La Commission nationale de l’informatique et des libertés (CNIL) a décidé de lancer une inspection approfondie de la Direction générale des finances publiques (DGFiP) après des cyberattaques ayant exposé les données personnelles de près de 700 000 personnes cet été. Cette décision intervient dans un contexte de préoccupations croissantes concernant la sécurité des données au sein des administrations françaises.
Les intrusions, survenues en juin et juillet 2026 ont permis l’extraction de données fiscales et cadastrales sensibles, incluant le revenu fiscal de référence le quotient familial et les taux de prélèvement à la source. Bien que les identifiants et mots de passe des particuliers et des professionnels n’aient pas été compromis, ces incidents ont mis en lumière des fragilités structurelles dans les systèmes d’information de la DGFiP.
Un contrôle imminent de la CNIL
Marie-Laure Denis, présidente de la CNIL, a annoncé cette décision lors de l’émission « Cash Investigation » diffusée le jeudi 10 septembre sur France 2. « J’ai demandé aux équipes de la CNIL de se rendre dans les tout prochains jours dans les locaux de la direction générale des finances publiques », a-t-elle déclaré. Selon le ministère de l’Économie et des Finances, les accès illégitimes au système d’information de la DGFiP ont eu lieu en juin et juillet 2026.
La CNIL envisage de prendre des mesures à l’issue de ce contrôle. « Il nous paraît important de comprendre ce qui s’est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences: soit une mise en demeure d’ici la fin de l’année, soit une orientation vers une sanction », a expliqué Marie-Laure Denis. Cependant, en tant qu’autorité administrative, la CNIL ne peut pas infliger d’amende à l’État, contrairement aux entreprises privées.
L’État sous le feu des projecteurs
Marie-Laure Denis a souligné que l’État a un devoir d’exemplarité particulier en matière de sécurité des données. « Ça fait partie justement du contrat de confiance entre l’État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l’État », a-t-elle affirmé. Cette inspection fait suite à une note de la commission des finances du Sénat, qui a révélé des lacunes dans les contrôles réalisés après les incidents.
En août, le Premier ministre Sébastien Lecornu avait déjà demandé à l’Agence nationale de la sécurité des systèmes d’information (ANSSI) de réaliser un audit approfondi sur le vol de données au fisc. Cet audit vise à évaluer les mesures de sécurité mises en place par l’administration et à identifier les failles qui ont permis ces intrusions.
D’autres administrations également sous surveillance
La CNIL ne se limite pas à la DGFiP. Marie-Laure Denis a également annoncé un contrôle de l’Agence nationale des titres sécurisés (ANTS) qui gère notamment les pièces d’identité. L’ANTS avait été victime en avril d’une attaque massive, avec le vol des données de près de 12 millions de particuliers et de professionnels. Ce contrôle vise à évaluer les mesures de sécurité mises en place par l’ANTS et à identifier les failles qui ont permis cette intrusion.
La CNIL avait annoncé en début d’année vouloir consacrer en 2026 la moitié de ses contrôles et de ses actions répressives aux manquements en matière de cybersécurité notamment auprès des organismes manipulant de grandes quantités de données personnelles. Ces inspections visent à renforcer la confiance des citoyens dans la capacité de l’État à protéger leurs données sensibles.
