# Brief — 678 000 dossiers extraits de la DGFiP : l'État financera sa cyberdéfense avec les amendes de la CNIL, celles-là même que la CNIL n'a pas le droit de lui infliger

**Thème : données personnelles et responsabilité de la puissance publique — violation de données au sein d'une administration d'État, pouvoirs de la CNIL et immunité d'amende administrative**

Les **12 et 13 août 2026**, un acteur malveillant a revendiqué des accès illégitimes au système d'information de la **Direction générale des Finances publiques**, intervenus en juin et juillet, reposant sur l'**usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité** ; le communiqué **n° 953 du 14 août 2026** du ministère de l'Action et des Comptes publics établit que ces accès ont permis de consulter et d'extraire des données concernant **678 000 particuliers et professionnels** — revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN — ainsi que des **données cadastrales** (adresses et surfaces de biens immobiliers), les identifiants, mots de passe et espaces personnels n'ayant, eux, pas été compromis. Le **18 août 2026**, la CNIL a confirmé avoir été **notifiée** de ces violations, annoncé des vérifications « sur pièces ou sur place » destinées notamment à contrôler la conformité des mesures de sécurité à l'**état de l'art**, et invité les usagers à ne plus lui adresser de plaintes individuelles. C'est ici que le droit français réserve sa surprise : si le **RGPD** s'applique intégralement à l'État responsable de traitement — sécurité (**article 32**), notification à l'autorité sous 72 heures (**article 33**), information des personnes concernées (**article 34**) —, son **article 83, § 7**, laisse à chaque État membre le soin de décider « si et dans quelle mesure » des amendes peuvent frapper les autorités publiques, et la France a tranché : l'**article 20, III, 7°, de la loi n° 78-17 du 6 janvier 1978** autorise la formation restreinte à prononcer une amende administrative « **à l'exception des cas où le traitement est mis en œuvre par l'État** » — le 2° du même III excluant symétriquement l'**astreinte**. La voie pénale est fermée en miroir : les incriminations de défaut de sécurité et de défaut de notification (**articles 226-17 et 226-17-1 du code pénal**, cinq ans et 300 000 €) ne peuvent atteindre l'État, que l'**article 121-2** exclut expressément de la responsabilité pénale des personnes morales — alors même que l'attaquant, lui, encourt **sept ans d'emprisonnement et 300 000 € d'amende**, peines aggravées par les **articles 323-1 et 323-3** précisément parce que le système visé traite des données personnelles **mis en œuvre par l'État**. Le contraste devient franchement paradoxal à la lecture du communiqué du Premier ministre **Sébastien Lecornu** du **17 août 2026** : annonçant la création de l'autorité numérique **ARIANE** (fusion DINUM–DITP, direction confiée à l'ingénieur général de l'armement **Walter Arnaud**, création avant le 1er janvier 2027), 200 millions d'euros débloqués, 5 % des budgets numériques ministériels fléchés vers le cyber dès 2027 et un audit de la DGFiP rendu en septembre, il indique que « **les amendes prononcées par la CNIL qui sont affectées au budget général de l'État** » viendront financer cette accélération — des amendes que, par construction légale, l'État ne peut jamais s'infliger à lui-même. Ce qui reste à la CNIL n'est pas rien et la pratique le montre : contre le **ministère de l'Intérieur**, la délibération **SAN-2021-003 du 12 janvier 2021** a prononcé un rappel à l'ordre et une injonction de cesser les vols de drones équipés de caméras, sans amende. Et l'immunité, pour un praticien, s'arrête net au périmètre de la personne publique étatique : les **sous-traitants privés** d'une administration, eux, demeurent pleinement exposés au plafond de 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

## Sources

- [CNIL — « Piratage du système d'information des impôts : les vérifications sont en cours », 18 août 2026](https://www.cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours)
- [Ministère de l'Action et des Comptes publics — Communiqué de presse n° 953, « Accès illégitimes au système d'information de la Direction générale des Finances publiques », 14 août 2026](https://presse.economie.gouv.fr/acces-illegitime-au-systeme-dinformation-de-la-direction-generale-des-finances-publiques/)
- [DGFiP / impots.gouv.fr — Foire aux questions relative aux accès illégitimes aux données fiscales (PDF)](https://www.impots.gouv.fr/sites/default/files/media/2_actu/2026-08_acces_illegitime_donnees/faq_acces_illegitime_donnes_fiscales.pdf)
- [info.gouv.fr — Communiqué du Premier ministre Sébastien Lecornu, « Protection des données des Français : l'État poursuit une stratégie accélérée de sécurisation », 17 août 2026](https://www.info.gouv.fr/communique/protection-des-donnees-des-francais-l-etat-poursuit-une-strategie-acceleree-de-securisation)
- [Légifrance — Loi n° 78-17 du 6 janvier 1978, article 20 (mesures correctrices ; III, 2° et 7°)](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037822794)
- [Légifrance — Code pénal, article 323-1 (accès et maintien frauduleux ; aggravation pour les systèmes de données personnelles mis en œuvre par l'État)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000030939438/)
- [Légifrance — Code pénal, article 323-3 (extraction, détention et transmission frauduleuses de données)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000030939448)
- [Légifrance — Code pénal, article 121-2 (responsabilité pénale des personnes morales, « à l'exclusion de l'État »)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417204)
- [Légifrance — Code pénal, article 226-17 (défaut de mise en œuvre des mesures de sécurité)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037825504)
- [Légifrance — Code pénal, article 226-17-1 (défaut de notification d'une violation de données)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037825500)
- [EUR-Lex — Règlement (UE) 2016/679 (RGPD), articles 32, 33, 34, 82 et 83](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679)
- [CNIL — « Drones : la CNIL sanctionne le ministère de l'Intérieur », délibération SAN-2021-003 du 12 janvier 2021](https://www.cnil.fr/fr/drones-la-cnil-sanctionne-le-ministere-de-linterieur)
- [Légifrance — Délibération de la formation restreinte SAN-2021-003 du 12 janvier 2021 concernant le ministère de l'Intérieur](https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042960768)
- [CNIL — Les pouvoirs de la formation restreinte](https://www.cnil.fr/fr/les-pouvoirs-de-la-formation-restreinte)
- [DGCCRF — « La DGCCRF met en garde les consommateurs à la suite d'une fuite de données sur Bloctel », 12 août 2026](https://presse.economie.gouv.fr/la-dgccrf-met-en-garde-les-consommateurs-a-la-suite-dune-fuite-de-donnees-sur-bloctel/)