Brief — 678 000 dossiers extraits de la DGFiP : l'État financera sa cyberdéfense avec les amendes de la CNIL, celles-là même que la CNIL n'a pas le droit de lui infliger

Thème : données personnelles et responsabilité de la puissance publique — violation de données au sein d'une administration d'État, pouvoirs de la CNIL et immunité d'amende administrative

Les 12 et 13 août 2026, un acteur malveillant a revendiqué des accès illégitimes au système d'information de la Direction générale des Finances publiques, intervenus en juin et juillet, reposant sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité ; le communiqué n° 953 du 14 août 2026 du ministère de l'Action et des Comptes publics établit que ces accès ont permis de consulter et d'extraire des données concernant 678 000 particuliers et professionnels — revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN — ainsi que des données cadastrales (adresses et surfaces de biens immobiliers), les identifiants, mots de passe et espaces personnels n'ayant, eux, pas été compromis. Le 18 août 2026, la CNIL a confirmé avoir été notifiée de ces violations, annoncé des vérifications « sur pièces ou sur place » destinées notamment à contrôler la conformité des mesures de sécurité à l'état de l'art, et invité les usagers à ne plus lui adresser de plaintes individuelles. C'est ici que le droit français réserve sa surprise : si le RGPD s'applique intégralement à l'État responsable de traitement — sécurité (article 32), notification à l'autorité sous 72 heures (article 33), information des personnes concernées (article 34) —, son article 83, § 7, laisse à chaque État membre le soin de décider « si et dans quelle mesure » des amendes peuvent frapper les autorités publiques, et la France a tranché : l'article 20, III, 7°, de la loi n° 78-17 du 6 janvier 1978 autorise la formation restreinte à prononcer une amende administrative « à l'exception des cas où le traitement est mis en œuvre par l'État » — le 2° du même III excluant symétriquement l'astreinte. La voie pénale est fermée en miroir : les incriminations de défaut de sécurité et de défaut de notification (articles 226-17 et 226-17-1 du code pénal, cinq ans et 300 000 €) ne peuvent atteindre l'État, que l'article 121-2 exclut expressément de la responsabilité pénale des personnes morales — alors même que l'attaquant, lui, encourt sept ans d'emprisonnement et 300 000 € d'amende, peines aggravées par les articles 323-1 et 323-3 précisément parce que le système visé traite des données personnelles mis en œuvre par l'État. Le contraste devient franchement paradoxal à la lecture du communiqué du Premier ministre Sébastien Lecornu du 17 août 2026 : annonçant la création de l'autorité numérique ARIANE (fusion DINUM–DITP, direction confiée à l'ingénieur général de l'armement Walter Arnaud, création avant le 1er janvier 2027), 200 millions d'euros débloqués, 5 % des budgets numériques ministériels fléchés vers le cyber dès 2027 et un audit de la DGFiP rendu en septembre, il indique que « les amendes prononcées par la CNIL qui sont affectées au budget général de l'État » viendront financer cette accélération — des amendes que, par construction légale, l'État ne peut jamais s'infliger à lui-même. Ce qui reste à la CNIL n'est pas rien et la pratique le montre : contre le ministère de l'Intérieur, la délibération SAN-2021-003 du 12 janvier 2021 a prononcé un rappel à l'ordre et une injonction de cesser les vols de drones équipés de caméras, sans amende. Et l'immunité, pour un praticien, s'arrête net au périmètre de la personne publique étatique : les sous-traitants privés d'une administration, eux, demeurent pleinement exposés au plafond de 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Brief — 678 000 dossiers extraits de la DGFiP : l'État financera sa cyberdéfense avec les amendes de la CNIL, celles-là même que la CNIL n'a pas le droit de lui infliger

Sources