Piratage des impôts : prévenus sept semaines après, quels recours pour les 678 000 victimes ?

Entre l'intrusion dans les serveurs du fisc, fin juin, et l'annonce publique du 14 août, il s'est écoulé près de sept semaines. Et cette annonce n'est venue qu'au lendemain de la revendication publique du pirate. Pour les 678 000 contribuables concernés, la question du délai s'ajoute à celle du préjudice. Voici ce que le droit prévoit, et ce qu'il ne prévoit pas.

La chronologie, étape par étape

Les faits sont désormais établis par la DGFiP elle-même. Ils dessinent un décalage entre la détection technique et l'information du public.

Chronologie reconstituée à partir des communications de la DGFiP et de la revendication publique.

Le point sensible est là : les accès frauduleux ont été coupés dès l'été, mais les personnes dont les données circulaient ne l'ont appris qu'à la mi-août, après que l'affaire est devenue publique.

Ce que le RGPD imposait, exactement

Deux obligations distinctes s'appliquent, et les confondre fausse le débat. L'article 33 du règlement européen impose de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance. L'article 34 impose, lui, d'informer les personnes concernées dans les meilleurs délais lorsque la violation présente un risque élevé pour leurs droits.

La première obligation vise l'autorité de contrôle, la seconde les particuliers. La DGFiP indique avoir notifié la CNIL et déposé plainte, sans préciser publiquement la date à laquelle elle a considéré avoir pris connaissance de la violation. C'est cette date, et non celle de l'intrusion, qui fait courir le délai de 72 heures.

Constater un décalage n'est donc pas constater un manquement : seule la CNIL, saisie du dossier, peut établir si les délais ont été respectés. Elle dispose pour cela d'un pouvoir de contrôle et, le cas échéant, de sanction, y compris à l'égard d'une administration.

Les recours réellement ouverts

Trois voies existent, d'inégale portée. Il est utile de savoir laquelle mène où avant de s'y engager.

• Le droit d'accès. Vous pouvez demander à la DGFiP quelles données vous concernant ont été exposées. C'est précisément l'objet du courrier individuel annoncé, mais rien n'empêche de formuler la demande vous-même.
• La plainte auprès de la CNIL. Gratuite et en ligne, elle ne vous indemnise pas mais alimente le dossier de l'autorité, qui peut enquêter et sanctionner. C'est le levier collectif le plus efficace.
• L'action en réparation. Le RGPD ouvre un droit à indemnisation du préjudice matériel ou moral. En pratique, les juridictions françaises exigent la preuve d'un préjudice réel et personnel : la seule inquiétude liée à la fuite est rarement retenue.

La protection immédiate prime sur la procédure

Avant d'envisager un recours, l'urgence est défensive. Les données volées comprennent votre nom, votre adresse, votre téléphone, votre courriel, votre revenu fiscal de référence et votre situation familiale : de quoi rendre un contact frauduleux très convaincant.

Aucune coordonnée bancaire n'a en revanche fuité, et les espaces personnels sur impots.gouv.fr n'ont pas été compromis. Le risque passe donc obligatoirement par vous : c'est en vous appelant ou en vous écrivant qu'un escroc tentera d'obtenir ce qui lui manque. Notre article sur les arnaques que cette fuite rend possibles détaille les scénarios à connaître.

Si une opération non autorisée survient malgré tout, l'article L133-18 du code monétaire et financier oblige la banque à rembourser dès qu'elle est informée. La Cour de cassation a jugé, le 23 octobre 2024, qu'un client trompé par un escroc usurpant le numéro de son agence ne commet pas de négligence grave. Le délai pour contester est de 13 mois à compter du débit.

Le parquet de Paris a ouvert une enquête et l'ANSSI participe aux investigations. Le périmètre de la fuite peut encore évoluer : une seconde revendication, portant sur des données cadastrales et un volume bien supérieur, n'a pas été confirmée par l'administration à ce stade.