Si votre entreprise avait subi cette intrusion, laissé passer sept semaines, puis publié un communiqué le lendemain de la mise en vente des données sur un forum, vous seriez aujourd'hui en train de préparer votre défense devant la formation restreinte de la CNIL. L'État, lui, ne risque pas d'amende.
Le 13 août 2026, le ministère de l'Action et des Comptes publics a confirmé ce que la presse spécialisée décrivait depuis la veille : la Direction générale des Finances publiques a subi un accès illégitime à son système d'information. Selon les termes du communiqué, cet accès est intervenu fin juin 2026, « après une usurpation d'identité », et a permis « la consultation et l'extraction de données concernant des particuliers et des professionnels ».
L'affaire mérite mieux qu'un frisson estival. Pour les responsables de traitement du secteur privé, elle constitue un cas d'école grandeur nature : mêmes textes, mêmes obligations, mêmes réflexes attendus, mais un régime de sanction radicalement différent. Nous reprenons ici la chronologie établie à partir des sources publiques, ce que le RGPD exigeait à chaque étape, et ce que tout DPO, dirigeant de PME ou agence web devrait en tirer pour sa propre procédure de violation de données.
Précision méthodologique, importante pour la suite : une part des chiffres qui circulent provient des déclarations du cybercriminel lui-même. Ils sont rapportés ici comme tels, au conditionnel, et clairement distingués des éléments confirmés par l'administration.
La chronologie, jour par jour
Reconstituée à partir du communiqué de Bercy, des publications du syndicat Solidaires Finances Publiques et des relevés de la presse spécialisée, la séquence fait apparaître un écart de près de sept semaines entre l'incident et son annonce publique.
Alerte syndicale interne
Solidaires Finances Publiques indique avoir interpellé la directrice générale sur les risques de « piratage, d'usurpation d'identité ou d'hameçonnage ciblé », après les incidents Tchap et France Services. Le syndicat affirme s'être vu répondre que la situation était sous contrôle.
Intrusion revendiquée
Date d'intrusion avancée par l'auteur de la revendication. Selon son récit, une compromission de serveurs internes aurait mené à un accès au réseau privé virtuel, puis à un outil interne de recherche sur les particuliers et les professionnels.
Accès coupé, selon Bercy
Le communiqué du 13 août précise que l'accès « avait été coupé fin juin dans le cadre du contrôle opéré ». L'administration disposait donc, à cette date, d'éléments sur l'existence d'un accès anormal.
Seconde intrusion revendiquée
Date avancée pour une compromission distincte visant le serveur professionnel de données cadastrales. Cette revendication n'a pas été confirmée par l'administration au moment de la publication de cet article.
Revendication publique
Une publication apparaît sur un forum fréquenté par des cybercriminels. Elle annonce 678 438 lignes extraites et présente la base comme une extraction partielle mise en vente.
Confirmation officielle
Communiqué du ministère de l'Action et des Comptes publics. La DGFiP annonce de nouvelles mesures de restriction, des investigations approfondies, une notification à la CNIL, un dépôt de plainte et une information individuelle des usagers concernés. Aucun calendrier n'est indiqué.
Attention : le déclencheur de la communication n'est pas la découverte de l'incident, mais sa publicité. Le communiqué le formule explicitement : « Mercredi 12 août 2026, un acteur malveillant a revendiqué un accès illégitime au système d'information de la Direction générale des Finances publiques. »
Ce que le RGPD imposait, étape par étape
Le RGPD s'applique pleinement aux administrations. La DGFiP est responsable de traitement au sens de l'article 4, point 7. Le tableau ci-dessous met en regard chaque obligation et ce qui ressort des éléments publics au 14 août 2026.
| Obligation | Texte applicable | Délai prévu | Éléments publics au 14 août 2026 |
|---|---|---|---|
| Sécuriser le traitement | Art. 32 RGPD, art. 5.1.f RGPD | Permanent | Accès obtenu par usurpation d'identité, deuxième incident de ce type en six mois après FICOBA |
| Documenter la violation en interne | Art. 33.5 RGPD | Immédiat | Non public |
| Notifier la CNIL | Art. 33.1 RGPD | 72 h après en avoir pris connaissance | Annoncée au futur dans le communiqué du 13 août 2026 |
| Informer les personnes concernées | Art. 34.1 RGPD | Dans les meilleurs délais si risque élevé | Annoncée, sans calendrier communiqué |
| Préciser les catégories de données | Art. 34.2 renvoyant à l'art. 33.3 | Avec l'information | Annoncée dans la future notification individuelle |
| Consigner l'incident au registre des violations | Art. 33.5 RGPD | Immédiat | Non public |
Deux nuances juridiques méritent d'être posées, parce qu'elles reviennent systématiquement dans les audits que nous voyons passer.
Premièrement, le délai de 72 heures court à compter de la prise de connaissance, pas de l'intrusion. L'article 33.1 vise le moment où le responsable de traitement « a connaissance » de la violation. Or le communiqué indique que l'accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Savoir ce que la DGFiP a effectivement qualifié à ce moment précis, un accès anormal ou une violation de données caractérisée, est la question centrale. Elle n'a pas de réponse publique à ce jour, et nous nous gardons de trancher.
Deuxièmement, les 72 heures ne concernent pas les personnes. C'est l'erreur la plus répandue. L'article 34 impose une communication aux personnes concernées « dans les meilleurs délais » lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Aucune durée chiffrée. Cette souplesse rédactionnelle est précisément ce qui rend l'appréciation possible, et donc discutable.
Bon à savoir : pour une réponse à une question écrite parlementaire relative à l'incident FICOBA, la DGFiP avait indiqué avoir notifié la CNIL le 16 février 2026, avec un complément le 23 février, puis informé individuellement les personnes concernées par voie électronique ou postale. Le précédent existe donc, ce qui rend le décalage de l'été 2026 d'autant plus notable.
Votre procédure de violation de données tiendrait-elle 72 heures ?
Le scan RGPDKit analyse votre site et vos documents obligatoires, et vous indique en quelques minutes les points de non-conformité à corriger en priorité.
L'asymétrie que personne ne mentionne : l'État ne paie pas d'amende
C'est le point aveugle de tous les commentaires sur cette affaire. Le règlement européen laisse aux États membres le soin de décider si les autorités publiques peuvent être frappées d'amendes administratives. La France a tranché.
Le 7° du IV de l'article 20 de la loi n° 78-17 du 6 janvier 1978 autorise la formation restreinte de la CNIL à prononcer, « à l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu ». Ces plafonds passent à 20 millions d'euros et 4 % dans les hypothèses des paragraphes 5 et 6 de l'article 83 du RGPD.
Une PME dans la même situation
- Amende administrative jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour un manquement à l'article 33
- Jusqu'à 20 millions d'euros ou 4 % pour un manquement aux principes de l'article 5
- Article 226-17 du code pénal : cinq ans d'emprisonnement et 300 000 euros d'amende en cas d'absence des mesures de sécurité prescrites
- Publication possible de la décision, avec l'effet réputationnel associé
- Exposition aux actions en réparation fondées sur l'article 82 du RGPD
Un traitement mis en œuvre par l'État
- Aucune amende administrative possible de la part de la CNIL
- Mise en demeure, injonction et limitation du traitement restent mobilisables
- Publicité des mesures correctrices possible
- Contrôle parlementaire par questions écrites, sans effet contraignant
- Recours indemnitaire devant le juge administratif ouvert aux personnes concernées
Cette asymétrie n'est pas un scandale en soi : sanctionner financièrement l'État reviendrait à déplacer de l'argent public d'une poche à l'autre. Mais elle a une conséquence pratique directe. Le principal levier disciplinaire qui pèse sur une entreprise, le risque financier, n'existe pas ici. Restent la transparence et le contrôle politique. C'est précisément ce qui rend le calendrier de communication déterminant, et ce que réclame Solidaires Finances Publiques dans son communiqué du 14 août 2026, en posant une question dont personne n'a la réponse : sans la révélation publique, quand et comment les usagers auraient-ils été informés ?
Une série, pas un accident isolé
L'incident s'inscrit dans une séquence dense d'atteintes visant des organismes publics français. Le tableau ci-dessous recense les principaux épisodes rendus publics, en distinguant strictement ce qui est confirmé par l'organisme concerné de ce qui relève de la seule revendication.
| Organisme | Période | Ampleur annoncée | Statut |
|---|---|---|---|
| Ministère de l'Intérieur (fichiers TAJ et FPR) | Décembre 2025 | Consultations illégales de deux fichiers de police | Confirmé, éléments relayés par la CNIL |
| France Travail via les missions locales | Fin 2025 | Environ 1,6 million de personnes | Confirmé |
| DGFiP, fichier FICOBA | Fin janvier à février 2026 | 1,2 million de comptes bancaires | Confirmé, communiqué Bercy du 18 février 2026 |
| Ministère de l'Éducation nationale | 2026 | Données de personnels | Confirmé par le ministère |
| Santé publique France | Revendiqué le 11 août 2026 | Environ 80 000 personnes | Revendiqué, non confirmé |
| DGFiP, systèmes liés à impots.gouv.fr | Intrusion revendiquée le 26 juin 2026 | 678 438 lignes revendiquées | Accès confirmé, volume non confirmé |
| DGFiP, serveur professionnel de données cadastrales | Intrusion revendiquée le 29 juillet 2026 | 252 149 lignes, soit 2 041 778 personnes selon le pirate | Revendiqué, non confirmé |
Un point technique relie plusieurs de ces incidents et devrait retenir l'attention de tout DPO : le vecteur n'est pas l'exploitation d'une faille logicielle sophistiquée, mais l'usurpation d'identifiants légitimes. Pour FICOBA comme pour l'incident de juin 2026, Bercy décrit une usurpation d'identité. Autrement dit, l'attaquant est entré par la porte, avec les clés de quelqu'un d'autre.
Tous deux décrits comme résultant d'une usurpation d'identifiants légitimes, et non d'une intrusion technique contre les défenses périmétriques.
Cinq leçons directement transposables à votre organisation
Passons du commentaire à l'opérationnel. Voici ce que cette affaire dit de votre propre dispositif, que vous soyez une PME de douze personnes ou une agence web gérant trente sites clients.
- Fixez le point de départ des 72 heures : définissez par écrit qui, dans votre organisation, est habilité à qualifier un événement de violation de données. Sans ce point de départ, le délai est indéfendable.
- Traitez les comptes à privilèges comme le cœur du réacteur : authentification à plusieurs facteurs résistante à l'hameçonnage, revue trimestrielle des accès, détection des connexions anormales. Les deux incidents DGFiP de 2026 partent de là.
- Préparez le modèle de communication à l'avance : l'article 34.2 exige la description de la nature de la violation, les coordonnées du DPO, les conséquences probables et les mesures prises. Rédigez ce gabarit à froid, pas dans l'urgence.
- Étendez le dispositif à vos sous-traitants : l'article 33.2 oblige le sous-traitant à vous notifier « dans les meilleurs délais ». Vérifiez que vos contrats de sous-traitance au sens de l'article 28 le prévoient explicitement, avec un délai chiffré.
- Vérifiez que votre politique de confidentialité décrit la réalité : la documentation obligatoire doit refléter vos traitements réels. Notre générateur de politique de confidentialité produit un document à jour des mentions requises par les articles 13 et 14.
- Testez la chaîne d'alerte une fois par an : un exercice de deux heures suffit à révéler que le numéro d'astreinte n'est plus attribué ou que le DPO est en congés sans suppléant désigné.
Ce que vous devez faire, en tant que contribuable
Le risque immédiat n'est pas le vidage de votre compte bancaire. C'est l'hameçonnage ciblé. Un message qui cite votre revenu fiscal de référence exact et votre taux de prélèvement à la source n'a plus rien à voir avec les tentatives grossières que vous savez repérer.
Pour les particuliers
Trois réflexes suffisent à neutraliser l'essentiel du risque.
- N'accédez jamais à votre espace fiscal via un lien reçu par message. Tapez l'adresse vous-même.
- L'administration fiscale ne demande jamais d'identifiants, de mot de passe ni de coordonnées bancaires par courriel ou par message.
- Méfiez-vous particulièrement des promesses de remboursement d'impôt : c'est le prétexte le plus utilisé, et la période estivale s'y prête.
- Signalez les messages suspects sur signal-spam.fr et consultez cybermalveillance.gouv.fr en cas de doute.
Pour les professionnels
Les données d'entreprise figurent aussi dans le périmètre annoncé.
- Alertez vos équipes comptables : une demande de changement de coordonnées bancaires par courriel doit être vérifiée par téléphone, sur un numéro connu.
- Vérifiez les habilitations sur votre espace professionnel impots.gouv.fr et retirez les accès des anciens collaborateurs.
- Si vous êtes agence ou prestataire, informez vos clients de la vague en cours : c'est un contact commercial légitime et utile.
- Documentez toute tentative d'hameçonnage reçue, elle peut constituer un élément de preuve utile.
Sur le fond, cet épisode confirme une bascule dont nous parlions déjà à propos des pixels de suivi dans les courriels et de la recommandation de la CNIL : la conformité ne se joue plus seulement sur le papier des mentions obligatoires, mais sur la capacité réelle à détecter, qualifier et annoncer un incident. Le RGPD n'a jamais promis qu'aucune violation ne surviendrait. Il a organisé la manière d'en rendre compte.
Questions fréquentes
Suis-je concerné par la fuite de données de la DGFiP ?
À ce jour, aucun outil public ne permet de le vérifier. La DGFiP indique qu'elle enverra une notification individuelle aux usagers concernés, précisant les catégories de données susceptibles d'avoir été consultées ou extraites et, lorsque cela sera nécessaire, les mesures de vigilance à adopter. Tant que cette notification n'est pas reçue, il faut considérer que l'ampleur exacte reste en cours d'investigation. Méfiez-vous par ailleurs des messages qui prétendraient déjà vous informer : c'est un prétexte d'hameçonnage prévisible.
Le RGPD impose-t-il de prévenir les personnes en 72 heures ?
Non, et c'est la confusion la plus fréquente. Le délai de 72 heures de l'article 33 concerne la notification à la CNIL. L'article 34 impose de communiquer aux personnes concernées « dans les meilleurs délais » lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, sans fixer de durée chiffrée. En pratique, la CNIL apprécie ce délai au regard de la nature du risque et des mesures d'atténuation prises.
La CNIL peut-elle infliger une amende à la DGFiP ?
Pas d'amende administrative. Le 7° du IV de l'article 20 de la loi n° 78-17 du 6 janvier 1978 exclut expressément les traitements mis en œuvre par l'État. La CNIL conserve en revanche ses autres pouvoirs correcteurs : avertissement, mise en demeure, injonction de mise en conformité, limitation temporaire ou définitive d'un traitement, et publication de ses décisions. Les personnes concernées peuvent par ailleurs engager une action indemnitaire devant le juge administratif sur le fondement de l'article 82 du RGPD.
Quelles données ont été exposées exactement ?
Le ministère n'a pas détaillé les catégories au 14 août 2026, indiquant que les investigations se poursuivent. L'auteur de la revendication mentionne des identités, dates et lieux de naissance, adresses postales et d'imposition, adresses électroniques, numéros de téléphone, situations familiales, revenus fiscaux de référence et taux de prélèvement à la source. Ces éléments proviennent du pirate et ne sont pas confirmés par l'administration. Nous les rapportons pour information, pas comme un fait établi.
Que risque une entreprise qui tarde à notifier une violation de données ?
Le manquement à l'article 33 du RGPD relève du paragraphe 4 de l'article 83, soit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Si le manquement touche aux principes de l'article 5 ou aux droits des personnes, les plafonds passent à 20 millions d'euros ou 4 %. En cas d'absence des mesures de sécurité prescrites par l'article 32, l'article 226-17 du code pénal prévoit en outre cinq ans d'emprisonnement et 300 000 euros d'amende.
Faut-il notifier la CNIL même si l'accès frauduleux a été coupé rapidement ?
Oui, dès lors qu'une violation de confidentialité est caractérisée et qu'elle est susceptible d'engendrer un risque pour les droits et libertés des personnes. Avoir mis fin à l'accès réduit le risque et doit être mentionné dans la notification, mais n'efface pas la consultation ou l'extraction déjà intervenue. Seules les violations « peu susceptibles d'engendrer un risque » sont dispensées de notification, et cette appréciation doit être documentée au registre des violations.
Comment se protéger de l'hameçonnage après une fuite de données fiscales ?
N'ouvrez jamais un lien reçu par message pour accéder à votre espace fiscal : tapez impots.gouv.fr directement dans votre navigateur. L'administration ne demande jamais d'identifiants, de mot de passe ou de coordonnées bancaires par courriel ou SMS. Activez l'authentification renforcée sur vos comptes bancaires et signalez les tentatives sur signal-spam.fr. En cas de préjudice, déposez plainte et consultez cybermalveillance.gouv.fr, qui oriente vers les démarches adaptées.
Cette affaire change-t-elle quelque chose à mes obligations de conformité ?
Elle ne modifie aucun texte, mais elle déplace le centre de gravité des contrôles. Les autorités et les tribunaux regardent de plus en plus la réalité opérationnelle : existe-t-il une procédure de violation de données écrite, un registre des violations tenu, une chaîne d'alerte testée, des contrats de sous-traitance conformes à l'article 28 ? Si votre conformité se limite à une politique de confidentialité en pied de page, un incident la mettra à nu en quelques heures. Vous pouvez évaluer ce socle avec notre audit de conformité en ligne.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.