Principe-clé : l'État est intégralement soumis au RGPD comme responsable de traitement, mais l'article 20, III, 7° de la loi Informatique et Libertés — permis par l'article 83, § 7, du RGPD — interdit à la formation restreinte de la CNIL de lui infliger une amende administrative : le contrôle demeure, la sanction pécuniaire disparaît.
RGPD, art. 32 — sécurité du traitement : mesures techniques et organisationnelles appropriées au regard de l'état de l'art et du risque.RGPD, art. 33 et 34 — notification de la violation à l'autorité de contrôle dans les 72 heures et communication aux personnes concernées en cas de risque élevé.RGPD, art. 83, § 7 — chaque État membre décide « si et dans quelle mesure » des amendes peuvent frapper les autorités et organismes publics.Loi n° 78-17 du 6 janvier 1978, art. 20, III — mesures correctrices ; le 2° exclut l'astreinte et le 7° exclut l'amende « à l'exception des cas où le traitement est mis en œuvre par l'État ».Code pénal, art. 121-2 — les personnes morales sont pénalement responsables « à l'exclusion de l'État ».Code pénal, art. 226-17 et 226-17-1 — défaut de mesures de sécurité et défaut de notification d'une violation : 5 ans et 300 000 €.Code pénal, art. 323-1 et 323-3 — accès frauduleux et extraction de données : peines portées à 7 ans et 300 000 € lorsque le système de données personnelles est mis en œuvre par l'État.Les 12 et 13 août 2026, un acteur malveillant revendique des accès illégitimes au système d'information de la DGFiP, intervenus en juin et juillet, reposant sur l'usurpation des identifiants d'un agent et d'un tiers habilité. Le communiqué n° 953 du 14 août 2026 établit que ces accès ont servi à consulter et extraire des données concernant 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN, ainsi que des données cadastrales (adresses et surfaces de biens immobiliers). Identifiants, mots de passe et espaces personnels n'ont pas été compromis.
La DGFiP a saisi la CNIL, déposé plainte, et contacte individuellement les personnes concernées depuis le 17 août. Le même jour, le Premier ministre Sébastien Lecornu publiait un communiqué annonçant la création de l'autorité numérique ARIANE (fusion DINUM–DITP, direction confiée à l'ingénieur général de l'armement Walter Arnaud, création avant le 1er janvier 2027), 200 M€ débloqués, 5 % des budgets numériques ministériels fléchés vers le cyber dès 2027 — et le fait que « les amendes prononcées par la CNIL qui sont affectées au budget général de l'État » financeront cette accélération. Le 18 août, la CNIL confirme avoir été notifiée, annonce des vérifications « sur pièces ou sur place » et invite à ne plus lui adresser de plaintes individuelles.
Le paradoxe est budgétaire autant que juridique : l'État se propose de financer sa cyberdéfense avec des amendes CNIL qu'il ne peut, par construction, jamais s'infliger à lui-même. Le levier dissuasif le plus puissant du RGPD — jusqu'à 20 M€ ou 4 % du chiffre d'affaires — ne s'applique pas au responsable de traitement qui détient les données les plus sensibles de la population : revenus, patrimoine immobilier, situation familiale. Ce que la CNIL conserve reste réel — mise en demeure, rappel à l'ordre, injonction de mise en conformité, publicité des mesures, contrôle sur place — mais l'incitation économique manque, et la voie pénale est fermée elle aussi puisque l'article 121-2 exclut l'État de la responsabilité pénale des personnes morales. Restent trois canaux : la responsabilité de l'agent personne physique, l'action indemnitaire des personnes concernées (article 82 du RGPD, devant le juge administratif), et la pression politique. Pour l'ingénieur, la conséquence est directe : dans une chaîne DGFiP–sous-traitants, l'immunité couvre l'État, pas ses prestataires privés, qui restent pleinement exposés à l'amende — ce qui déplace le risque contractuel vers l'aval.