La Commission nationale de l’informatique et des libertés (CNIL) va procéder à un contrôle de la Direction générale des finances publiques (DGFiP) après les intrusions qui ont permis cet été l’extraction de données concernant 678 000 particuliers et professionnels. Des équipes de l’autorité doivent se rendre prochainement dans les locaux de l’administration fiscale afin d’examiner les circonstances de l’incident et les mesures de sécurité qui étaient en place.
L’annonce a été faite par Marie-Laure Denis, présidente de la CNIL, lors de l’émission Cash Investigation diffusée jeudi 10 septembre sur France 2. Selon elle, les investigations pourront déboucher, en fonction des constatations effectuées, sur une mise en demeure avant la fin de l’année ou sur l’ouverture d’une procédure de sanction.
La sécurité de la DGFiP va être examinée par la CNIL
La Direction générale des finances publiques est l’administration chargée notamment de la gestion et du recouvrement des impôts, du cadastre et d’une partie des données fiscales des particuliers et des entreprises. Elle détient à ce titre des volumes considérables d’informations personnelles et financières concernant les contribuables français.
La CNIL avait déjà été saisie du dossier après la notification par la DGFiP des violations de données découvertes au mois d’août. Le contrôle annoncé va permettre à l’autorité d’aller plus loin en vérifiant notamment les conditions dans lesquelles les accès frauduleux ont pu avoir lieu, les mécanismes de détection existants et les mesures prises pour protéger les données.
La présidente de la CNIL souhaite notamment déterminer précisément ce qui a rendu ces intrusions possibles et si les dispositifs de sécurité déployés par l’administration étaient adaptés au niveau de sensibilité des informations traitées.
678 000 particuliers et professionnels concernés
Les faits remontent aux mois de juin et juillet 2026. Des accès illégitimes au système d’information de la DGFiP avaient été obtenus à l’aide d’identifiants usurpés appartenant notamment à un agent de l’administration et à un tiers habilité.
Lorsque l’affaire avait été rendue publique en août, le ministère de l’Économie et des Finances avait confirmé que les intrusions avaient permis de consulter et d’extraire des données relatives à environ 678 000 particuliers et professionnels.
Parmi les informations susceptibles d’avoir été exposées figuraient notamment des données d’état civil et de contact, des identifiants fiscaux, le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. Pour les entreprises, des informations telles que la raison sociale ou le numéro SIREN étaient également concernées.
Des informations cadastrales, notamment relatives aux adresses et aux surfaces de biens immobiliers, avaient aussi pu être consultées. La DGFiP avait en revanche indiqué que les espaces personnels des contribuables n’avaient pas été compromis et que leurs mots de passe n’avaient pas été dérobés.
Des intrusions qui n’avaient pas immédiatement révélé le vol de données
L’affaire avait également soulevé des questions sur la capacité de détection de l’administration. Les comptes utilisés lors des intrusions avaient été neutralisés après leur identification, mais les premiers contrôles n’avaient pas permis d’établir immédiatement que des données avaient déjà été extraites.
Ce n’est qu’après des investigations complémentaires menées en août que l’ampleur du vol de données avait été établie. L’incident a depuis conduit à plusieurs examens des dispositifs de cybersécurité de la DGFiP.
Un audit de l’ANSSI est déjà en cours
Le contrôle de la CNIL vient s’ajouter à un autre examen engagé après la cyberattaque. En août, le Premier ministre Sébastien Lecornu avait demandé à l’Agence nationale de la sécurité des systèmes d’information (ANSSI) de conduire un audit approfondi de la sécurité informatique de l’administration fiscale.
Les deux démarches ne poursuivent toutefois pas exactement le même objectif. L’ANSSI doit notamment évaluer le niveau de sécurité et de résilience des systèmes d’information, tandis que la CNIL s’intéresse à la protection des données personnelles et au respect des obligations prévues par le RGPD et la loi Informatique et Libertés.
L’ANTS également visée par un contrôle
La DGFiP ne sera pas la seule administration examinée. Marie-Laure Denis a également annoncé un contrôle de l’Agence nationale des titres sécurisés (ANTS), désormais France Titres, après l’incident majeur ayant frappé son portail au printemps.
Le 15 avril 2026, l’ANTS avait détecté un incident de sécurité susceptible d’avoir provoqué la divulgation de données issues de comptes particuliers et professionnels. L’agence avait ensuite estimé qu’environ 11,7 millions de comptes étaient concernés.
Les informations potentiellement exposées comprenaient notamment des identifiants de connexion, noms, prénoms, adresses électroniques, dates de naissance et identifiants uniques de comptes. Pour certains usagers, des adresses postales, lieux de naissance ou numéros de téléphone pouvaient également apparaître. L’agence avait toutefois indiqué que les pièces jointes et les données biométriques utilisées dans les démarches administratives n’étaient pas concernées.
L’État attendu sur la protection des données des Français
Pour la présidente de la CNIL, ces incidents posent directement la question de la responsabilité des administrations qui centralisent des données particulièrement sensibles. Les citoyens n’ont souvent pas le choix de transmettre ces informations lorsqu’ils accomplissent une démarche fiscale ou administrative.
Les conclusions des contrôles seront donc particulièrement suivies. Dans le dossier de la DGFiP, la CNIL pourra décider d’une mise en demeure si elle identifie des manquements et, selon les constatations réalisées, engager une procédure de sanction. L’État ne peut toutefois pas être frappé par une amende administrative de la CNIL dans les mêmes conditions qu’un organisme privé.
L’annonce intervient alors que les administrations françaises ont été confrontées ces derniers mois à plusieurs fuites de données de grande ampleur. Avec 678 000 personnes concernées à la DGFiP et près de 11,7 millions de comptes à l’ANTS, les prochains contrôles devront notamment déterminer si les mesures de protection mises en œuvre étaient à la hauteur de la sensibilité et du volume des données détenues par l’État.