# Combien vaut la peur ? Les fuites de données à la DGFiP et le droit à réparation de l'article 82 du RGPD

## Le point de départ : une administration fiscale, trois brèches, une semaine

En août 2026, la Direction générale des Finances publiques est devenue, malgré elle, le meilleur cas d'école du droit français de la protection des données. Le communiqué de presse n° 953 du 14 août 2026 du ministère de l'Action et des Comptes publics reconnaît des accès illégitimes au système d'information de la DGFiP, intervenus en juin et juillet 2026, rendus possibles par l'usurpation des identifiants d'agents publics et d'un tiers habilité. Le lundi 17 août, l'administration commence à informer individuellement chaque personne concernée, par courriel, ou par courrier postal lorsqu'elle ne dispose pas d'adresse électronique. Le même jour, un troisième accès est identifié, puis coupé dans la journée : il ne vise plus l'espace fiscal des usagers, mais le portail public des successions vacantes. Lors de la conférence de presse tenue à Bercy le mardi 18 août, aux côtés du ministre David Amiel et du général Stéphane Bajard, directeur général adjoint de l'ANSSI, la directrice générale des Finances publiques Amélie Verdier précise que ce troisième épisode n'est « pas du tout de la même ampleur », parce qu'il s'agit d'« un outil accessible à tous » — le portail ne demandait aucune authentification préalable — et que l'attaquant avait accédé à un journal de requêtes. Le 20 août, la persistance de six mois de la double authentification sur un même navigateur est réinitialisée pour l'ensemble des usagers particuliers. Le 21 août, une foire aux questions officielle est publiée sur economie.gouv.fr.

Cette FAQ dresse elle-même l'inventaire du dommage. Ont pu être consultés : l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la situation de famille, le nombre de parts, le revenu fiscal de référence, le taux de prélèvement à la source, et jusqu'à la liste des messages échangés avec la DGFiP via la messagerie d'impots.gouv.fr. Le risque, l'administration le nomme sans détour : des tentatives d'escroquerie par hameçonnage et des appels frauduleux « rendus plus crédibles par la mention de vos données personnelles ». Ce qui a fuité n'est donc pas seulement un ensemble d'informations : c'est un stock de matériaux d'ingénierie sociale d'une qualité rare, puisqu'il permet à un escroc de citer à sa victime des éléments que seule l'administration fiscale est censée connaître.

## Le paradoxe français : une immunité d'amende qui n'est pas une immunité de responsabilité

Le premier réflexe est de se tourner vers la CNIL. Il conduit à une impasse partielle, déjà explorée dans le module du 18 août. Le RGPD s'applique intégralement à l'État responsable de traitement — sécurité au titre de l'article 32, notification à l'autorité sous soixante-douze heures au titre de l'article 33, communication aux personnes concernées au titre de l'article 34. Mais son article 83, paragraphe 7, laisse à chaque État membre le soin de décider « si et dans quelle mesure » des amendes administratives peuvent frapper les autorités et organismes publics, et la France a tranché : l'article 20, III, 7°, de la loi n° 78-17 du 6 janvier 1978 autorise la formation restreinte à prononcer une amende « à l'exception des cas où le traitement est mis en œuvre par l'État ». La CNIL peut contrôler, mettre en demeure, enjoindre, rappeler à l'ordre — elle ne peut pas sanctionner financièrement la DGFiP.

C'est ici qu'il faut faire une distinction que le grand public rate presque toujours, et qui est le cœur du sujet : **l'article 83 n'est pas l'article 82**. L'option nationale ouverte par l'article 83, paragraphe 7, porte exclusivement sur les amendes administratives, c'est-à-dire sur la répression publique. Elle ne touche en rien à l'article 82, qui dispose que « toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Ce droit à réparation est un droit subjectif, tiré directement du règlement, opposable à toute personne responsable de traitement, y compris publique. L'État français ne peut pas s'infliger une amende ; il peut parfaitement être condamné à indemniser. Et parce que le traitement en cause est celui d'une administration d'État, ce contentieux relève du juge administratif — individuellement, ou collectivement grâce au régime unifié de l'action de groupe issu de l'article 16 de la loi n° 2025-391 du 30 avril 2025, précisé par le décret n° 2025-734 du 30 juillet 2025 — régime qui vise expressément les manquements imputables à une personne morale de droit public, qui suit devant le juge administratif les règles du chapitre X du code de justice administrative, et qui institue un registre public des actions de groupe en cours.

## Le précédent bulgare : quand la Cour de justice a jugé exactement ce scénario

Le plus frappant est que la Cour de justice de l'Union européenne a déjà statué sur une affaire dont la parenté avec le dossier français est presque troublante. En juillet 2019, la presse bulgare révélait que le système informatique de la Natsionalna agentsia za prihodite — l'agence nationale des recettes publiques, autrement dit le fisc bulgare — avait été pénétré, et que des données fiscales concernant des millions de personnes se retrouvaient publiées en ligne. Des milliers de contribuables ont saisi les juridictions, non pour un préjudice financier constaté, mais pour la crainte d'un usage futur de leurs données.

Par son arrêt du 14 décembre 2023, rendu dans l'affaire C-340/21, *VB c/ Natsionalna agentsia za prihodite*, la Cour a posé quatre règles qui structurent aujourd'hui tout ce type de contentieux. Premièrement, la seule circonstance qu'un tiers non autorisé ait divulgué ou accédé à des données ne suffit pas, à elle seule, à établir que les mesures techniques et organisationnelles n'étaient pas « appropriées » au sens des articles 24 et 32 : il n'y a pas de responsabilité automatique du seul fait du piratage. Deuxièmement — et c'est le renversement décisif — la charge de prouver le caractère approprié de ces mesures pèse sur le responsable du traitement, y compris dans le cadre d'une action indemnitaire fondée sur l'article 82 ; la Cour ajoute qu'une expertise judiciaire n'est ni un mode de preuve systématiquement nécessaire, ni suffisant à lui seul. Troisièmement, l'exonération prévue à l'article 82, paragraphe 3, ne joue pas du seul fait que le dommage résulte de l'acte de cybercriminels : le responsable doit démontrer que le fait générateur ne lui est « nullement imputable ». Quatrièmement, enfin, la crainte éprouvée par une personne quant à un usage abusif futur de ses données par des tiers est susceptible de constituer, à elle seule, un préjudice moral réparable — sous réserve que la juridiction nationale vérifie que cette crainte est bien fondée dans les circonstances propres à l'espèce et à la personne concernée.

Cette solution se lit entre deux bornes. En amont, l'arrêt du 4 mai 2023, C-300/21, *Österreichische Post*, rappelle que la simple violation du RGPD n'ouvre pas par elle-même un droit à réparation : il faut réunir trois conditions cumulatives — une violation, un dommage matériel ou moral, un lien de causalité entre les deux — mais aucun seuil de gravité ne peut être exigé du préjudice moral, faute de quoi l'on trahirait la conception large du dommage retenue par le législateur européen. En aval, l'arrêt du 25 janvier 2024, C-687/21, *MediaMarktSaturn*, exclut la réparation lorsque le risque d'usage abusif par un tiers non autorisé est purement hypothétique. Entre ces deux bornes, le contentieux devient une question de fait : la peur invoquée est-elle plausible au regard des données réellement sorties ?

## Ce que cela change pour un praticien de la sécurité

L'inversion de la charge de la preuve consacrée par *C-340/21* transforme un litige indemnitaire en examen d'artefacts techniques. Ce que le responsable devra produire devant le juge, ce n'est pas une déclaration de conformité, mais une analyse d'impact, une politique d'authentification des accès agents, des journaux de consultation, des règles de détection d'extractions anormales, une revue des habilitations accordées aux tiers, des rapports de tests d'intrusion et les plans de remédiation associés.

Les faits publiquement décrits se lisent immédiatement dans cette grille. L'usurpation d'identifiants d'agents interroge le second facteur sur les accès internes et, surtout, la détection comportementale : un compte légitime qui consulte des centaines de milliers de dossiers reste légitime pour un contrôle d'accès, et ne devrait jamais l'être pour un moteur de détection d'anomalie. Un portail public exposant des données à caractère personnel sans authentification préalable déplace le débat vers la conception même du service, et donc vers l'obligation de protection des données dès la conception. Qu'un journal de requêtes ait été atteint rappelle enfin qu'un log est lui-même un traitement, à sécuriser et à minimiser comme n'importe quel autre.

Symétriquement, côté demandeur, la leçon est qu'il faudra caractériser la crainte plutôt que l'affirmer : conserver les tentatives d'hameçonnage reçues, les corréler aux données effectivement exposées, en établir la chronologie. Sans quoi l'on retombe dans le risque hypothétique écarté par *MediaMarktSaturn*. Une réserve, pour finir, s'impose : à ce jour, aucune juridiction n'a jugé que la DGFiP aurait manqué à l'article 32. Les vérifications de la CNIL sont en cours, et le contentieux indemnitaire éventuel reste à venir.

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'un des cinq angles ci-dessous selon ce que vous voulez retirer de l'écoute, et collez-le tel quel dans le champ de personnalisation de l'Audio Overview.

**Angle 1 — La checklist probatoire de l'article 32.** Concentre-toi sur l'inversion de la charge de la preuve posée par l'arrêt C-340/21 et déduis-en la liste concrète des artefacts qu'un responsable de traitement devrait pouvoir produire devant un juge : analyse d'impact, politique d'authentification des accès internes, journaux de consultation, règles de détection d'extractions anormales, revue des habilitations, rapports de tests d'intrusion. Traite chaque élément comme un livrable d'audit, pas comme un principe.

**Angle 2 — Autopsie technique des trois brèches.** Traite les trois épisodes de la DGFiP comme trois classes de vulnérabilité distinctes : usurpation d'identifiants d'agents, exposition d'un portail public sans authentification préalable, et compromission d'un journal de requêtes. Pour chacun, explique le mécanisme d'attaque plausible, le point de contrôle défensif correspondant et la raison pour laquelle la détection comportementale, et non le contrôle d'accès, est la seule ligne pertinente contre un compte légitime détourné.

**Angle 3 — Article 82 contre article 83 : deux régimes, deux logiques.** Explique de façon didactique pourquoi l'immunité d'amende de l'État français, tirée de l'article 83, paragraphe 7, du RGPD et de l'article 20, III, 7°, de la loi de 1978, ne l'immunise nullement contre le droit à réparation de l'article 82. Compare la répression publique et la réparation civile en termes de finalité, d'organe compétent, de charge de la preuve et de destinataire de l'argent, puis situe l'action de groupe issue de la loi du 30 avril 2025 dans ce paysage.

**Angle 4 — Continuité avec les modules précédents du dépôt.** Relie ce module à ceux du 18 août 2026 sur les pouvoirs de la CNIL face à l'État, et du 21 août 2026 sur la traçabilité exigée par la Cour de justice en matière de scoring de crédit. Dégage le fil commun : dans les deux cas, l'obligation juridique se résout en exigence d'architecture et de journalisation, et un système qui ne conserve pas la trace de ce qu'il a fait devient structurellement incapable de se défendre.

**Angle 5 — Prospective contentieuse et veille automatisable.** Projette les douze prochains mois : quantum probable des indemnisations individuelles, viabilité d'une action de groupe devant le juge administratif, effet du registre public des actions de groupe créé par le décret du 30 juillet 2025, et conséquences d'une éventuelle mise en demeure publique de la CNIL sur le contentieux indemnitaire. Termine en décrivant les sources qu'un consultant devrait surveiller automatiquement — délibérations CNIL, décisions du Conseil d'État, arrêts CJUE sur l'article 82 — et les signaux qui justifieraient une alerte.