Brief — Un portail du fisc ouvert sans mot de passe, une FAQ publiée hier, et une question que personne ne pose : combien vaut la peur ? La Cour de justice a déjà répondu, pour les contribuables bulgares piratés en 2019

Thème : données personnelles — violation de données au sein d'une administration d'État, droit à réparation de l'article 82 du RGPD, charge de la preuve et action de groupe

Le dossier des accès illégitimes à la DGFiP s'est élargi trois fois en une semaine : après le communiqué n° 953 du 14 août 2026, la direction générale a commencé le 17 août à informer individuellement les personnes concernées, un troisième accès a été identifié et coupé le même jour — visant le portail public des successions vacantes, qui, comme l'a indiqué la directrice générale Amélie Verdier en conférence de presse le 18 août à Bercy aux côtés du ministre David Amiel et du général Stéphane Bajard (ANSSI), ne requérait aucune authentification préalable —, la persistance de la double authentification a été réinitialisée le 20 août pour tous les particuliers, et une FAQ officielle a été mise en ligne le 21 août, énumérant les données exposées (identifiant fiscal, état civil, coordonnées, situation de famille, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source, liste des messages échangés avec la DGFiP) et nommant le risque : hameçonnage et appels frauduleux « rendus plus crédibles par la mention de vos données personnelles ».

Le module du 18 août établissait que la CNIL ne peut pas infliger d'amende à l'État (art. 83, § 7, du RGPD ; art. 20, III, 7°, de la loi n° 78-17 du 6 janvier 1978). La suite du raisonnement est celle que cette semaine met au premier plan : l'article 83 n'est pas l'article 82. L'option nationale ne porte que sur les amendes administratives, jamais sur la réparation — droit subjectif tiré directement du règlement et opposable à toute personne publique, devant le juge administratif, individuellement ou par la voie de l'action de groupe unifiée par l'article 16 de la loi n° 2025-391 du 30 avril 2025. Et la Cour de justice a déjà tranché le cas d'école, à propos du piratage de l'agence fiscale bulgare en juillet 2019 : dans **C-340/21, *VB c/ Natsionalna agentsia za prihodite* (14 décembre 2023), elle juge que la divulgation par un tiers ne suffit pas à prouver l'inadéquation des mesures de sécurité, mais que la charge de prouver leur caractère approprié pèse sur le responsable de traitement, y compris dans l'action indemnitaire ; que l'intervention de cybercriminels n'exonère pas au titre de l'art. 82, § 3, faute pour le responsable d'établir que le fait générateur ne lui est « nullement imputable » ; et que la crainte d'un usage abusif des données peut constituer à elle seule un préjudice moral réparable, si le juge national la vérifie comme bien fondée**.

Deux bornes encadrent cette solution : **C-300/21, *Österreichische Post* (4 mai 2023) exige trois conditions cumulatives — violation, dommage, lien de causalité — sans seuil de gravité ; C-687/21, *MediaMarktSaturn* (25 janvier 2024) exclut le risque purement hypothétique**. Pour qui audite, l'inversion probatoire de *C-340/21* transforme le litige en examen d'artefacts : politique d'authentification des accès agents, détection d'extractions anormales — un compte légitime consultant des centaines de milliers de dossiers reste légitime pour un contrôle d'accès et jamais pour un moteur d'anomalie —, revue des habilitations des tiers, protection des données dès la conception d'un portail exposé sans authentification, et sécurisation d'un journal de requêtes qui est lui-même un traitement. À ce stade, aucune juridiction n'a jugé que la DGFiP aurait manqué à l'article 32 : les vérifications de la CNIL sont en cours et le contentieux indemnitaire reste à venir.

Brief — Un portail du fisc ouvert sans mot de passe, une FAQ publiée hier, et une question que personne ne pose : combien vaut la peur ? La Cour de justice a déjà répondu, pour les contribuables bulgares piratés en 2019

Sources