article 82 du RGPD ouvre un droit à réparation contre tout responsable de traitement, personne publique comprise, et la Cour de justice a jugé, précisément à propos du piratage d'une administration fiscale, que la crainte d'un usage abusif de ses données peut constituer à elle seule un préjudice moral réparable, dès lors que le juge la vérifie comme bien fondée.
art. 82, § 1 — « toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi »art. 82, § 3 — exonération seulement si le responsable prouve que le fait générateur du dommage ne lui est « nullement imputable »art. 5, § 1, f) et art. 24, art. 32 — principe d'intégrité et de confidentialité, responsabilité du responsable de traitement, mesures techniques et organisationnelles appropriées au regard de l'état de l'art et du risqueart. 33 et art. 34 — notification de la violation à l'autorité de contrôle sous 72 heures ; communication aux personnes concernées lorsque le risque est élevéart. 80 — mandat donné à un organisme, association ou organisation pour exercer les droits, y compris le droit à réparation lorsque le droit national le prévoitart. 83, § 7 — chaque État membre décide « si et dans quelle mesure » des amendes administratives peuvent être infligées aux autorités et organismes publics ; le texte ne concerne pas l'article 82n° 78-17 du 6 janvier 1978, art. 20, III — pouvoirs de la formation restreinte de la CNIL ; l'amende est exclue « à l'exception des cas où le traitement est mis en œuvre par l'État »n° 2025-391 du 30 avril 2025, art. 16 — régime unifié de l'action de groupe, ouvert notamment contre une personne morale de droit public ; décret n° 2025-734 du 30 juillet 2025 (procédure et registre public des actions de groupe) ; décret n° 2025-653 du 16 juillet 2025 (désignation des tribunaux judiciaires compétents)art. L. 77-10-1 et suivants — action de groupe portée devant le juge administratif lorsque le manquement est imputable à une personne publiqueart. 323-1 et art. 323-3 — accès, maintien et extraction frauduleux de données, peines aggravées lorsque le système traite des données personnelles mis en œuvre par l'ÉtatLe dossier ouvert à Bercy s'est élargi trois fois en une semaine. Après le communiqué n° 953 du 14 août 2026 reconnaissant des accès illégitimes intervenus en juin et juillet 2026 par usurpation d'identifiants d'agents publics, la DGFiP a commencé le lundi 17 août à informer individuellement chaque personne concernée, par courriel ou, à défaut d'adresse connue, par courrier. Le même 17 août, un troisième accès a été identifié puis coupé le jour même, visant cette fois le portail public des successions vacantes ; lors de la conférence de presse tenue à Bercy le mardi 18 août aux côtés du ministre de l'Action et des Comptes publics David Amiel et du directeur général adjoint de l'ANSSI, le général Stéphane Bajard, la directrice générale des Finances publiques Amélie Verdier a indiqué que ce troisième épisode n'était « pas du tout de la même ampleur » puisqu'il s'agissait d'« un outil accessible à tous » — le portail ne requérait aucune authentification préalable — et que l'attaquant avait eu accès à un journal de requêtes. Le 20 août, la double authentification valable six mois sur un même navigateur a été réinitialisée pour l'ensemble des usagers particuliers ; le 21 août, une foire aux questions officielle a été mise en ligne sur economie.gouv.fr. Elle énumère les données ayant pu être consultées — identifiant fiscal, état civil, coordonnées postales, téléphoniques et électroniques, situation de famille, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source, et jusqu'à la liste des messages échangés avec la DGFiP — et nomme le risque : hameçonnage et appels frauduleux « rendus plus crédibles par la mention de vos données personnelles ». Plusieurs cabinets d'avocats annoncent des actions collectives ; le volume total reste, à ce jour, susceptible d'évoluer.
Or ce scénario, la Cour de justice de l'Union européenne l'a déjà jugé — et dans une affaire dont la parenté est frappante. En juillet 2019, la presse bulgare révélait que le système informatique de la Natsionalna agentsia za prihodite, l'agence nationale des recettes publiques, avait été pénétré et que des données fiscales de millions de personnes se retrouvaient publiées en ligne. Des milliers de contribuables ont saisi les juridictions bulgares, non pour un préjudice financier constaté, mais pour la crainte d'un usage futur de leurs données. Par son arrêt du 14 décembre 2023 (affaire C-340/21, VB c/ Natsionalna agentsia za prihodite), la Cour a posé quatre règles. D'abord, la divulgation de données par un tiers ne suffit pas, à elle seule, à établir que les mesures de sécurité n'étaient pas appropriées au sens des articles 24 et 32. Ensuite — et c'est le renversement décisif — la charge de la preuve du caractère approprié de ces mesures pèse sur le responsable du traitement, y compris dans une action indemnitaire fondée sur l'article 82. Ensuite encore, l'exonération de l'art. 82, § 3 ne joue pas du seul fait que le dommage procède de l'acte de cybercriminels : le responsable doit démontrer que le fait générateur ne lui est nullement imputable. Enfin, la crainte d'un usage abusif par des tiers est susceptible de constituer en elle-même un préjudice moral indemnisable, à charge pour le juge national de vérifier qu'elle est bien fondée au regard des circonstances et de la personne.
Cette jurisprudence s'inscrit entre deux bornes. D'un côté, l'arrêt C-300/21, Österreichische Post, du 4 mai 2023 : la simple violation du RGPD n'ouvre pas, par elle-même, un droit à réparation — il faut réunir trois conditions cumulatives, une violation, un dommage matériel ou moral, un lien de causalité — mais aucun seuil de gravité ne peut être exigé du préjudice moral. De l'autre, l'arrêt C-687/21, MediaMarktSaturn, du 25 janvier 2024, qui rappelle qu'un risque purement hypothétique d'usage abusif ne suffit pas. Entre les deux, le contentieux se déplace vers une question de fait : la peur invoquée est-elle plausible au vu des données réellement sorties ?
Le module du 18 août montrait le paradoxe français : parce que l'art. 83, § 7, du RGPD renvoie aux droits nationaux et que la France a exclu l'amende « lorsque le traitement est mis en œuvre par l'État », la CNIL peut contrôler, mettre en demeure, enjoindre et rappeler à l'ordre la DGFiP, mais non la sanctionner financièrement. La suite du raisonnement est ce que cette semaine met en lumière : l'article 83 n'est pas l'article 82. L'option nationale ouverte aux États membres porte sur les amendes administratives, pas sur la réparation civile, qui demeure un droit subjectif directement tiré du règlement et opposable à toute personne publique. L'État français ne peut donc pas s'infliger une amende — mais il peut parfaitement être condamné à indemniser, personne par personne ou par la voie de l'action de groupe désormais unifiée par la loi du 30 avril 2025, devant le juge administratif. C'est un déplacement complet du centre de gravité du dossier : de la sanction publique vers le contentieux de masse.
Pour un praticien de la sécurité offensive ou de l'automatisation, l'arrêt C-340/21 a une conséquence très concrète, et elle est probatoire. Puisque la charge de prouver le caractère approprié des mesures pèse sur le responsable, l'objet du litige devient l'artefact d'audit : analyse d'impact, politique d'authentification des accès agents, journalisation des consultations, détection des extractions anormales, revue des habilitations des « tiers habilités », tests d'intrusion et leurs plans de remédiation. Les faits publiquement décrits sont directement lisibles dans cette grille. L'usurpation d'identifiants d'agents pose la question du second facteur sur les accès internes et de la détection comportementale — un compte légitime qui consulte des centaines de milliers de dossiers reste un compte légitime pour un contrôle d'accès, jamais pour un moteur de détection d'anomalie. Le portail des successions vacantes accessible sans authentification déplace le débat vers la conception : un service public exposant des données à caractère personnel sans contrôle d'accès relève de la protection des données dès la conception, et le fait qu'un journal de requêtes ait été atteint rappelle qu'un log est lui-même un traitement, à sécuriser et à minimiser comme n'importe quel autre. Enfin, la réinitialisation de la persistance de la double authentification le 20 août illustre le compromis classique entre confort et sécurité : mémoriser un facteur six mois par navigateur est un paramètre, donc un choix documenté, donc un élément de preuve. Reste la limite que la Cour a tracée : côté demandeur, il faudra caractériser la crainte plutôt que l'affirmer — capture des tentatives de hameçonnage reçues, corrélation avec les données effectivement exposées, chronologie —, faute de quoi l'on retombe dans le risque hypothétique écarté par MediaMarktSaturn. Et il faut se garder d'un raccourci : à ce stade, aucune juridiction n'a jugé que la DGFiP aurait manqué à l'article 32 ; les vérifications de la CNIL sont en cours, et le contentieux indemnitaire éventuel est à venir.