Fuite de données à la DGFiP : devant quel juge et dans quel délai demander réparation à l’État

Être prévenu ne vaut pas être indemnisé. Le courrier annonçant que vos données fiscales ont fuité n’ouvre aucun versement automatique. La réparation d’un préjudice se demande — à la bonne administration, dans un ordre imposé. Et un délai court déjà.

678 000 particuliers et professionnels ont vu des données fiscales consultées ou extraites lors d’accès illégitimes au système d’information de la Direction générale des finances publiques (DGFiP). Le chiffre vient du communiqué du ministère de l’Économie du 14 août 2026 : c’est le décompte de l’administration après ses propres investigations. L’auteur de l’attaque revendique de son côté 678 438 lignes de données, d’après le site spécialisé Cyberattaque.org. Une ligne n’est pas une personne, et aucun décompte indépendant n’a été publié à ce stade. Le détail des catégories touchées figure dans l’article consacré à l’ampleur de la fuite de données à la DGFiP.

Reste la question que pose la notification reçue : devant qui demander réparation, avec quelles preuves, et jusqu’à quand. La CNIL ne répond pas à celle-là.

La notification reçue est la première pièce d’un dossier d’indemnisation

Le ministère a annoncé le 14 août 2026 que la DGFiP contacterait individuellement chaque personne concernée, par courriel ou par courrier, dès la semaine suivante. Ce message n’est pas une information de courtoisie. L’article 34 du règlement (UE) 2016/679, le RGPD, impose cette communication lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

Son contenu est encadré. Le message doit être rédigé en termes clairs et simples, et reprendre trois informations prévues à l’article 33, paragraphe 3 : les coordonnées du délégué à la protection des données, les conséquences probables de la violation, les mesures prises ou proposées pour y remédier. Trois cas seulement dispensent le responsable de cet envoi individuel :

• des données rendues incompréhensibles par des mesures techniques de protection ;
• des mesures ultérieures qui rendent improbable la matérialisation du risque élevé ;
• des efforts disproportionnés, une communication publique équivalente prenant alors le relais.

Conservez ce message et sa date. C’est lui qui vous rattache nommément à la violation : sans lui, il faudra établir autrement que vous figurez parmi les 678 000 personnes recensées. Le courriel envoyé par la DGFiP depuis le 17 août 2026 détaille ce que contient cet envoi.

Les données dérobées ne donnent pas accès à votre compte fiscal. Elles rendent un faux message crédible. Quand un courriel affiche le bon revenu fiscal de référence et le bon taux de prélèvement à la source, la vérification de l’expéditeur passe à la trappe. La parade est un geste, pas une vigilance : ouvrir soi-même impots.gouv.fr et se connecter à son espace, sans jamais passer par un lien reçu — y compris lorsque le message se présente comme officiel.

L’amende administrative est fermée à la CNIL quand le traitement est mis en œuvre par l’État

La Commission nationale de l’informatique et des libertés (CNIL) a confirmé le 18 août 2026 avoir été notifiée par le ministère de l’Économie. Ses vérifications sont en cours. Elle écrit aussi qu’une démarche individuelle n’a pas d’utilité ici : « Il n’est pas nécessaire de saisir la CNIL d’une plainte individuelle à ce sujet ». Elle réserve le cas des personnes qui disposeraient d’éléments utiles à ses investigations.

La raison tient à un point de droit que le mot « sanction » brouille. L’article 20 de la loi n° 78-17 du 6 janvier 1978 énumère ce que la formation restreinte de la CNIL peut prononcer. Son IV pose une exception expresse pour les traitements mis en œuvre par l’État : l’amende administrative en est écartée, comme l’astreinte qui peut accompagner une injonction de mise en conformité.

Ce qui reste ouvert n’est pas rien. Contre un traitement de l’État, la CNIL conserve quatre leviers :

• le rappel à l’ordre ;
• l’injonction de mettre le traitement en conformité ;
• la limitation ou l’interdiction du traitement ;
• la faculté de rendre publique la mesure prononcée.

Autrement dit : elle peut établir et publier un manquement, mais aucune somme ne sort de cette procédure.

La conséquence pratique est nette. La CNIL instruit, contrôle, et peut dire publiquement que l’État a manqué à ses obligations. Elle ne verse rien aux personnes concernées. Son dossier n’est pas celui de votre réparation, et confondre la sanction de l’autorité de contrôle avec l’indemnisation du préjudice est le contresens le plus fréquent après une fuite. Les autres droits ouverts par le règlement européen sont traités dans l’article sur ce que le RGPD permet d’exiger après une fuite de données.

Trois éléments à établir : la violation, le dommage, le lien entre les deux

Une demande de réparation ne se juge pas sur l’indignation. L’article 82 du RGPD ouvre la réparation à la personne qui a subi un dommage du fait d’une violation du règlement. Trois éléments doivent donc être établis, cumulativement :

• la violation des règles de protection des données ;
• un dommage distinct de cette violation ;
• un lien de causalité entre les deux.

C’est la grille que retient l’analyse publiée le 20 août 2026 par Arnaud Franchini dans le Village de la Justice. Il en manque un, la demande tombe.

Le deuxième est le plus exigeant. Le dommage doit être réel et rattaché à cette fuite précise. Une inquiétude générale sur la circulation des données ne suffit pas. Une tentative d’hameçonnage reprenant votre revenu fiscal de référence, des frais engagés, un temps de démarches documenté sont des éléments concrets — datés, conservés, opposables.

L’absence de fuite des mots de passe ne ramène pas le risque à zéro. Les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis, et les identifiants n’ont pas été dérobés : le ministère et la CNIL l’écrivent tous les deux. Les catégories touchées servent ailleurs. Revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et numéro SIREN pour les professionnels, données cadastrales : ces informations sont couramment demandées comme preuve d’identité déclarative par des tiers, hors d’impots.gouv.fr. C’est là que le risque se déplace.

La CNIL en tire trois recommandations aux personnes concernées : surveiller l’activité liée à leurs données, vérifier régulièrement leurs comptes, et rester vigilantes face aux tentatives d’hameçonnage construites à partir des informations dérobées. Ces vérifications ont une seconde utilité, propre au dossier indemnitaire. Un message frauduleux reprenant votre revenu fiscal de référence, capturé et daté, est exactement le type de pièce qui rattache un dommage à cette fuite plutôt qu’à une inquiétude générale.

La crainte d’un usage abusif a déjà été jugée réparable, dans une affaire d’administration fiscale

Le précédent existe, et il vient d’un dossier très proche. En juillet 2019, l’agence bulgare des recettes publiques subit une cyberattaque. Les données de plus de six millions de personnes sont exposées. Une personne physique demande réparation de son préjudice moral, à hauteur de 1 000 leva, environ 510 euros. L’affaire remonte jusqu’à la Cour de justice de l’Union européenne, qui tranche le 14 décembre 2023 dans l’arrêt C-340/21.

Le dispositif de cet arrêt retient que « la crainte d’un potentiel usage abusif » de données par des tiers « est susceptible, à elle seule, de constituer un “dommage moral” » réparable au titre de l’article 82 du RGPD. Aucun seuil de gravité n’est exigé pour ouvrir la réparation.

La contrepartie est immédiate. Cette crainte doit être établie, pas alléguée : il revient au juge national de vérifier qu’elle est réelle et qu’elle découle de la violation invoquée. Le montant se discute ensuite, dossier par dossier.

L’ordre de grandeur utile est celui de l’affaire bulgare : une demande individuelle de quelques centaines d’euros, pas une réparation forfaitaire distribuée à tous les fichiers exposés. Aucune décision n’a été rendue sur la fuite française. La juridiction reste souveraine sur l’existence même du préjudice comme sur son montant, et engager des frais en tablant sur une somme élevée revient à raisonner à l’envers.

La preuve du caractère approprié des mesures pèse sur l’administration

Vous n’avez pas à démontrer que la DGFiP était mal protégée. Le même arrêt C-340/21 place la charge de la preuve ailleurs : c’est au responsable du traitement d’établir que les mesures de sécurité qu’il a mises en œuvre étaient appropriées, au sens de l’article 32 du RGPD. Devant le juge administratif, cette charge revient donc à l’État.

Pour le demandeur, la portée est concrète. Il n’a ni à auditer les systèmes de la DGFiP ni à produire une expertise technique sur ce qui a cédé. La violation, elle, est établie par l’administration elle-même : elle l’a rendue publique et notifiée à la CNIL. Restent à sa charge le dommage et le lien avec cette fuite.

Le renversement n’est pas une victoire acquise. La Cour dit aussi l’inverse dans le même dispositif : la seule survenance d’une divulgation par un tiers ne suffit pas à établir que les mesures n’étaient pas appropriées. Un système correctement protégé peut céder quand même.

Un troisième point ferme une échappatoire. Le responsable ne s’exonère pas du seul fait que la violation est l’œuvre d’un tiers : il lui faut prouver que le dommage ne lui est en aucune manière imputable. Invoquer l’attaquant ne suffit pas. Le contentieux se jouera donc sur les pièces que l’administration produira pour établir son dispositif de sécurité, pas sur le récit de l’attaque.

La réclamation chiffrée à l’administration précède le tribunal administratif

La voie indemnitaire contre l’État suit un ordre, et cet ordre ne se choisit pas. L’article R. 421-1 du code de justice administrative pose la règle : une requête qui tend au paiement d’une somme d’argent n’est recevable qu’après la décision prise par l’administration sur une demande formée devant elle au préalable. La demande préalable doit donc être chiffrée — un montant, et ce que ce montant répare.

L’administration répond, ou se tait. Son silence pendant deux mois vaut décision implicite de rejet. C’est ce rejet, exprès ou implicite, qui ouvre le recours devant le tribunal administratif, sous la forme d’un recours de plein contentieux.

L’avocat y est obligatoire. L’article R. 431-2 du même code impose, à peine d’irrecevabilité, que les requêtes et mémoires soient présentés par un avocat dès lors que les conclusions tendent au paiement d’une somme d’argent. Une demande indemnitaire entre par définition dans ce cas : le coût de la représentation fait partie du calcul, avant même de savoir ce que le juge accordera.

Saisir directement le tribunal expose à l’irrecevabilité. La demande n’est pas jugée mauvaise sur le fond : elle n’est pas jugée du tout. C’est la seule étape du dossier où une erreur de forme fait perdre le droit lui-même.

Quatre ans, pas cinq : la prescription des créances sur l’État

Le délai qui compte ici n’est pas celui du droit commun. Les créances sur l’État se prescrivent par quatre ans, en application de la loi n° 68-1250 du 31 décembre 1968. C’est un an de moins que la prescription quinquennale applicable entre personnes privées, et l’écart se paie par l’extinction de la créance.

Le point de départ n’est pas la date du courrier reçu. L’article 1ᵉʳ de cette loi fait courir les quatre ans à compter du premier jour de l’année suivant celle au cours de laquelle les droits ont été acquis. C’est donc l’année du fait générateur qui commande, et le compteur ne démarre qu’au 1ᵉʳ janvier suivant.

Appliquée à cette fuite, la règle donne ceci : pour un dommage rattaché aux accès de juin et juillet 2026, le compteur ne démarrerait pas au jour de la fuite, mais au 1ᵉʳ janvier de l’année suivante. La créance s’éteindrait au 31 décembre de la quatrième année ainsi comptée. L’année d’acquisition du droit relève de l’appréciation du juge, et c’est elle qui déplace toute la série.

Deux délais coexistent sans se confondre. Les deux mois de silence transforment l’absence de réponse en rejet et rythment la procédure. Les quatre ans, eux, la ferment.

Les autres dossiers ouverts sur cette fuite ont leur calendrier propre. Vérifications de la CNIL, enquête pénale, travaux parlementaires : aucun n’est le dossier de votre indemnisation, et attendre leurs conclusions consomme du temps sur un délai qui, lui, est déjà engagé.

Après la notification, la CNIL, le parquet de Paris et le Parlement poursuivent chacun leur procédure

Les accès illégitimes ont eu lieu en juin et juillet 2026. Une revendication publique les a révélés les 12 et 13 août, et la DGFiP les a rendus publics le 14 août, sur une page mise à jour depuis le 23 août 2026.

L’écart entre l’intrusion et la notification ne se lit pas comme un manquement automatique. L’article 33, paragraphe 1, du RGPD impose la notification à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Le compteur part de la prise de connaissance, pas de l’intrusion. Compter les jours depuis juin revient à appliquer la mauvaise règle. La question ouverte porte sur la détection, et c’est précisément ce que la CNIL vérifie.

Le ministère indique avoir saisi immédiatement la CNIL, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le service du haut fonctionnaire de défense et de sécurité, et annonce le dépôt d’une plainte par la DGFiP. Selon Cyberattaque.org, le parquet de Paris a ouvert le 15 août 2026 une enquête confiée à l’Office anticybercriminalité (Ofac), du chef d’extraction frauduleuse de données contenues dans un système de traitement automatisé mis en œuvre par l’État. Une vulnérabilité distincte, identifiée le 17 août sur le portail des successions vacantes, est traitée à part par la DGFiP : les données de ce portail sont publiques.

Le chantier législatif, lui, n’ouvre aucun droit aux personnes concernées. La directive européenne NIS 2 et le projet de loi français relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité visent la sécurité des entités et la déclaration de leurs incidents. Le RGPD, lui, organise les droits des personnes. Une directive ne s’applique pas directement : elle doit être transposée par une loi nationale, et cette loi n’est pas votée. La chronologie officielle du projet s’arrête avant le vote :

• 15 octobre 2024 — dépôt au Sénat, avec engagement de la procédure accélérée ;
• 12 mars 2025 — adoption par le Sénat en première lecture ;
• 10 septembre 2025 — adoption du texte par la commission spéciale de l’Assemblée nationale, 505 amendements ayant été déposés ;
• 24 août 2026 — séance publique non tenue, dernière étape enregistrée au dossier.

Même promulguée, cette loi n’ajouterait aucun recours au contribuable. La pièce qui compte pour vous ne dépend d’aucune de ces procédures : le message reçu de la DGFiP, sa date, et les catégories de données qu’il mentionne pour votre situation. Le détail se lit dans les foires aux questions publiées par la DGFiP, en ouvrant soi-même impots.gouv.fr.

Questions fréquentes

Comment savoir si mes données font partie de la fuite de la DGFiP ?

La DGFiP contacte individuellement chaque personne concernée, par courriel ou par courrier ; le ministère de l’Économie l’a annoncé le 14 août 2026 pour la semaine suivante. Pour vérifier sans risque, ouvrez vous-même impots.gouv.fr et connectez-vous à votre espace, sans cliquer sur un lien reçu par message. Les foires aux questions publiées par la DGFiP précisent les catégories de données concernées.

Faut-il déposer une plainte auprès de la CNIL après le piratage des impôts ?

La CNIL indique qu’il n’est pas nécessaire de la saisir d’une plainte individuelle sur ce dossier, sauf à disposer d’éléments utiles à ses investigations. Elle a été notifiée par le ministère de l’Économie et ses vérifications sont en cours depuis le 18 août 2026. Une plainte auprès d’elle ne produit aucune indemnisation : c’est une procédure de contrôle, pas de réparation.

Qui peut indemniser une personne dont les données fiscales ont fuité ?

La réparation se demande à l’État, responsable du traitement. La démarche commence par une réclamation chiffrée adressée à l’administration, puis se poursuit devant le tribunal administratif en cas de rejet, avec un avocat obligatoire. Trois éléments doivent être établis : la violation, un dommage distinct et le lien entre les deux. Aucune indemnisation n’est automatique.

Combien de temps reste-t-il pour demander réparation à l’État ?

Les créances sur l’État se prescrivent par quatre ans, en application de la loi n° 68-1250 du 31 décembre 1968, soit un an de moins que la prescription de droit commun. Un délai de procédure s’y ajoute : le silence de l’administration pendant deux mois sur la réclamation préalable vaut rejet et ouvre le recours devant le tribunal administratif.

La directive NIS 2 change-t-elle quelque chose pour les personnes concernées ?

Non. NIS 2 et le projet de loi français sur la résilience des infrastructures critiques organisent la sécurité et la déclaration d’incidents des entités, pas les droits des personnes, qui relèvent du RGPD. Au 24 août 2026, ce projet de loi n’a pas été voté : sa dernière étape enregistrée est son adoption par la commission spéciale de l’Assemblée nationale, le 10 septembre 2025.