Ce jeudi 10 septembre 2026, France 2 a diffusé un reportage de Cash Investigation consacré à l’explosion des cyberattaques en France. L’enquête se penche sur « la responsabilité des entreprises et des administrations » françaises, et sur les mesures prises pour éviter les fuites de données.
Dans le cadre du reportage, nos confrères ont interrogé Marie-Laure Denis, la présidente de la Commission nationale de l’informatique et des libertés (CNIL), l’autorité chargée de protéger les données des Français. Dans l’émission, elle révèle que ses équipes vont se pencher sur le piratage de la Direction générale des Finances publiques (DGFiP), qui s’est soldé par trois fuites de données consécutives cet été. Les fuites ont abouti au vol d’une montagne de données personnelles au sujet de 700 000 contribuables.
À lire aussi : Arnaques aux impôts – de fausses lettres de la DGFiP inondent les boîtes aux lettres des Français
La CNIL va contrôler la DGFiP « dans les tout prochains jours »
La présidente révèle que les « équipes de la CNIL » vont « se rendre dans les tout prochains jours dans les locaux de la direction générale des finances publiques ». L’enquête vise à déterminer si l’administration fiscale avait pris les dispositions nécessaires pour protéger les données personnelles en sa possession. Sur la base des découvertes réalisées par ses agents, la CNIL se réserve le droit de sanctionner la Direction générale des Finances publiques.
« Il nous paraît important de comprendre ce qui s’est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences », explique Marie-Laure Denis, évoquant la possibilité d’une « mise en demeure d’ici la fin de l’année » ou d’une « orientation vers une sanction ».
L’autorité va mener un contrôle sur place dans les locaux du fisc pour examiner dans les détails comment les données étaient stockées et sécurisées. L’enjeu principal est de déterminer s’il y a eu un manquement aux obligations de sécurité imposées par le RGPD, le Règlement Général sur la Protection des Données, entré en vigueur en Europe en 2018.
À l’issue de l’enquête, la CNIL peut mettre l’administration en demeure de corriger les failles dans un délai imparti ou engager une procédure de sanction. Toutefois, contrairement à une entreprise privée, l’État ne peut pas recevoir d’amende administrative de la part de la CNIL. Pour rappel, les sénateurs chargés du dossier évoquent déjà des « fragilités structurelles » dans les systèmes d’information de la DGFiP, ainsi que des lacunes dans les contrôles réalisés après les incidents survenus cet été. Les sénateurs soulignent notamment que certaines données sensibles n’étaient même pas protégées par la double authentification.
« L’Etat a un devoir d’exemplarité particulier. Ça fait partie justement du contrat de confiance entre l’Etat et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l’Etat », déclare Marie-Laure Denis.
Ce n’est pas tout. La CNIL va également se pencher sur les systèmes de l’Agence nationale des titres sécurisés, qui a été victime d’une cyberattaque plusieurs mois plus tôt, en avril 2026. Des données personnelles très sensibles ont été dérobées, dont l’état civil, des identifiants de connexion, des numéros d’habilitation, des adresses postales et des numéros de téléphone. Selon le ministère de l’Intérieur, la fuite a touché 11,7 millions de Français. Là encore, l’agence pourrait être mise en demeure ou écoper d’une sanction.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
