Piratage DGFiP : quelle indemnisation demander à l'État

Aucune indemnisation ne découle automatiquement du piratage DGFiP. Le courrier reçu depuis le 17 août 2026 exécute l'obligation d'information de l'article 34 du RGPD : il décrit les données volées, il ne reconnaît aucune dette. Le fondement spécifique d'une réparation reste l'article 82 du RGPD, et il exige trois choses réunies, une violation, un dommage réel et un lien entre les deux. Le chemin passe donc par une réclamation adressée à l'administration, puis par le tribunal administratif si elle est refusée.

Six cent soixante-dix-huit mille, répète la presse depuis le communiqué du 14 août. Ce chiffre ne désigne pourtant pas le nombre de particuliers touchés. La foire aux questions officielle du 24 août en compte un peu plus de 350 000 pour les données fiscales des particuliers. La FAQ jumelle destinée aux entreprises en ajoute un peu plus de 250 000. Les deux comptes réunis n’atteignent pas le total annoncé, et aucun document officiel n’explique l’écart. Le 14 août, Bercy indiquait d’ailleurs que les investigations se poursuivaient pour déterminer le nombre d’usagers concernés. Les données cadastrales, elles, relèvent d’un périmètre distinct, touché en parallèle. Quand le premier chiffre d’un dossier circule déjà de travers, les promesses de réparation qui l’accompagnent méritent le même examen.

Ce que la notification du piratage DGFiP dit, et ce qu’elle ne promet pas

L’État n’est pas une assurance. Il est ici le responsable d’un traitement de données à caractère personnel, avec les obligations de protection des données qui vont avec, et rien de plus. La lettre reçue n’est donc ni un constat de faute, ni une reconnaissance de dette, ni le premier versement d’une compensation. Le fisc t’écrit parce qu’un texte l’y oblige, pas parce qu’il te doit quelque chose.

Le piratage DGFiP touche un peu plus de 350 000 particuliers, pas 678 000

Les faits sont datés et publics. Des accès frauduleux au système d’information de la direction générale des finances publiques sont intervenus en juin, juillet et août 2026 selon la FAQ destinée aux particuliers, la FAQ des professionnels retenant juin et juillet 2026. Le communiqué évoque une usurpation : les identifiants d’un agent de la DGFiP, et ceux d’un tiers habilité. Ces accès ont servi de porte d’entrée à la cyberattaque, et un agent public peut se faire usurper son compte sans le savoir. L’administration parle donc d’accès illégitime, pas d’intrusion dans les comptes des usagers. L’administration fiscale découvre le vol de données les 12 et 13 août. Elle saisit la CNIL, puis publie un communiqué le 14 août. Ce texte annonce 678 000 particuliers et professionnels, ainsi qu’un dépôt de plainte à venir. Les FAQ du 24 août confirment ensuite le dépôt.

Dix jours plus tard, les FAQ officielles ont ventilé ce total. La lecture précise change ta position de départ, puisqu’un dossier se construit sur des faits vérifiables et non sur un chiffre de titre.

L’article 34 du RGPD informe, il n’ouvre aucun droit à réparation

Le message reçu le cite lui-même. L’article 34 du RGPD oblige le responsable du traitement à communiquer la violation aux personnes concernées quand elle engendre un risque élevé pour leurs droits et libertés. Cette obligation porte sur quatre éléments : la nature de la violation décrite en termes clairs et simples, le point de contact auprès duquel obtenir des informations supplémentaires, les conséquences probables, et les mesures prises ou recommandées.

Aucun de ces éléments ne ressemble à une indemnité. Les personnes concernées reçoivent une information, par courriel ou par courrier, pas une offre. Autrement dit, recevoir la notification prouve que tu es concerné, pas que tu es créancier. C’est la confusion la plus coûteuse du moment, parce qu’elle pousse à attendre un versement qui ne viendra jamais tout seul.

Ce qui n’a pas fuité pèse autant que ce qui a fuité

La FAQ dit sans détour quelles données ont été consultées ou extraites. La liste est précise : identifiant fiscal, état civil, coordonnées postales, téléphoniques et électroniques, situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source, ainsi que la liste des messages échangés avec l’administration. Le communiqué du 14 août cite de son côté le quotient familial. Des données cadastrales portant sur les adresses et les surfaces de biens immobiliers ont également été consultées.

En revanche, les espaces personnels Finances publiques n’ont pas été compromis. Le pirate n’a obtenu ni les mots de passe des usagers, qui ne figurent pas parmi les données dérobées, ni les pièces jointes des messageries, que la FAQ indique ne pas avoir été consultées. Certaines données restent donc hors de cette fuite de données. Cette frontière compte pour la suite : elle borne le préjudice que tu pourras décrire, et elle disqualifie d’avance les courriers qui affirmeraient que ton compte fiscal a été piraté.

Ce n’est d’ailleurs pas le premier épisode de l’année chez le même responsable de traitement. Entre fin janvier et le 13 février 2026, des consultations illégitimes ont visé le fichier national des comptes bancaires FICOBA. Le communiqué officiel du 18 février 2026 chiffre l’accès à environ 1,2 million de comptes. L’état civil, l’adresse postale et les coordonnées bancaires y figuraient.

Trois incidents en sept mois chez la même administration

Un troisième épisode a suivi. Le 17 août 2026, la DGFiP repère une vulnérabilité technique sur le portail des successions vacantes. Ce service en accès libre ne contient que des données publiques. L’administration coupe donc le portail, puis un tiers malveillant revendique un vol. La FAQ officielle précise que les investigations continuent pour confirmer le caractère public de toutes les données extraites.

Trois incidents en sept mois chez la même administration, cela s’appelle un motif. Deux d’entre eux ont d’ailleurs déclenché une notification individuelle. C’est une raison de plus de moins dépendre de l’État pour la garde de tes informations.

L’article 82 du RGPD, le fondement spécifique d’une réparation

Il n’existe pas de loi française spéciale pour les victimes d’une fuite de données publiques. Le fondement est européen, il tient en un article, et il vaut donc la peine d’être lu avant de signer quoi que ce soit.

Le responsable du traitement, ici, c’est l’État

L’article 82 du RGPD pose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Le texte ne distingue pas selon la nature de l’organisme. Une administration relève donc du même régime qu’une entreprise privée.

Ce point a une conséquence de procédure immédiate. La DGFiP est un service de l’État, donc le litige se règle devant le juge administratif, et pas devant le tribunal judiciaire où se plaident les fuites de données des opérateurs privés.

Trois conditions cumulatives, pas une

La Cour de justice de l’Union européenne a tranché le 4 mai 2023 dans l’affaire C-300/21. La simple violation du règlement ne suffit pas à conférer un droit à réparation. Il faut réunir une violation, un dommage réellement subi, et un lien de causalité entre les deux.

La même décision écarte pourtant toute exigence de gravité minimale. Un préjudice modeste reste indemnisable, ce qui interdit à un juge de rejeter une demande au motif qu’elle porterait sur peu de chose. Les deux règles se tiennent donc : le seuil disparaît, la preuve reste.

L’État peut s’exonérer, et ce n’est pas à toi de le prouver

Le paragraphe 3 de l’article 82 exonère le responsable du traitement s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. Dans son arrêt C-340/21 du 14 décembre 2023, la Cour a précisé que l’accès de tiers non autorisés n’exonère pas automatiquement le responsable. Elle a de même jugé que la charge de prouver le caractère approprié des mesures de sécurité pèse sur lui.

Voilà l’inconnue centrale du dossier. L’attaque repose sur l’usurpation d’identifiants d’agents publics. Savoir si les mesures de sécurité entourant ces comptes étaient appropriées reste une question de fait, sur laquelle la CNIL enquête et sur laquelle aucun juge ne s’est encore prononcé. Affirmer aujourd’hui que l’État a fauté relève donc de l’opinion, pas du constat.

Piratage DGFiP : le parcours réel d’une demande d’indemnisation

Une demande de réparation après le piratage DGFiP ne ressemble en rien à un recours collectif américain. Un contentieux indemnitaire contre l’administration française suit un chemin balisé, lent, et payant à un endroit précis.

La réclamation préalable conditionne la recevabilité

L’article R. 421-1 du code de justice administrative est sans ambiguïté. Lorsque la requête tend au paiement d’une somme d’argent, elle n’est recevable qu’après l’intervention de la décision prise par l’administration sur une demande préalablement formée devant elle.

Autrement dit, tu ne peux pas saisir le juge en premier. Il faut d’abord adresser une réclamation préalable à l’administration, chiffrer ce que tu demandes, et exposer en quoi consiste ton préjudice. Cette étape est gratuite, elle se rédige sans avocat, et elle constitue à elle seule la moitié du travail.

Deux mois de silence valent refus

L’article L. 231-4 du code des relations entre le public et l’administration écarte la règle du silence valant acceptation quand la demande présente le caractère d’une réclamation ou revêt un caractère financier. Le silence gardé pendant deux mois vaut donc décision de rejet.

Ce refus implicite est une bonne nouvelle de procédure. Il fait naître la décision qui manquait, et il ouvre la voie du tribunal. Ensuite seulement, la requête devient recevable.

L’avocat est obligatoire et la créance se prescrit en quatre ans

Devant le tribunal administratif, une requête qui tend au paiement d’une somme d’argent doit, à peine d’irrecevabilité, être présentée par un avocat, en application de l’article R. 431-2 du même code. C’est le point où le dossier cesse d’être gratuit. C’est surtout le calcul que personne ne pose à voix haute : des honoraires réels contre une indemnité inconnue, sur un contentieux qu’aucun juge français n’a encore tranché.

Ajoute enfin une horloge que presque aucune page ne mentionne. L’article 1er de la loi n° 68-1250 du 31 décembre 1968 pose une prescription quadriennale : les créances sur l’État s’éteignent au bout de quatre ans. Le délai part du premier jour de l’année qui suit celle où le droit est né. Pour un fait générateur situé en 2026, le compteur court donc jusqu’au 31 décembre 2030.

La réclamation écrite remet le compteur à zéro

Ce compteur n’est pourtant pas figé. L’article 2 de la même loi interrompt la prescription dès qu’une demande de paiement ou une réclamation écrite arrive à l’administration. Un nouveau délai de quatre ans repart alors le premier jour de l’année suivante. Envoyer sa réclamation, c’est donc aussi remettre l’horloge à zéro.

Le préjudice, entre ce qui se démontre et ce qui se discute

C’est la vraie ligne de fracture du dossier. Deux personnes notifiées le même jour n’ont pas le même dossier, et l’écart ne tient pas à leur indignation.

La perte de contrôle est devenue un dommage réparable

La jurisprudence européenne a élargi la notion de préjudice moral. Le 4 septembre 2025, dans l’affaire C-655/23, la Cour range les sentiments négatifs dans le dommage moral. Une crainte ou un mécontentement nés d’une perte de contrôle comptent donc, à une condition : la personne doit démontrer qu’elle les éprouve, avec leurs conséquences négatives. Le 19 mars 2026, l’arrêt C-526/24 confirme de même que le dommage moral englobe la perte de contrôle ou l’incertitude sur le traitement.

La crainte doit être fondée, pas alléguée

Le même arrêt pose la limite, et c’est elle qui décide du sort des dossiers standards. La simple allégation d’une crainte engendrée par une perte de contrôle ne suffit pas : cette crainte doit être fondée au regard des circonstances propres à la personne. La charge d’établir le dommage effectif et le lien de causalité reste donc sur le demandeur.

La Cour ajoute deux exigences que les dossiers de masse négligent. D’abord, les conséquences invoquées forment un préjudice distinct de la simple violation du règlement. Ensuite, le comportement de la personne ne doit pas expliquer à lui seul son propre dommage : il romprait alors le lien de causalité.

En langage de dossier, cette exigence sépare deux situations. La première réunit un préjudice documenté : un appel au faux conseiller bancaire reçu après la notification, un virement détourné, une opposition de carte, une souscription de crédit à ton nom, des heures passées et des frais engagés. La seconde se limite à un sentiment d’insécurité sans pièce jointe. Le premier cas se plaide, le second se discute, et personne ne peut te garantir aujourd’hui comment un tribunal administratif français l’appréciera.

Ce que la CNIL a déjà répondu, avant même que tu la saisisses

Le réflexe partagé partout consiste à porter plainte auprès de la CNIL. Elle a répondu d’avance. Dans sa publication du 18 août 2026, l’autorité confirme qu’elle a reçu la notification des violations. Elle précise ensuite qu’une plainte individuelle n’est pas nécessaire à ce sujet, sauf si tu détiens des éléments utiles aux investigations en cours.

Retiens surtout la nature de son office. La CNIL contrôle la conformité et peut prononcer des mesures correctrices : rappel à l’ordre, mise en demeure, injonction. En revanche, elle ne verse aucune somme aux personnes concernées, et elle l’écrit noir sur blanc dans sa rubrique de questions-réponses : seul un juge peut condamner le responsable d’un fichier à indemniser un préjudice.

Ce qu’une action groupée change après le piratage DGFiP, et ce qu’elle ne change pas

Depuis fin août, plusieurs centaines de personnes rejoignent une démarche indemnitaire coordonnée. Un avocat du barreau de Béziers la porte, sur le fondement de l’article 82 du RGPD, comme l’a rapporté franceinfo le 24 août 2026. L’initiative est légitime. Le vocabulaire employé pour la décrire l’est moins.

L’action de groupe a des demandeurs verrouillés par la loi

Devant le juge administratif, l’action de groupe relève de l’article L77-10-1 du code de justice administrative. Cet article renvoie, depuis le 3 mai 2025, à l’article 16 de la loi n° 2025-391 du 30 avril 2025. Ce texte réserve la qualité pour agir à quatre familles de demandeurs : les associations agréées, les associations déclarées depuis deux ans pour la seule cessation du manquement, les organisations syndicales représentatives en matière de protection des données personnelles, et les entités qualifiées européennes. Le ministère public figure bien dans la loi. En revanche, l’article L77-10-1 écarte sa qualité pour agir devant le juge administratif.

Un cabinet d’avocats ne figure donc pas dans cette liste. Un contribuable n’y figure pas davantage.

Regrouper des dossiers ne fusionne pas les procédures

Une démarche coordonnée reste une addition de dossiers individuels. Chacun conserve sa réclamation préalable, son refus implicite, sa requête, son délai. Le regroupement mutualise le travail de rédaction, l’analyse juridique et parfois le coût. En revanche, il ne crée aucune procédure unique et ne dispense d’aucune étape du code de justice administrative.

C’est une différence de nature, pas de degré. Elle explique donc pourquoi le vocabulaire des recours collectifs entretient une attente qui ne correspond pas au droit applicable, alors même que la presse parle d’action collective et non d’action de groupe.

Aucun barème d’indemnisation n’existe avant le premier jugement

Des estimations de montant commencent à circuler. Elles proviennent de ceux qui portent les demandes, et une demande n’est pas une condamnation. Aucun tribunal administratif français ne s’est encore prononcé sur ce dossier. La CJUE rappelle de son côté que le montant relève des règles internes de chaque État, et que la réparation vise à compenser le préjudice, sans dommages punitifs.

Une règle de prudence suffit donc ici. Tout chiffre annoncé avant qu’un juge ait statué est une estimation de partie, y compris quand il est présenté sous forme de tableau. La même vigilance vaut face aux sollicitations habillées en institution : un dossier sensible attire toujours des intermédiaires.

Action à réaliser dès la notification du piratage DGFiP

Le frugaliste ne court pas après une indemnité hypothétique, il réduit d’abord la surface de perte. Tes données fiscales sont dehors, elles n’y rentreront pas. L’objectif immédiat consiste donc à empêcher qu’elles servent de levier contre toi.

1. Ce soir, archive la notification avec sa date de réception, la liste exacte des données citées, et une capture de l’accusé de réception. Ce document est la pièce numéro un de tout dossier ultérieur.
2. Sous 48 heures, coupe le canal entrant. Tu ne cliques sur aucun lien reçu par courriel ou SMS au sujet du piratage de la DGFiP. Tu vas consulter ton espace en tapant toi-même impots.gouv.fr, et tu rappelles l’administration fiscale au 0809 401 401 plutôt que le numéro affiché dans un message. Elle ne demande jamais de mots de passe ni de coordonnées bancaires par message.
3. Sous 7 jours, surveille les mouvements sensibles sur ton espace fiscal et ton compte bancaire : changement d’adresse, modification de coordonnées bancaires, prélèvement inconnu. Un appel au faux conseiller bancaire s’appuie sur des informations exactes pour paraître crédible, exactement comme les arnaques montées à l’aide de l’IA.
4. Si un préjudice se matérialise, tu signales sur cybermalveillance.gouv.fr, tu déposes plainte via la plateforme THÉSÉE ou au commissariat, et tu conserves chaque message, capture d’écran et relevé.
5. Vérification : tu sais que c’est fait quand tu peux produire, dans un seul dossier, la notification datée, la liste des données concernées, et la trace de chaque incident survenu depuis.

Le prompt qui classe tes pièces et pose ton calendrier

Le classement de ces pièces prend une heure et se fait plus vite en le dictant. Voici la formulation qui produit un dossier exploitable plutôt qu’un cours de droit. Les dates que ce prompt calcule restent indicatives : avant de t’y fier pour une échéance, recoupe-les toi-même avec les textes cités plus haut.

La leçon de fond dépasse ce dossier. Chaque administration et chaque plateforme qui détient tes informations est une porte, et une porte finit par s’ouvrir. Réduire le nombre de portes reste plus efficace que de courir après le serrurier, ce que détaille la méthode pour effacer ses traces en ligne. Puisque ton revenu fiscal de référence circule désormais sans toi, autant savoir enfin quels leviers légaux le font baisser.

Questions fréquentes sur l’indemnisation après le piratage DGFiP

Vais-je recevoir une indemnisation automatique après le piratage DGFiP ?

Non. La notification envoyée par la DGFiP répond à l’obligation d’information de l’article 34 du RGPD. Elle décrit les données consultées et les mesures de vigilance à adopter. Aucun texte ne prévoit de guichet, de fonds ni de versement automatique. Une réparation suppose une démarche individuelle fondée sur l’article 82 du RGPD, une réclamation adressée à l’administration, puis le cas échéant une requête devant le tribunal administratif.

Dois-je déposer une plainte auprès de la CNIL après le piratage DGFiP ?

La CNIL a indiqué le 18 août 2026 qu’elle avait été notifiée de ces violations et qu’il n’est pas nécessaire de la saisir d’une plainte individuelle à ce sujet, sauf à disposer d’éléments utiles aux investigations en cours. Une plainte CNIL ne verse d’ailleurs jamais d’indemnité : l’autorité contrôle la conformité et peut prononcer des mesures correctrices, mais elle écrit elle-même que seul un juge peut condamner le responsable d’un fichier à indemniser un préjudice.

Combien de personnes sont concernées par le piratage DGFiP ?

Le communiqué du 14 août 2026 annonce 678 000 particuliers et professionnels. Les FAQ officielles du 24 août détaillent un peu plus de 350 000 particuliers pour les données fiscales et un peu plus de 250 000 professionnels, sans qu’aucun document officiel n’explique l’écart avec le total annoncé. Les données cadastrales relèvent d’un périmètre distinct, touché en parallèle. Pour moins de 250 contribuables, le contenu des messages échangés avec l’administration a également été volé.

Faut-il un avocat pour demander réparation à l'État ?

Devant le tribunal administratif, une requête qui tend au paiement d’une somme d’argent doit, à peine d’irrecevabilité, être présentée par un avocat, en application de l’article R. 431-2 du code de justice administrative. La réclamation préalable adressée à l’administration, elle, se rédige sans avocat. L’aide juridictionnelle reste ouverte sous conditions de ressources.

Combien de temps ai-je pour agir après le piratage DGFiP ?

Deux délais se superposent. Le silence gardé deux mois par l’administration sur une réclamation vaut décision de rejet, en application de l’article L. 231-4 du code des relations entre le public et l’administration, et ouvre le délai de recours devant le juge. Au-delà, la loi n° 68-1250 du 31 décembre 1968 éteint les créances sur l’État quatre ans après le 1er janvier de l’année suivant celle où le droit est né. Son article 2 prévoit toutefois qu’une réclamation écrite adressée à l’administration interrompt cette prescription et fait repartir un nouveau délai de quatre ans.

Une action collective menée par un avocat est-elle une action de groupe ?

Non, ce sont deux objets juridiques distincts. L’action de groupe est régie, devant le juge administratif, par l’article L77-10-1 du code de justice administrative qui renvoie à l’article 16 de la loi n° 2025-391 du 30 avril 2025. Elle est réservée aux associations agréées, aux associations déclarées depuis deux ans pour la seule cessation du manquement, aux organisations syndicales représentatives et aux entités qualifiées européennes. Le ministère public, présent dans la loi, est expressément écarté devant le juge administratif. Un cabinet qui regroupe des clients dépose en réalité des dossiers individuels coordonnés.

Mon mot de passe impots.gouv.fr a-t-il été volé dans le piratage DGFiP ?

Non. La FAQ officielle du 24 août 2026 indique que les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis et que le mot de passe ne fait pas partie des données dérobées. Le changer n’est pas nécessaire, même si rien ne l’interdit. Le risque principal porte sur l’hameçonnage rendu crédible par les données volées.