La fuite DGFiP : VOS DROITS ET RÉFLEXES
VOLET I : COMPRENDRE
Une violation de données, au sens de l'article 4, 12) du RGPD, est constituée dès l'accès non autorisé à des données personnelles, sans qu'il soit besoin d'en prouver l'extraction. C'est la clé de lecture de toute la chronologie qui suit.
La chronologie établie
Fin juin 2026 : Premier accès illégitime au système d'information de la DGFiP, détecté et coupé.
Fin juillet : Second accès illégitime, via les identifiants d'un tiers habilité.
12 août : Revendication criminelle publique ; mise en vente annoncée. Les investigations approfondies commencent.
13 août : Communiqué n° 950 de Bercy : accès illégitime « après une usurpation d'identité », consultation et extraction confirmées.
14 août : 678 000 personnes concernées annoncées ; CNIL est avisée, information deux jours après la revendication publique, environ sept semaines après la première détection.
Données : revenu fiscal de référence, quotient familial, taux de prélèvement à la source; raison sociale et SIREN pour les entreprises, données cadastrales (adresses, surfaces) également consultées.
Les identifiants et mots de passe des particuliers ne seraient pas compromis.
Documentation en sources ouvertes : la revendication du 12 août, documentée par FrenchBreaches · l'entretien de FrenchBreaches avec l'attaquant. Ces liens documentent un récit ; ils ne valent pas confirmation.
15 août : Ouverture d'une enquête par le parquet de Paris.
Semaine du 17 août : Information individuelle des personnes concernées, annoncée par l'administration.
17 et 18 août : Troisième fuite (successions vacantes) identifiée puis reconnue publiquement.
Au sein de la seule DGFiP, trois fuites depuis janvier : FICOBA, le système d'information fiscal en juin puis juillet, et les successions vacantes en août. Entre-temps, l'Éducation nationale.
À chaque fois que le vecteur est connu, c'est le même : des identifiants légitimes usurpés, jamais une prouesse technique.
Comme incitateur, la France en bon élève a poussé les bonnes pratiques réglementaires, référentiels de l'ANSSI, Guides et lignes directrices CNIL, promotion des textes européens. C'est au niveau opérationnel que le contraste se creuse : aucune des fuites de l'année n'a exigé une attaque sophistiquée, pire les défaillances que révèlent les piratages récents étaient documentées de longue date.
L'année illustre surtout le bas du spectre : le portail de l'ANTS (France Titres) a été compromis en avril par un lycéen de quinze ans sans expérience ; le collectif Zerobytes qui revendique la fuite DGFiP affiche, dans son entretien avec les veilleurs de FrenchBreaches, une motivation purement financière, tout en raillant publiquement la manière dont l'État gère les données.
VOLET II : QUELS RÉFLEXES FACE À UNE FUITE DE DONNÉES ?
Se méfier : De tout message invoquant l'affaire, surtout s'il cite vos vrais chiffres : quand le leurre est exact, la vigilance ordinaire ne suffit plus. Ne cliquez jamais ; tapez vous-même l'adresse officielle. Ne laissez jamais votre interlocuteur choisir le canal.
Surveiller : Vos comptes bancaires : activez les alertes de mouvement, vérifiez les opérations, signalez sans délai toute anomalie à votre banque.
Documenter : Chaque pièce compte : c'est la condition de toute réparation future. Voir la liste ci-dessous, et conservez les originaux.
Ne pas s'isoler : La CNIL reçoit gratuitement les réclamations. En cas de tentative d'escroquerie : plainte, et signalement des SMS frauduleux au 33700.
La pochette de preuve, à constituer dès maintenant
☐ Le courrier ou courriel de notification de la violation, avec son enveloppe horodatée ou ses en-têtes complets
☐ Chaque tentative d'hameçonnage reçue (capture, transfert, date, heure)
☐ Les alertes bancaires et relevés faisant apparaître toute anomalie
☐ Les récépissés de plainte ou de signalement
☐ Le temps passé aux démarches de sécurisation (notes datées)
☐ Le cas échéant : factures, frais engagés, certificat médical
Les adresses officielles, à taper vous-même
Par principe, aucune de ces adresses n'est cliquable ici : saisissez-les manuellement dans votre navigateur. C'est le geste qui neutralise l'hameçonnage.
impots.gouv.fr · cnil.fr · cybermalveillance.gouv.fr · masecurite.interieur.gouv.fr
Usurpation d'identité et faux crédits : comment vérifier ?
Avec un revenu fiscal, une adresse et une situation de famille, un fraudeur peut tenter de souscrire un crédit à la consommation ou d'ouvrir un compte à votre nom. Le parcours de vérification tient en quatre étapes, toutes gratuites.
1 · Guetter : courrier inattendu d'un organisme de crédit (offre, refus, échéancier, relance), appel de « vérification », alerte bancaire inexpliquée. Un refus de crédit jamais demandé est un signal, pas une erreur.
2 · Vérifier : FICOBA (comptes ouverts à votre nom) : demande depuis votre espace personnel sur impots.gouv.fr. FICP et FCC (crédits et incidents) : consultation gratuite auprès de la Banque de France, en ligne via FranceConnect, en succursale avec pièce d'identité, ou par courrier (banque-france.fr, à taper).
3 · Contester : sans délai, lettre recommandée à l'organisme prêteur contestant le crédit jamais souscrit ; plainte pour usurpation d'identité (art. 226-4-1 du code pénal) ; rectification des fichiers auprès de la Banque de France ; réclamation CNIL si nécessaire.
4 · Consigner : chaque courrier, récépissé et référence rejoint la pochette de preuve, en originaux, conservés chez vous.
5. Exercer vos droits Exercer vos droits auprès de la DGFiP
DGFiP, par courriel : donnees-personnelles-mes-droits@dgfip.finances.gouv.fr ou par courrier : Direction générale des Finances publiques, Département de la gouvernance et du support (DGS), 10 rue Auguste Blanqui, 93186 Montreuil cedex.
Délégué à la protection des données des ministères, par courriel : le-delegue-a-la-protection-des-donnees-personnelles@finances.gouv.fr ou par courrier : 139 rue de Bercy, Télédoc 322, 75572 Paris cedex 12.
En cas de silence ou de réponse insatisfaisante : réclamation gratuite auprès de la CNIL (adresse à taper : cnil.fr). Conservez copie datée de votre demande : elle rejoint la pochette de preuve. Une demande d'accès (art. 15) peut notamment porter sur les catégories de données concernées par la violation vous concernant.
Nos interrogations, demandes et recours : le droit de savoir et de comprendre
L’information aux personnes concernées n'est pas une formalité : c'est le seul moment où la protection change de mains. Tant que la personne ne sait pas, elle ne peut ni se méfier d'un courriel citant son vrai revenu fiscal, ni surveiller ses comptes, ni documenter ce qui lui arrive.
Le RGPD l'a compris : 72 heures pour notifier l'autorité de contrôle à compter de la prise de connaissance (article 33), « dans les meilleurs délais » pour informer les personnes lorsque le risque est élevé (article 34). L'article 33 prévoit même la notification échelonnée quand on ne sait pas tout : l'incertitude ne justifie pas le silence, elle justifie de notifier ce qu'on sait.
Ici, la CNIL a été avisée le 14 août : deux jours après la revendication publique, sept semaines environ après la première détection. La qualification du moment de « connaissance » sera le cœur du débat contentieux à venir.
Mais la question demeure : Le déclencheur de la transparence n'a pas été la découverte de l'incident, mais sa publicité ! Pourquoi ?
Et le droit de savoir porte aussi sur l'architecture : Nos questions portent sur l’anatomie de la fuite et ses zones d’ombres :
Quelles passerelles relient les ministères entre eux ? Quels accès de tiers habilités, et sous quel contrôle ? L'autopsie du piratage du ministère de l'Intérieur a montré qu'une compromission au ministère de l'Agriculture pouvait ouvrir un chemin jusqu'aux fichiers de police.
C'est précisément l'objet de notre action au titre du droit de savoir : que soit dressée, pièce par pièce, l'anatomie de la fuite (chronologie, accès, passerelles, habilitations de tiers) et qu'un retour d'expérience public en soit tiré.
Notre position : Un syndicat alertait par écrit sur les risques dès juin, et la direction se voulait rassurante par écrit. Nous n'interrogeons pas des techniciens : nous interrogeons une gouvernance.
QUE PROPOSE DATARING ?
Notre action vise d’abord des demandes d’actes pour comprendre et se réserve d’en retirer toutes les conséquences
Au pénal, une enquête préliminaire est en cours et des plaintes sont annoncées.
Un régime universel d'action de groupe existe depuis 2016 , avec une loi de transposition 2025-391 du 30 Avril 2025 permet en outre à des associations agréées d'agir, y compris contre une personne morale de droit public.
Quant à la voie que Data Ring retiendra : toutes sont à l'étude, et nous l'annoncerons quand l'arbitrage sera rendu, pas avant.
Dans l'immédiat, nous privilégions le droit de savoir et les mesures de prévention, pour tout l'écosystème. Les recours engagés à cette fin alimenteront le retex, un retour d'expérience mis à disposition de tous.
QUEL EST LE RÔLE DE LA CNIL ?
La CNIL est susceptible de mener des investigations sur pièces ou sur place pour vérifier, notamment, si les mesures de sécurité en place sont conformes à l'état de l'art de la sécurité informatique.
Toutefois, il ne peut y avoir d’amende administrative pour les traitements mis en œuvre par l’État. La CNIL peut rappeler à l’ordre, mettre en demeure, enjoindre, rendre publique sa décision ; elle ne peut pas condamner l’État à une amende.
Que « valent » nos données en justice ?
Il n'existe ni barème, ni montant type, ni indemnisation automatique. La valeur d'un dossier, c'est sa preuve : la réalité du préjudice (démarches, temps passé, tentatives d'hameçonnage reçues, fraude le cas échéant) et son lien avec la violation.
C'est exactement pourquoi notre premier conseil tient en un mot : documentez (volet II).
Deux règles jouent en faveur des personnes : le responsable ne s'exonère que s'il prouve que le fait dommageable ne lui est « nullement imputable » (art. 82 §3), et c'est à lui de prouver le caractère approprié de ses mesures de sécurité (C-340/21), et non à vous d'en prouver l'insuffisance.
La voie indemnitaire est distincte ; l'État étant en cause, elle relève en principe du juge administratif.
L’action indemnitaire suppose une demande préalable à l’administration (liaison du contentieux, art. R. 421-1 CJA). Le rejet, exprès ou implicite, fait courir les délais. La créance se prescrit par quatre ans (loi du 31 décembre 1968). Il ne faut donc pas se précipiter à demander actuellement d’indemnisation à l’administration, sinon cela ferait courir le délai et le risque de forclusion.
Les recours strictement indemnitaires, individuels ou collectifs, ne doivent pas être prématurés , ils doivent être portés en temps utile par l’avocat de votre choix.
Que dit le droit sur le droit à réparation ?
L'article 82 du RGPD ouvre à toute personne ayant subi un dommage, matériel ou moral, un droit à réparation. Ce droit est réel, il est européen, et il n'est pas automatique.
Trois conditions cumulatives : une violation, un préjudice réel, un lien de causalité entre les deux.
Que disent les Juges ?
-La crainte fondée d'un usage abusif futur : un dommage moral réparable, jugé pour une administration fiscale ( Bulgarie ) piratée (CJUE, 14 déc. 2023, C-340/21).
-La perte de contrôle :CJUE, 4 oct. 2024, C-200/23 .
-La notion de dommage moral et notamment les sentiments négatifs, s'ils sont effectivement éprouvés (CJUE, 4 sept. 2025, C-655/23).
-Aucun seuil de gravité : un dommage moral modeste, réel et démontré, s'indemnise (CJUE, 4 mai 2023, C-300/21).
La charge de prouver les mesures de sécurité pèse sur le responsable, et non sur la victime ; l'origine criminelle de l'attaque ne l'exonère pas automatiquement (C-340/21).
Que refusent-il ?
-Le risque purement hypothétique ; la réparation compense, elle ne punit pas (CJUE, 25 janv. 2024, C-687/21).
-La seule allégation d'une crainte, sans démonstration (CJUE, 19 mars 2026, C-526/24).
VOLET III : REPRENDRE LE CONTRÔLE SUR NOS DONNÉES
Ni indignation ni leçon : reconstruire la confiance. Le citoyen n’est pas un objet c’est un sujet de droit , le droit du Numérique est avant tout un droit de la personne humaine.
La dette de protection : l'obligation, pour l'État qui collecte des données sous la contrainte de la loi (déclarer ses revenus n'est pas un choix), d'en garantir la sécurité, d'en justifier la conservation et d'en rendre compte spontanément à ceux qui n'ont pas pu refuser de les lui confier.
1 · La proportionalité, la nécessité et la minimisation comme doctrine d'État
La donnée qu'on ne collecte pas ne fuit pas ; celle qu'on ne conserve pas ne se revend pas.
Le droit existe déjà : minimisation (art. 5 §1 c) et protection des données dès la conception et par défaut (art. 25 RGPD). Il manque une revue périodique de frugalité, où chaque fichier public passe un triple test.
Nécessité : à quelle mission sert-il encore, et que se passerait-il s'il n'existait pas ? Proportionnalité : son périmètre et sa durée de conservation sont-ils à la mesure de cette mission, ou de la commodité de ceux qui l'exploitent ?
Capacité à détruire, enfin, le test le plus négligé : sait-on effacer, effectivement et traçablement, dans le fichier, dans ses sauvegardes, dans les systèmes interconnectés qui l'ont copié, et demain dans les mémoires des systèmes d'intelligence artificielle que l'administration déploie ? Une donnée qu'on ne sait pas détruire est une donnée qu'on ne maîtrise pas.
La nécessité et la proportionnalité gouvernent toute ingérence dans la vie privée (article 8 de la Convention européenne des droits de l'homme, la Charte des droits fondamentaux), l'article 5 §1 c) du RGPD en est la déclinaison (« adéquates, pertinentes et limitées à ce qui est nécessaire »), et la Cour de justice a déjà invalidé pour disproportion la conservation généralisée de données (Digital Rights Ireland, C-293/12 ; La Quadrature du Net, C-511/18).
Un fichier d'État n'échappe pas à ce test : il doit le passer, périodiquement et publiquement.
Il y a là une contradiction que les démocraties libérales doivent regarder en face : elles proclament la vie privée et n'ont jamais autant collecté.
La minimisation n'est pas un renoncement à l'efficacité : c'est la manière dont un État libéral reste libéral quand il se numérise. Un fichier n'est pas un actif qu'on accumule, c'est un passif qu'on assume.
2 · La lettre de course numérique
Un corsaire sans lettre de course est un pirate ; un État sans capacité d'anticipation est une cible. Qui a documenté cette fuite en premier ? Des veilleurs en sources ouvertes, que l'État regarde avec méfiance quand il devrait en faire des alliés. L’art. L. 2321-4 du code de la défense protège depuis 2016 celui qui signale de bonne foi une vulnérabilité à l’ANSSI ; la loi Waserman de 2022 protège les lanceurs d’alerte. Ces régimes ne couvrent ni la veille de fuites en sources ouvertes ni le contact avec l’attaquant
Nous proposons de sortir de la zone grise actuelle de l’OSINT et des recherches en source ouvertes.
3 · La gouvernance vérifiable
La confiance ne se décrète pas, elle se vérifie.
Une annexe budgétaire lisible, administration par administration (l'article 14 en version moderne). Un retour d'expérience publié après chaque incident majeur : l'aviation est devenue sûre en apprenant publiquement, pas en punissant plus. On publie les enseignements, pas les plans du cockpit.
Et dans les organisations, qu'exigera NIS2 ?
La directive européenne NIS2 (2022/2555) impose un socle de cybersécurité aux entités essentielles et importantes de 18 secteurs, administrations publiques comprises. La France devait la transposer pour le 17 octobre 2024. Elle ne l'a pas fait : la Commission européenne a saisi la Cour de justice le 8 juillet 2026, et le Parlement examine la loi de transposition en septembre. L'État est ainsi en défaut des deux côtés du droit de la cybersécurité, comme législateur et comme opérateur.
Que changera la transposition ? Environ 15 000 entités françaises concernées, une notification des incidents en trois temps (alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois), des pouvoirs de contrôle renforcés pour l'ANSSI, et une responsabilité personnelle des organes de direction, tenus d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre et de se former (article 20).
Un point mérite attention : les sanctions financières (jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial) ne s'appliquent pas aux entités publiques (selon le projet de loi en France) .
Raison de plus pour que, côté État, la reddition de comptes passe par la transparence : c'est l'objet de nos propositions ci-dessus.
Quels standards l’écosystème peut-il appliquer sans attendre la loi ?
L'état de l'art existe déjà, et il est opposable dès aujourd'hui au titre de l'article 32 du RGPD (sécurité des traitements). L'ANSSI a publié en mars 2026 le document de travail ReCyF (v2.5) : vingt objectifs de sécurité qui préfigurent les exigences de la loi de transposition.
Les mettre en œuvre maintenant, c'est se constituer la preuve de sa diligence pour demain et conforter la confiance : pour une organisation éthique et sure dans ses murs, dans son environnement, son code, et vis-à-vis de ses salariés, agents, partenaires, investisseurs et clients
Cartographier : Connaître ses systèmes, ses données et ses flux : on ne protège pas ce qu'on ignore posséder. Analyse des risques selon une méthode éprouvée (EBIOS Risk Manager, ISO/IEC 27005).
Contrôler les accès : Authentification multifacteur, séparation des droits (se connecter, consulter, consulter en masse, exporter), revue régulière des habilitations, y compris celles des tiers.
Tracer et superviser : Journaliser les accès, détecter les usages anormaux, revalider les opérations sensibles. Sept semaines de silence commencent toujours par un journal que personne ne lit.
Tenir la chaîne : Exiger contractuellement de ses prestataires et partenaires le niveau qu'on s'impose : annexes cybersécurité, clauses d'audit, harmonisation avant toute interconnexion.
Préparer la crise : Sauvegardes testées, plan de continuité et de reprise, procédure de notification prête (24 h, 72 h, un mois), exercices réguliers : la première fois ne doit pas être la vraie.
Former : Sensibilisation de tous, formation des dirigeants (c'est une obligation NIS2, pas une option), hygiène numérique selon les guides de l'ANSSI et le socle ISO/IEC 27001:2022.
Un mot sur le budget, enfin : la cybersécurité relève des dépenses de durabilité, comme l'entretien d'un ouvrage d'art.
Elle ne produit rien de visible tant qu'elle fonctionne, et tout s'effondre quand on l'ajourne. La traiter en variable d'ajustement, c'est reporter la dépense sur les victimes.
Pourquoi toute la chaîne de valeur ?
Parce que la solidité de l'ensemble est celle du maillon le plus faible : le périmètre réel de sécurité n'est jamais limité à l'organisation, c'est toute sa chaîne, prestataires, partenaires, salariés, agents et interconnexions comprises. Un système n'est pas conforme parce qu'il est solide : il est solide parce que tous ceux qui s'y connectent le sont.
Nous contacter : contact@data-ring.net
Data Ring, association dédiée aux libertés numériques et à l'autonomie cognitive. Cette page est actualisée régulièrement, à mesure que la chronologie officielle évolue. Les volumes revendiqués par l'attaquant ne sont pas confirmés et ne sont jamais repris ici comme des faits. Information générale ne constituant pas une consultation juridique ; aucune indemnisation n'est promise ni ne peut l'être.