Fuite de données de la DGFiP : « Mes clients ont subi un préjudice de perte de contrôle de leurs données »

Profitant notamment d’une faille dans la gestion des identités permettant d’accéder aux services numériques de la Direction générale des finances publiques (DGFiP), des malfaiteurs ont pillé des informations sur 350 000 particuliers et 250 000 professionnels. L’affaire a été révélée par les services de l’Etat à la mi-août 2026, en même temps qu’une autre fuite concernant cette fois les données cadastrales de 1,8 millions de dossiers.

Jérémy Roche, avocat au barreau de Béziers, a entrepris de représenter plusieurs milliers de victimes pour faire condamner les défaillances de l’administration. Il répond aux questions du JSS.

Journal Spécial des Sociétés : À quel point cette fuite de données est-elle inédite ?

Jérémy Roche : Des fuites de données ont lieu très régulièrement, y compris avec des administrations publiques. Ce qui rend celle-ci particulière est, d’une part, son ampleur, avec des centaines de milliers de victimes, et d’autre part son objet. Les données fiscales n’avaient jamais été ciblées à un tel niveau. L’écho médiatique témoigne d’ailleurs de l’importance de cette fuite.

JSS : Comment savoir si l’on est concerné ?

J.R. : L’article 34 du RGPD impose à tout responsable de traitement qui a subi un vol d’informer les personnes ciblées. Tous les contribuables concernés ont donc été alertés par la DGFIP en août, c’est la première condition pour agir. Les victimes ont quatre ans pour se manifester mais nous n’attendrons pas quatre ans pour avancer.

JSS : Combien de victimes vous ont contacté pour être représentées ?

J.R. : À ce jour, 3500 personnes ont pris attache avec mon cabinet, en majorité des particuliers mais aussi quelques entreprises, surtout des SCI. Certaines personnes sont à ce titre doublement touchées. Cela va permettre de mener tous les dossiers de manière coordonnée.

Il ne s’agira pas d’une procédure collective à proprement parler, puisque celles-ci doivent être portées par une organisation de cinq ans d’ancienneté, comme une association, mais d’une somme d’actions individuelles. Une action collective de facto, en quelque sorte, puisque le corps des dossiers sera le même pour tous les clients. Cela permet surtout de mutualiser les frais d’avocat et de rendre opportune l’action en justice pour les victimes.

JSS : C’est-à-dire ?

J.R. : Comme les indemnités sont strictement compensatoires et non punitives, les montants dans ce genre de dossiers ne sont pas très importants, de l’ordre de quelques centaines d’euros. Il faut être clair : personne ne deviendra riche à l’issue de cette procédure. Il est néanmoins important que cela ne reste pas sans suite, or c’est trop souvent le cas après des fuites de données puisque le rapport entre l’indemnité possible et le coût engagé n’est pas intéressant. Aujourd’hui, le risque judiciaire se trouve en défaveur des victimes.

JSS : Quel préjudice entendez-vous défendre ?

J.R. : Ils peuvent être de plusieurs ordres. Les tentatives d’arnaques ou de cambriolages concernent une petite minorité de victimes, mais cela pourrait augmenter à l’avenir. Les malfaiteurs ont en effet tout intérêt à faire profil bas et d’exploiter les données volées ultérieurement. Plus largement en revanche, j’estime que tous mes clients ont subi un préjudice d’anxiété et de perte de contrôle de leurs données.

JSS : Comment le démontrer ?

J.R. : Il me semble très difficile d’affirmer que les victimes n’ont subi aucun préjudice alors que leurs données fiscales ont fuité. Leur anxiété se lit dans leur inquiétude exprimée aux services de l’Etat et à leur banque ou à l’installation de système de vidéosurveillance à leur domicile. Pour certaines professions, comme policier ou magistrat, la fuite des coordonnées prend une portée encore plus significative.

J’entends mobiliser toutes les preuves démontrant l’angoisse générée. L’administration répondra sûrement que ce n’est rien et qu’il n’y a pas de préjudice : je leur demanderai alors de publier toutes les données fiscales si elles ne sont pas si importantes. Je suis optimiste même si je ne dis pas pour autant que ce sera facile.

JSS : Car la jurisprudence en la matière est maigre…

J.R. : C’est vrai, mais les textes permettent sur le principe d’être indemnisé. Les précédents sont rares car trop peu de procédures sont engagées après des fuites. Cela se retrouve ensuite dans le peu de condamnations. Les victimes sont mal informées, elles ne savent souvent pas qu’un recours est possible et qu’elles n’ont pas qu’à changer leur mot de passe après une attaque. Et quand des poursuites sont lancées, il s’avère difficile de faire condamner même quand une négligence met en danger ses clients.

JSS : Indemnités non punitives, Etat non responsable pénalement et immunisé contre les amendes de la Cnil… Faudrait-il changer la loi pour plus de responsabilisation, aussi bien dans le public que dans le privé ?

J.R. : Pas nécessairement. Les textes offrent des outils, encore faut-il les appliquer. Le Code pénal donne par exemple les moyens de poursuivre un responsable de traitement qui a manqué à ses devoirs de protection des données. Il faut développer ce contentieux, pas la loi. Nous parlons tout de même du RGPD, un texte de 2016. Il est temps de l’appliquer sérieusement après dix ans. Puis, au fond, ces textes de loi donnent des réponses en termes de poursuite mais pas de prévention. La question urgente est d’inciter les acteurs à agir pour la protection des données.

JSS : Justement, cette affaire n’illustre-t-elle pas un manque de sérieux généralisé quant à la cybersécurité ?

J.R. : Un changement de culture apparaît nécessaire. Ces sujets ne doivent pas se jouer dans les tribunaux mais en amont pour couper le robinet des fuites. Les responsables de traitement de données, publics comme privés, doivent prendre conscience de l’importance d’investir dans leur cybersécurité. C’est pour cela que ces procédures sont importantes. Renforcer leur protection des données doit être plus intéressant que de faillir à leurs impératifs.