C’est encore dans tous les esprits. Le fisc a été frappé par des fuites de données cet été et la CNIL se rendra directement dans les locaux de la Direction générale des Finances publiques dans les prochains jours pour un contrôle.
- La CNIL va contrôler la DGFiP après les fuites de données qui ont touché le fisc cet été.
- Le piratage des impôts concerne 678 000 victimes, avec des données très sensibles consultées ou volées.
- L’ANTS sera aussi contrôlée après une fuite massive ayant touché 11,7 millions de comptes.
Marie-Laure Denis, présidente de l’organisme, l’a annoncé dans Cash Investigation diffusé le 10 septembre 2026 sur France 2. Mais ce n’est pas tout, puisque l’Agence nationale des titres sécurisés aura aussi droit à son contrôle suite à la fuite de données qui a touché 11,7 millions de comptes. C’est dans le reportage “Cyber-arnaques : État et entreprises nous protègent-ils vraiment ?” que la révélation de ce contrôle a été faite.
La CNIL va enquêter sur le fisc après les pirates de cet été
Et parmi toutes les fuites de données récentes, c’est surtout le piratage des impôts qui est dans tous les esprits, avec 678 000 victimes contactées par le fisc. C’est du 23 au 25 juin 2026 qu’une première intrusion a touché l’application e-contact de la DGFiP, puis du 21 au 23 juillet 2026 qu’une seconde intrusion avec une méthode similaire a eu lieu.
Selon ce qui est rapporté, les pirates ont utilisé les accès d’un fonctionnaire de l’Éducation nationale pour pénétrer le réseau interministériel de l’État. Ensuite, ils ont exploité les codes d’accès d’agents de la DGFiP via le portail ADER.
Et il y a bien eu un manquement de la part de l’administration, puisque la base de la base, c’est-à-dire la double authentification, n’était même pas appliquée pour e-contact. Il a juste suffi des identifiants pour que le pirate accède à toutes ces informations sensibles.
Depuis, la DGFiP a coupé les comptes compromis, mais le mal a été fait. Ce n’est qu’en août 2026 que l’administration a mesuré l’ampleur de la catastrophe, quand le groupe ZeroBytes a revendiqué l’attaque. Depuis, les pirates affirment que “les impôts, ce n’était que le début”.
Les informations volées sont très sensibles. On parle du numéro fiscal, de l’état civil, des coordonnées, du revenu fiscal de référence, du quotient familial et du taux de prélèvement à la source. Des données cadastrales ont même été consultées.
Mais le fisc est exempté d’amendes administratives
En août 2026, une autre faille a frappé le portail consacré aux successions vacantes gérées par l’État, quand il n’y a pas de prise en charge par des héritiers. Bref, en quelques semaines, l’administration fiscale s’est fait siphonner tout ce qu’elle a de plus sensible.
Marie-Laure Denis veut “comprendre ce qui s’est passé”. Selon la dirigeante de la CNIL, le contrôle pourrait déboucher sur une mise en demeure d’ici la fin de l’année 2026 ou une procédure de sanction. L’autorité cherche notamment à savoir si la DGFiP a manqué à ses obligations de protection des informations personnelles stockées.
Rappelons que le RGPD européen impose des mesures de sécurité adaptées aux risques encourus. Alors l’absence de double authentification constitue déjà un sérieux manquement de sécurité.
L’État échappe toutefois aux amendes administratives de la CNIL quand le traitement est mis en œuvre pour son compte. Alors le contrôle n’exposera pas l’État à une amende, disons-le clairement. La CNIL peut toutefois prononcer un rappel à l’ordre, imposer une mise en conformité au responsable de certains traitements, voire limiter temporairement ou définitivement un traitement.
Les tentatives de piratage explosent en France
Marie-Laure Denis insiste surtout sur la responsabilité des administrations. “L’État a un devoir d’exemplarité particulier”, explique-t-elle. Pour la dirigeante de la CNIL, la protection des informations des Français fait partie du contrat de confiance avec l’administration.
Comme expliqué en introduction, l’ANTS a aussi subi une fuite de données qui a touché 11,7 millions de comptes. On parle des noms, des prénoms, des dates de naissance, des adresses e-mail et parfois même de l’adresse postale ou du numéro de téléphone. La CNIL inspectera aussi l’ANTS.
La pression politique est forte. En 2025, près de 7 000 tentatives de piratage ont été repérées à la DGFiP, soit une augmentation de 170% en deux ans. Sébastien Lecornu, Premier ministre, a demandé un audit approfondi à l’ANSSI. La révolte est aussi présente chez les citoyens qui ont lancé le hashtag #FrancePassoire.
Un avis, une expérience, un désaccord ? La discussion est ouverte.