Je garde le souvenir d’un avertissement figurant dans la signature électronique des membres d’un cabinet d’avocats appartenant à un grand réseau mondial. La formulation exacte s’est effacée ; l’analyse demeure : dès lors que le client choisit de contacter son avocat par courriel et de lui transmettre des documents — donc des données personnelles —, il accepte le risque de l’accident informatique, car, nonobstant toutes les diligences destinées à sécuriser la communication, internet n’est pas un environnement sûr. J’avais apprécié le courage de ces confrères et l’honnêteté intellectuelle de leur message, à rebours de la séduction qui conduit certains acteurs à promettre au marché la sécurité.
On objectera que le regard d’un avocat exerçant en droit fiscal et patrimonial ne vaut pas celui d’un technicien du secteur. C’est exact. Mais l’informatique est un objet du droit, et mon credo est que l’avocat a le devoir de s’y intéresser, quel que soit son domaine d’exercice : elle est la technique de communication de la société moderne, dont le droit — science ancienne comme la civilisation — s’est servi pour passer de la machine à écrire et du papier à l’ordinateur, puis au partage de l’information par internet, et aujourd’hui à son élaboration par les systèmes d’intelligence artificielle. Les événements de l’été 2026 donnent à cet avertissement une actualité singulière.
I. Les faits
Par communiqué n° 953 du 14 août 2026, le ministère chargé des comptes publics a reconnu des « accès illégitimes » au système d’information de la DGFiP, intervenus en juin et juillet 2026 au moyen des identifiants usurpés d’un agent et d’un tiers habilité. Le bilan officiel fait état de 678 000 particuliers et professionnels concernés — chiffre à distinguer des 678 438 lignes revendiquées, les 12 et 13 août, par l’auteur de l’attaque sur un forum spécialisé, lesquelles relèvent de sa communication et non d’un décompte administratif. Selon le même communiqué, les données consultées ou extraites comprennent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, des données cadastrales relatives aux adresses et surfaces de biens immobiliers et, pour les entreprises, la raison sociale et le numéro SIREN ; les espaces personnels des usagers, leurs identifiants et leurs mots de passe n’ont pas été compromis. La presse spécialisée fait en outre état d’éléments d’état civil, de coordonnées et d’historiques de demandes, ainsi que d’une seconde revendication, portant sur des données cadastrales concernant plus de deux millions de propriétaires, en cours de vérification.
La chronologie doit être fixée avec précision, car elle structurera le débat juridique. L’administration indique avoir interrompu les comptes en cause dès la détection de connexions suspectes, sans que ses contrôles aient alors permis d’établir une exfiltration ; les investigations approfondies n’ont été engagées que le 12 août, à la suite de la revendication publique de l’attaquant, et ce sont elles qui ont établi le vol de données. La Commission nationale de l’informatique et des libertés (CNIL) a été saisie, une plainte pénale déposée, et les notifications individuelles aux personnes concernées s’échelonnent à compter du 17 août.
L’épisode ne survient pas isolément. En janvier 2026, la formation restreinte de la CNIL a prononcé contre France Travail une amende de cinq millions d’euros pour manquement à la sécurité de son système d’information, l’établissement étant lui-même victime d’une intrusion (délibération SAN-2026-003 du 22 janvier 2026). En février 2026, l’administration reconnaissait un accès illégitime au fichier national des comptes bancaires (FICOBA), portant sur environ 1,2 million de coordonnées bancaires, obtenu là encore au moyen d’identifiants usurpés. Trois incidents majeurs en quelques mois, un même vecteur — non la force brute, mais l’exploitation frauduleuse d’accès légitimes — : le rapprochement, opéré par A. Franchini dans une étude récente (Village de la Justice, 20 août 2026), éclaire la nature du risque contemporain.
II. L’utopie de la sécurité absolue : lecture philosophique
Il y a quarante ans, le secret professionnel vivait dans un périmètre matériel que l’avocat maîtrisait seul : le dossier papier, l’armoire fermée, le courrier, l’entretien au cabinet. Le violer supposait une intrusion physique. La dématérialisation a déplacé la confidence — et, avec elle, la donnée fiscale — vers des infrastructures que nul ne maîtrise de bout en bout. Ce déplacement s’est accompagné d’un imaginaire : le monde digital comme figure de l’efficacité et de la perfection, l’homme confiant à la machine la constance et l’exactitude qu’il désespère d’atteindre lui-même.
L’épistémologie de la sécurité informatique oppose à cet imaginaire un démenti rigoureux. Dans une étude publiée aux comptes rendus de l’Académie nationale des sciences des États-Unis (Proceedings of the National Academy of Sciences), C. Herley a mis en évidence l’asymétrie fondamentale de la matière : « les systèmes peuvent être déclarés non sûrs par observation, jamais l’inverse » (traduction de l’auteur) — aucune observation ne permet de déclarer sûr un système donné, de sorte que les affirmations de sécurité sont, au sens épistémologique, infalsifiables (Herley, 2016). La sécurité n’est donc pas un état démontrable : c’est une hypothèse provisoire, que chaque attaque réussie réfute et qu’aucun audit n’établit définitivement. Trente ans plus tôt, R. Anderson avait montré, à partir de l’étude des défaillances des systèmes bancaires, que les fraudes procèdent rarement de la cryptanalyse : elles naissent d’erreurs de mise en œuvre et de défaillances d’organisation — du facteur humain (Anderson, 1993). Le vecteur de l’attaque d’août 2026, une usurpation d’identifiants légitimes plutôt qu’une prouesse technique, vérifie cette leçon trente-trois ans plus tard.
De ces deux enseignements procède la seule attitude intellectuellement honnête : la sécurité absolue est une utopie, le risque résiduel est systémique, et quiconque promet l’inviolabilité promet ce que la science ne sait pas démontrer. L’avertissement de mes confrères n’était pas une clause de style ; c’était une proposition épistémologiquement exacte. Si l’État lui-même — détenteur de la base patrimoniale la plus sensible du pays, doté de moyens sans commune mesure avec ceux d’un opérateur privé — ne parvient pas à garantir l’inviolabilité de ses systèmes, l’argument vaut a fortiori pour tout autre acteur.
Le droit, précisément, n’a jamais exigé l’impossible. Là où la science constate que la sécurité ne se prouve pas, la norme déplace l’objet de la preuve : non l’invulnérabilité du système, mais le caractère approprié des mesures — la diligence, qui, elle, se démontre. C’est tout le sens du cadre qu’il faut maintenant exposer.
III. Le cadre juridique et jurisprudentiel
Lorsqu’il collecte et traite les données fiscales, l’État agit comme responsable du traitement au sens de l’article 4, point 7, du règlement général sur la protection des données (RGPD), c’est-à-dire comme l’entité qui détermine les finalités et les moyens du traitement. La relation présente ici une singularité que la doctrine a justement soulignée : le contribuable ne choisit pas de confier ses données à l’administration, la loi l’y contraint sous peine de sanction — et cette contrainte, qui fonde le pouvoir de collecte, fonde corrélativement l’intensité de l’obligation de protection (en ce sens, A. Franchini, préc.).
Cette obligation s’articule autour de trois séries de textes. La première tient à la sécurité : le principe d’intégrité et de confidentialité (art. 5, § 1, f), le principe de responsabilité, qui impose au responsable d’être en mesure de démontrer sa conformité (art. 5, § 2), et l’exigence de « mesures techniques et organisationnelles appropriées » au risque (art. 24 et 32). Il ne s’agit pas d’une obligation de résultat : c’est une obligation de moyens — que l’on qualifie volontiers de renforcée —, appréciée in concreto et ex ante, au regard de l’état de l’art, de la nature des données, du contexte et de la gravité potentielle des conséquences (v. les conclusions de l’avocat général Pitruzzella du 27 avril 2023 sous l’affaire C-340/21). La formation restreinte de la CNIL en a donné, dans la délibération France Travail, une application remarquable : ni l’absence d’incident ne vaut preuve de conformité, ni la survenance d’une violation ne caractérise à elle seule le manquement — furent en revanche relevés un seuil de blocage des tentatives de connexion très supérieur aux recommandations, l’absence d’authentification multifacteur pourtant identifiée comme nécessaire, une journalisation insuffisamment exploitée et des habilitations trop larges. Le juge administratif pratique le même contrôle concret des mesures de sécurité (CE, 26 avril 2022, Optical Center, n° 449284).
La deuxième série organise la transparence de la défaillance. La « violation de données » est définie largement : le simple accès non autorisé suffit, sans qu’une extraction soit requise (art. 4, point 12). Le responsable doit la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures de sa prise de connaissance (art. 33), puis la communiquer aux personnes concernées, en termes clairs et simples, lorsqu’elle est susceptible d’engendrer un risque élevé : nature de la violation, point de contact, conséquences probables, mesures prises ou proposées (art. 34). C’est le sens des courriels que la DGFiP adresse actuellement aux personnes concernées.
La troisième série ouvre des droits : accès (art. 15), rectification (art. 16), réclamation auprès de l’autorité de contrôle (art. 77), recours juridictionnel (art. 79) et, surtout, réparation de tout dommage matériel ou moral causé par une violation du règlement (art. 82).
La Cour de justice de l’Union européenne (CJUE) a dessiné les contours de ce dernier texte avec une précision croissante. La réparation suppose la réunion de trois conditions cumulatives — violation, dommage, lien de causalité — et la seule méconnaissance du règlement n’ouvre pas droit à indemnisation (CJUE, 4 mai 2023, aff. C-300/21, Österreichische Post) ; aucun seuil de gravité ne peut toutefois être opposé à la victime (même arrêt), le dommage moral devant seulement être établi et distinct de la simple violation (CJUE, 14 décembre 2023, aff. C-456/22, commune d’Ummendorf (Gemeinde Ummendorf)) — solution sur laquelle la chambre sociale de la Cour de cassation s’est expressément alignée, en jugeant que la seule violation du règlement n’ouvre pas, à elle seule, droit à réparation (Cass. soc., 24 juin 2026, n° 24-22.792, publié au Bulletin). Surtout, dans une affaire remarquablement voisine de l’affaire française — le piratage de l’agence nationale des recettes publiques bulgare (Natsionalna agentsia za prihodite), dont les données de millions de contribuables avaient été publiées sur internet —, la Cour a jugé que la crainte d’un usage abusif futur de ses données peut, à elle seule, constituer un dommage moral réparable, dès lors que le juge la tient pour fondée au regard des circonstances propres à la personne concernée (CJUE, 14 décembre 2023, aff. C-340/21 ; adde CJUE, 20 juin 2024, aff. C-590/22, AT, BT c/ PS GbR). C’est le siège, en droit de l’Union, de ce que la tradition française nomme le préjudice d’anxiété. La perte de contrôle sur les données, même brève, peut également constituer un dommage moral — solution constamment réaffirmée depuis (CJUE, 25 janvier 2024, aff. C-687/21, MediaMarktSaturn ; adde CJUE, 4 octobre 2024, aff. C-200/23, Agentsia po vpisvaniyata) —, tandis que le risque purement hypothétique, lorsque nul tiers n’a pris connaissance des données, ne se répare pas (C-687/21, préc.). Enfin, la responsabilité de l’article 82 est une responsabilité pour faute dont la charge de la preuve est aménagée au bénéfice de la victime, à fonction purement compensatoire (CJUE, 11 avril 2024, aff. C-741/21, juris).
Deux arrêts du 20 juin 2024, dont J. Eynard a donné une synthèse éclairante (Open Lefebvre Dalloz, 3 juillet 2024), consolident et affinent cet édifice. Il n’existe aucune hiérarchie entre le préjudice moral et le préjudice matériel, et une compensation même minime peut être accordée dès lors qu’elle répare intégralement un préjudice dépourvu de gravité particulière (CJUE, 20 juin 2024, aff. jointes C-182/22 et C-189/22, Scalable Capital). Les critères de l’article 83 du RGPD, conçus pour les amendes administratives, ne sont pas transposables à l’évaluation des dommages-intérêts ; ni le degré de gravité ni le caractère éventuellement intentionnel de la violation ne sont des facteurs pertinents pour en déterminer le montant, dont les modalités d’évaluation relèvent du droit national, sous réserve des principes d’équivalence et d’effectivité (aff. C-590/22, préc.) — autant dire que l’indemnisation se mesurera au préjudice démontré, non à l’ampleur de la défaillance. La Cour réserve enfin au juge national la possibilité, à certaines conditions, d’accorder une réparation excédant la réparation complète de l’article 82 lorsque le dommage procède également de la méconnaissance de dispositions nationales de protection des données qui ne se bornent pas à préciser le règlement. La réparation pécuniaire n’épuise pas, au demeurant, les remèdes : la personne concernée peut également obtenir une injonction interdisant au responsable de réitérer pour l’avenir le traitement illicite, sans que le prononcé de cette mesure ne réduise les dommages-intérêts dus (CJUE, 4 septembre 2025, aff. C-655/23, Quirin Privatbank).
IV. La problématique juridique : ce que l’État devra prouver, ce que le contribuable pourra demander
A. La charge de la preuve, clef de voûte du contentieux. L’apport le plus décisif de l’arrêt C-340/21 tient à la répartition du fardeau probatoire : dans une action fondée sur l’article 82, c’est au responsable du traitement qu’il incombe de démontrer le caractère approprié de ses mesures de sécurité. La personne concernée n’a donc pas à reconstituer l’architecture informatique de l’administration ; elle n’a pas à prouver la défaillance technique — c’est au responsable de prouver sa diligence. On mesure ici la convergence remarquable entre l’épistémologie et le droit : puisque la sécurité ne se démontre pas, la norme n’exige la démonstration que de ce qui peut l’être, la diligence — mais elle l’exige vraiment, et de celui qui traite.
L’argument de la « sophistication » de l’attaque, invoqué par l’administration, trouve dans ce cadre sa juste mesure : recevable en son principe, il se démontre et ne se présume pas. La délibération France Travail fournit à cet égard une grille transposable : une attaque conduite au moyen de comptes légitimes n’est pas, par nature, indétectable, car l’usage frauduleux d’un identifiant régulier déplace l’anomalie vers le comportement du compte — horaires, fréquence des requêtes, volumes d’extraction étrangers à l’usage métier —, qu’une journalisation exploitée en continu a vocation à révéler. Or le dossier présente ici une fragilité que l’administration a elle-même reconnue : l’exfiltration n’a pas été détectée par ses dispositifs de surveillance, mais établie après coup, une fois l’attaque publiquement revendiquée. S’y ajoute un élément documenté que relève A. Franchini : selon une réponse ministérielle publiée au Journal officiel du 9 juin 2026, la DGFiP avait renforcé dès décembre 2025 la sécurité de ses services ouverts aux partenaires, en raison d’une activité de cybermalveillance intense, et déployé dès juin 2025 un second facteur d’authentification pour les usagers particuliers. Cet élément ne démontre par lui-même aucun manquement ; il établit en revanche que le risque visant les accès de tiers habilités était identifié de longue date — ce qui rend d’autant plus exigeante l’appréciation ex ante du caractère approprié des mesures, dont la preuve incombe au responsable.
La rigueur commande le garde-fou inverse : la Cour ne pose pas l’équation selon laquelle toute cyberattaque réussie caractériserait un manquement à l’article 32. Le seul fait que des données aient été soustraites ne suffit pas à établir l’inadéquation des mesures ; l’État conserve la faculté de démontrer qu’il avait déployé des mesures appropriées, mises en échec par une attaque victorieuse. Mais cette démonstration lui incombe, et elle repose sur des dispositifs réellement en place, non sur l’invocation abstraite d’une prouesse adverse. La question du calendrier participe du même débat : l’article 33 courant de la prise de connaissance d’un accès non autorisé — et non de la preuve d’une extraction —, l’administration devra expliquer en quoi la détection des intrusions et la coupure des comptes, plusieurs semaines avant la saisine de la CNIL, ne valaient pas déjà connaissance d’une violation.
B. Le fait du tiers et le fait du préposé. La défense spontanée — « nous sommes nous-mêmes victimes » — est exacte en fait, mais inopérante en droit si elle demeure seule. L’exonération de l’article 82, paragraphe 3, suppose que le responsable prouve que le fait dommageable ne lui est « en aucune manière » imputable (CJUE, 21 décembre 2023, aff. C-667/21, Krankenversicherung Nordrhein) ; la divulgation commise par un tiers ne suffit ni à établir le manquement ni à en exonérer (C-340/21) ; et le responsable ne peut se retrancher derrière la défaillance d’une personne agissant sous son autorité — l’agent dont les identifiants ont été compromis, précisément (C-741/21). Deux responsabilités coexistent ainsi sans se neutraliser : celle, pénale, de l’auteur de l’intrusion ; celle, réparatrice, du responsable qui devait sécuriser les données avant qu’elle ne survienne. La présence d’un tiers habilité parmi les comptes compromis appelle une précision supplémentaire, utilement rappelée par V. Simonnet dans une étude pratique consacrée à l’affaire (17 août 2026) : la demande se dirige contre le responsable du traitement — l’organisme qui a déterminé le traitement —, le sous-traitant n’étant tenu que s’il a méconnu les obligations que le règlement lui impose en propre ou agi en dehors des instructions licites reçues (art. 82, § 2) ; et lorsque plusieurs responsables ou sous-traitants ont participé au même traitement, chacun répond de l’entier dommage, à charge de recours entre eux (art. 82, § 4 et 5). La personne concernée n’a donc ni à répartir les fautes ni à localiser la défaillance : cette ignorance ne fragilise pas la demande, le règlement l’a précisément organisée pour garantir une réparation effective.
C. Le préjudice d’anxiété : établir la crainte, documenter le dommage. Pour des données fiscales, la question n’a rien d’abstrait. Le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source, combinés aux données cadastrales, révèlent le niveau de revenu, la composition du foyer et la consistance du patrimoine : une sollicitation frauduleuse mobilisant ces éléments exacts atteint un degré de crédibilité qui constitue un indice sérieux du caractère fondé de la crainte — laquelle demeure soumise à l’appréciation concrète du juge. La qualification s’emporte par la description circonstanciée, pièces à l’appui, non par l’invocation d’un trouble générique. Deux précisions récentes de la Cour renforcent d’ailleurs la position des personnes concernées. D’une part, la crainte peut être indemnisée alors même que la divulgation effective des données à des tiers ne serait pas établie, dès lors que la personne rapporte la preuve de cette crainte et de ses conséquences négatives (aff. C-590/22, préc.) — enseignement d’un intérêt immédiat pour la seconde revendication, cadastrale, encore en cours de vérification. D’autre part, si le vol de données ne constitue pas, par lui-même, un vol ou une usurpation d’identité, la réparation du dommage moral n’est nullement subordonnée à la survenance effective d’une telle usurpation (aff. C-182/22 et C-189/22, préc.) : le contribuable n’a pas à attendre que son identité soit exploitée pour que son préjudice soit réparable (sur l’ensemble, J. Eynard, préc.). La personne concernée conservera donc la notification individuelle reçue au titre de l’article 34, qui établit son appartenance au périmètre de la violation ; elle pourra exercer son droit d’accès afin d’obtenir la liste exacte des données la concernant qui ont été consultées ou extraites — démarche d’autant plus précieuse que la méconnaissance du droit d’accès ouvre, par elle-même, droit à réparation (CJUE, 19 mars 2026, aff. C-526/24, Brillen Rottler), mais qui doit demeurer motivée par la connaissance de sa situation : la Cour admet désormais qu’une demande introduite aux seules fins de créer les conditions d’une indemnisation puisse être qualifiée d’excessive (art. 12, § 5), la preuve de ce détournement incombant toutefois au responsable — ; elle archivera, horodatés, les messages d’hameçonnage postérieurs à la fuite et toute opération contestée. La pratique recommande en outre d’assortir la démarche de deux questions écrites — à quelle date le responsable a-t-il eu connaissance de la violation, et sur quels éléments établit-il le caractère approprié de ses mesures de sécurité —, dont le silence ou l’imprécision, au regard de la charge de la preuve, s’imputeront à lui seul ; de même, la demande indemnitaire préalable gagnera à être précisément chiffrée, seule une réclamation chiffrée liant utilement le contentieux ultérieur (V. Simonnet, préc.). Si une fraude se réalise, la difficulté se concentre sur le lien de causalité, les mêmes coordonnées circulant souvent dans plusieurs bases compromises ; le faisceau se resserre toutefois lorsque l’escroquerie mobilise une donnée que seul le fichier compromis contenait — un taux de prélèvement exact, une référence non publique —, tandis que le comportement de la victime peut, à l’inverse, rompre le lien lorsqu’il devient la cause déterminante du dommage (aff. C-526/24, préc.).
D. La singularité du contentieux dirigé contre l’État. L’option de for que l’article 79, paragraphe 2, ouvre d’ordinaire à la victime est expressément écartée lorsque le responsable est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique — ce qu’est, par excellence, le traitement fiscal. L’action indemnitaire relèvera donc, selon toute vraisemblance, du juge administratif, sur le terrain de la responsabilité de la puissance publique, la méconnaissance du RGPD s’analysant en faute de nature à engager la responsabilité de la personne publique (CAA Paris, 11 avril 2023, n° 22PA01320, rendu à propos d’un établissement public de santé, l’indemnisation y demeurant refusée faute de préjudice établi) — étant observé, par honnêteté, que la compétence pour une action fondée sur l’article 82 contre l’État n’a pas encore été expressément tranchée au sommet des ordres de juridiction. Le défendeur n’est pas « la DGFiP », direction dépourvue de personnalité juridique, mais l’État, représenté par le ministre chargé des comptes publics. Trois verrous procéduraux doivent être connus : la demande indemnitaire préalable chiffrée (art. R. 421-1 du code de justice administrative), le ministère d’avocat obligatoire (art. R. 431-2 du même code) et la prescription quadriennale des créances sur l’État (loi n° 68-1250 du 31 décembre 1968), plus brève que la prescription quinquennale de droit commun — délai sur lequel la prudence commande de raisonner.
La réclamation auprès de la CNIL (art. 77) se conduit en parallèle, gratuitement et sans ministère d’avocat ; sa valeur est essentiellement probatoire, un constat qualifié d’insuffisance des mesures pouvant nourrir tout dossier indemnitaire. Il faut toutefois en mesurer la limite : pour les traitements « mis en œuvre par l’État », la loi Informatique et Libertés exclut l’amende administrative comme l’astreinte (art. 20 de la loi n° 78-17 du 6 janvier 1978) — la sanction pécuniaire prononcée contre France Travail, personne morale distincte de l’État, ne se transpose donc pas. Quant à l’ampleur du contentieux, l’action de groupe issue de la loi n° 2025-391 du 30 avril 2025 paraît la voie la mieux proportionnée à une violation touchant des centaines de milliers de personnes : son champ inclut expressément les personnes morales de droit public, elle se porte devant l’ordre de juridiction compétent — administratif, s’agissant d’une mission régalienne (art. 16, I à XI, de la même loi, auxquels renvoie désormais l’article L. 77-10-1 du code de justice administrative) — et son introduction suspend la prescription des actions individuelles ; la qualité pour agir demeure réservée aux demandeurs qualifiés par la loi, au premier chef les associations agréées, la personne concernée y adhérant sans pouvoir l’initier, ce qui rend l’adhésion parfaitement compatible avec la constitution, en parallèle, d’un dossier individuel documenté.
Une dernière précision s’impose, car la question revient avec insistance : la violation est sans effet sur l’exigibilité de l’impôt. Les bases d’imposition procèdent de la déclaration souscrite par le contribuable, qui en conserve le double, et la charge de prouver l’inexactitude d’une imposition établie sur les bases déclarées pèse sur lui (art. R. 194-1 du livre des procédures fiscales) : suspendre unilatéralement un paiement exposerait aux majorations, sans fondement. Autre chose est la question de l’intégrité des données : l’article 32 ne protège pas la seule confidentialité mais aussi l’intégrité, et le principe de responsabilité impose au responsable d’être en mesure de démontrer qu’aucune altération n’est survenue — notamment pour les éléments qu’il calcule ou détient sans qu’ils procèdent d’une déclaration —, question que la doctrine croise justement avec la force probante de l’écrit électronique, subordonnée par l’article 1366 du code civil à la garantie de son intégrité (A. Franchini, préc.).
E. Les professionnels concernés et le volet répressif. La fuite touche également près de 286 000 professionnels, et la distinction mérite d’être opérée avec soin (V. Simonnet, préc.). Le règlement protège les personnes physiques : les données d’une société — raison sociale, numéro SIREN — ne constituent pas, comme telles, des données à caractère personnel ; et si la lettre de l’article 82, § 1, qui vise « toute personne », a conduit une partie de la doctrine à ne pas exclure l’action d’une personne morale, la Cour de justice ne s’est prononcée, à ce jour, qu’au profit de personnes physiques. L’entrepreneur individuel, l’artisan et le professionnel libéral, dont les données fiscales s’attachent à leur nom, disposent en revanche de l’action de l’article 82 comme tout particulier ; la société se placera plutôt sur le terrain de la faute de service devant le juge administratif, en établissant un préjudice propre — perte de confidentialité d’informations économiques, coûts de sécurisation — ; et le dirigeant conserve la faculté d’agir en son nom pour ses données personnelles.
Le volet répressif, enfin, doit être apprécié avec lucidité. Contre les auteurs de l’intrusion, l’accès et le maintien frauduleux dans un système de traitement automatisé de données, comme l’extraction frauduleuse de données, sont réprimés avec une aggravation — sept ans d’emprisonnement et 300 000 euros d’amende — lorsque le système est mis en œuvre par l’État (art. 323-1 et 323-3 du code pénal) ; la portée pratique de la plainte demeure toutefois suspendue à l’identification d’auteurs souvent hors d’atteinte. Contre le responsable du traitement lui-même, le code pénal réprime le défaut de mesures de sécurité (art. 226-17) comme le défaut de notification d’une violation (art. 226-17-1) ; mais la responsabilité pénale des personnes morales s’applique « à l’exclusion de l’État » (art. 121-2), de sorte que cette voie, dirigée contre l’administration, demeure largement théorique. L’action indemnitaire et la réclamation restent, en pareille hypothèse, les instruments effectifs.
V. Le miroir et la vigilance
Cette affaire n’appelle, en l’état, ni réquisitoire ni absolution. Nul ne peut affirmer aujourd’hui que l’État a manqué à ses obligations : l’appréciation appartient à la CNIL et, le cas échéant, au juge, au terme d’un débat dont l’objet est désormais clairement déplacé — non l’habileté de l’attaquant, mais la capacité du responsable du traitement à rapporter la preuve de sa propre diligence. Deux vérités coexistent et doivent être tenues ensemble : l’État est victime d’une infraction pénale ; l’État est débiteur d’une sécurité proportionnée au risque, dont la démonstration lui incombe. La science enseigne que la sécurité ne se prouve pas ; le droit, plus modeste et plus exigeant à la fois, ne demande que la preuve de la diligence — mais il la demande vraiment.
Pour les contribuables, la vigilance est immédiate, et elle procède directement de la nature des données exposées. Précisément parce que les éléments dérobés confèrent aux tentatives d’amorçage et d’hameçonnage — ces sollicitations frauduleuses, par courriel, message ou téléphone, destinées à obtenir identifiants, coordonnées bancaires ou paiements — une crédibilité inédite, un message citant votre véritable taux de prélèvement ou votre revenu fiscal de référence n’émane pas nécessairement de l’administration ; c’en est même, désormais, un motif de circonspection. L’administration a précisé que son courriel de notification ne contient aucun lien, que ses adresses relèvent du domaine @dgfip.finances.gouv.fr et que ses sites se terminent en .gouv.fr ; de faux messages imitant cette alerte circulent déjà. On ne communiquera donc jamais identifiants, mots de passe ou coordonnées bancaires en réponse à une sollicitation ; on ne cliquera aucun lien reçu ; on vérifiera toute demande par ses propres canaux — l’espace personnel, les coordonnées officielles — ; on conservera, horodatés, les messages suspects et on les signalera aux plateformes officielles ; on surveillera ses comptes et l’on contestera sans délai toute opération inconnue. Ces gestes modestes sont aussi des actes juridiques : ils documentent, le cas échéant, le préjudice.
Reste la réflexion, que je laisse ouverte. Le monde digital symbolise l’efficacité et la perfection auxquelles l’humain rêve de parvenir ; comme un miroir, il lui renvoie ses fragilités et ses fractures — à l’image de l’humain lui-même. Et peut-être qu’en lieu et place de nous réunir en visioconférence, nous redécouvrirons le plaisir de nous retrouver dans une salle de réunion, autour d’un café, les téléphones en mode avion déposés à l’accueil, agendas et stylos sur la table, pour prendre le « temps » de travailler ensemble — cet « ennemi » du monde digital, prometteur d’efficacité et de célérité, dont nous sommes tous, en quelque sorte, bénéficiaires et victimes.
S.ASSOGNA
Le cabinet a le plaisir de contribuer à l’information juridique et de partager l’actualité. Ces écrits ne se substituent en aucun cas au conseil juridique de l’avocat, spécialement en droit fiscal, où les caractéristiques propres de chaque situation personnelle, professionnelle et patrimoniale peuvent conduire à des conclusions différentes. Le lecteur est invité à me contacter pour toute observation ou réflexion.
Références :
Doctrine et études. A. Franchini, « Fuite de données à la DGFiP (Direction générale des finances publiques) : ce que l’État devra prouver », Village de la Justice, 20 août 2026, www.village-justice.com/articles/fuite-donnees-dgfip-que-etat-devra-prouver,58696.html ; J. Eynard, « Indemnisation d’une violation du RGPD : la CJUE confirme sa jurisprudence », Open Lefebvre Dalloz, 3 juillet 2024, open.lefebvre-dalloz.fr/actualites/droit-affaires/indemnisation-violation-rgpd-cjue-confirme-jurisprudence_f4159e1f0-20d2-4a8d-93e5-d83f8b7a65c9 ; V. Simonnet, « Fuite de données personnelles : comment obtenir des dommages et intérêts », 17 août 2026, www.simonnetavocat.fr/fuite-de-donnees-personnelles-comment-obtenir-des-dommages-et-interets ; C. Herley, « Unfalsifiability of security claims », Proceedings of the National Academy of Sciences (PNAS), 2016, vol. 113, n° 23, p. 6415-6420 ; R. Anderson, « Why Cryptosystems Fail », Proceedings of the 1st ACM Conference on Computer and Communications Security, 1993, p. 215-227.
Textes. Règlement (UE) 2016/679 (RGPD), art. 4, 5, 12, 15, 16, 24, 32, 33, 34, 77, 79 et 82 ; loi n° 78-17 du 6 janvier 1978, art. 20 ; loi n° 71-1130 du 31 décembre 1971, art. 66-5 ; code pénal italien (codice penale), art. 622 ; code pénal, art. 121-2, 226-17, 226-17-1, 323-1 et 323-3 ; code civil, art. 1366 ; livre des procédures fiscales, art. R. 194-1 ; code de justice administrative, art. R. 421-1, R. 431-2, L. 77-10-1 et s. ; loi n° 68-1250 du 31 décembre 1968 ; loi n° 2025-391 du 30 avril 2025, art. 16, et décret n° 2025-734 du 30 juillet 2025.
Jurisprudence de l’Union. CJUE, 4 mai 2023, aff. C-300/21, Österreichische Post ; CJUE, 14 décembre 2023, aff. C-340/21, Natsionalna agentsia za prihodite (et concl. av. gén. Pitruzzella, 27 avril 2023) ; CJUE, 14 décembre 2023, aff. C-456/22, Gemeinde Ummendorf ; CJUE, 21 décembre 2023, aff. C-667/21, Krankenversicherung Nordrhein ; CJUE, 25 janvier 2024, aff. C-687/21, MediaMarktSaturn ; CJUE, 11 avril 2024, aff. C-741/21, juris ; CJUE, 20 juin 2024, aff. C-590/22, AT, BT c/ PS GbR ; CJUE, 20 juin 2024, aff. jointes C-182/22 et C-189/22, Scalable Capital ; CJUE, 4 octobre 2024, aff. C-200/23, Agentsia po vpisvaniyata ; CJUE, 4 septembre 2025, aff. C-655/23, Quirin Privatbank ; CJUE, 19 mars 2026, aff. C-526/24, Brillen Rottler.
Jurisprudence et décisions internes. CE, 26 avril 2022, Optical Center, n° 449284 ; CAA Paris, 11 avril 2023, n° 22PA01320 ; Cass. soc., 24 juin 2026, n° 24-22.792 ; CNIL, délibération SAN-2026-003 du 22 janvier 2026, France Travail.
Sources officielles. Ministère chargé des comptes publics, communiqué n° 953 du 14 août 2026 ; réponse ministérielle, JOAN 9 juin 2026 (QE n° 13370).
