Piratage à la DGFiP : la CNIL saisie, les plaintes individuelles inutiles

Les particuliers et les entreprises dont les données fiscales ont été exposées n'ont pas à saisir la CNIL. L'autorité de protection des données l'a indiqué le 18 août 2026 : elle a reçu la notification des violations affectant le système d'information de la Direction générale des Finances publiques (DGFiP) et se trouve donc déjà saisie. Une plainte individuelle ne se justifie que si son auteur dispose d'éléments spécifiques ou susceptibles de servir aux investigations.

L'événement lui-même a été rendu public quatre jours plus tôt. Le 14 août 2026, le ministère de l'Économie et des Finances a annoncé que le système d'information de la DGFiP avait subi une violation de données, un piratage qui a permis à un tiers de consulter puis d'extraire des informations concernant des particuliers et des professionnels.

Revenu de référence, taux de prélèvement, surfaces cadastrales

La CNIL détaille la nature des informations en cause. Elles relèvent de deux ensembles.

• des données fiscales : revenu de référence, quotient familial, taux de prélèvement à la source, numéro SIREN et raison sociale des entreprises ;
• des données cadastrales : adresses et surfaces de biens immobiliers.

Les identifiants et les mots de passe des usagers ne seraient pas touchés, indique l'autorité, qui emploie le conditionnel sur ce point. Le ministère a notifié les violations à la CNIL et doit informer individuellement les personnes concernées, en leur précisant les mesures de vigilance à prendre.

Contrôles sur pièces ou sur place, puis sanctions possibles

L'autorité annonce la suite qu'elle peut donner. Elle est susceptible de mener des investigations sur pièces ou sur place, afin de vérifier notamment si les mesures de sécurité en place correspondent à l'état de l'art de la sécurité informatique. En cas de manquement au règlement général sur la protection des données ou à la loi Informatique et Libertés, elle peut prononcer des sanctions, contre le responsable de traitement comme contre ses sous-traitants.

Un précédent récent donne l'ordre de grandeur. Le 22 janvier 2026, la formation restreinte de la CNIL a infligé 5 millions d'euros d'amende à France Travail pour n'avoir pas assuré la sécurité des données des demandeurs d'emploi. Des attaquants s'étaient introduits dans son système d'information au premier trimestre 2024 par ingénierie sociale, en usurpant des comptes de conseillers de CAP EMPLOI, et avaient atteint les données des personnes inscrites ou qui l'avaient été au cours des vingt années précédentes. L'organisme a aussi été enjoint de justifier ses mesures correctrices, sous astreinte de 5 000 euros par jour de retard. Le montant de l'amende n'a pas été calculé sur un chiffre d'affaires : pour un organisme de ce type, le plafond applicable à un manquement à la sécurité des données est de 10 millions d'euros.

Trois consignes aux personnes concernées

La CNIL énumère les réflexes à adopter : surveiller toute activité suspecte liée à ses données personnelles, en particulier fiscales ; vérifier régulièrement ses comptes et signaler la moindre anomalie ; se méfier des tentatives d'hameçonnage construites à partir des informations dérobées, et notamment de toute demande présentée comme urgente par courriel ou par téléphone.

Attention aux courriels qui proposent de faire effacer vos données

L'autorité avait alerté le 24 juin 2026 sur une escroquerie qui vise précisément les victimes de fuites de données. Des courriels signés « Ligue de défense des données personnelles », « Ligue de protection des données personnelles » ou « Association de protection des données personnelles » proposent d'obtenir la suppression des informations diffusées sur des places de marché en ligne. Ces organismes n'ont aucun lien avec la CNIL, dont ils reprennent parfois le numéro de téléphone.