Société 4 min de lecture Par Pauline Delorme
Piratage du fisc : la CNIL va contrôler la DGFiP et l'ANTS
Après le vol de données personnelles de près de 700 000 personnes cet été, la CNIL annonce l'envoi d'équipes au sein de la Direction générale des finances publiques et de l'Agence nationale des titres sécurisés. Un audit de l'Anssi est déjà en cours.
La présidente de la Commission nationale de l'informatique et des libertés (CNIL), Marie-Laure Denis, a annoncé jeudi l'envoi prochain d'équipes de contrôle au sein de la Direction générale des finances publiques (DGFiP). Cette décision fait suite aux intrusions informatiques qui ont touché l'administration fiscale durant l'été 2026 et entraîné le vol de données personnelles concernant près de 700 000 personnes.
« J'ai demandé aux équipes de la Cnil de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques », a déclaré Marie-Laure Denis dans un entretien accordé à l'émission « Cash Investigation » diffusée sur France 2. Le contrôle doit permettre à l'autorité de protection des données d'établir les circonstances exactes des incidents et d'évaluer les mesures de sécurité mises en place par l'administration fiscale.
Au-delà du constat, la CNIL entend tirer toutes les conséquences de ses vérifications. « Il nous paraît important de comprendre ce qui s'est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences : soit une mise en demeure d'ici la fin de l'année, soit une orientation vers une sanction », a précisé la présidente de l'autorité. Une limite juridique encadre toutefois la portée de cette procédure : en tant qu'administration, l'État ne peut pas se voir infliger d'amende par la CNIL.
Le contrôle ne se limitera pas à la DGFiP. L'Agence nationale des titres sécurisés (ANTS), qui gère notamment les pièces d'identité, sera également inspectée. Cette administration a subi en avril une attaque informatique ayant conduit au vol de données concernant près de 12 millions de particuliers et de professionnels. Pour Marie-Laure Denis, l'enjeu dépasse la seule dimension technique : « L'État a un devoir d'exemplarité particulier. Ça fait partie justement du contrat de confiance entre l'État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l'État. »
Cette annonce intervient alors que la cybersécurité de la DGFiP fait déjà l'objet d'un examen distinct. En août, le Premier ministre Sébastien Lecornu a demandé à l'Agence nationale de sécurité des systèmes d'information (Anssi) de conduire un « audit approfondi » après le vol de données subi par l'administration fiscale. Deux procédures parallèles sont donc en cours : l'une pilotée par l'Anssi sur le volet strictement technique de la sécurité des systèmes, l'autre par la CNIL sur la protection des données personnelles et le respect du cadre légal.
Le Parlement s'est également saisi du dossier. Une note du président et du rapporteur de la commission des Finances du Sénat estime que ce piratage a mis au jour « plusieurs fragilités structurelles des systèmes d'information » de la DGFiP ainsi que des « lacunes dans les contrôles réalisés à la suite de ces incidents ». Ces conclusions parlementaires rejoignent les préoccupations exprimées par la CNIL quant à la robustesse des dispositifs de protection et à la capacité de l'administration à détecter et à traiter les intrusions.
Les conclusions du contrôle de la CNIL détermineront désormais la suite de la procédure. L'autorité pourra opter pour une mise en demeure, qui fixe des obligations à respecter dans un délai déterminé, ou orienter le dossier vers une procédure de sanction. Cette décision est attendue d'ici la fin de l'année. Pour les près de 700 000 personnes dont les données ont été dérobées, comme pour les millions d'usagers des services de l'État, l'issue de ces contrôles croisés doit permettre de mesurer l'ampleur des failles et les correctifs qui seront apportés à la sécurisation des données personnelles détenues par les administrations françaises.
