Piratage de la DGFiP : la CNIL lance un contrôle sur place au fisc

Ce que l'administration a reconnu

Le ministère de l'Économie a rendu l'incident public le 14 août 2026, selon la CNIL. Celle-ci a publié le 18 août une information indiquant avoir été notifiée de violations de données affectant le système d'information de la DGFiP, et précisant qu'« il n'est pas nécessaire de saisir la CNIL d'une plainte individuelle à ce sujet ».

La CNIL détaille les catégories de données concernées : revenu de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale d'entreprises, ainsi que des données cadastrales, adresses et surfaces de biens immobiliers. Les identifiants et mots de passe ne seraient pas concernés.

Sur le volume, les chiffres diffèrent selon les sources : Solutions Numériques rapporte 678 000 particuliers et professionnels concernés d'après le ministère de l'Économie, quand Le Journal du Net et Génération-NT évoquent près de 700 000 personnes. Les accès illicites se sont produits au cours de l'été, en juin et juillet 2026 selon Le Journal du Net.

Un contrôle qui peut déboucher sur une mise en demeure

L'annonce du contrôle a été faite lors de l'émission « Cash Investigation » diffusée le 10 septembre sur France 2. Marie-Laure Denis y déclare : « J'ai demandé aux équipes de la CNIL de se rendre dans les tout prochains jours dans les locaux de la direction générale des finances publiques ». L'objectif, tel que la CNIL le formule dans sa publication du 18 août, est de vérifier si les mesures de sécurité en place sont conformes à l'état de l'art de la sécurité informatique.

La présidente de l'autorité évoque deux suites possibles : « soit une mise en demeure d'ici la fin de l'année (…), soit une orientation vers une sanction ». Elle rappelle que la CNIL ne peut pas infliger d'amende à l'État, contrairement aux entreprises privées. L'Agence nationale des titres sécurisés fait par ailleurs l'objet d'un contrôle après une attaque survenue en avril, qui a touché 12 millions de personnes selon Le Journal du Net.

Pourquoi c'est important

Le périmètre compromis est celui des données fiscales détenues par la DGFiP, pas celui des flux de facturation électronique : aucune source consultée n'établit de lien entre cet incident et les plateformes agréées. La distinction mérite d'être tenue. Elle n'efface pas la question de fond pour un dirigeant ou un DSI : depuis le 1er septembre 2026, toutes les entreprises assujetties reçoivent leurs factures via une plateforme agréée, et leurs données de transaction remontent vers l'administration. La confiance accordée à ce circuit devient un paramètre de gouvernance. La Revue du Digital rapportait dès le 22 août que des voix, dont celle du maire de Cannes David Lisnard et du sénateur Vincent Louault, réclamaient un report de la réforme au motif de la sécurité des données publiques. À ce stade, aucun report n'est acté : le calendrier reste celui du 1er septembre 2027 pour l'obligation d'émission des TPE-PME.

Ce que ça change pour votre projet ERP

Trois actions concrètes. D'abord, cartographiez ce qui sort réellement de votre ERP vers votre plateforme agréée et vers l'administration : factures, e-reporting, données de paiement. Ensuite, exigez de votre éditeur et de votre plateforme les preuves demandées par la réglementation : Compta Online rappelle, en s'appuyant sur le décret n° 2026-677 du 27 juillet 2026, que les plateformes agréées doivent justifier d'une certification ISO/IEC 27001 en cours de validité et, en cas d'hébergement cloud, d'une qualification SecNumCloud de l'ANSSI. Enfin, vérifiez les clauses de sous-traitance et de notification de violation dans votre contrat : la responsabilité de responsable de traitement ne se délègue pas, et l'asymétrie rappelée par la CNIL — l'État n'est pas sanctionnable financièrement, votre entreprise l'est — doit être intégrée à votre analyse de risque. Ces points se traitent en amont, au moment de la négociation du contrat et dans le cadre plus large de la gouvernance des données.