la victime d’établir son préjudice.
• CJUE, 11 avril 2024, juris, C-741/21 : la réparation est purement compensatoire. Elle n’a pas de fonction punitive, et la gravité de la faute ne doit pas augmenter le montant.

Documenter les conséquences de la fuite

À titre de comparaison, la Cour fédérale allemande a jugé le 18 novembre 2024 (VI ZR 10/24), dans le dossier du « scraping » Facebook, que la seule perte de contrôle des données constitue un dommage. Elle a indiqué qu’environ 100 euros pouvaient être un ordre de grandeur en l’absence d’autre conséquence.

En pratique, l’inquiétude seule pourra être indemnisée, mais modestement. Pour aller au-delà, il faudra la documenter :

• tentatives d’escroquerie reçues (appels, SMS, courriels citant des données exactes) ;
• démarches engagées et temps passé (oppositions, plaintes, changements de numéro) ;
• frais exposés (sécurisation du domicile par exemple) ;
• le cas échéant, un suivi médical lié à l’anxiété.

Devant le juge administratif, ces éléments relèvent du préjudice moral et des troubles dans les conditions d’existence.

Une action collective ne changerait pas la logique d’indemnisation. Puisque la réparation est compensatoire, chaque victime n’obtient que la réparation de son propre préjudice. Elle changerait en revanche le rapport de force : les frais sont mutualisés, les éléments techniques communs (défaut de sécurité, détection tardive) sont mieux établis, et la pression en faveur d’une indemnisation amiable est plus forte. Le régime de l’action de groupe a été réformé en 2025, mais il suppose l’intervention d’une association habilitée. À défaut, des réclamations individuelles coordonnées, préparées sur une base commune, sont une alternative efficace.