Après le vol de données ayant touché 678 000 particuliers et professionnels cet été, la CNIL va contrôler la Direction générale des Finances publiques. L’autorité veut établir les circonstances de l’incident et vérifier les mesures mises en place pour protéger les données fiscales et cadastrales concernées.
Des équipes de la CNIL attendues à la DGFiP
La CNIL va se rendre dans les locaux de la Direction générale des Finances publiques dans les prochains jours. Sa présidente, Marie-Laure Denis, l’a annoncé dans l’émission Cash Investigation diffusée sur France 2.
L’autorité cherche à comprendre précisément les conditions dans lesquelles plusieurs accès illégitimes au système d’information de la DGFiP ont permis la consultation et l’extraction de données durant les mois de juin, juillet et août 2026.
Selon le ministère de l’Économie, ces intrusions ont concerné 678 000 particuliers et professionnels. Les informations dérobées comprenaient notamment le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, ainsi que des données cadastrales. Pour les entreprises, des informations comme le SIREN et la raison sociale ont également été consultées. Les espaces personnels et professionnels d’impots.gouv.fr ainsi que les mots de passe des usagers n’ont pas été compromis.
Mise en demeure ou procédure de sanction
La CNIL avait déjà été notifiée de ces violations de données au mois d’août et indiqué avoir engagé des vérifications. Le contrôle doit désormais permettre d’évaluer plus précisément les mesures de sécurité mises en œuvre par l’administration. Selon les constats réalisés, la CNIL pourrait prononcer une mise en demeure avant la fin de l’année ou engager une procédure de sanction.
L’État ne peut toutefois pas se voir infliger d’amende par la CNIL, contrairement aux entreprises privées. L’autorité peut en revanche rendre publiques certaines sanctions et imposer une mise en conformité.
L’ANTS également contrôlée
La DGFiP ne sera pas la seule administration concernée. Marie-Laure Denis a également demandé un contrôle de l’Agence nationale des titres sécurisés (ANTS), victime en avril d’une attaque ayant exposé les données de près de 12 millions de particuliers et de professionnels.
La CNIL avait annoncé en début d’année vouloir consacrer en 2026 la moitié de ses contrôles et de ses actions répressives aux manquements en matière de cybersécurité, notamment auprès des organismes manipulant de grandes quantités de données personnelles.
