↓ Version .md brute (pour NotebookLM)

Quand l'État perd les données fiscales de 678 000 personnes : le RGPD s'applique, l'amende non

Le fait générateur

Les 12 et 13 août 2026, un acteur malveillant revendique publiquement des accès illégitimes au système d'information de la Direction générale des Finances publiques. Le communiqué de presse n° 953, publié le 14 août 2026 par le ministère de l'Action et des Comptes publics, en confirme la matérialité et en précise le mécanisme : les intrusions sont intervenues en juin et juillet 2026 et reposaient sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité. Ce n'est ni une faille applicative spectaculaire ni une exfiltration par force brute, mais le scénario le plus banal et le plus difficile à détecter : un attaquant muni de jetons d'authentification valides, qui ressemble en tout point, dans les journaux applicatifs, à un utilisateur légitime effectuant des consultations autorisées.

Le communiqué reconnaît cette difficulté avec une franchise notable. La DGFiP a interrompu immédiatement les accès des comptes concernés dès la détection des intrusions, mais « les contrôles d'accès réalisés à cette occasion n'ont pas permis de détecter que ces intrusions avaient conduit à des vols de données, en raison de la sophistication de l'attaque ». Ce sont les investigations engagées à partir du 12 août — après la revendication publique — qui ont établi l'ampleur réelle : 678 000 particuliers et professionnels concernés, avec des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source, des données d'entreprises comme la raison sociale et le SIREN, et des données cadastrales portant sur les adresses et les surfaces de biens immobiliers. Les espaces personnels des usagers, leurs identifiants et leurs mots de passe n'ont pas été compromis.

La suite relève du manuel : saisine de la CNIL dès l'identification des vols, coupures préventives d'accès à des systèmes sensibles, mobilisation du Haut fonctionnaire de défense et de sécurité et de l'ANSSI, dépôt de plainte, information individuelle des personnes concernées à compter du 17 août. Le 18 août 2026, la CNIL confirme avoir été notifiée, être « d'ores et déjà saisie », et annonce des vérifications « sur pièces ou sur place » destinées à contrôler si les mesures de sécurité en place étaient conformes à l'état de l'art.

Le socle juridique : le RGPD s'applique sans réserve

Il faut le dire nettement, parce que l'intuition contraire circule : une administration d'État est un responsable de traitement comme un autre au sens du règlement (UE) 2016/679. L'article 32 lui impose des mesures techniques et organisationnelles appropriées, appréciées au regard de l'état de l'art et du risque pour les personnes. L'article 33 lui impose de notifier toute violation à l'autorité de contrôle dans les 72 heures — obligation respectée ici, la DGFiP ayant saisi la CNIL dès l'identification des vols. L'article 34 lui impose, en cas de risque élevé, de communiquer individuellement avec les personnes concernées : c'est l'opération engagée le 17 août. Et l'article 82 ouvre un droit à réparation du préjudice matériel ou moral, qui s'exercera devant le juge administratif s'agissant d'un traitement étatique.

Rien, jusque-là, ne distingue l'État d'une entreprise privée. La différence surgit au moment de la sanction.

L'angle mort : l'article 20, III, 7°, de la loi de 1978

Le RGPD n'impose pas un régime uniforme de sanction des personnes publiques. Son article 83, paragraphe 7, laisse à chaque État membre le soin de déterminer « si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics ». La France a exercé cette option dans un sens restrictif. L'article 20, III, de la loi n° 78-17 du 6 janvier 1978 énumère les mesures que la formation restreinte peut prononcer, et son 7° dispose : « À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu », plafonds portés à 20 millions et 4 % dans les cas les plus graves. Le 2° procède symétriquement : l'injonction de mise en conformité peut être assortie d'une astreinte pouvant atteindre 100 000 € par jour de retard, « sauf dans des cas où le traitement est mis en œuvre par l'État ».

L'exclusion est donc double : ni amende, ni astreinte. Elle ne vise pas le secteur public en général — un hôpital, une collectivité territoriale, un établissement public peuvent être condamnés à une amende — mais l'État stricto sensu, ce que la DGFiP est incontestablement.

La voie pénale ne rétablit pas l'équilibre. Le code pénal incrimine le défaut de mise en œuvre des mesures de sécurité (article 226-17) et le défaut de notification d'une violation (article 226-17-1), l'un et l'autre punis de cinq ans d'emprisonnement et de 300 000 € d'amende. Mais l'article 121-2 énonce que « les personnes morales, à l'exclusion de l'État, sont responsables pénalement ». Restent la responsabilité personnelle des agents, qui suppose une faute individuelle, et la responsabilité indemnitaire devant le juge administratif.

Le contraste est saisissant à l'autre extrémité de la chaîne. L'attaquant, lui, est lourdement exposé, et pour une raison qui tient au même fait : l'article 323-1 punit l'accès ou le maintien frauduleux dans un système de traitement automatisé de données de trois ans et 100 000 €, cinq ans et 150 000 € en cas d'altération, mais porte la peine à sept ans d'emprisonnement et 300 000 € d'amende « lorsque les infractions ont été commises à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en œuvre par l'État ». L'article 323-3, qui réprime l'extraction et la transmission frauduleuses de données, comporte la même aggravation. Le caractère étatique du système est ainsi simultanément une circonstance aggravante pour celui qui l'attaque et une cause d'immunité pécuniaire pour celui qui le protège mal.

Le paradoxe budgétaire du 17 août

Le communiqué du Premier ministre Sébastien Lecornu, publié le 17 août 2026 sous le titre « Protection des données des Français : l'État poursuit une stratégie accélérée de sécurisation », ajoute une dimension involontairement ironique. Il détaille un plan engagé le 30 avril 2026 : création d'une autorité numérique de l'État, ARIANE, issue de la fusion de la DINUM et de la DITP, rattachée au Premier ministre, dirigée par l'ingénieur général de l'armement Walter Arnaud, pour une création administrative avant le 1er janvier 2027, avec pour mission de standardiser et sécuriser des infrastructures ministérielles disparates — la dispersion étant explicitement analysée comme une extension de la surface d'attaque. Il annonce 200 millions d'euros débloqués, 5 % du budget numérique de chaque ministère consacré au cyber dès 2027, un plan d'urgence de 40 actions suivi trimestriellement, des exercices d'auto-attaque, et un audit des systèmes de la DGFiP présenté en septembre.

Et il ajoute ceci : « Dès 2027 dans le cadre du prochain projet de loi de finances, les amendes prononcées par la CNIL qui sont affectées au budget général de l'État permettront de donner un souffle supplémentaire à cette accélération des moyens de cyberprotection. » L'État financera donc sa cyberdéfense avec le produit d'amendes que la loi lui interdit de s'infliger à lui-même. La proposition n'a rien d'illégal ni même d'incohérent budgétairement — les amendes CNIL abondent effectivement le budget général —, mais elle éclaire crûment l'asymétrie : le levier économique qui discipline les acteurs privés est, pour l'État, une ressource et non une menace.

Ce qu'il reste, et ce que cela vaut

L'immunité d'amende ne signifie pas l'impunité. La formation restreinte conserve le rappel à l'ordre, l'injonction de mise en conformité, la limitation du traitement dans certains cas et la publicité des mesures ; le président de la CNIL conserve l'avertissement et la mise en demeure. Ces outils sont réellement employés contre l'État : par la délibération SAN-2021-003 du 12 janvier 2021, la formation restreinte a adressé un rappel à l'ordre au ministère de l'Intérieur pour l'usage de drones équipés de caméras hors de tout cadre légal, et lui a enjoint de cesser ces vols tant qu'un texte ne les autoriserait pas. La contrainte réputationnelle et opérationnelle existe ; c'est le signal-prix qui manque.

Deux conséquences pratiques méritent d'être retenues. La première tient au périmètre de l'immunité : elle protège l'État, pas ses prestataires. Un sous-traitant privé qui héberge, exploite ou infogère un traitement d'une administration reste pleinement exposé aux plafonds de l'article 83 du RGPD, ce qui déplace le risque financier vers l'aval de la chaîne et devrait se lire dans les clauses de responsabilité des marchés publics. La seconde tient à l'objet du contrôle annoncé par la CNIL : vérifier la conformité des mesures de sécurité « à l'état de l'art ». Cette notion ouverte se remplit par les référentiels — guides d'hygiène de l'ANSSI, recommandations de la CNIL, normes ISO/IEC 27001 et 27002 — et se démontre par des artefacts : cartographie des habilitations, revue des comptes à privilèges, authentification multifacteur des accès agents et tiers, détection comportementale, journalisation exhaustive des consultations et volumétrie des extractions. Dans le cas d'espèce, c'est la capacité à détecter qu'un compte légitime consulte massivement des dossiers sans justification métier qui a fait défaut, et c'est sur ce point que se jouera l'appréciation.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cinq entrées possibles dans ce dossier ; choisissez celle qui correspond à votre besoin du jour et collez-la telle quelle dans le champ de personnalisation.

Angle 1 — Audit offensif d'un scénario « identifiants valides ». Concentre-toi sur la chaîne d'attaque décrite : usurpation des identifiants d'un agent et d'un tiers habilité, consultation et extraction massives, détection tardive malgré l'interruption des accès. Déroule les points de contrôle qu'un auditeur offensif testerait — authentification multifacteur des comptes agents et des tiers habilités, cloisonnement des habilitations par périmètre métier, seuils de volumétrie sur les consultations, revue des comptes à privilèges, exhaustivité de la journalisation des lectures. Explique pourquoi les journaux applicatifs classiques ne distinguent pas un accès légitime d'un accès usurpé.

Angle 2 — Cartographie de la responsabilité dans une chaîne administration–prestataires. Prends comme fil directeur le périmètre exact de l'immunité d'amende. Explique qui, dans une chaîne composée d'une direction d'administration centrale, d'infogérants, d'hébergeurs et d'éditeurs, reste exposé aux plafonds de l'article 83 du RGPD, et comment cette asymétrie devrait se traduire dans les clauses de responsabilité et d'assurance des marchés publics. Traite la distinction entre l'État stricto sensu, les établissements publics et les collectivités territoriales.

Angle 3 — Comparaison avec les régimes de sanction déjà documentés dans ce dépôt. Mets en regard trois situations traitées récemment : la sanction pécuniaire pleine applicable aux acteurs privés, l'appréciation de l'adéquation des transferts vers les États-Unis et son levier de suspension, et l'immunité d'amende de l'État français analysée ici. Dégage ce que chaque régime rend possible et impossible pour un régulateur, et ce que cela implique quand un même incident traverse plusieurs de ces régimes.

Angle 4 — Veille réglementaire et détection automatisées. Traite le sujet sous l'angle de l'outillage : comment instrumenter une veille qui capte, sans intervention manuelle, les communiqués d'autorités (CNIL, ANSSI, ministères), les délibérations de la formation restreinte et les modifications de la loi de 1978, et comment corréler ces signaux avec un inventaire technique de traitements. Décris les formats exploitables — flux, PDF de communiqués, base des délibérations — et les pièges de fiabilité.

Angle 5 — Prospective : que se passerait-il si l'exclusion du 7° était supprimée ? Explore l'hypothèse d'une réforme faisant tomber l'immunité d'amende de l'État. Discute les arguments avancés en faveur du statu quo — circularité budgétaire d'une amende payée par l'État à l'État, préférence pour les leviers hiérarchiques et budgétaires — et ceux qui plaident pour l'alignement : effet d'incitation, égalité de traitement, crédibilité européenne. Examine si les mécanismes annoncés le 17 août 2026 (fléchage de 5 % des budgets numériques, audits, plan d'urgence) constituent un substitut crédible au signal-prix.