La CNIL saisit la DGFiP après des intrusions informatiques de l'été
La présidente de la Commission nationale de l'informatique et des libertés (CNIL), Marie-Laure Denis, a annoncé qu'elle enverrait ses équipes « dans les tout prochains jours » au sein de la Direction générale des finances publiques (DGFiP) pour y conduire un contrôle à la suite d'intrusions informatiques survenues durant l'été et ayant engendré le vol de données personnelles de près de 700 000 personnes.
La démarche vise à comprendre les causes de ces compromissions et à tirer « toutes les conséquences » des constats qui seront établis, a précisé la présidente de l'autorité de protection des données, lors de l'émission Cash Investigation diffusée le 10 septembre. Selon ses termes, l'issue du contrôle pourrait être soit une mise en demeure d'ici la fin de l'année, soit une orientation vers une sanction.
« J’ai demandé aux équipes de la CNIL de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques »
Contexte et implications pour l'administration fiscale
Les attaques ciblant des administrations n'ont pas été isolées. La présidente de la CNIL a indiqué avoir demandé par ailleurs un contrôle de l'Agence nationale des titres sécurisés (ANTS), qui avait été visée en avril avec le vol des données de près de 12 millions de particuliers et de professionnels. Elle a rappelé que l'État a un devoir d'exemplarité en matière de protection des données.
Pour la DGFiP, l'ouverture d'un contrôle de la CNIL signifie un examen rapproché des mesures techniques et organisationnelles mises en place pour sécuriser les données fiscales et personnelles qu'elle détient. Ce contrôle devra établir si les traitements respectent les obligations du Règlement général sur la protection des données (RGPD) et les prescriptions nationales applicables aux administrations.
Que peut décider la CNIL ?
- Contrôle sur site : vérification des dispositifs de sécurité, des journaux d'incidents et des processus de gouvernance des données.
- Constats : identification des éventuelles failles et manquements aux obligations de sécurité et de déclaration.
- Suites possibles : mise en demeure, recommandations ou orientation vers une sanction administrative. Pour l'État, la palette de sanctions financières est limitée, mais la CNIL peut formuler des injonctions et des demandes de mise en conformité.
Conséquences pour les personnes concernées
Le vol de données de près de 700 000 personnes soulève des risques concrets (usurpation d'identité, fraudes liées aux informations fiscales). Le contrôle de la CNIL vise à établir les responsabilités et à obtenir des mesures correctrices susceptibles d'améliorer la protection des données des contribuables à court et moyen terme.
| Événement | Chiffres cités |
|---|---|
| Vol de données à la DGFiP (été) | ~700 000 personnes |
| Vol de données à l'ANTS (avril) | ~12 000 000 personnes |
Enjeux pour la confiance et la gouvernance
Au-delà des aspects techniques, ce contrôle revêt une dimension politique et institutionnelle : il s'agit de préserver le contrat de confiance entre l'État et les administrés. La CNIL rappelle implicitement que les administrations doivent se conformer aux standards de protection des données, sous peine de devoir mettre en oeuvre des mesures correctrices rapides et visibles.
Le contrôle imminent de la DGFiP par la CNIL marque une étape importante dans le traitement des incidents de l'été : il doit permettre de clarifier les responsabilités, d'exiger des remédiations et, le cas échéant, d'engager des suites administratives adaptées aux manquements constatés.
