Plusieurs centaines de personnes touchées par le vol massif de données de la Direction générale des Finances publiques ont rejoint une action collective contre l'État, dans l'espoir d'obtenir une indemnisation.
L'affaire avait éclaté à la mi-août, après que la DGFiP eut confirmé deux intrusions dans son système d'information, survenues à la fin des mois de juin et de juillet. Les pirates avaient utilisé les identifiants usurpés d'un agent de l'administration fiscale et d'un tiers habilité. L'ampleur du vol n'a pu être établie qu'après les revendications d'un acteur malveillant, les 12 et 13 août.
Au moins 678 000 particuliers et professionnels sont concernés. Parmi les données dérobées figurent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, ainsi que, pour les entreprises, la raison sociale et le numéro SIREN. Des informations cadastrales — adresses et surfaces de biens immobiliers — ont également été consultées. Les espaces personnels des usagers sur le site des impôts et leurs identifiants n'ont pas été compromis, selon l'administration.
L'action collective est portée par Me Jérémy Roche, avocat au barreau de Béziers spécialisé en protection des données personnelles. Elle s'appuie sur l'article 82 du Règlement général sur la protection des données, qui ouvre un droit à réparation en cas de dommage matériel ou moral lié à une violation du règlement. Encore faut-il établir que l'État a manqué à ses obligations de sécurité.
Le préjudice invocable varie selon les situations : perte de contrôle sur des données personnelles, anxiété liée à leur diffusion, temps et dépenses engagés pour sécuriser sa situation. Les informations volées pourraient alimenter des tentatives d'escroquerie ciblées — hameçonnage, usurpation d'identité, fausses demandes de paiement. Me Roche reconnaît lui-même que la jurisprudence reste limitée sur l'indemnisation de ce type de préjudice moral.
La question centrale sera de déterminer si la responsabilité de l'État peut être engagée, et dans quelle mesure les préjudices subis pourront donner lieu à réparation.
6 commentaires
@Sandrine, tu soulèves quelque chose d'important. Moi j'ai ma boutique à Saint-Louis, numéro SIREN, revenus déclarés, tout ça dans les fichiers volés. Ce qui m'inquiète c'est les faux mails qui vont arriver en se faisant passer pour les impôts, parce que mes clientes âgées elles cliquent sur tout. J'en ai déjà parlé avec ma comptable, on va devoir prévenir les gens, encore du temps perdu alors que le loyer lui il attend pas.
Le truc qui me frappe c'est que l'info a éclaté uniquement parce que le pirate a revendiqué l'attaque. Sans ça, on saurait pas. La transparence lé pa fasil apparemment pour nos administrations. En com' de crise c'est exactement ce qu'il ne faut pas faire, subir le narratif plutôt que le maîtriser.
Est-ce que les non-résidents fiscaux ou les personnes qui ont des revenus déclarés en France mais vivent à La Réunion sont aussi concernés par l'action collective ? Je pose la question parce que notre gîte génère des revenus déclarés ici et je ne sais pas si on fait partie des 678 000.
L'État sous-traite la sécurité informatique au moins-disant, laisse des identifiants d'agents utilisables par des pirates, et après on nous parle de "tiers habilité" pour diluer la responsabilité. C'est toujours pareil. Quand ça merde c'est un problème technique, quand ça marche c'est grâce au management. Les 678 000 victimes elles ont pas demandé à confier leurs données, elles y sont obligées par la loi fiscale. Alé, bonne chance à l'avocat de Béziers.
Ce qui m'interroge c'est la présence du taux de prélèvement à la source dans les données volées. Avec ça et le revenu fiscal de référence, quelqu'un peut reconstituer une estimation assez précise du revenu net d'un foyer. Pour un professionnel, ça donne aussi des éléments sur sa structure. Je vais vérifier si mes clients ont été notifiés par la DGFiP, parce que l'administration a l'obligation de les informer sous le RGPD.
Ces données volées c'est pas rien, les numéros SIREN des entreprises par exemple, ça circule vite. Dans le fret et l'import-export on sait ce que ça coûte quand une boîte se fait usurper son identité, des partenaires à Maurice ou à Madagascar qui reçoivent de fausses demandes de virement au nom de votre société, c'est des mois de contentieux. L'État doit répondre de ça, pas juste envoyer un mail d'excuses.