La CNIL annonce un contrôle de la Direction générale des finances publiques après le vol de données personnelles de près de 700 000 personnes durant l'été 2026
La Commission nationale de l'informatique et des libertés (CNIL) va contrôler la direction générale des finances publiques (DGFiP) après le vol de données massif de l'été. Pendant l'été, le fisc a été touché par plusieurs intrusions dans ses systèmes d'information, impliquant le vol de données personnelles de près de 700 000 personnes. D'après une note de la commission des finances du Sénat, ce piratage a révélé "plusieurs fragilités structurelles des systèmes d'information" de la DGFiP et des "lacunes dans les contrôles réalisés à la suite de ces incidents".
Un contrôle imminent de la CNIL
Marie-Laure Denis, présidente de la CNIL, a annoncé cette décision dans l’émission "Cash Investigation" diffusée jeudi 10 septembre sur France 2. "J’ai demandé aux équipes de la CNIL de se rendre dans les tout prochains jours dans les locaux de la direction générale des finances publiques", a-t-elle précisé. Selon le ministère de l'Economie et des Finances, les accès illégitimes au système d'information de la DGFiP sont intervenus en juin et juillet 2026.
Les informations compromises lors de ce piratage concernent des données fiscales (revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale d'entreprises) ainsi que des données cadastrales (adresses et surfaces de biens immobiliers). Les identifiants et les mots de passe des particuliers et des professionnels ne seraient pas concernés par ces violations, selon la CNIL.
La présidente de la CNIL n’exclut pas de prendre des mesures à l’issue de ce contrôle. "Il nous paraît important de comprendre ce qui s’est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences : soit une mise en demeure d’ici la fin de l’année (…), soit une orientation vers une sanction", a-t-elle expliqué à France 2. Toutefois, comme toute autorité administrative, l’éventail des sanctions que peut infliger la CNIL en cas de manquement est néanmoins plus réduit concernant l’Etat, à qui elle ne peut pas infliger d’amende.
"L’Etat a un devoir d’exemplarité particulier. Ça fait partie justement du contrat de confiance entre l’Etat et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l’Etat", a souligné Marie-Laure Denis.
D’autres administrations également sous surveillance
Dans l’émission, Marie-Laure Denis a déclaré avoir également demandé à ses agents de procéder à un contrôle de l’Agence nationale des titres sécurisés (ANTS), qui gère notamment les pièces d’identité. Cette administration avait été ciblée en avril par une attaque massive, avec le vol des données de près de 12 millions de particuliers et de professionnels.
En août, le Premier ministre, Sébastien Lecornu, a déjà demandé à l'Agence nationale de la sécurité des systèmes d'information de réaliser un "audit approfondi" sur le vol de données au fisc.