Après l’avoir confirmé publiquement le 13 août 2026, la Direction générale des Finances publiques précise au moyen d’un communiqué de presse le 14 août 2026 ce qu’un cybercriminel avait revendiqué deux jours plus tôt : des accès illégitimes à ses systèmes ont permis la consultation et l’extraction de données concernant 678 000 particuliers et professionnels. Revenus fiscaux, quotient familial, taux de prélèvement à la source, coordonnées complètes. L’intrusion date de juin. Deux mois de silence, jusqu’à ce qu’un pirate parle avant l’administration.
Ce n’est pas une anomalie. C’est un modèle qui se répète.
France Travail, FICOBA, Viamedis, Almerys : la liste des violations massives impliquant des organismes publics ou parapublics s’allonge depuis des années avec une régularité qui devrait, à elle seule, clore le débat. Elle ne le clôt pas. Parce que pendant que les données fuient, la politique va dans l’autre sens : identification obligatoire sur les réseaux sociaux, généralisation de la facturation électronique, déploiement de France Identité. Toujours plus de collecte, toujours plus de centralisation, toujours la même promesse : sécurisé, encadré, nécessaire.
Et quand le Conseil constitutionnel censure l’interdiction des réseaux sociaux aux moins de 15 ans, c’est précisément parce que les garanties sur la vérification d’identité et la protection des données sont insuffisantes. Même les juges constitutionnels ne croient plus à la promesse.
Ce que je veux poser ici n’est pas une énième recension de fuites. C’est une question de cohérence : un État qui ne sait pas, ou ne veut pas, protéger ce qu’il collecte peut-il légitimement continuer à exiger toujours plus d’identification ?
Et tant que cette question restera sans réponse institutionnelle sérieuse, il en restera une autre, plus concrète, pour chaque citoyen et chaque professionnel concerné : face à l’État défaillant, que reste-t-il comme recours ?
Donnez-nous vos données, c’est pour votre bien
Il existe une cohérence dans la politique numérique française, et elle est inconfortable à nommer : chaque nouvelle crise sécuritaire, chaque fait divers, chaque débat sur les dérives d’internet produit la même réponse. Plus d’identification. Plus de traçabilité. Plus de collecte. Comme si la solution au problème de la donnée mal protégée était systématiquement d’en collecter davantage.
L’identification sur les réseaux sociaux : le Conseil constitutionnel dit non
La proposition d’imposer une identification réelle des utilisateurs sur les plateformes revient depuis des années. L’argument est rodé : l’anonymat protège les harceleurs, les auteurs de discours haineux, les désinformateurs. Le pseudonymat serait le bouclier des lâches.
Le Conseil constitutionnel vient d’y répondre. En censurant l’interdiction des réseaux sociaux aux moins de 15 ans, il a pointé précisément l’absence de garanties suffisantes sur la vérification d’âge et le respect de la vie privée. Autrement dit : vous voulez identifier, soit, mais vous n’êtes pas en mesure de le faire sans exposer davantage les personnes que vous prétendez protéger.
C’est une décision qui va bien au-delà de la protection des mineurs. Elle pose un principe : l’identification obligatoire n’est pas une réponse neutre. Elle a un coût en droits fondamentaux, et ce coût doit être justifié par des garanties réelles, pas par une promesse de sécurité que les faits démentent semaine après semaine.
Car le droit n’a jamais posé l’anonymat comme absolu. La CJUE et la CEDH reconnaissent toutes deux le pseudonymat comme composante de la liberté d’expression. Les lanceurs d’alerte, les victimes de violences, les journalistes d’investigation en dépendent directement. Leur imposer une identification réelle, c’est les exposer au nom de la lutte contre d’autres, et c’est un arbitrage que le législateur n’a jamais sérieusement documenté.
Et la question qui suit est celle que personne ne pose vraiment : si demain l’identification sur les réseaux sociaux devient obligatoire, qui gère ce référentiel ? Avec quelle base légale ? Quelle durée de conservation ? Quelle gouvernance ? Et surtout, vu ce qu’on sait désormais des systèmes d’information de l’État, quelle sécurité ?
La facture électronique : des données d’entreprise au cœur d’un système qu’on ne contrôle pas
Le volet moins médiatisé de cette dynamique auprès du grand public est celui qui concerne le plus directement les professionnels : la généralisation de la facturation électronique. Obligatoire progressivement pour toutes les entreprises assujetties à la TVA, elle implique le transit des factures via des Plateformes de Dématérialisation Partenaires (les PDP) ou via le Portail Public de Facturation.
Ce que ce système concentre mérite qu’on s’y arrête : chiffre d’affaires réel, identité des clients et fournisseurs, montants des transactions, récurrence des relations commerciales. Des données qui permettent, en creux, de reconstituer la structure économique d’une entreprise, ses marges, sa clientèle, sa santé financière. Des informations qu’aucun entrepreneur ne partagerait spontanément.
La réforme est fiscalement justifiée, mais elle n’a pas été accompagnée d’un débat sérieux sur la protection des données. Qui sont les PDP, sous quel régime de responsabilité opèrent-ils, que se passe-t-il en cas de violation chez l’un d’entre eux, quels droits conserve l’entreprise sur ses propres données de facturation. Autant de questions que les entrepreneurs posent aujourd’hui, souvent sans réponse claire.
France Identité : centraliser le moi numérique
Dans le même mouvement, France Identité étend progressivement son périmètre. L’objectif affiché est pratique : dématérialiser les justificatifs, simplifier les démarches administratives. La réalité technique est plus structurante : c’est une infrastructure d’identification centralisée, gérée par l’État, qui a vocation à devenir le point d’entrée de pans entiers de la vie administrative et bientôt commerciale des citoyens.
Prise isolément, chaque initiative est défendable. C’est leur convergence qui interroge et qui devrait alerter quiconque travaille sérieusement sur la protection des données. Nous construisons, brique par brique, une architecture d’identification sans précédent, portée par un acteur unique qui se positionne simultanément comme collecteur, comme garant, et comme arbitre de la conformité.
Ce triptyque serait acceptable si la démonstration de compétence suivait, or elle ne suit pas.
Ce n’est pas une question de budget, c’est une question de process
Quand une violation de données de cette ampleur survient, la réponse institutionnelle suit un script prévisible : moyens insuffisants, systèmes vieillissants, budget cybersécurité sous-dimensionné face à des attaquants sophistiqués. C’est le discours des experts de plateau, des communicants ministériels, des rapports parlementaires. C’est aussi, en grande partie, une façon commode d’éviter la vraie question.
Parce que dans l’affaire DGFIP, le compte compromis a été détecté fin juin. Et l’extraction de données n’a été découverte qu’en août, soit deux mois après.
Il faut aller plus loin dans le diagnostic. L’infrastructure numérique de l’État est largement sous-traitée à des prestataires dont le modèle économique n’est pas aligné avec la sécurité. On facture au volume de jours/homme, on livre des fonctionnalités, on passe au projet suivant. La dette technique s’accumule, personne n’est contractuellement incentivé à la résorber. Et les marchés publics informatiques ne comportent pas de critères d’excellence technique sérieux, ni de responsabilité réelle des prestataires en cas de défaillance de sécurité avérée.
Ce n’est pas une critique des individus. C’est un problème de système d’incitation. Quand personne n’est responsable de la solidité dans la durée, la solidité n’est pas au rendez-vous. Et quand une faille survient, tout le monde peut pointer vers quelqu’un d’autre : l’agent dont les identifiants ont été usurpés, le prestataire qui a livré le système, la DSI qui n’a pas appliqué les recommandations ANSSI. Le résultat est une responsabilité parfaitement diluée, et deux mois de silence.
Détecter ce qu’un compte compromis a consulté, c’est un grep dans les logs, et c’est gratuit. C’est une opération qui se fait en vingt minutes avec les outils dont dispose n’importe quelle DSI sérieuse. Ce n’est pas une ligne budgétaire de quarante millions d’euros, c’est un process. Un process élémentaire, documenté, recommandé par l’ANSSI depuis des années.
Il n’a pas été appliqué. Ou il l’a été trop tard, sans que personne n’en réponde.
On a connu le même schéma dans l’affaire Lyhanna. Le suspect était identifié, les signalements enregistrés dans Cassiopée, les procédures ouvertes. Ce qui a manqué n’était pas un budget supplémentaire, c’était l’exécution effective de décisions déjà prises. Macron lui-même l’avait dit : il ne voulait entendre « aucun argument de moyens ». La défaillance était organisationnelle et elle l’est encore ici.
Un inventaire qui ne ment pas
Les faits établis d’abord, parce que la rigueur s’impose, surtout quand les revendications d’un cybercriminel circulent en parallèle des communications officielles.
Ce que la DGFIP a confirmé : des accès illégitimes en juin et juillet 2026, via usurpation d’identifiants d’un agent et d’un tiers habilité. 678 000 particuliers et professionnels concernés. Les données exposées incluent revenus fiscaux, quotient familial, taux de prélèvement à la source, données cadastrales, coordonnées. La CNIL a été saisie, après identification du vol, et non dans les 72 heures de la détection initiale. La notification individuelle des personnes concernées débutera à partir de la semaine du 18 août.
Deux mois entre l’intrusion et la confirmation publique. Un délai que n’importe quelle entreprise privée n’aurait pas eu le luxe de s’accorder.
Ce qui vient uniquement du cybercriminel, et doit être traité comme tel : les 6,3 millions de demandes fiscales prétendument accessibles, la seconde compromission cadastrale revendiquée sur 2 millions de propriétaires, le contournement du MFA. Ces éléments ne sont pas confirmés. Ils sont préoccupants. Ils ne fondent pas une démonstration juridique.
Ce qui fonde la démonstration, c’est ce qui est établi. Et ce qui est établi suffit.
Le silence comme révélateur
L’article 33 du RGPD impose la notification à l’autorité de contrôle dans les 72 heures suivant la prise de connaissance d’une violation. L’article 34 va plus loin : lorsque le risque pour les droits et libertés des personnes est élevé, elles doivent en être informées sans délai injustifié.
Des données fiscales combinées à des coordonnées personnelles constituent précisément ce risque élevé. Le phishing ciblé, l’usurpation d’identité, la fraude construite sur de vraies informations fiscales : ce sont des risques documentés et pas seulement théoriques.
Un fraudeur disposant de votre adresse, de votre revenu fiscal de référence et de votre quotient familial peut construire une fausse amende ou un faux avis de régularisation fiscale d’une crédibilité redoutable. Vous connaître par votre nom, votre situation familiale exacte et votre taux d’imposition réel, c’est le niveau de personnalisation qui fait tomber les défenses. La même adresse combinée aux revenus intéresse les réseaux spécialisés dans les cambriolages ciblés. Pour les entreprises, le risque est celui de la fraude aux faux services fiscaux : reproduire un échange administratif réel avec de vraies références de dossier. Ce n’est pas de la science-fiction. C’est le modèle économique de ZeroBytes : « je vends, les clients déterminent la valeur eux-mêmes ».
La jurisprudence de la CJUE est claire : la simple crainte d’un usage abusif futur peut suffire à constituer un dommage moral ouvrant droit à réparation au sens de l’article 82 du RGPD.
Il est possible que la CNIL ait été notifiée en interne dans les délais. Ce qui est certain, c’est que la confirmation publique n’est venue qu’après la revendication d’un cybercriminel. Ce n’est pas un détail de procédure. C’est un signal sur la culture de transparence de l’administration face à ses propres manquements.
Le contrôleur incontrôlé
C’est là que réside la contradiction fondamentale, et elle est structurelle, pas conjoncturelle.
L’État impose le RGPD. Il exige des entreprises privées des analyses d’impact, des registres de traitements, des DPA, des notifications dans les délais. Il sanctionne via la CNIL, parfois lourdement. Il se positionne comme arbitre de la conformité numérique.
Et simultanément, il bénéficie d’un régime de responsabilité asymétrique que personne ne semble pressé de corriger. La CNIL peut mettre en demeure une administration. Elle ne peut pas lui infliger les amendes qu’elle infligerait à un acteur privé. Les recours existent (notamment la responsabilité de l’État pour faute lourde devant les juridictions administratives) mais les seuils sont élevés, les délais longs, et l’issue incertaine.
Ce n’est pas que l’État ne peut pas protéger les données qu’il collecte. C’est qu’il ne subit pas les mêmes conséquences quand il ne le fait pas. Et tant que cette asymétrie persistera, la protection des données restera une injonction à sens unique.
Ce que vous pouvez vérifier dès aujourd’hui dans votre organisation
Avant d’exiger la conformité de vos partenaires, vos propres accès internes sont-ils audités en continu ou comptez-vous sur la chance ? Si vos logs applicatifs ne sont pas relus en temps réel, vous reproduisez, à votre échelle, la même faille que l’administration.
À suivre – Tome 2/2 : Fuite DGFIP : vous êtes concerné, que faire concrètement ?
(Comment la généralisation des PDP contraint les entreprises à livrer leurs secrets commerciaux à un système troué, et ce qu’il reste comme recours réels quand le contrôleur est aussi le défaillant).
L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.
Rédigé par Anne-Sophie | Fondatrice de Celestial Guardian & Juriste en droit du numérique
Certifiée CIPP/E (IAPP) et forte de 15 ans d’expérience au cœur d’écosystèmes fortement réglementés, j’aide les entreprises du numérique et les dirigeants tech à sécuriser leurs usages : ingénierie contractuelle, conformité RGPD & AI Act et gouvernance opérationnelle. Une approche de terrain pour transformer la contrainte juridique en levier stratégique.